Herstellung einer angemessenen Zahl von Kopien dieses Dokuments ist gestattet, jedoch nur für den internen Gebrauch. Zu anderen Zwecken darf dieses Dokument weder kopiert noch reproduziert werden; weder teilweise noch vollständig, nicht elektronisch, mechanisch oder auf irgendeine andere

Weise, ausser mit ausdrücklicher, schriftlicher Genehmigung der SEPPmail AG.

Der Inhalt dieses Dokuments kann möglicherweise verändert worden sein, falls Sie es nicht direkt von der SEPPmail AG erhalten haben. Auch wenn dieses Dokument mit der grössten Sorgfalt angefertigt wurde, übernimmt die SEPPmail AG keine Verantwortung für etwaige Fehler oder Unvollständigkeiten.

Die Benutzung dieses Dokuments beinhaltet die Zustimmung zu dessen Gebrauch ohne Mangelgewähr und ohne jegliche Garantien. Jeglicher Gebrauch der hier aufgeführten Informationen erfolgt auf eigenes Risiko.

PGP und Pretty Good Privacy sind gesetzlich geschützte Warenzeichen der PGP Corporation, gültig in den USA und anderen Ländern. Java und alle Java-basierten Marken sind Warenzeichen von SUN

Microsystems, Inc., gültig in den USA und anderen Ländern. UNIX ist ein eingetragenes Warenzeichen unter der Verfügung der X/Open Company, gültig in den USA und anderen Ländern. Microsoft, Internet

Explorer, Windows, Windows NT, Windows 2000 und Windows XP sind entweder eingetragene

Warenzeichen oder gesetzlich geschützte Warenzeichen der Microsoft Corporation, gültig in den USA und anderen Ländern. Netscape und Netscape Navigator sind gesetzlich geschützte Warenzeichen der

Netscape Communications Corporation, gültig in den USA und anderen Ländern. Alle etwaigen anderen hier aufgeführten Warenzeichen sind Eigentum ihrer jeweiligen Besitzer und werden hier ohne die Absicht der Markenverletzung verwendet.

OpenSSL ist eine Anwendung, die unter einer Apache-ähnlichen Lizenz vertrieben wird (www.openssl.

org).

OpenBSD ist ein Betriebssystem, das unter dem Berkeley Copyright vertrieben wird (www.openbsd.

org).

GnuPG ist Software, die unter der GNU Public License vertrieben wird (www.gnupg.org).

Der Apache Webserver und Apache Tomcat werden unter dem Apache Software Foundation Copyright entwickelt (www.apache.org).

Hinweise auf kommerzielle Produkte, Verfahren oder Dienstleistungen, durch Nennung des Produktoder Herstellernamens oder auf beliebige andere Weise, kommen nicht notwendigerweise einer

Billigung, Empfehlung oder Favorisierung durch die SEPPmail AG gleich.

Einfuhr, Ausfuhr und Benutzung dieser und anderer Verschlüsselungsprodukte sind möglicherweise gesetzlich eingeschränkt.

In diesem Dokument vom Verfasser geäusserte Ansichten und Meinungen drücken nicht notwendigerweise jene der SEPPmail AG aus und dürfen nicht zum Zweck der Werbung oder der

Produktempfehlung benutzt werden. Verweise auf Internetadressen sind vor der Drucklegung gründlich geprüft worden. Aufgrund des ständigen Wandels der Internetinhalte kann die SEPPmail AG aber keine

Garantie für das Vorhandensein und den Inhalt der angegebenen Quellen übernehmen. Sollten Sie in dieser Anleitung fehlerhafte Links finden, teilen Sie uns dies bitte unter Angabe des betroffenen Links und der Versionsnummer dieser Anleitung an die Adresse [email protected] mit.

Druck: Oktober 2013, CH-5432 Neuenhof

2 Einleitung

Willko mmen zur Secure E-Mail Lö s ung SEP P mail

Das vorliegende Handbuch unterstützt Sie bei Ihrer SEPPmail Installation und dient als Referenz der einzelnen Konfigurationsaspekte. Es ist in folgende drei Teile gegliedert:

Teil I

Teil II

Der erste Teil besteht aus einer Einführung in das Produkt. Die

Funktionsweise und wichtige Produktmerkmale der SEPPmail Appliance werden hier beschrieben.

Im zweiten Teil wird erklärt, wie Sie das Secure E-Mail Gateway

SEPPmail in Betrieb nehmen. Dies beinhaltet die Integration der

Appliance in Ihr Netzwerk sowie die Einrichtung Ihrer Mail- und

Netzwerkumgebung.

Teil III

Der dritte und letzte Teil enthält im ersten Abschnitt eine Übersicht der verschiedenen K o nfiguratio ns mö glichkeiten. Die weiteren Kapitel beschreiben Konfigurations- und Administrationsschritte der einzelnen

Menüpunkte im Detail. Die Gliederung richtet sich zur einfachen

Orientierung nach der Menüstruktur des Web-Administrationsportals.

Wir wünschen Ihnen viel Erfolg bei der Installation.

2.1 Sichere E-Mail-Kommunikation durch Verschlüsselung

SEPPmail setzt auf verschiedene standardisierte Verschlüsselungsverfahren und bietet dadurch höchste Sicherheit für unterschiedliche Kommunikationspartner. In diesem Abschnitt werden die

Verfahren erläutert, die dabei zum Einsatz kommen.

Die Secure E-Mail-Gateway Appliance SEPPmail entschlüsselt eingehende E-Mails automatisch. Der

Vorgang ist für den E-Mail-Empfänger komplett transparent. Er erhält seine E-Mails unverschlüsselt in seiner Mailbox und liest diese wie bisher, ohne Zusatzaufwand.

Eingehende E-Mails können mit einer digitalen Signatur versehen sein. Bestandteil dieser Signatur ist das öffentliche S/MIME-Zertifikat des Absenders. Um den Verwaltungsaufwand zu minimieren, speichert die SEPPmail Appliance diese S/MIME-Zertifikate automatisch und nutzt sie zur S/MIME E-

Mail-Verschlüsselung für entsprechende Kommunikationspartner.

Für den sicheren E-Mail-Versand wählt die SEPPmail-Appliance aus folgenden 5 Metho den die für den Empfänger bestmögliche aus:

1. GINA-Techno lo gie

Bei der GINA-Verschlüsselungstechnologie handelt es sich um ein patentiertes Verfahren. Dabei werden E-Mails nicht bis zur Abholung zwischengespeichert, wie es bei anderen Webmailverfahren

üblich ist, sondern vollständig verschlüsselt an den Empfänger ausgeliefert. Dort werden sie in seinem

Postfach (z.B. im Outlook) gespeichert. E-Mails sind bei diesem Verfahren vor Phishing-Attacken geschützt, denn neben dem Kennwort ist für den erfolgreichen Zugriff auch die verschlüsselte E-Mail selbst aus der Postfach des Empfängers erforderlich.

Eine GINA-Nachricht enthält die Nachricht in verschlüsselter Form als Dateianlage. Der Empfänger ruft die Nachricht ab, indem er die verschlüsselte Dateianlage im lokalen Webbrowser öffnet. Diese wird dann über eine sichere SSL-Verbindung (HTTPS) an die SEPPmail-Appliance des Absenders

übertragen und dort nach Eingabe eines Benutzerkennworts entschlüsselt und angezeigt. Durch die

Kennworteingabe wird die Identität des Empfängers bei jedem Abruf geprüft. Im Gegensatz zum herkömmlichen E-Mail-Versand können E-Mail-Zustellungen aufgrund der korrekten Authentifizierung nachgewiesen werden. Die nachfolgende Abbildung zeigt ein Beispiel einer GINA-Nachricht.

B ei s p i el ei ner GI NA-Nachr i cht

2. Vo llauto matis che E-Mail-Do mainv ers chlüs s elung zwis chen allen SEP P mail

Appliances

Die SEPPmail-Appliance bietet Ihnen die Möglichkeit, den E-Mail-Verkehr permanent zwischen mehreren E-Mail-Domains zu verschlüsseln. Einzige Bedingung dabei ist, dass die

Kommunikationspartner über je eine SEPPmail-Appliance verfügen. Zwischen den Systemen werden alle Nachrichten automatisch ver- und entschlüsselt. Bei diesem Verfahren kommen sogenannte

Domainzertifikate bzw. Domainschlüssel zum Einsatz.

3. S/MIME-Benutzerv ers chlüs s elung

Das Verfahren der Verschlüsselung mittels S/MIME basiert auf öffentlichen und privaten Schlüsseln. M it öffentlichen Schlüsseln werden die E-Mails verschlüsselt und können anschliessend nur mit den zugehörigen privaten Schlüsseln entschlüsselt werden. Dank der zentralen Verarbeitung läuft dieser

Vorgang automatisch ab, wenn entsprechende S/MIME Benutzerzertifikate auf der SEPPmail-Appliance existieren. Diese können auf der SEPPmail-Appliance selbst erstellt oder durch einen öffentlichen

Zertifikatsanbieter ausgestellt werden. In beiden Fällen lassen sich die Zertifikate automatisiert erstellen. Die SEPPmail-Appliance unterstützt zu diesem Zweck verschiedene Schnittstellen zu

öffentlichen Zertifikatsanbietern.

4. OpenP GP -Benutzerv ers chlüs s elung

OpenPGP funktioniert nach dem gleichen Grundprinzip wie S/MIME. Auch die OpenPGP-Schlüssel werden auf der SEPPmail-Appliance verwaltet und E-Mails entsprechend automatisch ver- und entschlüsselt, wenn das benötigte Schlüsselmaterial vorhanden ist. Im Gegensatz zu S/MIME werden die Schlüssel bei OpenPGP immer selbst erzeugt und nicht von unterschiedlichen öffentlichen

Zertifizierungsstellen ausgestellt.

5. TLS/SSL Trans po rtv ers chlüs s elung

TLS/SSL bietet eine zusätzliche Sicherheit und ergänzt die bisher beschriebenen

Verschlüsselungsmethoden. Die Kommunikation zwischen der SEPPmail-Appliance und anderen E-

Mail-Servern wird in der Standardkonfiguration immer über einen TLS/SSL gesicherten Kanal aufgebaut, sofern die Gegenstelle dies unterstützt. Ebenfalls kommt TLS/SSL bei der bereits beschriebenen E-Mail-Domainverschlüsselung zwischen mehreren SEPPmail Appliances zur

Anwendung.

2.2 Digitale E-Mail-Signaturen

Beim Einsatz digitaler E-Mail-Signaturen wird die verbindliche E-Mail-Kommunikation gewährleistet, indem die Authentizität einer Nachricht verifiziert werden kann. Es wird somit sichergestellt, dass eine

Nachricht unverändert beim Empfänger eintrifft und der angezeigte Absender auch dem tatsächlichen

Absender entspricht.

Das Secure E-Mail-Gateway SEPPmail kann Ihre E-Mails entweder mit Benutzer- oder mit Firmen-

Zertifikaten signieren. Die beiden Verfahren werden im Folgenden kurz erläutert:

Digitale E-Mail-Signatur mit einem Benutzerzertifikat

Die Signierung der E-Mails mit einem S/MIME-Benutzerzertifikat erlaubt dem Empfänger die

Authentizität der E-Mail mit seinem E-Mail-Client zu prüfen. Damit wird sichergestellt, dass der

Absender authentisch ist und die E-Mail während und nach dem Versand nicht verändert wurde. Bei dieser Methode wird für jeden E-Mail-Absender ein eigenes S/MIME-Zertifikat benötigt.

Wir empfehlen die Verwendung von Zertifikaten, die durch einen öffentliche Zertifikatsanbieter ausgestellt wurden. Sie können diesen Vorgang automatisieren, indem Sie einen der in die SEPPmail-

Appliance integrierten CA-Connectoren zu verschiedenen offiziellen Zertifizierungsstellen verwenden.

Die Verbindung der SEPPmail Appliance zu den öffentlichen Zertifikatsanbietern ermöglicht Ihnen eine vollautomatisierte Ausstellung der Zertifikate, ohne Betreuungsaufwand.

Alternativ können E-Mails auch im E-Mail-Client des jeweiligen Absenders signiert werden. Das Secure

E-Mail-Gateway SEPPmail wird diese E-Mails dann nur noch verschlüsseln. Viele S/MIME-Zertifikate eignen sich sowohl zum Signieren als auch zum Verschlüsseln. Es kann deshalb sinnvoll sein, die

Zertifikate zusätzlich auf der SEPPmail-Appliance zu installieren. Dadurch können E-Mails mit den entsprechenden Zertifikaten automatisch entschlüsselt werden.

Digitale E-Mail-Signatur mit einem Firmenzertifikat

Die Signierung der E-Mails mit einem S/MIME-Firmenzertifikat erfüllt denselben Zweck wie die

Signierung mit einem S/MIME-Benutzerzertifikat. Bei dieser Variante wird jedoch nur ein einziges

Zertifikat benötigt.

Da S/MIME-Zertifikate grundsätzlich nur für eine E-Mail-Absenderadresse gültig sind, erhalten alle ausgehenden E-Mails den gleichen (technischen) Absender. E-Mails erscheinen beim Empfänger immer mir derselben E-Mail-Adresse, aber korrektem Benutzernamen. Die automatische Erfassung von

Kontakten und zugehörigen E-Mail-Adressen funktioniert dadurch beim Empfänger nicht mehr wie erwartet. Ebenso sind an anderen Stellen Schwierigkeiten zu erwarten. So besteht z.B. die Gefahr, dass alle Ihre Firmen-E-Mails abgewiesen werden, wenn die verwendete Absenderadresse beim

Empfänger fälschlich als SPAM eingestuft wird.

2.3 Zentraler Firmen E-Mail-Disclaimer

Das Secure E-Mail-Gateway SEPPmail kann Ihre E-Mails mit einem Firmen E-Mail-Disclaimer ergänzen.

Es werden Disclaimer im Text- oder HTML-Format unterstützt.

Nutzen Sie den zentralen Firmendisclaimer, um einen einheitlichen Text oder Angaben wie Adresse und

Firmeninhaber an alle E-Mails anzuhängen.

Beis piel im Textfo rmat:

Firma AG - Musterstrasse 1, 1234 Musterstadt - www.meinefirma.ch

2.4 E-Mail-Contentprüfung durch Virus, Spam and Phishing

Protection (Protection Pack)

SEPPmail-Protection Pack (Virus, SPAM and Phishing Protection) ist als Option erhältlich und schützt

Sie vor SPAM (unerwünschten E-Mails), Viren (schädlichen E-Mails) und Phishing-E-Mails (gefälschten

E-Mails).

Die Antivirus-Komponente aktualisiert konfinuierlich ihre Virendefinitionen und führt automatisch

Virenprüfungen Ihrer E-Mails durch.

SPAM-E-Mails werden durch den integrierten und einfach zu konfigurierenden SPAM-Filter wirksam bekämpft. Dieser basiert auf der Kombination verschiedener Filtertechniken wie Greylisting,

Blacklisting, Bayes'sche Filter und SMTP-Protocol-Checks.

Phishing-Attacken werden durch GINA-Nachrichten verhindert, indem der Empfänger sowohl die verschlüsselte Nachricht selbst wie auch ein Kennwort zum Abruf benötigt.

Hinweis beim Eins atz mit bes tehenden Antiv iren-Sy s temen

Die SEPPmail-Appliance kann auch mit bereits vorhandenen Antiviren-Systemen eingesetzt werden. Beachten Sie jedoch, dass SEPPmail die E-Mails verschlüsselt versendet/empfängt.

Um E-Mails auf Viren zu überprüfen müssen diese in unverschlüsselter Form vorliegen.

Führen Sie deshalb die Virenprüfung nach der Entschlüsselung in Ihrem internen

Netzwerk durch (z.B. auf Ihrem internen E-Mail-Server), falls Sie Ihr bestehendes

Antiviren-Produkt weiterhin einsetzen möchten.

2.5 Kompatibilität zu anderen Secure E-Mail Systemen

Aufgrund der zentralen E-Mail-Verarbeitung und Schlüsselverwaltung lässt sich SEPPmail transparent in Ihre E-Mail-Infrastruktur integrieren. Alle anerkannten und sicheren Standard-

Verschlüsselungstechniken sind implementiert. Die Kompatibilität zu den gängigen Secure E-Mail-

Systemen ist damit sichergestellt und die Installation zusätzlicher Softwarekomponenten entfällt.

