May 2025 - Socotec - list.sys4.de

Erste Infos zu Enco
by thomas.korus＠canzler.de 28 May '25

28 May '25

Deren IT Support ist bis 10.6 im Urlaub, sie wollen schauen wie weit sie selbst mit den DNS Einstellungen kommen. Hier schon mal die ersten ungeprüften Antworten. ----- Weitergeleitet von Thomas Korus/canzler am 28.05.2025 14:45 ----- Von: "Christian Markus" <C.Markus(a)enco-gmbh.de> An: "thomas.korus(a)canzler.de" <thomas.korus(a)canzler.de>, "uwe Abels" <u.abels(a)enco-gmbh.de>, "Lars Hofmann" <l.hofmann(a)enco-gmbh.de> Kopie: "jens.kuhnert(a)canzler.de" <jens.kuhnert(a)canzler.de> Datum: 28.05.2025 14:35 Betreff: AW: Umschreibung E-Mails von enco-gmbh.de zu socotec.de Hallo Thomas, unser Exchangeserver heißt exchange16.enco.enco-gmbh.de Unsere öffentliche IP ist die 195.243.189.195 Weitere Domains gibt es nicht. Unsere Mails kommen von mail.nhn.de und werden dann auf dem Exchange mit Popcon abgerufen, falls das wichtig ist. Unsere enco Adressen lauten ja v.nachname(a)enco-gmbh.de, also der Vorname ist nicht ausgeschrieben. Ist das schlimm oder müssen wir bei jedem einen Alias hinterlegen oder sogar neue Adressen erstellen? Mit freundlichen Grüßen i.A. Christian Markus Senior IT Administrator T. +49 561 6008-136 c.markus(a)enco-gmbh.de SOCOTEC Building Solutions GmbH Amalie-Wündisch-Str. 5 - 34131 Kassel www.socotec.de Amtsgericht Dresden - HRB 8883 Geschäftsführung: Andreas Masiorek | Michael Nolte | Holger Richter

1 0

Kontakt zwischen Sys4 und ACP
by Tobias Rahm 28 May '25

28 May '25

Hallo Patrick, Hallo Carsten, Ich habe mit Hr. Baumann von der ACP gesprochen, der Auskunft über das DNS Sec Thema geben kann. In dem Zug habe ich auch nach dem Vorgehen / vermeintlichen Show-Stopper für Exchange Online & Boundary Filter gefragt. Da ich es technisch nicht bewerten kann, möchte ich euch nun direkt connecten. Vielleicht können wir ins lange Wochenende starten, ohne den Plan B heute schon auszurufen .... Hier die Signatur von Hr. Baumann. Thomas Baumann Geschäftsführer ACP IT Consulting GmbH Schellerdamm 2a, 21079 Hamburg M +49 172 6646466 Thomas.Baumann(a)acp.de<mailto:Thomas.Baumann@acp.de> Viele Grüße TR Tobias Rahm Head of IT M. +49 175 721 21 31 tobias.rahm(a)socotec.de<mailto:tobias.rahm@socotec.de> SOCOTEC Deutschland Holding GmbH Spitalerstr. 4 - 20095 Hamburg www.socotec.de<http://www.socotec.de/> Amtsgericht Hamburg - HRB 152922 Geschäftsführung: Prof. Dr.-Ing. Ludger Speier [Ein Bild, das Grafiken, Kreis, Symbol, Logo enthält. KI-generierte Inhalte können fehlerhaft sein.]<http://www.socotec.de/>

1 0

Domain "socotec.de" nun als Hidden-Primary Zone auf dem DNS-Server "mail01.canzler-dv.de"
by Carsten Strotmann 27 May '25

27 May '25

Hallo, die Domain "socotec.de" wird nun auf dem DNS-Server "mail01.canzler-dv.de" als "Hidden-Primary" betrieben. Das heisst das Änderungen auf dem DNS-Server bei Canzler eingebracht werden können. Die Schritte zum Ändern der Zoneninhalte dokumentiere ich in der Dokumentation zum Mail- und DNS-Server bei Canzler, diese Dokumentation können wir später in die Dokumentation der Socotec-Mail-Plattform übernehmen. Änderungswünsche in der Domain können an Thomas Korus oder mich gesendet werden. Die Zone ist schon DNSSEC-signiert, die Vertrauenskette wurde aber noch nicht geschlossen, d.h. DNSSEC ist für diese Zone noch nicht aktiv. Beste Grüsse Carsten Strotmann

