TLS erzwingen beim E-Mail Versand/Empfang

Hallo HJW,

Herzlich willkommen hier in der Community !

(Sorry, my German-speaking brain isn't creating thoughts at the moment. )

Please insert a picture of the 'TLS Settings' on the 'Advanced' tab.

MfG - Bob (Bitte auf Deutsch weiterhin.)

Hi Bob,

Danke für Deine Hilfe. Bitte lass Dich von dem "porsche.de" nicht ablenken, das wurde bei der Installation der UTM vom Exchange-Server übernommen. Der hatte einen Receive-Connector extra für Porsche, der TLS erzwungen hat.

Viele Grüße,
  HJW

Hallo HJW,

Auszug aus dem Handbuch:

TLS Settings

Require TLS negotiation host/nets: Add or select hosts or nets here which always require TLS encryption for email communication. Sophos UTM will then hold back emails if TLS encryption is not available for those hosts/nets for some reason, that means messages will stay in the mail queue until TLS becomes available again. In case TLS is not available within a reasonable period of time, sending attempts will be stopped and users will get a notification that their email could not be sent.

Er macht also genau das, was er soll. Wenn du diese Netzwerk-Einträge löscht, werden die restlichen Mails versendet. = Works as designed.

Require TLS negotiation sender domains: If you want to enforce TLS encryption for incoming emails for certain domains, enter those domains here. Emails sent from those domains without TLS will be rejected immediately.

Skip TLS negotiation host/nets: Skip TLS negotiation host/nets: If a particular host or network should encounter problems with TLS encryption, you can enter it in the box and select the appropriate TLS certificate from the drop-down menu. This will cause Sophos UTM to skip TLS negotiation for this host or network.

Diesen letzten Abschnitt finde ich irreführend, da hier kein Zertifikat ausgewählt werden muss?!?

Hallo Philipp,

Danke!

So, wie Du es zitierst, hatte ich es auch verstanden. Was halt komplett nicht funktioniert, ist das "Skip TLS".

Wenn alle Felder leer sind, erfolgt die Zustellung über TLS, sofern der Empfänger das unterstützt. Wenn TLS nicht möglich ist, wird unverschlüsselt übertragen.

Insofern sind die Einträge unter "Skip TLS" nutzlos, da sie keine Ausnahme für "Required" bilden - was für mich eigentlich logisch wäre: Ich zwinge die UTM, alles per TLS abzuwickeln, muss aber für ein paar Empfänger eine Ausnahme hinterlegen, weil die kein TLS können. Ohne diese Ausnahmen wird die E-Mail nicht versendet. Das wäre der Plan...

Aber leider ignoriert die UTM die Einträge unter "Skip TLS"...

Ja, wenn ich "Required" leer lasse, dann werden die E-Mails auch ohne TLS an den Empfänger zugestellt - Works as designed. Allerdings habe ich keine Kontrolle darüber. Es kann dann also jeder MITM einen Empfänger vortäuschen und mangels Zertifikat (weil kein TLS erzwungen wird) die E-Mails abfangen, weil die UTM nicht prüfen kann, mit wem sie redet.

Der Abschnitt zu "Skip TLS ..." aus dem Handbuch ergibt IMHO keinen Sinn, weil ohne TLS ja gar kein Zertifikat erforderlich ist - also gibt es keinen Grund, im Fall "Skip TLS" eines auszuwählen.

Hallo HJW,

das wäre jetzt der klassische Fall, einmal den Sophos Support einzuschalten.

Viel Glück!

Hallo Philipp,

wie gesagt, das Support-Ticket ist seit dem 30.11.21 offen, aber es geht keinen Schritt weiter.

RichBaldry, could you have a look at this or pass it on to the right people, please?

Hello HJW,

Thank you for contacting the Sophos Community.

Could you please share the Case ID you have open with us, so I can check this internally.

Regards,

Hi Emmanuel,

sure, the ID is: 04676748

Thanks in advance,

  HJW