Für Empfänger, die keine S/MIME-Zertifikate oder OpenPGP-Schlüssel besitzen, kann die GINA-

Technologie zur sicheren E-Mail-Übertragung genutzt werden.

2.6 Remote-Administration mittels Web-Portal

Sämtliche Verwaltungsmöglichkeiten des SEPPmail Secure E-Mail-Gateways stehen über eine webbrowserbasierten Konfigurationsoberfläche zur Verfügung. Die Verbindung zwischen Webbrowser und dem SEPPmail Secure E-Mail-Gateway ist zusätzlich verschlüsselt (HTTPS).

3 Inbetriebnahme der Secure E-Mail-Gateway-Appliance

3.1 Bevor Sie beginnen

Bitte überprüfen Sie den Verpackungsinhalt auf Vollständigkeit. Der Lieferumfang besteht aus:

Anzahl Beschreibung

SEPPmail-Hardware-Appliance bzw. SEPPmail-Virtual-Appliance für VMware ESX oder

Microsoft Hyper-V Server

Quick Install Guide

Kaltgerätekabel (240V)

Sollte der Lieferumfang bei Ihnen unvollständig sein oder sollten bei der Installation der SEPPmail-

Appliance Probleme oder Fragen auftauchen, kontaktieren Sie bitte SEPPmail oder Ihren SEPPmail

Fachhändler.

Eine Liste mit den Kontaktangaben der jeweiligen Fachhändler finden Sie auf der Webseite der

SEPPmail AG - http://www.seppmail.ch.

3.2 Integration der Appliance in Ihre E-Mail-Umgebung (Standard

Konfiguration)

In diesem Abschnitt wird ein einfaches Szenario beschrieben, in dem die SEPPmail-Appliance externe

E-Mails aus dem Internet direkt entgegennimmt und interne E-Mails nach extern ins Internet versendet.

Je nach Aufbau Ihrer E-Mail-Infrastruktur können weitere E-Mail-Server oder Gateways im E-Mail-

Datenfluss vorkommen.

In diesem Szenario wird SEPPmail als SMTP-Gateway zwischen dem Internet und Ihrem internen E-

Mail-Server installiert. Dadurch ändert sich der E-Mail-Datenfluss in den folgenden zwei wesentlichen

Punkten:

1. E-Mails aus dem Internet werden nicht mehr direkt an internen Ihren E-Mail-Server, sondern (neu) an die SEPPmail-Appliance gesendet.

2. Ihr E-Mail-Server schickt seine E-Mails nicht mehr direkt ins Internet, sondern (neu) an die SEPPmail

-Appliance. Die SEPPmail-Appliance übernimmt somit eine Smarthost-Funktion.

Die E-Mail-Infrastruktur für den beschriebenen Aufbau sehen Sie in nachfolgender Abbildung.

Ty p i s cher Aufb au ei ner E -M ai l-I nfr as tr uk tur mi t ei ner SE P P mai l Ap p li ance

3.3 Benötigte Informationen zur Inbetriebnahme

Es wird empfohlen, folgende Informationen Ihrer E-Mail-Umgebung zusammenzustellen, bevor Sie mit der Inbetriebnahme beginnen:

Benö tigte Info rmatio n Ihre Angabe

Öffentlicher DNS-Eintrag o der ö ffentliche

IP -Adres s e der Appliance* :

Dies ist der Name oder die IP-Adresse, unter der

Ihre SEPPmail-Appliance aus dem Internet erreichbar sein wird.

Interne IP -Adres s e der Appliance:

Die interne IP-Adresse und Subnetzmaske, unter der die SEPPmail-Appliance in Ihrem internen

Netzwerk erreichbar sein wird.

Ho s tname der Appliance:

Ein frei wählbarer Hostname Ihrer SEPPmail-

Appliance, z.B. secureemailgateway. Dieser ist normalerweise im DNS Server aufgeführt.

Interne Do main, in welcher s ich die

SEP P mail-Appliance befindet:

Beispiele sind: ihrefirma.local oder ihredomain.de

usw.

Standard Gateway IP -Adres s e:

Dies ist die Standard-Gateway IP-Adresse Ihrer

Firewall oder Ihres Routers, über welche die

SEPPmail-Appliance die Verbindung mit dem

Internet herstellen kann.

DNS Serv er:

Hier können Sie bis zu drei IP-Adressen von

DNS-Servern eingeben. Es kann sich sowohl um interne wie auch um externe DNS-Server handeln.

Interne DNS-Server müssen Anfragen für externe

Adressen entsprechend weiterleiten.

Ho s tname o der IP -Adres s e des bes tehenden internen E-Mail-Serv ers :

Hostname oder IP-Adresse, unter der Ihr bestehender interner E-Mail-Server im internen

Netzwerk angesprochen werden kann.

E-Mail-Do mains :

Geben Sie hier die Domains der E-Mail-Adressen

Ihrer Organisation an, z.B. firma.ch, firma.com, firma.de.

B enö ti gte I nfo r mati o nen zum E i nr i chten d er SE P P mai l Ap p li ance

* Die SEPPmail-Appliance muß aus Internet als Webserver erreichbar sein und benötigt deshalb eine von extern erreichbare IP-Adresse. Oft ist dies die Adresse der Firewall oder einer Reverse-Proxies /

Web-Application-Firewall. In einfachen Installationen kann dazu die IP-Adresse verwendet werden, unter der Ihr Internet-Router von extern erreichbar ist.

Sie finden diese Information mit folgenden Schritten:

1. Öffnen Sie auf einem Windows-PC eine Eingabeaufforderung und geben Sie den Befehl "ns lo o kup

" ein und drücken Sie Enter.

2. Geben Sie nach dem ">" Zeichen (Prompt) "s et query ty pe=mx" ein und bestätigen Sie mit Enter.

3. Geben Sie die E-Mail-Domain Ihrer Organisation ein (z.B. ihredomain.com) und bestätigen Sie mit

Enter.

4. Sie erhalten eine oder mehrere Antworten mit dem Begriff " mail exchanger ="

Servernamen hinter dem Begriff " mail exchanger" mit der geringsten MX-Preference-Nummer haben die höchste Priorität bei der Namensauflösung.

3.4 SEPPmail-Appliance anschliessen

Falls Sie die VM-Version (Virtual Machine) der SEPPmail-Appliance erworben haben, starten Sie Ihre virtuelle-Appliance.

Wenn Sie die Hardware-Version besitzen, schließen Sie die SEPPmail-Appliance wie folgt an:

1. Verbinden Sie die mit »LAN1« oder »eth0« gekennzeichnete Ethernet-Schnittstelle der SEPPmail-

Appliance mit der Ethernet-Schnittstelle Ihres Computers. Benutzen Sie dazu ein gekreuztes RJ45

Patchkabel (auch bekannt als Crossover-Kabel). Alternativ können Sie einen Ethernet-Hub oder

Ethernet-Switch mit einem normalen RJ45 Patchkabel verwenden.

2. Schließen Sie die Appliance mittels beiliegendem Stromkabel an das Stromnetz an.

3.5 Firewall / Router einrichten

Definieren Sie auf Ihrer Firewall bzw. Ihrem Internet-Router folgende Regeln, um die sichere E-Mail-

Kommunikation durch SEPPmail zu gewährleisten:

P o rt Quelle Ziel Bes chreibung

TCP/22 (SSH)

Appliance

TCP/25 (SMTP) E-Mail-

Server

Internet

Appliance

Ermöglicht es, Updates der Appliance durchzuführen und kommt bei Support

Sitzungen zum Einsatz.

Wird beim Betrieb mit mehreren Appliances im Clusterverbund benötigt.

Wird benötigt, damit der interne E-Mail-

Server ausgehende E-

Mails an die Appliance senden kann, die dort verschlüsselt oder signiert werden.

TCP/25 (SMTP) Internet

TCP/25 (SMTP) Appliance

UDP/53 (DNS)

TCP/53 (DNS)

Appliance

Internet

E-Mail-Server

Ermöglicht den E-Mail-

Verkehr zwischen

Internet und Appliance.

Wird für das direkte

Versenden von E-Mails ins Internet benötigt.

Wird für das Versenden von E-Mails an einen internen E-Mail Server benötigt.

Appliance Nameserver (intern) Ermöglicht die

Namensauflösung, wenn interne DNS-

P o rt Quelle Ziel Bes chreibung

TCP/80*

TCP/443

(HTTPS)

Nameserver (extern) Ermöglicht die

Namensauflösung, wenn externe DNS-

Server verwendet werden.

Internet

Server verwendet werden.

Ermöglicht die

Namensauflösung, wenn die Einstellung

»built-in DNS

Res o lv er« verwendet wird.

Appliance Internet

Internet Appliance

Wird für Protection

Pack (Virus, SPAM and

Phishing Protection)

Updates benötigt.

Stellt die verschlüsselte

Kommunikation über

SSL (HTTPS) zu

SEPPmail her. Wird für die Nutzung der GINA-

Technologie benötigt.

UDP/6277*

UDP/24441*

Appliance

Internet

Wird für Protection

Pack mit DCC benötigt.

Wird für Protection

Pack mit Pyzor benötigt.

Ermöglicht die

Zeitsynchronisation.

TCP/UDP/123*

(NTP)

TCP/8080*

(HTTP) und/ oder

TCP/8443*

(HTTPS)

Appliance

Admin PC

Internet

Appliance Stellt den

Administratoren-Zugang im internen Netz sicher.

Es wird empfohlen, nur die SSL-verschlüsselte

Verbindung (HTTPS)

über Port TCP/8443 zuzulassen.

TCP/5061* Appliance Internet Wird für den SMS-

Versand via verwendet.

R egeln zur Gewähr lei s tung d er Netzwer k k o mmuni k ati o n d er SE P P mai l Ap p li ance

* optional, je nach Konfiguration der SEPPmail-Appliance

** In einfachen Installationen wird keine Firewall zwischen der SEPPmail-Appliance und dem internen

Netz verwendet. Die mit ** markierten Regeln entfallen dann.

3.6 Netzwerkeinstellungen und Systemregistrierung

Nachfolgend wird beschrieben, wie Sie Ihre SEPPmail Appliance in Ihr Netzwerk integrieren und die

Netzwerkkommunikation prüfen können. Dazu gehören die Definition der IP-Adresse(n) Ihrer SEPPmail-

Appliance, DNS-Einstellungen, Eingabe des Standard-Gateways, die Vergabe eines Hostnamen und die Angabe Ihrer internen Domain.

Zum Abschluß können Sie prüfen, ob die Einstellungen korrekt sind, indem Sie die Funktion »Check

Update« der Appliance nutzen und Ihr System registrieren.

3.6.1 Installations-PC einrichten

Zur erstmaligen Konfiguration der Netzwerkparameter Ihrer SEPPmail-Appliance muss sich Ihr

Computer im selben Netzwerk wie die Appliance selbst befinden. Falls sich dieser nicht bereits im IP-

Adressenbereich 192.168.1.xxx/24 befindet, ändern Sie die IP-Adresse Ihres Computers auf eine IP-

Adresse zwischen 192.168.1.1/24 - 192.168.1.254/24, Netwerkmaske 255.255.255.0.

Hinweis :

Verwenden Sie nicht die Adresse 192.168.1.60, diese ist für die SEPPmail-Appliance reserviert. Dies ist die Standard IP-Adresse im Auslieferungszustand.

Ein Beispiel entsprechender Netzwerkeinstellungen sehen Sie in nachfolgender Abbildung.

3.6.2 Login als Administrator

Sämtliche Verwaltungsmöglichkeiten der SEPPmail-Appliance stehen über eine webbrowserbasierten

Konfigurationsoberfläche zur Verfügung. Im Auslieferungszustand können Sie die

Konfigurationsoberfläche unter der folgenden Adresse erreichen:

LAN1 - https://192.168.1.60:8443

LAN2 - https://192.168.2.60:8443

Der Standard-Benutzername lautet

Das Standard-Kennwort lautet

Hinweis :

: admin

Sie erhalten in diesem Stadium die Meldung »No v alid licens e fo und - P leas e

o btain a v alid licens e«, da die SEPPmail-Appliance mit einer temporären Lizenz ausgeliefert wird. Folgen Sie den weiteren Anweisungen in diesem Kapitel, um Ihr

System grundlegend einzurichten und zu registrieren. Dadurch erhalten Sie eine permanente Lizenz und können die SEPPmail-Appliance in vollem Umfang nutzen.

Beim Aufruf der Konfigurationsoberfläche im Webbrowser erhalten Sie eine Fehlermeldung mit dem

Hinweis, daß das SSL-Zertifikat der Webseite ungültig ist. Wählen Sie die Option, diese Seite trotzdem aufzurufen.

Hinweis :

Die Meldung erscheint nur anfänglich, bis ein gültiges SSL-Zertifikat installiert wurde

(siehe

Menüpunkt »SSL«

106

3.6.3 Netzwerkeinstellungen der SEPPmail-Appliance

Um die Netzwerkparameter Ihrer SEPPmail Appliance zu konfigurieren, klicken Sie in der

Konfigurationsoberfläche auf den Menüpunkt »Sy s tem«.

Sektio n »IP Addres s es «

P arameter Bes chreibung

Interface 1 - IP -Adres s e

Netzmas ke

IP-Adresse im Netzwerk für die Schnittstelle »LAN1« bzw.

»eth0«

Netzwerkmaske zur IP-Adresse der Schnittstelle

Hnweis :

Die Definition der Netzmaske wird nach der Classless Inter-Domain Routing (CIDR)

Notation festgelegt.

Die Netzmaske 255.255.255.255 entspricht "/32" (einzelne IP-Adresse)

Die Netzmaske 255.255.255.0 entspricht "/24" (Klasse-C Netzwerk)

Die Netzmaske 255.255.0.0 entspricht "/16" (Klasse-B Netzwerk)

Die Netzmaske 255.0.0.0 entspricht "/8" (Klasse-A Netzwerk)

Sektio n »DNS«

P arameter

P rimary

Alternate 1

Bes chreibung

IP-Adresse des DNS-Servers

Hinweis :

Bitte stellen Sie sicher, dass die DNS-Einträge korrekt sind. Domainnamen im Internet sollten durch die eingetragenen DNS-Server aufgelöst werden können. Falsche Einträge können zu einem sehr langsamen Antwortverhalten der

Konfigurationsoberfläche führen, so dass das

Laden von Menüpunkten mehrere Minuten dauern kann.

Sie können alternativ die Einstellung »Us e

built-in DNS Res o lv er« verwenden. Falls Sie diese Option verwenden, stellen Sie sicher, dass Sie Ihre Firewall bzw. Ihren Router so einrichten, dass die SEPPmail-Appliance DNS-

Auflösungen via Root-DNS-Server im Internet ausführen kann (vgl. Abschnitt

Firewall / Router einrichten

IP-Adresse eines weiteren DNS-Servers, falls der primäre DNS-

Server nicht antwortet

3.6.4 Host- und Domainnamen vergeben

Um den Host- und den Domainnamen Ihrer SEPPmail Appliance zu konfigurieren, klicken Sie in der

Konfigurationsoberfläche auf den Menüpunkt »Sy s tem«. Geben Sie die entsprechenden Werte in den

Feldern »Ho s tname« und »Do main« ein.

Den Hostnamen können Sie frei wählen, z.B. securemailgateway. Der Domainname entspricht der

DNS-Domain, in welcher sich die Appliance befindet (z.B. ihrefirma.local oder ihredomain.com). Diese

Einstellungen sind die interne Sicht, sie müssen also nicht den Daten, wie sie vom Internet her

Gültigkeit hätten, entsprechen.