1 0

Mailrouting: Inbound
by Patrick Ben Koetter 27 May '25

27 May '25

Guten Morgen, welche der nachfolgenden Domains wird mit der nun ersten Umstellung über das BF geroutet werden? Diese müssen wir identifizieren und * die TTL bis Dienstag, den 3. Juni, EOB (end of business day) auf 180 s (3 min) runtersetzen Ich kenne nicht alle Eure Ansprechpartner für DNS changes und bitte Euch die entsprechende Person selbstständig anzusprechen und diesen Change zu vermitteln * bis Mittwoch, den 28. Mai, festlegen welcher heute genannte MX / Mailserver dann die *eine* final destination sein wird denn einige Domains (z. B. canzler.de) nennen mehrere MXe und ich weiß nicht welchen ich eintragen soll Die enco-gmbh.de nennt z. B. den mailproxy1.nordhessen.net. als MX. Das ist mit Sicherheit ein BF vor einem anderen Mailserver. Wie lautet dieser (verborgenene) Mailserver an den unser BF dann zustellen soll? Bitte seht Euch die Liste an und # test.socotec.de 10 mx01.test.socotec.de. # socotec.de 50 socotec-de.mail.protection.outlook.com. # socotec-group.de 0 socotecgroup-de01i.mail.protection.outlook.com. # canzler.de 10 mail01b.canzler-dv.de. 20 mail01c.canzler-dv.de. 10 mail01.canzler-dv.de. # canzler-dv.de 5 mail01.canzler-dv.de. # canzler-it.de 5 mail01.canzler-dv.de. # enco-gmbh.de 10 mailproxy1.nordhessen.net. # architekten-hs.de 10 mail01.canzler-dv.de. 10 mail01b.canzler-dv.de. # zpp.de 20 mailgate4.zpp.de. # sd.engineering 1 mailgate4.zpp.de. # zpc.de 10 mx4.configcenter.info. 10 mx1.configcenter.info. 10 mx3.configcenter.info. 10 mx2.configcenter.info. 10 mx5.configcenter.info. # dek-nord.de 20 mailgate4.zpp.de. # hennig-ing.de 50 mx0.hennig-ing.de. # interproject.de 20 mailgate4.zpp.de. # mplus-akademie.de 50 mx0.mplus-akademie.de. # mplus-management.de 50 mx0.mplus-management.de. # sd.engineering 1 mailgate4.zpp.de. # tmueller-ing.de 20 mailgate4.zpp.de. # tunnelpruefung.de 50 mx0.tunnelpruefung.de. # schollenberger.de 10 schollenberger-de.mail.protection.outlook.com. # kampfmittelberatung.at 10 kampfmittelberatung-at.mail.protection.outlook.com. # trigis.de 10 avg2.trigis.de. # trigis.net 10 avg2.trigis.net. Danke p@rick -- [*] sys4 AG https://sys4.de, +49 (89) 30 90 46 64 Schleißheimer Straße 26/MG,80333 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

2 4

Liste der Domains
by Tobias Rahm 26 May '25

26 May '25

Hallo Patrick, wie versprochen anbei die Liste der Domains: test.socotec.de socotec.de socotec-group.de canzler.de canzler-dv.de canzler-it.de enco-gmbh.de architekten-hs.de zpp.de sd.engineering zpc.de dek-nord.de hennig-ing.de interproject.de mplus-akademie.de mplus-management.de sd.engineering tmueller-ing.de tunnelpruefung.de schollenberger.de kampfmittelberatung.at trigis.de trigis.net Viele Grüße TR Freundliche Grüße i. V. Dr.-Ing. Tobias Rahm Management Zentrale Dienste T. +49 234 92 04-1235 M. +49 175 721 21 31 tr(a)zpp.de SOCOTEC Ingenieure AG Lise-Meitner-Allee 11 ? 44801 Bochum www.socotec.de Amtsgericht Bochum - HRB 16414 Vorstand: Dipl.-Ing. Martin Demmer, Dipl.-Ing. Martin Schmitz, Dr.-Ing. Ingo Spohr Aufsichtsratsvorsitzender: Prof. Dr.-Ing. Ludger Speier

