Exchange SMTP-Routing

Internet

Exchange Empfänger

Aus dem Internet werden Mails per MX-Record an den ersten Mailserver gesendet. Das ist fast immer ein Spamfilter in der Cloud oder OnPremises, der dann die Mails zu einem beliebigen Exchange Server sendet. Exchange muss dazu auf Port 25 eingehende Verbindungen per SMTP annehmen. Dafür ist der automatische installierte Receive-Connector mit dem Namen "Default Frontend <Servername>" zuständig. Das ist einfach und wie es danach weitergeht, ist Teil des nächten Kapitels.

Exchange Postfach

Exchange Empfänger

Seit Exchange 2007 werden auch Mails zwischen Benutzern generell per SMTP "vermittelt", selbst wenn die Anwender ihr Postfach in der gleichen Datenbank haben.

Exchange Postfach

Internet

Wenn eine Mail von einem authentifizierten Absender (Anmeldung oder Trusted-IP) nicht intern auflösbar ist oder eine Weiterleitung über einen MailUser/MailContact konfiguriert ist, dann muss Exchange die Mail versenden. In der Standardkonfiguration hat Exchange keinen Send-Connector, d.h. jeder Server kann selbst die Mail per MX-Record versenden.

Ein Send-Connector erlaubt aber dem Administrator besser zu steuern, für welche Zieldomain und über welchen Quellserver die Nachrichten an welchen Zielserver geroutet werden.

Internet

Internet

Diese Konfiguration möchten wir natürlich nicht zulassen.

EX01\Default Frontend EX01

{[::]:25, 0.0.0.0:25}

Frontend

Der Connector lauscht für alle IP-Adressen auf Port 25 und ist damit prädestiniert zur Annahme von Verbindungen aus dem Internet. Allerdings ist es kein vollwertiger SMTP-Server, sondern leitet die Verbindung als SMTP-Proxy zu einem verfügbaren Server auf den Port 2525 weiter. Es ist also ein intelligenter Loadbalancer, der den Status der Mailserver kennt und nur die erreichbaren Server nutzt.

Der Port 25 ist der Standardport für die Übertragung von Mails zwischen Mailservern und wird von Endanwendern normal nicht verwendet. Im Internet wird hier keine Authentifizierung erzwungen. Ein SMTP AUTH ist aber nicht verboten und wird von Exchange auch genutzt. Mit "STARTTLS" kann auch eine verschlüsselte Verbindung gestartet werden.

[PS] C:\>Get-ReceiveConnector "EX01\Default Frontend EX01" | fl

AuthMechanism      : Tls, Integrated, BasicAuth, BasicAuthRequireTLS, ExchangeServer
Banner             : 220 EX01\Default Frontend EX01
Bindings           : {[::]:25, 0.0.0.0:25}
PermissionGroups   : AnonymousUsers, ExchangeServers, ExchangeLegacyServers
RemoteIPRanges     : {::-ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff, 0.0.0.0-255.255.255.255}

EX01\Default EX01

{0.0.0.0:2525, [::]:2525}

Mailbox

Der Port 2525 ist aber schon ungewöhnlich und wird offiziell nur zwischen und innerhalb von Exchange Servern verwendet. Eine Mail aus dem Internet über den Connector auf Port 25 wird zum Connector auf Port 2525 quasi als "Proxy" durch geleitet.

[PS] C:\>Get-ReceiveConnector "EX01\Default EX01" | fl

AuthMechanism       : Tls, Integrated, BasicAuth, BasicAuthRequireTLS, ExchangeServer
Bindings            : {0.0.0.0:2525, [::]:2525}
PermissionGroups    : ExchangeUsers, ExchangeServers, ExchangeLegacyServers
RemoteIPRanges      : {::-ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff, 0.0.0.0-255.255.255.255}

Früher wurde 2525 als "alternativer Port" für SMTP angegeben und theoretisch könnte jeder User auch über diesen Weg Mails zustellen, denn auch "ExchangeUsers" ist in den PermissionGroups enthalten.