3.6.5 Netzwerkkonfiguration prüfen

Führen Sie folgende Schritte durch, um sicherzustellen, dass die SEPPmail-Appliance mit den von

Ihnen vorgenommenen Netzwerkeinstellungen funktioniert:

1. Klicken Sie in der Konfigurationsoberfläche auf den Menüpunkt »Adminis tratio n«.

2. Klicken Sie auf die Schaltfläche »Check fo r Update«.

Falls Sie eine der beiden folgenden Meldungen erhalten, war die Netzwerkkonfiguration erfolgreich:

»Yo u already hav e the lates t v ers io n ins talled«

»There is a new v ers io n av ailable: Ins talled v ers io n is alteVers io ns nummer, lates t

v ers io n is neueVers io ns nummer«

Andernfalls erscheint die Meldung »ERROR: unable to co nnect to update s erv er. make s ure

that the dev ice can make co nnectio ns to the internet o n po rt 22«. Sollte diese Meldung erscheinen, prüfen Sie nochmals, ob Ihre Netzwerkeinstellungen korrekt sind und, ob Ihre Firewall bzw.

Ihr Router die Verbindung von Ihrer Appliance ins Internet über Port TCP/22 (SSH) zulässt (vgl.

Abschnitt

Firewall / Router einrichten

3.6.6 Das System auf den neusten Stand bringen

Klicken Sie im Web-Administrationsportal auf den Menüpunkt »Adminis tratio n« und dann auf die

Schaltfläche »Check fo r Update«. Falls ein Update zur Verfügung steht, klicken Sie zusätzlich auf die Schaltfläche »Fetch Update«. Dies kann zeitaufwändig sein, wenn das gelieferte System noch eine ältere Firmware enthält und deshalb mehrere Updates durchführen muß.

Wiederholen Sie den Schritt, bis keine Updates mehr angezeigt werden. Das System optimiert diesen

Prozess, so dass nicht für jede Zwischenversion ein Update durchgeführt werden muss, sondern nur für diejenigen, welche die Datenstruktur verändern.

Es kann unter Umständen vorkommen, dass Sie längere Zeit keine Rückmeldung erhalten. Wenn dies der Fall ist, aktualisieren Sie die Ansicht, indem Sie auf den Link »Sy s tem Adminis tratio n« oberhalb der Schaltflächen klicken. Solange Sie nicht ausgeloggt wurden, ist das Update noch nicht abgeschlossen.

Die SEPPmail-Appliance muss nach Updates jeweils einen Neustart durchführen. Sie müssen sich neu anmelden. Führen Sie diesen Schritt gegebenenfalls selbst durch, falls das System lange keine

Rückmeldung gibt, Ihnen also nicht die Loginmaske angezeigt wird. Sie können den Neustart auslösen, indem Sie innerhalb des Menüs »Adminis tratio n« auf die Schaltfläche »Rebo o t« klicken und danach den angezeigten Sicherheitscode bestätigen. Prüfen Sie nach dem Neustart jeweils erneut, ob weitere Updates zur Verfügung stehen.

Wenn Sie die Meldung »Yo u already hav e the lates t v ers io n ins talled« sehen, ist Ihre SEPPmail

-Appliance auf dem neusten Stand. Sollten in Zukunft weitere Updates verfügbar sein, wird dies nach einem Neustart jeweils automatisch angezeigt.

3.6.7 Das System registrieren

Registrieren Sie Ihr System, damit Sie eine permanente Lizenz erhalten. Klicken Sie im Web-

Administrationsportal auf den Menüpunkt »Adminis tratio n« und dann auf die Schaltfläche »Regis ter

this dev ice. . . «.

Es erscheint ein Registrierungsfenster. Füllen Sie die Felder im Registrierungsfenster mit Ihren Angaben aus. Geben Sie in der oberen Hälfte Ihre Kundeninformationen und in der unteren Hälfte die Daten Ihrer

Bezugsquelle ein. Schließen Sie die Eingaben ab, indem Sie auf die Schaltfläche »Send« klicken.

Erscheint die Meldung »Regis tratio n s ucces s ful«, haben Sie den Registrierungsvorgang erfolgreich abgeschlossen.

3.7 Wichtige Sicherheitsmassnahmen

In den kommenden Abschnitten werden folgende Sicherheitsmaßnahmen beschrieben:

Ändern des Administrator-Passworts

Festlegen des HTTPS-Protokolls für den sicheren Zugriff auf die Appliance

Erstellen eines Backup Users zur regelmässigen Sicherung der Appliance

3.7.1 Administrator-Kennwort ändern

Bitte stellen Sie sicher, dass das Kennwort des Benutzers »admin« geändert und auf einen entsprechend komplexen Wert gesetzt wird. Melden Sie sich als Benutzer »admin« am System an und klicken Sie auf das Menü »Us ers «. Wählen Sie dort den Benutzer »admin« aus. Dort können Sie das Kennwort ändern und bei Bedarf weitere Einstellungen vornehmen, die den Benutzer »admin« betreffen.

3.7.2 Festlegen des HTTPS-Protokolls für den sicheren Zugriff zum System

Unter dem Menüpunkt »Sy s tem« finden Sie die Schaltfläche »Adv anced View« Klicken Sie auf diese, um weitere Konfigurationsoptionen aufzurufen. In den Sektionen »GUI P ro to co l« und »GINA

https P ro to co l« können Sie einstellen, ob entsprechende Zugriffe auf die Appliance mittels HTTP oder HTTPS erfolgen sollen.

Aus Sicherheitsgründen wird empfohlen, die Option HTTP zu deaktivieren und sowohl für die

Konfigurationsoberfläche »GUI P ro to co l« wie auch für »GINA https P ro to co l« nur HTTPS zuzulassen.

3.7.3 Backup Benutzer erstellen

Um die Konfiguration der SEPPmail-Appliance regelmässig zu sichern, legen Sie hierfür einen Backup

Benutzer an. Das Backup der Appliance wird täglich verschlüsselt und an die E-Mail-Adressen aller

Backup Benutzer gesendet.

Klicken Sie zur Erstellung eines Backup Benutzers auf den Menüpunkt »Us ers « und dann auf die

Schaltfläche »Create new us er acco unt. . . «. Füllen Sie die Felder »Us er ID«, »Full Name«, »E-

Mail« und »P as s wo rd« aus. Stellen Sie sicher, dass es sich bei der E-Mail-Adresse um eine gültige

Adresse handelt. Klicken Sie das Menü »Gro ups «. Im Bereich »backup (Backup Operato r ) « klicken Sie auf die Schaltfläche »Edit. . . «. Fügen Sie die benötigten Benutzer der Liste der

Gruppenmitglieder hinzu.

Backup K ennwo rt s etzen

Damit die Datensicherung der Appliance durchgeführt werden können, muss zusätzlich ein Backup-

Kennwort gesetzt werden. Backups der Appliance werden mit diesem Kennwort verschlüsselt. Bei einer Wiederherstellung der Appliance durch Import einer Backupdatei muss dieses Kennwort eingegeben werden.

Um das Kennwort zu setzen, klicken Sie auf den Menüpunkt »Adminis tratio n« und anschließend auf die Schaltfläche »Change P as s wo rd« in der Sektion »Backup«.

3.8 Weitere Schritte

Sie haben nun die Grundlage für den sicheren E-Mail-Verkehr durch die SEPPmail-Appliance geschaffen.

Führen Sie folgenden 5 Schritte durch, um eine Minimalkonfiguration zum sicheren E-Mail-Austausch zu erreichen:

Datum und Zeit einstellen und NTP-Synchronisation einrichten

Zu verwaltende E-Mail-Domains einrichten

E-Mail-Relay Einstellungen

SSL-Zertifikat selbst erstellen

106

(für den Testbetrieb)

SSL-Zertifikat von einer öffentlichen Zertifizierungsstelle anfordern

108

(für den Produktivbetrieb)

Die folgenden beiden Punkte werden im Anschluß beschrieben.

Führen Sie dies e jedo ch ers t nach den v o rangehenden Schritten durch, um den E-Mail-

Verkehr nicht zu beeinträchtigen.

E-Mail-Datenfluss umstellen

E-Mail-Clients verwenden

3.8.1 E-Mail-Datenfluss umstellen

Um den sicheren E-Mail-Verkehr mit der SEPPmail-Appliance zu ermöglichen, müssen Sie folgende

Änderungen an Ihrem bestehenden E-Mail-Server vornehmen:

1. Autorisierung der SEPPmail-Appliance für den E-Mail-Versand mittels E-Mail-Relay-Einstellung

2. SEPPmail-Appliance als Smarthost definieren

Stellen Sie sicher, dass der E-Mail-Verkehr mittels SEPPmail-Appliance nach extern möglich ist, indem

Sie Ihre Firewall bzw. Ihren Router wie zuvor beschrieben einrichten (siehe Abschnitt

Firewall / Router einrichten

Sobald Sie die SEPPmail-Appliance in Ihren E-Mail-Datenfluss integrieren, müssen Sie zudem die IP-

Adresse Ihres bestehenden E-Mail-Servers in Ihren Firewall-Regeln durch die IP-Adresse der Appliance ersetzen.

Sobald Sie die SEPPmail-Appliance in Ihren E-Mail-Datenfluss integrieren, müssen Sie dafür sorgen, dass die E-Mails von extern nicht mehr zum E-Mail-Server, sondern zu SEPPmail transportiert werden.

Dies kann in der Firewall oder einem vorgelagerten SPAM-Filter eingerichtet werden, je nach Ihrer

Netzwerkinfrastruktur.

In der Standardeinstellung versendet SEPPmail E-Mails direkt ins Internet. Falls der E-Mail-Verkehr

über einen SMTP-Gateway (Relay) erfolgen soll, richten Sie Ihre Appliance entsprechend ein (siehe

Ausgehenden Mailverkehr steuern

Auto ris ierung für den E-Mail-Vers and

Um die E-Mail-Übermittlung von Ihrer SEPPmail-Appliance an Ihren bestehenden E-Mail-Server zu ermöglichen, müssen Sie die Appliance dafür autorisieren. Diese Einstellung ist meist als SMTP E-

Mail-Relaying definiert. Tragen Sie hierfür die interne IP-Adresse oder den internen Hostnamen der

SEPPmail-Appliance auf Ihrem E-Mail-Server in die Liste der autorisierten E-Mail-Relay Systeme ein.

Definitio n der SEP P mail-Appliance als Smartho s t

Die SEPPmail Appliance wird nach der Integration in Ihre E-Mail-Umgebung die Rolle eines SMTP-

Gateways übernehmen. Ihr E-Mail-Server übermittelt E-Mails dann nicht mehr direkt nach extern, sondern (neu) an die SEPPmail-Appliance.

Um diese Änderung vorzunehmen, definieren Sie den internen Hostnamen bzw. die interne IP-Adresse

Ihrer SEPPmail-Appliance auf Ihrem bestehenden E-Mail-Server als Smartho s t.

ACHTUNG

Mit dies er Anpas s ung ändern Sie die E-Mail-K o mmunikatio n, indem Sie die SEP P mail-Appliance in den E-Mail-Datenflus s integrieren. Alle E-

Mails werden nach der Ums tellung an die SEP P mail-Appliance ges endet.

Führen Sie dies e Ums tellung ers t dann durch, wenn alle anderen

K o nfiguratio ns s chritte der SEP P mail-Appliance abges chlo s s en s ind. Es kann s o ns t zu einer Beeinträchtigung des E-Mail-Verkehrs ko mmen.

3.8.2 E-Mail-Clients verwenden

Der Einsatz standardisierter Verfahren und die zentrale Verarbeitung durch die

SEPPmail-Appliance stellt die Unabhängigkeit vom lokalen E-Mail-Client sicher. Es sind deshalb keinerlei Anpassungen der E-Mail-Clients erforderlich.

Der Benutzer hat innhalb seines E-Mail-Clients die folgenden Steuerungsmöglichkeiten, um E-Mails verschlüsselt zu versenden:

Wählen Sie in MS-Outlook die Nachrichtenoption »Vertraulich«.

Geben Sie alternativ in der Betreffzeile das Tag [s ecure] ein. Dies ist der im Standard definierte

Begriff, welcher einen verschlüsselten E-Mail-Versand auslöst.

Neben dem Tag [s ecure] stehen weitere Begriffe zur Verfügung, beispielsweise zur Signierung von E-

Mails. Sie können die Begriffe in der Konfigurationsoberfläche im Menü »Mail P ro ces s ing« in der

Sektion »Rules et Generato r« einsehen und bei Bedarf anpassen. Für weitere Details, siehe

Abschnitt

Regelwerk verwalten

Nachr i chteno p ti o n »V er tr auli ch« i n O utlo o k

4 Microsoft Outlook Add-In

4.1 Einleitung

Das SEPPmail-Add-In für Microsoft Outlook kann auf PC-Systemen mit Microsoft Outlook installiert werden. Die Installation kann mit Benutzerdialog oder im Silent-Mode ohne Benutzerdialog erfolgen. Je nach gewählter Installation stehen unterschiedliche Einstellungen (Parameter) zur Verfügung, um die

Funktionalität des Add-Ins zu beeinflussen.

Das Add-In selbst stellt in jeder Art von E-Mail-Fenster (zum Verfassen einer E-Mail) definierbare

Schaltflächen zur Verfügung. Abhängig von den bei der Installation gewählten Einstellungen sind es unterschiedlich viele Schaltflächen, mit unterschiedlichen Standard-Einstellungen (gedrückt / nicht gedrückt).

Die Zustände der Haupt-Schaltflächen beim späteren Versenden einer E-Mail werden in Form von

Steuer-Informationen in den Header der E-Mail integriert und vom zentralen SEPPmail-System ausgewertet. Eine (optionale) Schaltfläche ruft eine Hilfe-Seite im Standard-Webbrowser auf. Durch eine (optionale) Einstellung kann eine Warnung beim Versenden von unverschlüsselten und unsignierten E-Mails erscheinen.

Die Anwendung ist mehrsprachig und paßt sich der jeweiligen Sprache der Microsoft Outlook-

Oberfläche an. Ist diese nicht verfügbar, wird Englisch als Standardsprache für das Add-in verwendet.

Im Folgenden werden technische Details zu den System-Anforderungen, zur Installation, zu den

Abläufen in der Registry und zum Versand von E-Mails beschrieben.

4.2 Systemanforderungen

Das SEPPmail-Add-In für Microsoft Outlook kann unter verschiedenen Betriebssystemen und

Microsoft Outlook Versionen installiert werden:

Micro s o ft Windo ws Betriebs s y s teme:

Windows XP

Windows Vista

Windows 7 (32bit und 64bit)

Windows Terminal Server

Micro s o ft Outlo o k Vers io nen:

Outlook 2000

Outlook XP

Outlook 2003

Outlook 2007

Outlook 2010(32bit)

Outlook 2010(64bit)

. NET Framewo rk:

Das .NET Framework muss in der Version 3.5 SP1 oder neuer vorhanden sein. Fehlt dieses, versucht die Installationsroutine diese Komponente automatisch aus dem Internet zu beziehen und zu installieren.

4.3 Download

Das SEPPmail-Add-In für Microsoft Outlook können Sie auf der folgenden Webseite in der jeweils aktuellen Version herunterladen: http://dl.seppmail.ch

4.4 Installation

Die Installation besteht aus zwei Dateien:

Setup. exe

Ist erforderlich um auf Windows Vista und Windows 7, bei eingeschaltetem UAC, per Rechtsklick

»Als Adminis trato r« auswählen zu können.

Prüft vor dem Ausführen der .msi-Datei, ob die Voraussetzungen für die Installation (z.B. NET

Framework) vorhanden sind.

SecureMailAddInSetup 1. 2. 6. ms i

Führt die eigentliche Installation durch.

Kann auch direkt gestartet werden, wenn entsprechende Rechte vorhanden sind (z.B. inaktives UAC und Administrator-Rechte).

Kann auch für die automatisierte Software-Verteilung verwendet werden.

4.4.1 Installation mit Benutzeroberfläche

Beis piel: Windo ws 7 (64bit)

1. Rechtsklick auf die Datei »s etup. exe« und auswählen der Option »Als Adminis trato r

aus führen«.

