Dotaz: Re:Jak posílat e-maily přes MS Exchange?

[googler]

Ahojte, prosim Vas, riesim taku zapeklitu situaciu: Firma vyuziva primarne relativne klasicky web a email hosting (IMAP / SMTP), ale niektori zamestnanci potrebuju mat synchronizovany kalendar medzi MS Outlook (Windows) a mobilnymi zariadeniami - Vcetne moznosti odosielat emaily o polozkach v kalendari priamo cez funkcie kalendara aj mimo vlastnej domeny.

Moja predstava bola / je nasledovna:

- V MS adminovi:

- vytvorim Exchange Online konta pre dotknutych zamestnancov

- V kazdom exchange konte nastavim preposielanie prijatej posty na prislusne IMAP konto

- Doménu v MS adminovi nastavim ako internal relay

- V globalnych DNS domeny:

- MX zaznamy necham odkazovat tak ako teraz, teda na hosting

- Do SPF zaznamu k aktualnemu hostingu doplnim aj Exchange server

- DMARC zaznam necham tak ako je

- Podla instrukcii v MS adminovi vytvorim dva nove CNAME DKIM zaznamy s tym, ze ponecham aj povodny

Vysledkom tychto nastaveni by malo byt to, ze odosielanie by fungovalo z hostingu aj z Exchange kont a to bez toho, aby zabludili do SPAMu, prave vdaka DKIM a SPF.

Ked sme spravcu hostingu (jedna sa o mensi, neverejny hosting) poziadali o pridanie DKIM zaznamov, bolo nam dorazne odporucane, aby sme to nerobili lebo DKIM zaznamy su viazane na celu domenu ako taku a museli by sme zmenit aj MX zaznamy na MS cize by cela firma musela emaily migrovat do MS.

Chcem sa spytat: Bol moj predpoklad od zaciatku zly a je standard, ze DKIM zaznamy su viazane na celu domenu a nie je mozne vytvorit viacero DKIM zaznamov, aby niektore smerovali na MS a ine na hosting a teda aj vo vseobecnosti plati tvrdenie spravcu hostingu alebo je to nejake jeho specifikum pricom na inom beznom standardnom hostingu by to fungovalo presne za ucelom toho, aby bolo mozne emaily odosielat z dvoch roznych serverov?

Dakujem

Odpovědi

[Ignotus]

DKIM záznamy "nesmerujú" na rôzne MX servery, ale sú v nich uložené verejné kľúče. V rámci jednej domény ich môže existovať niekoľko, ale určite sa vyhni duplicitným záznamom. Najlepšie by bolo použiť nejaký identifikátor pre ich rozlíšenie, napríklad:

default._domainkey.example.com

calendar._domainkey.example.com

Upozorňujem, že kvôli prípadnej rotácii kľúčov je lepšie zvoliť nejaký rozumnejší identifikátor, ale to závisí od možnosti kalendárového servera: calendar202608._domainkey.example.com

Overovanie funguje tak, že odosielajúci server pred odoslaním podpíše správu svojím privátnym kľúčom. Súčasťou podpisu je aj informácia, ktorý kľúč pritom použil (zjednodušene povedané). Prijímajúci server si daný RR vyhľadá v DNS a overí, či podpis sedí.

MX záznamy slúžia ako informácia pre ostatné servery, kam posielať poštu pre konkrétnu doménu, nemôžem ale vylúčiť príliš kreatívny výklad zo strany administrátorov toho-ktorého MX.

SPF samozrejme musí obsahovať aj záznam pre kalendárový server, ale toho si si zjavne vedomý :)

K detailom ohľadne nastavenia v MS adminovi sa vyjadriť nedokážem, dúfam že pomôže aspoň toto.

[googler]

takze je moj predpoklad spravny a za beznych okolnosti v "normalnom" hostingu je mozne odosielat postu z viacerych serverov bez problemov s tym, ze MX zaznam by odkazoval iba na jeden z nich a to ten, ktory ma za ulohu zaroven aj prijimat postu. Za normalnych okolnosti by to teda malo fungovat korektne bez toho, aby posta padala do SPAMu alebo boli nejake ine problemy. Chapem to spravne?

[Ignotus]

takze je moj predpoklad spravny a za beznych okolnosti v "normalnom" hostingu je mozne odosielat postu z viacerych serverov bez problemov s tym, ze MX zaznam by odkazoval iba na jeden z nich a to ten, ktory ma za ulohu zaroven aj prijimat postu.

Áno, s týmto naozaj nie je žiaden problém - máš skrátka viacero TXT záznamov v DNS, "normálny" MX podpisuje jedným kľúčom, kalendárový druhým. Len sa vyhni duplicite v názve, tam to bude spôsobovať problémy - ak by obidva servery používali kľúč s identickým názvom a rôznym obsahom, bude sa to správať nepredvídateľne.