EX01\Client Frontend EX01

{[::]:587, 0.0.0.0:587}

Frontend

Der Port 587 kennzeichnet den Connector wieder für den Empfang von Anwendern die ansonsten per POP3/IMAP4 auch ihre Mails abholen. Der Client muss sich per SMTPAUTH anmelden und das Konto Mitglied von "Exchange Users" sein. Der Zugang kann also nicht Anonym oder als "ExchangeServer$" genutzt werden.

Der Connector fragt die Anmeldedaten ab und agiert dann als ReverseProxy zum "Backend" Server, der die Mailbox hat.

Der Port 587/TCP ist der Standardport für Mailclients, die per SMTP mit Authentifizierung Mails an einen Mailserver übergeben. Mit "STARTTLS" kann auch eine verschlüsselte Verbindung gestartet werden.

RFC2476 3.1. Submission Identification Port 587 is reserved for email message submission as specified in this document. Messages received on this port are defined to be submissions. The protocol used is ESMTP [SMTP-MTA, ESMTP], with additional restrictions as specified here.
RFC 2476 Message Submission https://datatracker.ietf.org/doc/html/rfc2476

EX01\Client Proxy EX01

{[::]:465, 0.0.0.0:465}

Mailbox

Nimmt Verbindungen des EX01\Client Frontend EX01 an.

Früher wurde der Port 465/TLS für SMTPS-Submission reserviert, SMTP-Zustellung direkt per TLS ohne STARTTLS. Heute sollte der Port nicht mehr für SMTPS-Submisssion genutzt werden.

Das stört hier aber nicht, da der Connector eigentlich nur intern verwendet wird. Er ist aber durchaus erreichbar und sogar mit Authentifizierung für "ExchangeUser" nutzbar.

[PS] C:\>Get-ReceiveConnector "EX01\Client Proxy EX01" | fl

AuthMechanism       : Tls, Integrated, BasicAuth, BasicAuthRequireTLS, ExchangeServer
Banner              : 220 EX01\Client Proxy EX01
Bindings            : {[::]:465, 0.0.0.0:465}
Fqdn                : EX01.UCLABOR.DE
Enabled             : True
PermissionGroups    : ExchangeUsers, ExchangeServers
RemoteIPRanges      : {::-ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff, 0.0.0.0-255.255.255.255}
TransportRole       : HubTransport

EX01\Outbound Proxy Frontend EX01

{[::]:717, 0.0.0.0:717}

Frontend

Auf den Connector verbindet sich die interne Transportrolle, um Mails zu versenden, wenn Sie im Send-Connector die Checkbox bei "Frontend" gemacht haben.

Normalerweise ist die Checkbox aus und dieser Receiveconector damit nicht in Verwendung.

{[::]:475, 0.0.0.0:475}

Mailbox

Eingehende Verbindungen von anderen Mailboxservern.

Frontend Transport

MSExchangeFrontendTransport.exe"

25
587
717
9649
51308

Mit dem Dienst kommunizieren die Clients und andere Mailserver über Port 25 und 587.

Der Port 717 ist ein "ausgehender Proxy", wenn die Transportrolle nicht selbst senden soll.

Transport

MSExchangeTransport.exe

9700
56515

Dieser Prozess ist zwar der Transport aber startet seinerseits den eigentlichen Worker "EdgeTrasnsport.exe". Das hat den Vorteil, dass bei einer "defekten" Mail der EdgTransport durchaus auch Abstürzen kann und dies so erkannt und repariert wird.

-

EdgeTransport.exe

2525
465
9709
9717
55610

Der Transport routet Mails im "Innern" von Exchange zwischen Servern und Postfächern und kann auch selbst Mails über Connectoren senden.

Mailbox Transport

Submission

MSExchangeSubmission.exe

9847
58614

Dieser Dienst holt die Mails aus "Postausgang" und sendet sie per SMTP an den Transport. Er empfängt zumindest nichts per SMTP

Mailbox Transport

Delivery

MSExchangeDelivery.exe"

475
476
477
9577
61538

Eingehende Mails nimmt er an und legt Sie im Postfach ab.