I ns tallati o n - O utlo o k Ad d -I n

2. Die Sicherheitsabfrage von Windows mit »Ja« beantworten, um die Installation zu starten.

3. Im Folgenden erscheinen die folgenden Bildschirme auf denen der Benutzer Wahlmöglichkeiten hat: a. zu den später angezeigten Schaltflächen b. zum Ein- und Ausschalten einer Warnung beim Versand von unverschlüsselten und unsignierten

E-Mails c. zu den Standard Schaltflächen-Zuständen bei Öffnen eines E-Mail-Fensters

I ns tallati o n - O utlo o k Ad d -I n - angezei gte Schaltflächen - War nmeld ung

I ns tallati o n - O utlo o k Ad d -I n - ak ti v e Schaltflächen

I ns tallati o n er fo lgr ei ch ab ges chlo s s en - O utlo o k Ad d -I n

4.4.2 Installation ohne Benutzeroberfläche

Alternativ kann die Installation über die Eingabeaufforderung mit diversen Parametern gestartet werden.

Hinweis :

Die Eingabeaufforderung muss als Administrator gestartet werden!

Beis piel: (Aufruf als einzelne Befehls zeile)

msiexec /q /i "SecureMailAddInSetup 1.2.6.msi" SMWarning=false

SMEncrypt=true SMSign=true SMWebmail=true SMHelp=true

SMEncryptSelected=false SMSignSelected=false SMWebmailSelected=false

/li .\log.txt

Ms iexec-P arameter:

P arameter Bes chreibung

/li

Installation ohne Benutzeroberfläche

Installation eines msi-Pakets

.\log.txt log.txt

erzeugen mit Basis-

Informationen im aktuellen Verzeichnis

MSI-P arameter: (unters trichen is t jeweils der Default-Wert)

P arameter Bes chreibung

SMWarning (true/false)

SMEncrypt (true/false)

SMSign (true/false)

SMWebmail (true/false)

Warnung bei unverschlüsselten E-Mails

ein-/ausschalten

Vers chlüs s eln ein-/ausschalten

Signieren ein-/ausschalten

Vers chlüs s eln mit Les ebes tätigung ein-/ausschalten

SMHelp (true/false) Hilfe ein-/ausschalten

SMEncryptSelected (true/false) Vers chlüs s eln

Standard: aktiv/inaktiv

SMSignSelected (true/false) Signieren

Standard: aktiv/inaktiv

P arameter Bes chreibung

SMWebmailSelected (true/false) Vers chlüs s eln mit Les ebes tätigung

Standard: aktiv/inaktiv

Tooltips (true/false) To o ltips für Schaltflächen ein-/ausschalten

LMonly (true/false)

Registry-Werte nur in HK EY_ LOCAL_ MACHINE speichern

ein-/ausschalten

4.5 Deinstallation des Microsoft Outlook Add-In

Die Deinstallation des SEPPmail-Add-In für Microsoft Outlook erfolgt über die »Sy s tems teuerung« im Menü »P ro gramme und Funktio nen«.

Beis piel: Windo ws 7 (64bit)

1. Rechtsklick auf den Eintrag »SEP P mail Outlo o k Add-In -> Deins tallieren«.

D ei ns tallati o n - O utlo o k Ad d -I n

4.6 Registry Einträge des Microsoft Outlook Add-In

4.6.1 HKEY_LOCAL_MACHINE

Bei der Installation werden nur Werte in den Registry-Zweig »HK EY_ LOCAL_ MACHINE« geschrieben, da die Installation des Add-Ins für alle Benutzer eines PCs/Terminal Servers erfolgt.

Folgende Werte werden standardmäßig geschrieben:

R egi s tr y - HKE Y_ LO CAL_ M ACHI NE

Der Pfad in der Registry lautet:

HKEY_LOCAL_MACHINE\SOFTWARE\SEPPmail\OutlookAddIn

Auf 64bit-Systemen wird (da das Setup-Paket im 32-bit Modus läuft) der folgende Pfad verwendet:

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\SEPPmail\OutlookAddIn

In diesem Registry-Key existiert ein Unterordner/Key mit dem Namen Tooltips. Hier werden in Ordnern pro Sprache die Tooltips für die Schaltflächen hinterlegt:

R egi s tr y - To o lti p s

4.6.2 HKEY_CURRENT_USER

Wenn die Option »LMOnly = fals e« im Registry-Zweig »HK EY_ LOCAL_ MACHINE« gesetzt ist

(Standard-Wert), dann wird beim Start von Microsoft Outlook geprüft, ob bereits Registry-Werte für das Add-In im Bereich bzw.

HKEY_CURRENT_USER\Software\SEPPmail\OutlookAddIn

HKEY_CURRENT_USER\Software\Wow6432Node\SEPPmail\OutlookAddIn vorhanden sind.

Wenn ja, wird der Zeitstempel (UsageTimeStamp) zwischen den Einstellungen aus »

HK EY_ LOCAL_ MACHINE« mit denen aus »HK EY_ CURRENT_ USER« verglichen.

Sind die Einstellungen aus »HK EY_ LOCAL_ MACHINE« neuer (oder keine Werte in »

HK EY_ CURRENT_ USER« vorhanden), dann werden die folgenden Einstellungen aus »

HK EY_ LOCAL_ MACHINE« nach »HK EY_ CURRENT_ USER« kopiert:

R egi s tr y - HKE Y_ CUR R E NT_ USE R

Der Zeitstempel (UsageTimeStamp) in »HK EY_ CURRENT_ USER« wird dabei mit der aktuellen

Uhrzeit belegt.

Hierdurch wird ermöglicht, dass die Einstellungen zu den Schaltflächen individuell für den User eingestellt werden können, ohne dass die Einstellungen für andere Benutzer beinträchtigt werden.

Ist der Zeitstempel (UsageTimeStamp) von »HK EY_ CURRENT_ USER« neuer als der in »

HK EY_ LOCAL_ MACHINE«, dann werden immer die Werte aus »HK EY_ CURRENT_ USER« vom

Add-In verwendet.

4.7 Versand von E-Mails

Beim Versand von E-Mails, werden die folgenden Felder, je nach der Status der Schaltflächen, in einen separaten Header der E-Mail geschrieben:

P arameter Wert x-smenc x-smsign x-smwebmail yes/no yes/no yes/no

5 SEPPmail - IronPort Anbindung

Achtung:

Wichtig ist, die aktuelle Policy des IronPort Systems zu verstehen, bevor Änderungen durchgeführt werden.

Konfigurationsvorschlag

Alle einkommenden E-Mails werden von IronPort empfangen und auf SPAM und Viren geprüft. Alle soweit geprüften E-Mails werden an SEPPmail weitergeleitet, wo diese gegebenenfalls entschlüsselt und zur IronPort zurückschickt werden. Dort werden alle E-Mails (jetzt auch die entschlüsselten) nochmals Viren und SPAM geprüft und an das interne Groupware-System, z.B. MS-Exchange oder

Lotus Notes, weitergeleitet.

Alternativ kann man auf dem IronPort System die verschlüsselten und/oder signierten E-Mails erkennen und nur diese an SEPPmail umleiten. Alle anderen E-Mails werden direkt an das interne

Groupware-System weitergeleitet.

Ausgehende E-Mails schickt das interne Groupware-System zu IronPort. Dieses leitet ausgehende E-

Mails in jedem Fall zu SEPPmail weiter. Dort wird das Regelwerk gepflegt, welche E-Mails signiert und verschlüsselt werden sollen. Anschliessend werden die ausgehenden E-Mails vom SEPPmail System zurück zum IronPort-System geleitet, welches als einziges System E-Mails in Richtung Internet versendet.

Das »Problem« bei dieser Konfiguration ist, dass SEPPmail in der Relayliste des IronPort Systems stehen muss, da das SEPPmail System ausgehende E-Mails in Richtung Internet versenden will. Für alle Hosts in der Relayliste von IronPort gilt automatisch immer die »Outgoing Mail Policy«. Nach der akutellen »Outgoing Policy« findet dort keine Virenprüfung statt, so dass die SEPPmail Anbindung so keinen Zusatznutzen bringt.

Dazu gibt es zwei Lö s ungen:

1. Sie bauen die »Outgoing Mail Policy« auf dem IronPort System so um, dass sie ähnlich aussieht wie die »Incoming Policy«. Das ist aber eine »unschöne« Lösung.

2. Sie konfigurieren einen speziellen Listener, über den SEPPmail eingehende E-Mails einliefert. Auf diesem Listener darf SEPPmail nicht in der Relayliste eingetragen sein. Dieser Listener kann z.B. auf der bestehenden IP-Adresse 192.168.1.11 auf einen speziellen Port (z.B. 10025) gebunden sein, oder auf einer weiteren IP-Adresse im IP-Netzwerk 192.168.1.0/24.

Die Umleitung kann man auf zwei Arten Implementieren:

1. per Content Filter

2. per Message Filter

Der Unterschied zwischen Message Filter und Content Filter ist, dass ein Message Filter immer auf die gesamte E-Mail angewendet wird. Hat eine E-Mail z.B. mehrere Empfänger, so gilt die Aktion für alle

Empfänger. Bei einem Content Filter kann man über verschiedene Policy-Einträge die E-Mail aufsplitten. Das sollte in unserem Fall keine Rolle spielen. Ein weiterer Unterschied ist, dass man im

Message Filter erkennen kann, ob eine E-Mail verschlüsselt oder signiert ist und somit nur diese E-

Mail zu SEPPmail umleiten kann.

Um die Lösung Einfach und Übersichtlich zu gestalten empfehlen wir, alle ausgehenden E-Mails zu

SEPPmail weiterzuleiten (nicht nur die zu verschlüsselnden oder zu signierenden E-Mails) und mit einem Content Filter zu arbeiten.

Konfiguration

Iro nP o rt

Bestehender Listener mit SEPPmail in der Relaylist

Neuer Listener Incoming SEPPmail mit SEPPmail nicht in der Relaylist

Inco ming Co ntentfilter : Inco mingSEP P mail

(normalerweise nicht notwendig: Reciving Listener = IncomingMail AND)

Remote IP IS NOT \[IP von SEPPmail 1\]

AND

Remote IP IS NOT \[IP von SEPPmail 2\]

(optional, falls Sie nur eine Ihrer Domains über SEPPmail betreiben lassen wollen: AND Envelope Recipient ends with @securemailcustomer.ch

)

Action: Send to Alternate Destination Host: \[Cluster IP der beiden SEPPmail\]

SEP P mail

Das SEPPmail System ist so einzurichten, dass eingehende E-Mails an den Inco ming SEP P mail

Lis tener geschickt werden.

Menü Mail Sy s tem: Siehe

Zu verwaltende E-Mail-Domains einrichten

Sek ti o n M anaged D o mai ns

Das Problem hier ist, dass in der SEPPmail Konfiguration nur eine einzige IP-Adresse angegeben werden kann, wohin die eingehenden E-Mails weitergeleitet werden, also nicht beide Incoming IP-

Adressen Ihrer IronPorts. Hierzu ist es notwendig, einen (fiktiven) DNS-Eintrag zu erzeugen, welcher in beide IP-Adressen der IronPorts aufgelöst werden kann. Diesen DNS-Namen tragen Sie als »Server IP

Address« der E-Mail-Domain ein.

Ausgehende E-Mail versendet SEPPmail an den bes tehenden Lis tener:

Siehe

Ausgehenden E-Mail-Verkehr steuern

Sek ti o n O utgo i ng Ser v er

Hier ist die IP-Adresse des Listeners anzugeben, bzw. wie oben ein Hostname, welcher auf beide

Listener auflöst wird.

Für beide IP-Adressen der IronPort Systeme ist im SEPPmail System die Relay-Berechtigung einzutragen. Siehe

Mail Relaying

Sek ti o n R elay i ng

Die Konfigurationsbeschreibung für die SEPPmail - IronPort Anbindung wurde uns mit freundlicher

Genehmigung zur Verfügung gestellt von:

AVANTEC AG

Badenerstrasse 281

CH-8003 Zürich http://www.avantec.ch

[email protected]

6 Referenz der Menüpunkte

6.1 Konfigurationsübersicht

Das Konfigurationsoberfläche der SEPPmail-Appliance ist in folgende Gruppen aufgeteilt:

In der folgenden Tabelle sind alle Gruppen kurz beschrieben. Die Gliederung dieses Teils des

Handbuchs richtet sich nach dem Aufbau dieser Gruppen.

Gruppe Bes chreibung

Lo gin

Ho me

Sy s tem

Mail Sy s tem

Mail P ro ces s ing

SSL

Adminis tratio n

Clus ter

Lo gs

Statis tics

Us ers

Gro ups

Anmeldung an der Konfigurationsoberfäche, ändern des persönlichen Kennworts für die Konfigurationsoberfläche

Anzeige administrativer Daten wie z.B. Systemstatus, Systemund Benutzerlizenz, aktuelle Softwareversion, statistische Daten zur Systemauslastung

Durchführen grundlegender Netzwerkeinstellungen wie z.B. IP-

Adresse, Host- und Domainname, Routing, System Datum- und

Uhrzeit

Einrichtung des SEPPmail E-Mail-Systems, E-Mail-Domains und

E-Mail-Routing, E-Mail-Relay-Server, Access Control, TLS,

AntiSPAM, Blacklists/Whitelists

Regeln zur Verarbeitung von E-Mails, Verwaltung von GINA-

Domains, SMS-Kennwortversand, Disclaimer, E-Mail-Templates,

Virenscanner und SPAM-Protection-Regeln und Schwellwerte,

Regelwerk für E-Mail-Signierung, Ver- und Entschlüsselung verwalten/anzeigen/laden

SSL-Device-Zertifikat für den SEPPmail Secure Webmail

Webserver einrichten und sichern

Eigene Zertifizierungsstelle (CA) einrichten, Connector zur

SwissSign CA einrichten, CA-Zertifikat anfordern und sichern

SEPPmail registrieren, Software-Updates installieren,

Datensicherung erstellen und zurücksichern, SEPPmail neu starten oder herunterfahren, SEPPmail auf Werkseinstellungen zurücksetzen, bestehende Benutzer oder Schlüssel importieren, ausgehende Supportverbindung aktivieren

Cluster-Verbund mit mehreren SEPPmail Systemen einrichten

E-Mail-Logdateien einsehen und verwalten

Grafische Anzeige des verarbeiteten E-Mail-Verkehrs und der

Systemauslastung

SEPPmail-Benutzerkonten erstellen und verwalten

SEPPmail-Gruppen erstellen und verwalten

Gruppe Bes chreibung

GINA acco unts

P GP public key s

X. 509 Certificates

Verwalten von automatisch erzeugten GINA--Konten. GINA bezeichnet die frühere Secure-Webmail-Schnittstelle.

Öffentliche PGP-Schlüssel von Kommunikationspartnern importieren und verwalten

Öffentliche S/MIME X.509-Zertifikate von

Kommunikationspartnern importieren und verwalten

S/MIME X.509-Root-CA-Zertifikate importieren und verwalten

X. 509 Ro o t Certificates

Do main key s

PGP- und S/MIME-Domain-Keys importieren, synchronisieren und verwalten

Cus to mers

Aktivieren und Einrichten einer Multi-Kunden-Konfiguration

(Multitenancy). Hierbei können z.B. E-Mail-Domains,

Benutzerkonten oder GINA-Benutzerkonten dediziert einem zuvor definierten Kunden zugewiesen werden.

R efer enz d er M enüp unk te i n d er SE P P mai l Ko nfi gur ati o ns o b er fläche

6.2 Menüpunkt "Login"

Menü »Login«

Wählen Sie den Menüpunkt »Lo gin«, um sich von der SEPPmail-Konfigurationsoberfläche abzumelden oder um das das Kennwort des eigenen Benutzers für die SEPPmail-

Konfigurationsoberfläche zu ändern. In der folgenden Tabelle werden die einzelnen Parameter beschrieben.

P arameter Bes chreibung

Lo gin

Lo g o ut

Change P as s wo rd

Us er ID, P as s wo rd

Zum Anmelden an der Konfigurationsoberfläche wählen Sie die

Schaltfläche »Lo g in«.

Zum Abmelden von der Konfigurationsoberfläche wählen Sie die

Schaltfläche »Lo g o ut«.

New P as s wo rd

In diesem Feld können Sie das Kennwort für den angemeldeten

Benutzer ändern. Wenn Sie das neue Kennwort eingeben, wird für jedes Zeichen ein Punkt als Platzhaltern angezeigt. Um

Tippfehler zu vermeiden ist er erforderlich, das neue Kennwort zweimal einzugeben. Um das neue Kennwort zu speichern wählen Sie die Schaltfläche »Change P as s wo rd«.