2 1

Relayen für O365-Plattform
by Patrick Ben Koetter 26 May '25

26 May '25

Hallo, O365 online bietet keine Möglichkeit, sich beim Versenden bei einem Relayhost (hier: boundary filter) per SMTP AUTH anzumelden, so dass der Relayhost (nur) diesem Client das Senden gestattet. Wir haben, um nun nicht einer anzunehmend sehr grossen Range von IP-Adressen, das relayen zu gestatten und damit unsere Plattform, nachdem wir sie mit Fokus auf Sicherheit, bewusst restriktiv gestaltet haben, nach einer Möglichkeit gesucht, der O365-Plattform dennoch kontrolliert das relayen zu ermmöglichen. Dazu haben wir uns gedacht, dass die O365-Plattform alle Nachrichten von @socotec.de über einen dedizierten Connector an unseren boundary filter richtet und jede ausgehende Nachricht mit einem Header versieht, der ein Secret enthält, welches nur die beiden Plattformen kennen. Ein Secret könnte in etwa so aussehen: 0365-Relay-Secret: U665Mf973FDuNZQ1puZl3a7HylJbF9CdpWPE5nqc2LpMR4xKLA O365 kann das, sagte Manuel Sigl (ACP) heute im Call. Ich habe geprüft und kann nun sagen, dass es zumindest theroetisch möglich ist. Dazu muss ich ein wenig in die Trickkiste greifen. Wir brauchen * eine zweite, dedizierte SMTP-Instanz * eine zweite, dedizierte IPv6-Adresse * mandatory TLS für die zweite, dedizierte IPv6-Instanz Postfix kann einem Client nicht einfach so das relayen erlauben, nur weil dieses ein Secret im Header übermittelt. Aber es kann alle Mails abweisen, welche einen solchen Header nicht haben. Ich würde also eine zweite Instanz bauen, welche TLS der Sicherheit wegen erzwingt, dann sich die Mail geben lässt, prüft ob die Mail den Header beinhaltet und sie dann intern an die (schon bestehende) Standardinstanz abgibt oder die Mail, wenn der Header fehlt, ablehnt. Damit wir dafür nicht eine teure IPv4-Adresse hinzubuchen müssen, würde ich dafür eine zweite IPv6-Adresse in Betrieb nehmen und die (und nur die) zweite Instanz daran binden. Nachdem 0365 auch IPv6 kann, kann 0365 die Mails an diesem Punkt übergeben. Sicherheitstechnisch haben wir damit - IPv6 und die allermeisten SMTP-Server nutzen immer noch ausschließlich IPv4 und die Spammer haben besseres zu tun, als IPv6 Ranges nach offenen Relays zu scannen - mandatory TLS, um die Übertragung und damit den Header samt secret vor Fremden zu schützen - ein secret, welches nur O365 und das boundary filter kennen - ein secret, welches so lange ist, dass keiner es wirklich erraten kann Ich halte das für vertretbar sicher. Wenn ihr das auch so seht, dann bitte ich um ein Go!, damit ich das so implementieren kann. Grüße Patrick -- [*] sys4 AG https://sys4.de, +49 (89) 30 90 46 64 Schleißheimer Straße 26/MG,80333 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer Aufsichtsratsvorsitzender: Florian Kirstein

2 1

Entwurf Canonical und Alias für Funktionsadressen
by Tobias Rahm 22 May '25

22 May '25

Hallo in die Runde, Nachfolgend das Ergebnis der internen Abstimmung zu den Funktionsadressen und einem ersten Entwurf der Canonical und Alias Tabelle zur Diskussion. Relevant für unsere Diskussion sind vermutlich nur die Blätter ?Versand_Canonical? und ?Emfang Alias?. Hier sind noch einige ? enthalten und außerdem Stellen gelb markiert, an denen ich unsicher bin wie damit umzugehen ist. Viele Grüße TR Freundliche Grüße i. V. Dr.-Ing. Tobias Rahm Management Zentrale Dienste T. +49 234 92 04-1235 M. +49 175 721 21 31 tr(a)zpp.de SOCOTEC Ingenieure AG Lise-Meitner-Allee 11 ? 44801 Bochum www.socotec.de Amtsgericht Bochum - HRB 16414 Vorstand: Dipl.-Ing. Martin Demmer, Dipl.-Ing. Martin Schmitz, Dr.-Ing. Ingo Spohr Aufsichtsratsvorsitzender: Prof. Dr.-Ing. Ludger Speier

1 0

Re: Antwort: DNS Einträge für "test.socotec.de"
by Carsten Strotmann (sys4) 19 May '25

19 May '25

Hallo Andreas, On 19 May 2025, at 11:31, Andreas Immke wrote: > Moin Carsten, > die Einträge habe ich vorgenommen... > > schau noch mal drüber - ob das so passt :-) > passt, vielen Dank! Beste Grüsse Carsten

1 0

DNS Einträge für "test.socotec.de"
by Carsten Strotmann 19 May '25

19 May '25

Hallo Andreas, Patrick kann nun mit dem Test der Mailserver starten, hierzu braucht er die folgenden Einträge in der Zone der Domain "socotec.de": test.socotec.de. 300 IN MX 10 mx01.test.socotec.de. test.socotec.de. 300 IN TXT "v=spf1 ip4:188.68.41.44 ip6:2a03:4000:17:7d4:e8dc:2ff:fe71:b257 -all" _dmarc.test.socotec.de. 300 IN TXT "v=DMARC1; p=none; rua=mailto:it@socotec-group.de; adkim=s; aspf=s" Diese Einträge beziehen sich auf die Mail-Domain "test.socotec.de" (also E-Mail Adresse "benutzer(a)test.socotec.de"). Das E-Mail Routing für @socotec.de wird hierdurch nicht beeinflusst. Beste Grüsse Carsten Strotmann

1 0

x509 (TLS) Zertifikate für die neuen Mailserver
by Carsten Strotmann 16 May '25

16 May '25

Hi, ich habe die neuen x509-TLS-Zertifikate für mx01.socotec.de mx01.test.socotec.de bei Let's Encrypt organisiert und auf den Servern unter /etc/ssl/acme abgelegt. @Patrick: sobald der SMTP-Server auf Port 25 lauscht erstelle ich die TLSA-Records. Beste Grüsse Carsten

1 0