[Postfixbuch-users] Sicherer Mailtransfer zwischen zwei Postfix-Servern

[Roland M. Kruggel]

Am Freitag, 17. Februar 2006 09:53 schrieb Patrick Ben Koetter:
> * Roland M. Kruggel <rk.liste at bbf7.de>:
> > Am Donnerstag, 16. Februar 2006 09:06 schrieb Patrick Ben Koetter:
> > > * Roland M. Kruggel <rk.liste at bbf7.de>:
> > > > Hallo Liste,
> > > >
> > > > ich will den Mailtransfer zwischen zwei Postfixservern
> > > > absichern und brauch eure Hilfe weil mir der konkrete Anatz
> > > > fehlt.
> > > >
> > > > Folgendes Szenario:
> > > >
> > > > Mailserver 1 (nennen wir ihn hugo) ist primärer MX und steht
> > > > im Internet und ist somit permanent verfügbar.
> > > > Mailserver 2 (nennen wir ihn wilma) verfügt nur über eine
> > > > DSL-Leitung und ist nur tagsüber erreichbar. Tlw. auch nur
> > > > wochentags.
> > > >
> > > > Wilma hat einen dyndns Eintrag und ist von aussen erreichbar.
> > > > Die IP-Adresse wird bei dyndns zwar sehr fix eingetragen,
> > > > wenn wilma jedoch down ist trägt dyndns die Adresse nicht
> > > > wieder aus. Irgendwann könnte jemand anderes die IP bekommen.
> > > >
> > > > Hugo soll die mails nun wilma per smtp zugestellen. Aber es
> > > > muss gewährleistet sein, daß es auch wirklich wilma ist und
> > > > nicht irgen ein anderer Rechner der zuällig die alte ip von
> > > > wilma bekommen hat.
> > > >
> > > > Postfix hat da doch bestimmt Möglichkeiten. Welche?
> > >
> > > 1. Verfahren umdrehen
> > >    Wilma holt die Mails per fetchmail von Hugo ab. Hugo ist
> > > immer da. Nur Wilma kann sich entsprechende authentifizieren,
> > > um die Mails zu holen.
> > >
> > > 2. Hugo stellt die Identität von Wilma sicher
> > >    Wilma bietet TLS an und verfügt über ein Zertifikat. Das
> > > Zertifikat stammt von der eigenen (!) Certification Authority.
> > >    Hugo kann TLS nutzen und verfügt über das CA-cert der
> > > eigenen CA. Hugo ist so konfiguriert, dass er Mail zu Wilma nur
> > > dann transportiert, wenn er eine TLS Verbindung zu Wilma
> > > aufbauen kann UND ihre Identität anhand ihres
> > > Server-Zertifikates verifizieren kann.
> > >    Damit niemand anderes seinen Server Wilma nennt und sich ein
> > > Zertifikat mit Wilmas Namen besorgt, wird der dedizierte
> > > Transport von Hugo so konfiguriert, dass er auf einen - nur mit
> > > Wilmas CA befüllten - gültigen CA-Stammspeicher zugreift.
> > >    Will also Hugo zu Wilma senden, kann er nur im dedizierten
> > > CA-Stammspeicher (eigene CA) nachsehen, um Wilmas
> > > Server-Zertifikat zu verifizieren; sendet eine gefälschte Wilma
> > > ein TLS
> > > Server-Zertifikat, kann Hugo das nicht mit den Daten des
> > > dedizierten CA-Stammspeichers verfizieren und bricht ab.
> >
> > Hab' verstanden. Wenn auch langsam und schwerlich. ( Euer Buch
> > war eine grosse hilfe)
> >
> > Eine Frage noch:
> > Wie sag ich Hugo, das er nur die Domain Wilma über das tls
> > Zertifikat bedient und zu allen anderen Domains eine normale
> > Verbindung herstellt?
>
> Seite 373, "Selektives, clientseitiges TLS aktivieren" und "Map mit
> Regeln für selektives TLS erstellen". Du willst "MUST" als value
> für wilma.

Super. Bin begeistert. Thnx.

-- 
cu

Roland Kruggel  mailto: rk.liste at bbf7.de
System: Intel 3.2Ghz, Debian etch, 2.6.15, KDE 3.4