6.3 Menüpunkt "Home"

Menü »Home«

Sektio n »Sy s tem Status «

P arameter

Sy s tem Status

Bes chreibung

Der aktuelle SEPPmail Systemstatus.

Sektio n »Licens e«

P arameter Bes chreibung

Licens e Ty p

Licens e ID

Licens e Ho lder

Is s ue date

Co mment

Hier werden Informationen zur System- und Benutzerlizenz angezeigt.

Lizenznummer für das SEPPmail System.

Eigentümer der SEPPmail Lizenz.

Ausstellungsdatum der Lizenz.

Zusätzliche Informationen zur Lizenz.

Encry ptio n/Signature

Licens es

Large File Management (LFM)

Licens es

Dev ice Licens e

Anzahl der erworbenen Benutzerlizenzen. In Klammern wird die

Anzahl bereits verwendeter Benutzerlizenzen angezeigt.

Anzahl der erworbenen Benutzerlizenzen für die Funktion »Large

File Management«. In Klammern wird die Anzahl bereits verwendeter Benutzerlizenzen angezeigt.

Laufzeit der installierten System Lizenz.

So ftware Care P ack

Dev ice Care P ack

Anzeige des Ablaufdatums der Lizenz für Software Updates.

Anzeige des Ablaufdatums des Device Care Packs.

P ro tectio n P ack (Anti-s pam /

Anti-v irus )

Internal Mail Encry ptio n

Anzeige des Ablaufdatums der Lizenz für AntiVirus und

AntiSPAM.

Lizenz für interne Verschlüsselung (Active / Inactive).

Self-Serv ice pas s wo rd management

Lizenz für Self-Service passwort management (Active / Inactive).

Sektio n »Sy s tem«

P arameter

Dev ice ID

Appliance Ty pe

Firmware Vers io n

Uptime

Bes chreibung

Gerätelizenznummer

Typ der aktuellen Appliance, z.B. SEPPmail 3000 (VMware

Virtual Appliance).

Aktuell auf dem System installierte Softwareversion.

Laufzeit des Systems nach dem letzen Neustart.

Sektio n »Anti-Virus «

P arameter

Activ e / Inactiv e

Bes chreibung

Status des optionalen Virenscanners. Diese Funktion steht nur zur Verfügung, wenn Sie die kostenpflichtige Softwareoption

Protection Pack (Anti-spam / Anti-virus) erworben haben.

Sektio n »Mail s tatis tics «

P arameter Bes chreibung

Mails P ro ces s ed

Mails P ro ces s ed (S/MIME)

Anzahl aller insgesamt vom System übertragenen E-Mails

(empfangen, gesendet).

Anzahl aller insgesamt via S/MIME verarbeiteten E-Mails

(entschlüsselt, verschlüsselt).

Mails P ro ces s ed (o penP GP )

Anzahl aller insgesamt via openPGP verarbeiteten E-Mails

(entschlüsselt, verschlüsselt).

Mails P ro ces s ed (DOMAIN)

GINA Mails

Mails currently in queue

Anzahl aller insgesamt via Domainverschlüsselung verarbeitenten E-Mails (entschlüsselt, verschlüsselt).

Anzahl aller insgesamt versendeten Secure Webmails über das

GINA-Subsystem.

Anzahl aller E-Mails in der Warteschlange.

Sektio n »Dis k s tatis tics «

P arameter

Databas e, Mail queue, Lo g, temp, LFM s to re

Bes chreibung

Zeigt die Auslastung einzelner Volumes der im System verwendeten Festplatte getrennt nach Bereichen.

6.4 Menüpunkt "System"

Wählen Sie den Menüpunkt »Sy s tem«, um grundlegende Netzwerkeinstellungen vorzunehmen.

Folgende Vorgänge werden in den kommenden Abschnitten beschrieben:

Übersicht

E-Mail Logs an zentralen Syslog Server senden

Datum und Uhrzeit einstellen

SNMP aktivieren

6.4.1 Übersicht Menüpunkt "System"

Menü »System«

Das Menü »Sy s tem« kann zwei in zwei Ansichten betrachtet werden. Die Grundlegenden

Basiseinstellungen sind in der Ansicht »No rmal View« zu sehen. Diese Ansicht ist die

Standardansicht, wenn Sie dieses Menü aufrufen. Eine vollständige Übersicht aller Einstellungen ist in der Ansicht »Adv anced View« zu sehen.

Adv anced View

Durch betätigen der Schaltfläche »Adv anced View« können Sie die Anzeige der verfügbaren

Parameter erweitern. Um die erweiterte Darstellung des Menüpunkts »Sy s tem« wieder zusammenzufassen, betätigen Sie die Schaltfläche »No rmal View« in der Erweiteren Darstellung.

In diesem Menü werden die wichtigsten Parameter der LAN-Anbindung des SEPPmail-Systems eingerichtet. Die hier eingetragenen Daten dienen auch als Grundeinstellung für viele weitere

Einstellungen Ihres SEPPmail-Systems.

Sektio n »Co mment«

P arameter Bes chreibung

Sy s tem Des criptio n

Geben Sie hier einen Bezeichnung die das SEPPmail-System identifiziert. Dieser Parameter wird z.B. als Betreff in der automatischen Datensicherung verwendet, dient ansonsten lediglich der Beschreibung.

Sektio n »IP Addres s es «

P arameter

Interface 1

Bes chreibung

Geben Sie hier die IP-Adresse mit Subnetzmaske und den

Medientyp der physischen Netzwerk Schnittstelle »LAN1« bzw.

»eth0« ein. Im Standard können Sie den Medientyp auf dem

Wert »auto s elect« belassen.

Für jede physisch vorhandene Netzwerk-Schnittstelle wird jeweils eine Schnittstellen-Konfiguration angezeigt. Die hier angezeigte Schnittstellen-Nummer entspricht der folgenden

P arameter Bes chreibung

Interface 2

Cus to m ho s ts file entries :

Netzwerk-Schnittstelle:

Interface 1 - »LAN1« bzw. »eth0«

Geben Sie hier die IP-Adresse mit Subnetzmaske und den

Medientyp der physischen Netzwerk-Schnittstelle »LAN2« bzw.

»eth1« ein. Im Standard können Sie den Medientyp auf dem

Wert »auto s elect« belassen.

Für jede physisch vorhandene Netzwerk-Schnittstelle wird jeweils eine Schnittstellen-Konfiguration angezeigt. Die hier angezeigte Schnittstellen-Nummer entspricht der folgenden

Netzwerk-Schnittstelle:

Interface 2 - »LAN2« bzw. »eth1«

Zum durchführen einer lokalen DNS-Namensauflösung können

Sie in diesem Feld eine Kombination von IP-Adressen und

Hostnamen eintragen.

Fo rmat:

10.0.0.1 host.domain.tld

Sektio n »IP ALIAS Addres s es «

P arameter Bes chreibung

IP Alias 0 - 3

1. zusätzliche Alias IP-Adresse der Schnittstelle

2. Netzwerkmaske der zusätzlichen Alias IP-Adresse

3. VHID (Virtual Host Identification) der Schnittstelle

4. Interface - Schnittstelle an die die zusätzlichen Alias IP-

Adresse gebunden wird

5. Priority - Priorität der Schnittstelle im Cluster

Zusätzliche Informationen zu den einzelnen

Konfigurationsmöglichkeiten finden Sie in der Beschreibung des

Menüs »Clus ter«

Sektio n »Name«

P arameter

Ho s tname

Do main

Bes chreibung

Geben Sie hier den Hostnamen des SEPPmail Systems ein. z.B.

securemail

Geben Sie hier die Domain des SEPPmail Systems ein. z.B.

seppmail.ch

Hinweis :

P arameter Bes chreibung

Der Name des Systems setzt sich aus dem Hostnamen und der

Domain zusammen. z.B. securemail.seppmail.ch

Sektio n »DNS«

P arameter

Us e built-in DNS Res o lv er

Us e the fo llo wing DNS

Serv ers

P rimary

Alternate 1

Alternate 2

Search Do main(s ) lo cal zo ne

Bes chreibung

Bei diesem Parameter versucht das System die DNS-

Namensauflösung immer mit Hilfe der DNS-Root-Nameserver im

Internet. Wenn Sie diesen Parameter auswählen kann die

Auflösung von DNS-Namen ggf. sehr lange dauern und die

Reaktion des SEPPmail Systems kann sich dadurch verzögern.

DNS-Anfragen für Adressen, für die SEPPmail nicht selbst zuständig ist, werden an übergeordnete DNS-Name-Server weitergeleitet. Dazu sollte SEPPmail die DNS-Anfrage zunächst an einen internen DNS-Server im eigenen Netzwerk oder die

DNS-Server Ihres Internet Providers weitergeben, die Sie hier spezifizieren können.

Gehen Sie hier den Ersten DNS-Name-Server ein an den

SEPPmail DNS-Anfragen weiterleitet.

Ist der primäre DNS-Name-Server nicht verfügbar oder antwortet nicht können Sie hier einen alternativen DNS-Name-Server angeben an den dann die DNS-Anfragen weitergeleitet werden.

Sind der primäre und der Erste alternative DNS-Name-Server nicht verfügbar oder antworten nicht können Sie hier einen weiteren alternativen DNS-Name-Server angeben an den dann die DNS-Anfragen weitergeleitet werden. Stellen Sie sicher, dass ein hier angegebener DNS-Name-Server verfügbar ist, da sonst die Funktion des SEPPmail beeinträchtig sein kann.

Geben Sie hier eine Suchliste mit Domainnamen an die bei einer

DNS-Anfrage nacheinander abgefragt werden.

»Do main name«: Geben Sie einen pseudo Domainnamen an für den Sie die lokale Auflösung in die IP-Adresse des zuständigen E-Mail-Servers durchführen wollen (MX-Record), z.

B. pseudo.local.

ho s t

: Hostname, z.B. mail

: Präferenz, z.B. 10

: IP-Adresse des E-Mail-Servers, z.B. 10.0.0.1

Der für die Domain ps eudo . lo cal zuständige E-Mail Server wird nun in mail. ps eudo . lo cal mit der IP-Adresse 10. 0. 0. 1 und der Präferenz 10 aufgelöst.

Lokale Zonen können verwendet werden, wenn Sie die

Auflösung des MX-Records für eine Domain nicht durch einen

P arameter Bes chreibung

eigenen lokalen DNS-Server durchführen können und mehrere alternative E-Mail Server für eine Domain als Failover benötigt werden.

Sektio n »Ro uting«

P arameter

Default Gateway

Static Ro utes

Bes chreibung

Geben Sie hier die IP-Adresse des Standard-Routers in Ihrem

Netzwerksegment ein. An diesen IP-Router werden alle

Datenpakete weitergeleitet die im lokalen Netzwerksegment nicht direkt zugestellt werden können.

Neben der Verwendung eines Standard-Routers können Sie auch statische IP-Routen im SEPPmail System angeben. Diese

IP-Routen haben Priorität vor der Verwendung des Standard-

Routers.

Sektio n »GUI P ro to co l«

P arameter

HTTP P o rt

HTTP S P o rt (Standard)

Bes chreibung

Aktivieren Sie diesen Parameter, um den unverschlüsselten

Zugriff via HTTP Protokoll auf die Konfigurationsoberfläche zu ermöglichen. Geben Sie dazu einen entsprechenden TCP/Port an.

Diese Option ist im Standard aktiviert und verwendet den Port

TCP/8080 für den Zugriff auf die SEPPmail

Konfigurationsoberfläche.

Aktivieren Sie diesen Parameter, um den verschlüsselten Zugriff via HTTPS Protokoll auf die Konfigurationsoberfläche zu ermöglichen. Geben Sie dazu einen entsprechenden TCP/Port an.

Diese Option ist im Standard aktiviert und verwendet den Port

TCP/8443 für den Zugriff auf die SEPPmail

Konfigurationsoberfläche.

Hinweis :

Sollte die Konfigurationsoberfläche via HTTPS durch einen

Fehler nicht mehr reagieren, wird automatisch ein Fallback aktiviert der den Zugriff auf die Konfigurationsoberfläche via

HTTP auf Port TCP/8080 ermöglicht. Dies funktioniert auch dann, wenn die Nutzung von HTTP für den Zugriff auf die

Konfigurationsoberfläche deaktiviert wurde.

Sektio n »GINA https P ro to co l«

P arameter Bes chreibung

HTTP P o rt

Aktivieren Sie diesen Parameter, um den unverschlüsselten

Zugriff via HTTP Protokoll auf die Webmail-Schnittstelle des

SEPPmail Systems zu ermöglichen. Geben Sie dazu einen entsprechenden TCP/Port an. Der HTTP Standardport ist

TCP/80.

Hinweis :

HTTP S P o rt (Standard)

Verwenden Sie das HTTP-Protokoll nicht für einen Zugriff auf die

Webmail-Schnittstelle aus dem Internet oder aus einem anderen unsicheren Netzwerk. Sie ermöglich dadurch das protokollieren von Webbrowserverbindungen zur Webmail-Schnittstelles des

SEPPmail.

Aktivieren Sie diesen Parameter, um den verschlüsselten Zugriff via HTTPS Protokoll auf die Webmail-Schnittstelle des

SEPPmail Systems zu ermöglichen. Geben Sie dazu einen entsprechenden TCP/Port an. Der HTTPS Standardport ist

TCP/443.

Enable lo cal https pro xy , redirect unkno wn reques ts to http: //

Rev ers e P ro xy - Aktivieren Sie diesen Parameter, um den

Zugang zum Webmail Subsystem nicht mehr direkt sondern über den lokalen SEPPmail Reverse-Proxy zu aktivieren. Sie können den SEPPmail Reverse-Proxy ebenfalls für den Zugang zu einem internen OWA-Server (Outlook Web Access) verwenden.

Auf der OWA-Schnittstelle des internen MS-Exchange Server muss HTTP aktiviert werden. Der Reverse-Proxy leitet alle nicht für SEPPmail bestimmten Anfragen via HTTP nach intern weiter, z.B. einer speziellen Landing-Page auf der Firmenwebseite oder zu einem OWA-Server. Ebenfalls werden auch ActiveSync

Verbindungen zum internen MS-Exchange Server durch den

Reverse-Proxy weitergeleitet.

Sektio n »Co ns o le Lo gin«

P arameter Bes chreibung

Dis able co ns o le ro o t lo gin

Enable P IX wo rkaro und

Aktivieren Sie diesen Parameter, so wird der Konsolenzugang am SEPPmail System gesperrt.

Hinweis :

Bitte beachten Sie beim Aktivieren dieses Parameters, dass in diesem Fall ein gewollter Zugang zum System im Fehlerfall ebenfall nicht mehr möglich ist.

Aktivieren Sie dieses Parameter, wenn Sie eine Cisco PIX

Firewall einsetzen und der Zugang zum System via SSH über diese Firewall erfolgt. Zum Aktivieren dieser Einstellung ist ein

Neustart erforderlich.

Sektio n »Sy s lo g Settings «

P arameter

Fo rward maillo g to s y s lo g s erv er

Bes chreibung

Hostname oder IP-Adresse eines Syslog-Servers im LAN. Die

SEPPmail System Protokollierung wird zusätzlich an den angegebenen Syslog-Server gesendet. Als Zielport wird

UDP/514 verwendet.

Sektio n »P ro xy Settings «

P arameter Bes chreibung

P ro xy Serv er

P ro xy P o rt

P ro xy Us er

Hostname oder IP-Adresse des Proxy-Servers

Ziel-Port des Proxy-Servers, z.B. Zielport 8080 oder 8081

Benutzername für die Anmeldung am Proxy-Server

P ro xy P as s wo rd

Kennwort für die Anmeldung am Proxy-Server

Us e direct co nnectio n o n po rt 22 o utgo ing (preferred)

Co nnect thro ugh SOCK S 4 pro xy

Co nnect thro ugh SOCK S 5 pro xy

Aktivieren Sie diese Option, wenn eine SSH-Verbindung direkt und ohne Umweg über einen Proxy-Server ins Internet möglich ist. Eine SSH-Verbindung verwendet das Protokoll TCP mit

Zielport 22 (TCP/22).