Prípadne ak má prevádzkovateľ konkrétny príklad, akým spôsobom to blbne, napíš to sem.

Za normalnych okolnosti by to teda malo fungovat korektne bez toho, aby posta padala do SPAMu alebo boli nejake ine problemy. Chapem to spravne?

No, teoreticky - ak to do SPAMu nepadá ešte kvôli niečomu inému ...

[googler]

Takze v pripade bezneho hostingu je jednoducho blbost to stanovisko, ktore dal spravca "svojskeho" hostingu, ze to, ze by sa do DNS domeny pridali CNAME DKIM zaznamy Microsoftu, tak sa musia zmenit aj MX zaznamy na Microsoft a bla bla bla... Inak tie DKIM zaznamy sposobia problem. Proste taketo spravanie by bolo specifikum toho konkretneho hostingu a na vacsine standardnych "profi" hostingov by takto nastavene DKIM a MX zaznamy nesposobili takyto problem?

[Ignotus]

taketo spravanie by bolo specifikum toho konkretneho hostingu a na vacsine standardnych "profi" hostingov by takto nastavene DKIM a MX zaznamy nesposobili takyto problem?

Netrúfam si určiť hranicu medzi "profi" a "neprofi" hostingom, každopádne pridať DKIM záznam (či už ako TXT alebo CNAME) nie je problém. Vlastne to ani nemá čo rozbiť, keď dodržíš to čo som písal vyššie (nesmú sa zhodovať selektory, to je tá časť pred _domainkey) - prijímajúci server si zo správy "vytiahne", ktorý podpis bol použitý a až následne správu overí cez DNS (zjednodušujem to, ale v tejto chvíli riešim operácie a ich poradie, nie detailný popis overovania). Do zóny si tých záznamov môžeš vygenerovať "milión".

[googler]

Este doplnim: Prevadzkovatel este nema priklad akym sposobom to blbne pretoze my sme zatial "neprelomili" jeho dorazne odporucanie, aby sme DKIM nepridavali lebo to sposobi problemy a ani to pretlacat asi nebudeme lebo to nie je uplne standardny profi poskytovatel a skor to vidim tak ze ani on sam tomu uplne nerozumie a boji sa toho. Po tomto jeho upozorneni sa obavam toho, ze aj keby to nahodou takto mohlo fungovat aj na jeho hostingu, obavam sa, ze by to mohol sabotovat, aby potom nevyzeral ako... Ta firma, ktora ten hosting vyuziva totiz nema pristup k editacii dns, vsetko to riesi poziadavkami na cloveka z toho hostingu, ktory to interne realizuje. Mne islo skor o to, aby som si tu overil ci mne unika nieco podstatne alebo skor bude "problem" na strane toho konkretneho hostingu a nie vseobecne.

[Ignotus]

skor to vidim tak ze ani on sam tomu uplne nerozumie a boji sa toho. Po tomto jeho upozorneni sa obavam toho, ze aj keby to nahodou takto mohlo fungovat aj na jeho hostingu, obavam sa, ze by to mohol sabotovat, aby potom nevyzeral ako...

Ak mám byť úprimný - nikto z nás nepadol učený z neba. Nemôžem hovoriť za všetkých, ale na otázku "nie som si istý, či tomu rozumiem dobre" snáď nikto rozumný nebude reagovať štýlom "ty si ...".

[googler]

Ano samozrejme, osobne by som tiez nemal nic proti nemu, ak by sa ukazalo, ze sa mylil a cele to normalne funguje,nemal by som voci nemu ziadnu negativnu emociu (ved sam som tu dokazom, ze vsetci sa ucia). Na druhu stranu, uz som v zivote zazil aj takych ludi, ktori o nejakom rieseni tvrdili, ze fungovat nebude a fungovat bude len to ich a ked sa ukazal opak, tak sa to snazilivsetkymi moznymi sposobmi znegovat pretoze to vnimali tak, ze by pred klientom / sefom, vyzerali hlupo v porovnani "s konkurenciou" a podobnych situacii som zazil viac, hlavne v pripade IT freelancerov

[dnes 00:00 X]

.. DKIM zaznamy su viazane na celu domenu ako taku a museli by sme zmenit aj MX zaznamy..

Rekl bych, ze na hostingu nemaji pravdu. Odesilajici server MX zaznam mit nemusi a Je uplne normalni, ze se posta odesila, nebo prijima z nekolika ruznych serveru.

[googler]

Tiez si myslim presne to iste, len som to chcel mat potvrdene, idealne od niekoho kto sa v tom pohybuje