Aktivieren Sie diese Option, um SSH-Verbindungen durch einen generischen SOCKS-Proxy zu tunneln. Diese Option kann verwendet werden, wenn der direkte Zugang via SSH ins Internet reglementiert ist, für dass SEPPmail System aber die

Verbindung über einen SOCKS-Proxy (Version 4) ins Internet möglich ist.

Verbindung über einen SOCKS-Proxy (Version 5) ins Internet möglich ist.

Co nnect thro ugh HTTP pro xy

Aktivieren Sie diese Option, um SSH-Verbindungen durch einen

HTTP-Proxy zu tunneln. Diese Option kann verwendet werden, wenn der direkte Zugang via SSH ins Internet reglementiert ist, für dass SEPPmail System aber die Verbindung über einen

HTTP-Proxy ins Internet möglich ist.

Co nnect thro ugh Telnet pro xy

Aktivieren Sie diese Option, um SSH-Verbindungen durch einen

Telnet-Proxy zu tunneln. Diese Option kann verwendet werden, wenn der direkte Zugang via SSH ins Internet reglementiert ist, für dass SEPPmail System aber die Verbindung über einen

Telnet-Proxy ins Internet möglich ist.

P arameter

Us e po rt 80 ins tead o f 22

Bes chreibung

Aktivieren Sie diese Option, wenn eine HTTP-Verbindung direkt ins Internet möglich ist. Die SSH-Verbindung verwendet dann den Port TCP mit Zielport 80 (HTTP) statt TCP mit Zielport 22

(SSH TCP/22).

Sektio n »Time zo ne«

P arameter

Aus wahl der Zeitzo ne

Bes chreibung

Wählen Sie im Auswahlmenü die für den Standort des SEPPmail

Systems gültige Zeitzone aus. Der Wechsel zwischen Sommerund Winterzeit wird automatisch durchgeführt.

Sektio n »Time and Date«

P arameter Bes chreibung

Us e current s etting

Auto matically s y nchro nize with an NTP s erv er

Serv er

Set date and time manually

Date

Time

Bei dieser Option wird das aktuelle Datum und die aktuelle

Uhrzeit der internen Systemuhr verwendet.

Bei dieser Option werden Datum und Uhrzeit gegen den angegebenen Zeitserver über das Protokoll NTP, Zielport

TCP/123, synchronisiert

Hostname oder IP-Adresse eines Zeitservers im Netzwerk

Hier können Sie die Werte für das aktuelle Datum und die aktuelle Uhrzeit manuell eingeben.

aktuelles Datum im Format: dd.mm.ccyy

aktuelle Uhrzeit im Format: hh:mm:ss

Sektio n »SNMP Daemo n«

P arameter

Enable SNMP

Lis ten Addres s

Bes chreibung

Aktivieren und deaktivieren des SNMP Deamon auf dem

SEPPmail System. Nach Aktivierung des SNMP Protokols können Sie mit SNMP-Tools wie z.B. snmpwalk Informationen

Ihres SEPPmail Systems abrufen. Weitere Informationen zum

SNMP Unterstützung des SEPPmail Systems finden Sie im

Kapitel

»SNMP«

IP-Adresse zu der sich das SNMP-Monitoring verbindet. Dies ist in der Regel die IP-Adresse der SEPPmail-Appliance.

P arameter

Read-o nly Co mmunity

Read-write Co mmunity

Do wnlo ad MIBs

Bes chreibung

Passwort für den Nur-Lese Zugriff auf die SNMP-Daten.

Passwort für den Schreib-Lese Zugriff auf die SNMP-Daten.

Über diesen Link können Sie MIB des SEPPmail Systems als

ZIP-Datei herunterladen.

6.4.2 E-Mail-Logs an einen zentralen Syslog-Server weiterleiten

Um die E-Mail Log-Dateien Ihrer SEPPmail-Appliance an einen zentralen Syslog-Server zu senden, klicken Sie in der Konfigurationsoberfläche auf den Menüpunkt »Sy s tem« und dann auf die

Schaltfläche »Adv anced View«.

Tragen Sie in der Rubrik »Sy s lo g Settings « den Namen oder die IP-Adresse ein, unter der die

SEPPmail-Appliance Ihren Syslog-Server erreichen kann.

6.4.3 Datum und Zeit einstellen und NTP-Synchronisation einrichten

Um Datum und Zeit manuell zu setzen oder die automatische Synchronisation Ihrer SEPPmail-

Appliance mit einem Network Time Protocol (NTP) Server einzurichten, klicken Sie in der

Konfigurationsoberfläche auf den Menüpunkt »Sy s tem« und dann auf die Schaltfläche »Adv anced

View«.

Nutzen Sie die Rubrik »Time zo ne« und »Time and Date«, um Ihre Zeitzone zu definieren und um

Datum und Zeit manuell zu setzen oder automatisch mit einem NTP-Server zu synchronisieren.

6.4.4 SNMP aktivieren

Um den Einsatz des Simple Network Management Protocol (SNMP) zu steuern, klicken Sie in der

Konfigurationsoberfläche auf den Menüpunkt »Sy s tem« und dann auf die Schaltfläche »Adv anced

View«. Um SNMP zu aktivieren, klicken Sie in der Sektion »SNMP Daemo n« auf das

Kontrollkästchen »Enable SNMP «.

Nach Aktivierung von SNMP können Sie mit SNMP-Tools wie z.B. snmpwalk Informationen Ihrer

SEPPmail Appliance abrufen.

6.5 Menüpunkt "Mail System"

Wählen Sie den Menüpunkt »Mail Sy s tem«, um grundlegende Einstellungen des SEPPmail E-Mail-

Systems vorzunehmen.

Folgende Vorgänge werden in den kommenden Abschnitten beschrieben:

Übersicht

Zu verwaltende E-Mail-Domains einrichten

Ausgehenden E-Mail-Verkehr steuern

TLS-Verschlüsselung pro E-Mail-Domain einrichten

SMTP-Einstellungen

E-Mail-Relaying

Antispam-Einstellungen

Blacklists / Whitelists verwalten

6.5.1 Übersicht Menüpunkt "Mail System"

Sektio n »Managed Do mains «

P arameter Bes chreibung

Do main Name

Serv er IP Addres s

Serv er P o rt

TLS lev el

GINA Settings

Dis claimer Settings

Liste aller auf dem SEPPmail-System angelegten E-Mail-

Domains für die E-Mail-Verschlüsselung und das E-Mail-

Routing.

Liste der E-Mail-Server IP-Adressen für die Weiterleitung der E-

Mails an die angelegten E-Mail-Server der E-Mail-Domains.

Liste der E-Mail-Server TCP-Ports auf denen die Ziel E-Mail-

Server E-Mails für die angelegten E-Mail-Domains annehmen.

Zeigt an, welche Art der TLS-Transportverschlüsselung von der

SEPPmail Appliance zum angegebenen E-Mail-Server für die jeweilige E-Mail-Domain verwendet werden soll.

Zeigt das GINA-Profil an, welches für diese E-Mail-Domain festgelegt wurde.

Zeigt an, welcher Disclaimer an ausgehende E-Mails der jeweiligen E-Mail-Domain angefügt werden soll.

Cus to mer

Name des Kunden, dem diese E-Mail-Domain zugeordnet wurde.

Schaltfläche »Add Do main. . . « Wählen Sie diese Schaltfläche, um weitere E-Mail-Domains hinzuzufügen. Diese E-Mail-Domains müssen passend sein zu den E-Mail- Adressen Ihres Unternehmens. Weitere

Informationen zur Verwaltung von E-Mail-Domains erhalten Sie im Kapitel

»Zu verwaltende E-Mail Domains einrichten«

Auto matically create and publis h S/MIME do main key s fo r all do mains

Dieser Parameter bewirkt, dass für alle über die Schaltfläche

»Add Do main. . . « neu hinzugefügten E-Mail-Domains automatisch ein selbst signiertes X.509-S/MIME-Domainzertifikat erzeugt und an einen zentralen Updateservice übertragen wird.

Dieses neu erzeugte S/MIME- Domainzertifikat für Ihre E-Mail-

P arameter

Fetch Mail fro m remo te

P OP 3 s erv er

Verify recipient addres s es us ing SMTP -Lo o kups

Bes chreibung

Domain wird danach automatisch an alle SEPPmail-Systeme verteilt, so dass alle Unternehmen die ein SEPPmail-System betreiben ohne weiteren Aufwand verschlüsselte E-Mails untereinander austauschen können.

Hinweis :

Wenn Sie diesen nicht nutzen möchten, dann deaktivieren Sie diesen Parameter bitte bevor Sie eine neue E-Mail-Domain anlegen. Das S/MIME-Domainzertifikat wird dann nicht automatisch erzeugt. Diesen Vorgang kann nach dem Anlegen in den Einstellungen der E-Mail-Domain manuell über die

Schaltfläche »Generate new S/MIME Certificate« nachträglich durchgeführt werden. Das so neu erzeugte S/MIME-

Domainzertifikat wird nicht an den zentralen Updateservice

übertragen.

Dieser Paramater ist im Standard aktiviert.

Dieser Parameter bewirkt, dass das im Benutzerkonto eingerichtete POP3-Konto durch SEPPmail in einem Zeitintervall abgeholt wird. Dieses Intervall beträgt 3 Minuten. Die so abgeholten E-Mails werden an das lokale SEPPmail System weitergeleitet.

Dieser Paramater ist im Standard deaktiviert.

Dieser Parameter bewirkt, dass die E-Mail-Adresse des

Empfängers vorab bei dem für die E-Mail-Domain eingerichteten

E-Mail-Server an den die E-Mails weitergeleitet werdeb überprüft wird. Verläuft die Prüfung der Empfänger E-Mail-Adresse nicht erfolgreich, wird die Annahme der E-Mail vom SEPPmail System verweigert.

Sektio n »Outgo ing Serv er«

P arameter

Us e built-in mail trans po rt agent

Us e the fo llo wing SMTP s erv er

Serv er name

Bes chreibung

Dieser Parameter bewirkt, dass ausgehende E-Mails in Richtung

Internet direkt durch das SEPPmail System an den Ziel E-Mail-

Server des E-Mail-Empfängers zugestellt wird.

Möchten Sie ausgehende E-Mails in Richtung Internet nicht direkt zustellen empfielt sich die Verwendung eines E-Mail-

Relay-Servers bei Ihrem Provider. Alle ausgehenden E-Mails werden an diesen E-Mail-Relay-Server übertragen, welcher dann

Ihre E-Mails in Richtung Empfänger weiterleitet. Sie können alternativ auch einen bestehenden internen E-Mail-Server für den

Versand nutzen.

Geben Sie hier bitte den Hostnamen oder die IP-Adresse des E-

Mail Relay-Servers Ihres Providers oder des bestehenden internen E-Mail-Servers ein.

P arameter Bes chreibung

Serv er requires authenticatio n

Hinweis :

Verwenden Sie hier nach Möglichkeit einen Hostnamen, da sich

IP-Adressen für E-Mail-Relay-Server schneller ändern können und dadurch zusätzlicher Aufwand bei der Konfiguration des

Systems vermieden werden kann. Wenn Sie einen bestehenden internen E-Mail- Server verwenden können Sie dessen IP-

Adresse verwenden, da sich diese bei internen Systemen nicht so häufig verändern.

E-Mail-Relay-Server bei Ihrem Provider oder auch bestehende interne E-Mail-Server benötigen meist eine Anmeldung, damit Sie

E-Mails an diese Server übertragen können. Verwenden Sie dazu die entsprechenden Anmeldedaten.

Geben Sie hier bitte den Benutzernamen zur Anmeldung ein.

Geben Sie hier bitte das Kennwort zur Anmeldung ein.

Us er ID

P as s wo rd

Sektio n »TLS s ettings «

P arameter

Schaltfläche »Add TLS

Domain...«

Bes chreibung

Um die TLS-Einstellungen zu verwalten, wählen Sie Schaltfläche

»Add TLS Do main. . . «. Weitere Informationen zur Verwaltung von TLS E-Mail-Domains erhalten Sie im Kapitel

»TLS-

Verschlüsselung pro Domain einrichten«

Sektio n »SMTP s ettings «

P arameter max. mes s age s ize (kb)

P o s tmas ter addres s

SMTP s erv er HELO s tring

SMTP bind addres s

(us e with care!) o penP GP key creatio n o ptio ns

Bes chreibung

Geben Sie in diesem Feld die maximale Größe einer E-Mail in

Kilobyte ein die durch das SEPPmail-System übertragen werden darf. E-Mails die diese Größe überschreiten werden abgelehnt.

Geben Sie die E-Mail Adresse des lokalen Administrators des

SEPPmail-Systems ein. Alle vom SEPPmail erzeugten

Statusmeldungen werden an diese E-Mail-Adresse gesendet.

Festlegen, welchen Namen SEPPmail beim Versand von E-Mails im HELO/EHLO-Befehl verwenden soll.

Festlegung der IP-Adresse einer Netzwerk-Schnittstelle, über die alle E-Mails empfangen werden (normalerweise nicht notwendig).

P arameter auto matically s end new public key s to us ers

Bes chreibung

Dieser Parameter bewirkt, dass der öffentliche Schlüssel des durch OpenPGP erzeugten Schlüsselpaars automatisch an die internen Benutzer im Firmenentzwerk via E-Mail versendet werden.

Sektio n »Relay ing«

P arameter

Relay ing allo wed: . . . /

Relay ing allo wed:

Add Relay ing fo r

. . . /

Bes chreibung

Geben Sie hier die IP-Adresse des E-Mail-Servers ein von dem das SEPPmail System E-Mails empfangen darf. Sie können hier auch ein gesamtes IP-Netz angeben.

Haben Sie noch einen zweiten E-Mail-Server von dem E-Mails angenommen werden sollem, dann geben Sie hier zusätzlich dessen IP-Adresse es. Das SEPPmail-System E-Mails empfängt

nun ebenfalls von diesem System eingehende E-Mails. Sie können hier auch ein gesamtes IP-Netz angeben.

Alle weiteren zusätzlichen E-Mail Server oder IP-Netzwerke von denen das SEPPmail-System eingehende E-Mails empfangen darf können Sie hier erfassen.

Sektio n »Antis pam«

P arameter

Reco mmended Settings

Us e Grey lis ting

Bes chreibung

Haben Sie die optionale Software Option Protection Pack,

AntiVirus uns SPAM-Protection, erworden, dass stehen Ihnen die Optionen zum Einrichten dieser optionalen Konponenten zur

Verfügung.

Dieser Parameter bewirkt, dass die Funktion »Grey lis ting« im

E-Mail-System aktiviert wird. Eingehende externe E-Mails werden nicht mehr unmittelbar sondern zeitlich verzögert angenommen. Dies bewirkt, dass von SPAM-Versendern verwendete Methoden zur direkten Übertragung von E-Mails erfolglos bleiben. Sie können mit dieser Funktion das

Aufkommen an SPAM-E-Mails deutlich reduzieren. Der Empfang von gewünschten E-Mails wird durch diese Funktion nicht verhindert, sondern nur zeitlich verzögert. Der E-Mail-Server des

Absenders wird nach einer kurzen Zeit einen erneuten

Zustellversuch unternehmen. Die E-Mail wird dann angenommen.

Als externe E-Mails gelten alle E-Mails die nicht von einem E-

Mail-Server kommen der unter in der Sektion »Relay ing« erfasst sind.

Hinweis :

P arameter Bes chreibung

Diese Funktion wirkt nur dann, wenn das SEPPmail-System eingehende E-Mails aus dem Internet direkt empfängt. Bereits von einem anderen E-Mail-Server eimpfangene und weitergeleitete SPAM E-Mails können durch diese Funktion nicht vermieden werden.

Hinweis zum »Greylisting«

Greylisting ist eine Methode zur Bekämpfung von SPAM E-

Mails. Bei dieser Funktion wird davon ausgegangen, dass E-

Mail-Server und E-Mail-Clients sich an den RFC-Standard für

SMTP halten. SPAM-Versender benutzen oft keine RFCkonforme Software zum Versenden von SPAM E-Mails. Das temporäre Abweisen der zu sendenden E-Mail durch den

Empfänger wird nicht ausgewertet und ein erneuter

Zustellversuch wird nicht unternommen.

Sich selbständig über E-Mail verbreitende Viren werden auf diese Weise abgewiesen, da sie ebenfalls keinen erneuten

Zustellversuch unternehmen.

Us e Antis pam Engine

(No te: remember to activ ate in rules et)

Us e Antiv irus Engine

(No te: remember to activ ate in rules et)

Require HELO co mmand

P TR check (rev ers e

DNS lo o kup)

Check if s ender do main is v alid

Es wird empfohlen die Option »Grey lis t learning o nly (no

mail rejectio n) « ca. einen Monat zu nutzen, bevor die Option

»Us e Grey lis ting« aktiviert wird. Durch die Option »Grey lis t

learning o nly (no mail rejectio n) « befindet sich die

SEPPmail Appliance bezüglich der Greylisting Funktion in einem

Lernmodus und weist keine E-Mails temporär zurück.

Dieser Parameter bewirkt, dass der SPAM-Filter auf dem

SEPPmail-System aktiviert wird. Die Konfiguration des SPAM-

Filters wird im Ruleset Generator im Menü

»Mail Processing«

durchgeführt.

Dieser Parameter bewirkt, dass der Virenscanner auf dem

SEPPmail System aktiviert wird. Die Konfiguration des

Virenscanners wird im Ruleset Generator im Menü

»Mail

Processing«

durchgeführt.

Dieser Parameter bewirkt, dass geprüft wird, ob der sendende

E-Mail-Server das HELO Kommando beim Verbindungsaufbau mit SEPPmail verwendet. Ist dies nicht der Fall, werden bei

Aktivierung dieses Parameters keine E-Mails angenommen.

SPAM-Versender benutzen häufig E-Mail-Server die nicht im

DNS engetragen sind. Wenn diese Option aktiviert wird, werden keine E-Mails von E-Mail-Servern angenommen die keinen

Eintrag im DNS haben.

Mit dieser Option aktivieren Sie die Überprüfung des Domain-

Teils der Absender E-Mail-Adresse jeder von extern eingehenden E-Mail. Existiert im DNS kein Eintrag für diese

Domain, so wird die E-Mail nicht angenommen.

P arameter Bes chreibung

Require v alid ho s tname in HELO co mmand

Aktivieren Sie diese Option, wenn E-Mails nur von den E-Mail-

Servern angenommen werden sollen, die sich mit einem gültigen

Hostnamen melden. Existiert im DNS kein Eintrag für diesen

Hostnamen, so wird die E-Mail nicht angenommen.

Require fully qualified ho s tname in

HELO co mmand

Aktivieren Sie diese Option, wenn E-Mails nur von den E-Mail-

Servern angenommen werden sollen, die sich mit einem vollständigen Hostnamen (FQDN = Fully qualified domain name) identifizieren.

Limit inco ming co nnectio ns fo r

SMTP per IP

Mit dieser Einstellung limitieren Sie die Anzahl paralleler

Verbindungen je IP. Es soll so verhindert werden, dass einzelne

Server SEPPmail überlasten können.

o ptio nal Settings

Grey lis t learning o nly

(no mail rejectio n)

Strict P TR check

(res ers e DNS lo o kup)

Dieser Parameter aktiviert den Greylisting-Lernmodus. Dabei wird die Datenbank mit den für den Greylisting-Betrieb benötigten Informationen aufgebaut. Nutzen Sie diese Option ca.

einen Monat, bevor Sie den aktiven Greylisting-Modus »Us e

Grey lis ting« aktivieren und verwenden.

Bei Nutzung dieser Option wird für die Annahme von E-Mails vorausgesetzt, dass die IP-Adresse des sendenden E-Mail-

Servers in seinen Hostnamen im DNS aufgelöst werden kann

(PTR) und dass der Hostname wieder auf die entsprechende IP-

Adresse zeigt (A Record).

Sektio n »Blacklis ts «

P arameter Bes chreibung

Add Blacklis t (RBL)

E-Mail-Server werden aufgrund von SPAM-Aktivitäten in

Blacklists aufgenommen. Diese Listen werden durch verschiedene Anbieter im Internet gepflegt. Um E-Mails abzuweisen die von solchen E-Mail-Servern an Sie gesendet werden, tragen Sie den Namen der entsprechenden Realtime

Blackhole Lists (RBL) in diesem Eingabefeld ein.

Sektio n »Manual Blacklis ting / Whitelis ting«

P arameter Bes chreibung add accces s entry

In diesem Menüpunkt können Sie IP-Netzwerke blockieren oder explizit zulassen aus denen ein E-Mail Server versucht eine E-

Mail an das SEPPmail System zu senden. Tragen Sie dazu das

IP-Netzwerk, die Aktion und einen Kommentar in die entsprechende Eingabefelder ein.

netwo rk

: <IP-Netzwerk oder IP-Host Adresse>

P arameter Bes chreibung actio n

: <Aktion>

co mment : <Kommentar zum Eintrag>

Der Parameter »action« kann folgende Werte annehmen: accept | reject

accept reject

Beispiel:

: explizit zulassen

: blockieren

Um alle E-Mails die aus dem IP-Netzwerk Bereich 186.56.148.x

gesendet werden zu verwerfen, geben Sie den IP-Netzwerk Teil

186.56.148 ein und definieren Sie die Aktion »reject«.

Netzwerke, aus denen Sie die Annahme von gesendeten E-Mails explizit zulassen möchten, deklarieren Sie hingegen mit der

Aktion »accept«.

6.5.2 Zu verwaltende E-Mail-Domains einrichten

Menü »Mail System«

Sektio n »Managed Do mains «

Zum Erstellen einer neuen E-Mail-Domain wählen Sie in der Konfigurationsoberfläche die Schaltfläche

»Add Do main. . . «.

P arameter Bes chreibung

Do main Name

Fo rwarding Serv er IP o r MX name

As s ign to cus to mer

Tragen Sie im Bereich »Do main Name« den oder die E-Mail-

Domainnamen ein, die Sie mit Ihrer Appliance verwalten möchten. Hierbei handelt es sich um Ihre Domain(s), passend zu den E-Mail-Adressen Ihrer Organisation. Wenn Sie beim Anlegen mehrere E-Mail-Domainnamen im Eingabefeld eintragen, separieren Sie diese jeweils mit einem Leerzeichen.

Im Bereich »Fo rwarding Serv er IP o r MX name« tragen Sie die IP-Adresse oder den Hostnamen des für die E-Mail-Domain zuständigen E-Mail-Servers ein. Stellen Sie sicher, dass

SEPPmail den entsprechenden E-Mail-Server unter der angegebenen IP-Adresse oder dem Hostnamen falls notwendig erreichen kann. Die Appliance wird eingehende E-Mails der definierten Domain(s) entschlüsseln und an den entsprechenden

E-Mail-Server weiterleiten.

Wählen Sie den Kunden aus, dem diese E-Mail-Domain zugeordnet werden soll.

6.5.3 Ausgehenden E-Mail-Verkehr steuern

Menü »Mail System«

Sektio n »Outgo ing Serv er«

Wenn SEPPmail E-Mails direkt an externe E-Mail-Empfänger senden soll, wählen Sie die Option »Us e

built-in mail trans po rt agent«. Falls der externe Versand durch einen bestehenden E-Mail-Server erfolgen soll, definieren Sie den entsprechenden Server als »Outgo ing Serv er«. Sollte der E-Mail-

Server eine Authentifizierung erfordern, geben Sie den Benutzernamen und das Kennwort ein.

6.5.4 TLS-Verschlüsselung pro Domäne einrichten

Menü »Mail System«

Sektio n »TLS s ettings «

Um ausgehende E-Mails via TLS-Transportverschlüsselung zu übermitteln fügen Sie die E-Mail-Domain des Empfängers hinzu. Klicken Sie auf die Schaltfläche »Add TLS Do main. . . «.

P arameter Bes chreibung

Do main Name

Optio nal Fo rwarding Serv er

Addres s

Sektio n »TLS Settings «

Name der E-Mail-Domain des Empfängers

IP-Adresse oder Hostname des für die Empfänger E-Mail-

Domain zuständigen E-Mail-Servers

TLS-

Eins tellung

No ne

Bes chreibung

Keine TLS-Verschlüsselung.

May

Encry pt

Verify

Secure

E-Mails werden über einen TLS-verschlüsselten Kanal versendet, falls der empfangende E-Mail-Server TLS-Verschlüsselung unterstützt.

E-Mails werden nur versendet, falls der Versand mittels TLS-Verschlüsselung möglich ist.

E-Mails werden nur versendet, falls der Versand via TLS-Verschlüsselung möglich, und das SSL-Zertifikat des empfangenden E-Mail-Servers gültig ist.

E-Mails werden nur versendet, falls der Versand via TLS-Verschlüsselung möglich, und das SSL-Zertifikat des empfangenden E-Mail-Servers gültig ist und der Name des E-Mail-Servers gemäß Zertifikat erfolgreich überprüft werden kann.

Diese Prüfung kann kann nicht bei der Verwendung von Wildcard-

SSL-Zertifikaten eingesetzt werden. Verwenden Sie die TLS-

Einstellung »Fingerprint«, falls der E-Mail-Server an den Sie ausgenende E-Mails via TLS versenden wollen ein Wildcard-SSL-

Zertifikat verwendet.

Erhalten Sie beim Versenden einer E-Mail via TLS-

Transportverschlüsselung die Logmeldung »...status=deferred

(Server certificate not verified)«, so überprüfen Sie das SSL-

Zertifikat des empfangenden E-Mail-Servers auf die Verwendung eines Wildcard-Zertifikats. Weiter unten wird das Vorgehen beschrieben.

Fingerprint

E-Mails werden nur versendet, falls der Versand via TLS-Verschlüsselung möglich ist und das SSL-Zertifikat des empfangenden E-Mail-Servers dem definierten Fingerprint entspricht. Als Fingerprint wird SHA1 unterstützt. Wie Sie den Fingerprint eines SSL-

Zertifikats auslesen wird weiter unten beschrieben.

Überprüfen des empfangenden E-Mail-Serv ers auf die Verwendung eines Wildcard-SSL-

Zertifikats

Ob ein E-Mail-Server ein Wildcard-SSL-Zertifikat verwendet kann sehr einfach mit dem

Kommandozeilentool »OpenSSL« durchgeführt werden.

Beis piel:

# openssl s_client -starttls smtp -crlf -connect xxx.xxx.xxx.xxx:25

Ersetzen Sie die IP-Adresse xxx.xxx.xxx.xxx durch die tatsächliche IP-Adresse des Zielservers oder verwenden Sie den Hostnamen.

# openssl s_client -starttls smtp -crlf -connect postini.com.s8a1.psmtp.com:25

Hier sehen Sie das Ergebnis der Abfrage. Anhand des Zertifikats-Subject im Parameter »CN« können

Sie feststellen, ob es sich um ein Wildcard-SSL-Zertifikat handelt. In der Antwort wurde der Wert

»CN=* . ps mtp. co m« zurückgegeben. In diesem Fall handelt es sich um ein Wildcard-Zertifikat, welches für alle Hosts der Domain »ps mtp. co m« verwendet werden kann. Ebenfalls interessant ist der »P arameter X509v 3 Subject Alternativ e Name: «. Als Wert wird hier »DNS: * . ps mtp. co m« zurückgegeben. In diesem Feld können noch weitere Domains enthalten sein.

# openssl s_client -starttls smtp -crlf -connect postini.com.s8a1.psmtp.com:25 | openssl x509 -text -noout

depth=1 C = US, O = Google Inc, CN = Google Internet Authority

Certificate:

Subject: C=US, ST=California, L=Mountain View, O=Google Inc,

CN=*.psmtp.

com

X509v3 Subject Alternative Name:

DNS:

*.psmtp.com

Die Darstellung der Ausgabe wurde auf die wesentlichen Informationen reduziert.

Aus les en des SHA1-Fingerprint aus dem SSL-Zertifikat des empfangenden E-Mail-

Serv ers

Einen Schritt zuvor wurde beschrieben, wie Sie das vom empfangenden E-Mail-Server verwendete

SSL-Zertifikat auslesen können. Dabei ist es nicht relevant, ob es sich hierbei um ein Wildcard-

Zertifikat handelt oder nicht.

Den Fingerprint eines SSL-Zertifikats können Sie sehr einfach mir dem Kommandozeilentool

»OpenSSL« auslesen.

Beis piel:

# openssl s_client -starttls smtp -crlf -connect xxx.xxx.xxx.xxx:25 | openssl x509

-noout -fingerprint

Ersetzen Sie die IP-Adresse xxx.xxx.xxx.xxx durch die tatsächliche IP-Adresse des Zielservers oder verwenden Sie den Hostnamen.

# openssl s_client -starttls smtp -crlf -connect postini.com.s8a1.psmtp.com:25 | openssl x509 -noout -fingerprint

Als Ergebnis erhalten Sie die folgende Ausgabe:

# openssl s_client -starttls smtp -crlf -connect postini.com.s8a1.psmtp.com:25 | openssl x509 -noout -fingerprint depth=1 C = US, O = Google Inc, CN = Google Internet Authority verify error:num=20:unable to get local issuer certificate verify return:0

250 HELP

SHA1 Fingerprint=DD:9A:EC:66:E2:43:81:B9:20:2B:75:DB:30:C8:67:CC:9B:B0:D1:99

read:errno=0

In der Ausgabe wird der benötigte SHA1 Fingerprint angezeigt. Sie können diesen Wert nun in der

Konfiguration verwenden bzw. mit Copy & Paste übernehmen.

6.5.5 SMTP-Einstellungen

Menü »Mail System«

Sektio n »SMTP s ettings «

P arameter Bes chreibung max. mes s age s ize (kb)

Maximale Grösse einer E-Mail-Nachricht

P o s tmas ter addres s

E-Mail-Adresse des Postmasters

SMTP s erv er HELO s tring

Festlegen, welchen Namen SEPPmail beim Versand von E-Mails im HELO/EHLO-Befehl verwenden soll.

SMTP bind addres s (us e with care!)

Festlegung der IP-Adresse eines Netzwerk-Interfaces, über welche alle Mails empfangen werden (normalerweise nicht notwendig)

OpenP GP key creatio n o ptio ns , auto matically s end new public key s to us ers

Falls diese Option aktiviert wird, werden die durch OpenPGP generierten öffentlichen Schlüssel automatisch an die Benutzer versendet

6.5.6 Mail Relaying

Menü »Mail System«

Sektio n »Relay ing«

P arameter

Relay ing allo wed

Add Relay ing fo r

Bes chreibung

Netzwerke oder IP-Adressen die SEPPmail als E-Mail-Relay für ausgehende E-Mails verwenden können. Stellen Sie sicher, dass nur interne Netzwerke bzw. IP-Adressen, die unter Ihrer

Verwaltung stehen, aufgelistet sind. Damit verhindern Sie den mißbräuchlichen Versand von E-Mails über SEPPmail.

Die Definition der Netzwerke wird nach der Classless Inter-

Domain Routing (CIDR) Notation festgelegt. Diese entspricht zum Beispiel folgenden Werten:

Die Netzmaske 255.255.255.255 entspricht "/32" (einzelne IP-

Adresse)

Die Netzmaske 255.255.255.0 entspricht "/24" (Klasse C

Netzwerk)

Die Netzmaske 255.255.0.0 entspricht "/16" (Klasse B

Netzwerk)

Die Netzmaske 255.0.0.0 entspricht "/8" (Klasse A Netzwerk)

Erfassen Sie eine zusätzliche IP-Adresse die eine

Releayberechtigung haben soll.

6.5.7 Antispam-Einstellungen

Menü »Mail System«

Sektio n »Antis pam« -> Bereich »Reco mmended Settings «

P arameter Bes chreibung

Us e Grey lis ting

Greylisting ist eine Methode zur Spam-Bekämpfung. Dabei werden E-Mails von unbekannten Absendern nicht unmittelbar entgegengenommen, sondern zunächst abgewiesen. Bei legitimen Mails hält der sendende Mailserver die Mails pendent und übermittelt diese zu einem späteren Zeitpunkt nochmals.

Beim erneuten Zustellversuch werden die Mails dann angenommen.

Es wird bei diesem Mechanismus davon ausgegangen, dass

Mailserver und Clients sich an den RFC-Standard für SMTP halten. Spammer benutzen oft keine RFC-konforme Software zum Versenden von Spam-Mails. Sie kommen mit dem Fehler nicht zurecht und merken sich nicht, dass sie es später nochmals versuchen müssten.

Sich selbständig verbreitende Viren werden auf diese Weise abgewiesen, da sie ebenfalls keinen zweiten Versuch des

Versendens vornehmen.

Es wird empfohlen den Parameter »Grey lis t learning o nly

(no mail rejectio n) « ca. einen Monat zu nutzen, bevor der

P arameter

Strict P TR check (rev ers e

DNS lo o kup)

Bes chreibung

Us e Antis pam Engine (No te: remember to activ ate in rules et)

Us e Antiv irus Engine (No te: remember to activ ate in rules et)

Require HELO co mmand

Parameter »Us e Grey lis ting« aktiviert wird. Durch den

Parameter »Grey lis t learning o nly (no mail rejectio n) « befindet sich SEPPmail bezüglich Greylisting in einem

Lernmodus und weist keine E-Mails permanent ab.

Aktivieren Sie diesen Parameter, um das Protection Pack (Antispam / Anti-virus) für Anti-SPAM zu nutzen.

Aktivieren Sie diesen Parameter, um das Protection Pack (Antispam / Anti-virus) für Anti-Virus zu nutzen.

P TR check (rev ers e DNS lo o kup)

Check if s ender do main is v alid

Require v alid ho s tname in

HELO co mmand

Require fully qualified do main name in HELO co mmand

Limit inco ming co nnectio ns fo r SMTP per IP

Es wird geprüft, ob der sendende Mailserver das HELO

Kommando benutzt. Ist dies nicht der Fall, werden bei

Aktivierung dieser Option keine Mails angenommen.

Spammer benutzen oft nicht in DNS eingetragene Mailserver.

Wenn diese Option aktiv ist, werden keine Mails von entsprechenden Mailservern angenommen.

Es werden bei Nutzung dieser Option nur Mails angenommen, wenn der vom Mailserver angegebene Mail Exchanger Host auf die entsprechende IP-Adresse zeigt.

Ist diese Option aktiv, werden Mails nur angenommen, wenn sich der Mailserver mit einem gültigen Hostnamen meldet.

Aktivieren Sie diese Option, wenn nur Mails von Mailservern angenommen werden sollen, welche sich mit einem vollständigen Hostnamen (FQDN = Fully qualified domain name) identifizieren.

Mit dieser Einstellung limitieren Sie die Anzahl paralleler

Verbindungen je IP. Es soll so verhindert werden, dass einzelne

Server SEPPmail überlasten können.

Sektio n »Antis pam« -> Bereich »Optio nal Settings «

P arameter Bes chreibung

Grey lis t learning o nly (no mail rejectio n)

Diese Option aktiviert den Greylisting-Lernmodus. Dabei wird die Datenbank mit den für den Greylisting-Betrieb benötigten

Informationen aufgebaut. Nutzen Sie diese Option ca. einen

Monat, bevor Sie den aktiven Greylisting-Modus Us e

Grey lis ting verwenden.

Bei Nutzung dieser Option wird für die Annahme von Mails vorausgesetzt, dass die Hostadresse des sendenden

Mailservers im DNS über seine IP-Adresse aufgelöst werden kann (PTR) und dass der Namenseintrag auch wieder auf die entsprechende IP-Adresse zeigt (A Record).

6.5.8 Blacklists / Whitelists verwalten

Menü »Mail System«

Sektio n »Blacklis ts / Whitelis ts «

E-Mail-Server werden aufgrund von Spamming-Aktivitäten in Blacklists aufgenommen. Diese Listen werden durch verschiedene Anbieter im Internet gepflegt. Um E-Mails von solchen E-Mail-Servern abzuweisen, tragen Sie entsprechende Realtime Blackhole Lists (RBL) in der Rubrik »Blacklis ts « ein.

Wenn Sie manuell Netzwerke blockieren oder explizit zulassen möchten, tragen Sie diese in der Rubrik

»Manual Blacklis ting / Whitelis ting« ein.

Um beispielsweise alle E-Mails vom Netzwerk 186.56.148.x zu verwerfen, geben Sie 186.56.148 ein und definieren Sie die Aktion »reject«. Netzwerke, von denen Sie die Annahme von Mails explizit zulassen möchten, deklarieren Sie hingegen mit der Aktion »accept«.

6.6 Menüpunkt "Mail Processing"

Dieses Kapitel beschreibt die Verwaltung des E-Mail-Regelwerks.

Folgende Vorgänge werden in den kommenden Abschnitten beschrieben:

GINA Webmail-Schnittstelle

GINA Webmail-Domains erstellen

GINA Webmail-Domains löschen

GINA Webmail-Domains verwalten

GINA Webmail-Layout verwalten

GINA Webmail-Sprachunterstützung verwalten

GINA Self Service Passwort Management

GINA Interne Verschlüsselung

Regeln zur Verarbeitung von Webmails verwalten

Webmail SMS Passwortversand verwalten

Disclaimer verwalten

E-Mail-Vorlagen (Templates) verwalten

104

105

105

6.6.1 GINA Webmail-Schnittstelle

GINA ist die neue Standard-Schnittstelle für Secure-Webmail. Mit der Version 6 setzt SEPPmail einen neuen Secure-E-Mail-Standard. Die Übertragung digital signierter und verschlüsselter E-Mails wird einfacher denn je – für Absender und Empfänger gleichermaßen.

Die Secure-E-Mail-Plattform SEPPmail V6 GINA darf als weltweit einfachste, vielseitigste und trotzdem komfortabelste Lösung für die hoch sichere E-Mail-Übertragung bezeichnet werden. Sie besticht durch zahlreiche Highlights.

Mo dernes Us er-Interface

- intuitiv bedienbare Benutzerschnittstelle

- Maximaler Komfort beim Empfangen und Öffnen gesicherter E-Mails via Webmail

- Benutzerfreundliche Einbindung mobiler Endgeräte

P o rtalfunktio nen

- Externe Benutzer erhalten die Möglichkeit, jederzeit verschlüsselte E-Mails an interne Mitarbeiter zu senden

- Externe Benutzer können sich selbständig via Portal registrieren

- Bereits bestehende Keys (S/MIME oder PGP) lassen sich durch die externen User selbständig hochladen

Cus to mizing - Anpas s ung des Lay o uts an eigene Bedürfnis s e

- Adaption sämtlicher GINA-Komponenten an individuelle Bedürfnisse – ermöglicht beispielsweise die

Umsetzung von Corporate-Design-Vorgaben

- Integration in Firmen-Websites, Portale etc.

- Einbindung beliebiger Sprachen (ideal für international tätige Unternehmen sowie für Cloud-Anbieter)

Self Serv ice P as s wo rt Management (SSP M)

- Vergessene Passwörter können vom Empfänger automatisch und ohne Sicherheitsrisiken via Mobile

Phone neu generiert bzw. angefordert werden

Interne Vers chlüs s elung (IME)

- Komfortable, firmeninterne Verschlüsselung vertraulicher E-Mails – vom Arbeitsplatz des Absenders bis zum Desktop des Empfängers; dadurch sind vertrauliche E-Mails im gesamten Firmennetz vor unerlaubtem Zugriff geschützt

6.6.1.1

GINA Domains erstellen

Menü »Mail Processing«

Um eine neue GINA-Domain zu erstellen, klicken Sie in der Rubrik »GINA do mains « auf die

Schaltfläche »Create new GINA do main. . . «.

Sektio n »Create new GINA Do main«

P arameter Bes chreibung

Des criptio n

Ho s tname

eine Beschreibung der neuen GINA-Domain

Name des Hosts der neuen GINA-Domain. Dieser Name ist

Bestandteil der URL, unter der Webmails abgerufen werden, z.

B. https://secmail.cusomer.com/customer

Bestätigen Sie die Erstellung einer neuen GINA-Domain mit einem Klick auf die Schaltfläche »Create«.

6.6.1.2

GINA Domains löschen

Menü »Mail Processing«

Um eine bestehende GINA-Domain zu löschen, wählen Sie die GINA-Domain im Menü »Mail

P ro ces s ing« -> »GINA do mains « aus und klicken Sie die Schaltfläche »Delete«.

Bestätigen Sie das Löschen einer bestehenden GINA-Domain mit einem Klick auf die Schaltfläche »

Delete«.

6.6.1.3

GINA Domains verwalten

Menü »Mail Processing«

Sie können GINA-Einstellungen bearbeiten, indem Sie die entsprechende GINA-Domain in der Rubrik »

GINA do mains « auswählen und auf die Schaltfläche Edit. . . klicken. Die Standard GINA-Domain hat den Namen [default].

Sie können Parameter in den folgenden Kategorien verwalten:

Hostname

Secure Webmail Port

Secure Webmail Key and certificate

Diese Sektionen werden nachfolgend einzeln erläutert.

Sektio n »Secure GINA Ho s t«

In der Sektion »Secure GINA Ho s t« können Sie für Werte für Ho s tname, P o rt, K ey and

certificate der GINA-Domain hinterlegen. Dieser Hostname ist Bestandteil der URL, unter der GINA-

Nachrichten abgerufen werden, z.B. https://secmail.customer.com. Falls Sie die Funktion »Virtual

Hosting« aktiviert haben, können Sie für die jeweilige GINA-Domain einen eigenen Port vergeben und ein eigenes SSL-Zertifikat hinterlegen.

Sektio n »Mas ter Template«

Diese Sektion wird bei Auswahl der GINA-Domain [default] nicht angezeigt.

In der Sektion »Mas ter Template« wählen Sie die GINA-Domain aus, die Sie als Vorlage verwenden möchten. Die Einstellungen werden von dieser GINA-Domain übernommen. Dies erleichtert Ihnen die

Verwaltung von Optionen, welche für mehrere GINA-Domains Gültigkeit haben sollen.

Bei Auswahl der Standard GINA-Domain [default], wird diese als Vorlage zur Übernahme von

Einstellungen verwendet. In welchem Umfang Einstellungen übernommen werden, legen Sie in den einzelnen Sektionen fest, die nachfolgend detailliert erläutert werden.

Sektio n »Admin«

In der Sektion »Admin« können Sie eine E-Mai-Adresse für den Administrator erfassen, welcher eine

Benachrichtigung als E-Mail erhält, wenn einen GINA-Empfänger sein Kennwort zurücksetzen lassen möchte. Hierzu muss das Security Level auf »Res et by ho tline« eingestellt sein.

Sektio n »Extended s ettings «

P arameter Bes chreibung

Us e s ettings fro m mas ter template

Default Fo rward P age

Aktivieren Sie dieses Kontrollkästchen, falls Sie die

Einstellungen vom Master Template übernehmen möchten.

URL die verwendet wird, falls die GINA-Oberfläche direkt, statt

über eine GINA-Nachricht, aufgerufen wird (optional).

Alway s zip HTML attachments when encry pting mail with GINA techno lo gy

Verwenden Sie diese Einstellung, wenn der verschüsselte E-

Mail-Teil einer GINA-Nachricht im ZIP- anstatt im HTML-Format angehängt werden soll. Diese Einstellung wird benötigt, wenn

P arameter Bes chreibung

(fo r OWA co mpatibility , fo r s ingle mails us e [o wa] in s ubject)

" Send co py to my s elf" checked by default when writing GINA mails

Sender alway s receiv es no tificatio n when recipient reads mail in web v iewer

(o v errides us er s etting)

Allo w acco unt s elfregis tratio n in GINA po rtal witho ut initial mail

Enable S/MIME certificate /

P GP key s earch and management in GINA

der Empfänger Outlook Web Access (OWA) verwendet, da

GINA-Nachrichten im HTML-Format aus OWA nicht entschlüsselt werden können. Um die Einstellung nur bei einzelnen E-Mails zu nutzen, kann der Begriff [o wa] als Steuerkommando in der

Betreffzeile verwendet werden. Sollte eine GINA-Nachricht im

HTML-Format an einen OWA-Empfänger gelangen, erkennt die

SEPPmail-Appliance dies. Der Absender wird aufgefordert, die

E-Mail nochmal zu schicken. Gleichzeitig wird im GINA-

Benutzerkonto des Empfänger der Parameter »Zip

Attachement« aktiviert. Der Empfänger kann eine mit dieser

Einstellung erzeugte GINA-Nachricht problemlos lesen.

Diese Einstellung bewirkt, dass bei GINA-Benutzern die Option

»send copy to myself« (Kopie ausgehender E-Mails an sich selbst schicken) standardmässig aktiviert ist.

Aktivieren Sie diese Einstellung, um eine Benachrichtigung zu erhalten, wenn ein ein Empfänger eine GINA-Nachricht im GINA-

Portal öffnet und liest. Die benutzerspezifischen Einstellungen werden überschrieben.

Ermöglicht die Registrierung eines neuen GINA-Empfängers ohne das dieser zuvor eine GINA-Nachricht erhalten hat. Der Benutzer kann sich selbst über das GINA-Portal als GINA-Empfänger registrieren. Er erhält eine Anmeldebestätigung via E-Mail mit einem Aktivierungs-Link. Nach bestätigen des Aktivierungs-Link kann das neue GINA-Benutzerkonto genutzt werden. Weitere

Informationen erhalten Sie im Kapitel

GINA Selbstregistrierung

über Webmail Portal

Ermöglicht einem GINA-Benutzer zusätzlich einen vorhandenen

PGP oder S/MIME Public-Key im Zertifikatsspeicher der

SEPPmail-Appliance abzulegen. Der GINA-Benutzer kann dann auch via PGP oder S/MIME verschlüsselte E-Mails erhalten.

Weitere Informationen erhalten Sie im Kapitel

GINA S/MIME und

PGP Schlüsselsuche über Webmail Portal

Sie müssen diese Option aktivieren, um die folgende Option »Allo w unregis tered us ers

to s earch public key s /certificates o f

internal us ers « aktivieren zu können. Sonst ist die folgende Option nicht aktivierbar.

Allo w do wnlo ad o f public do main key s /do main certificates

(No te: Yo u mus t as s ign " Us e

GINA Settings " under Mail

Sy s tem Settings / Managed

Do mains )

Allo w unregis tered us ers to s earch public key s /

Ermöglicht es externen nicht registrierten Benutzern selbstständig über das GINA-Portal nach vorhandenen PGP oder S/MIME Domain-Keys der angelegten Managed-Domains zu suchen und diese herunterzuladen.

Ermöglicht es externen nicht registrierten Benutzern selbstständig über das GINA-Portal nach vorhandenen PGP

P arameter Bes chreibung certificates o f internal us ers

(and do main key s , if enabled abo v e)

Allo w GINA us ers to write new mails (no t reply )

oder S/MIME Public-Keys interner Benutzer zu suchen und diese herunterzuladen.

Aktivieren Sie diese Einstellung, wenn die Schaltfläche zum

Erzeugen neuer E-Mails im GINA-Portal aktiv sein soll. Ein GINA-

Benutzer kann dann an interne Mitarbeiter E-Mails aus dem

GINA-Portal senden.

Sie können über diese Funktion Nachrichten ausschließlich an E-Mail-Adressen interner

Mitarbeiter senden. Der E-Mail Versand an externen E-Mail-Adressen ist nicht möglich.

Do no t allo w GINA us ers to edit recipient when reply ing to e-mails

Allo w mes s ages to be do wnlo aded as Outlo o k mes s age (. ms g) files

Allo w mes s ages to be do wnlo aded as MIME (. eml) files

When encry pting mail with

GINA techno lo gy , us e texto nly emails (no HTML emails )

Aktivieren Sie diesen Parameter wenn Sie verhindern möchten, dass beim Beantworten einer GINA-Nachricht die E-Mail-

Adresse des Empfängers verändert werden kann.

Aktivieren Sie diese Einstellung, wenn die Schaltfläche Outlo o k im GINA-Frontend angezeigt werden soll. Sie können dann die entschlüsselte E-Mails im Outlook-Format ".msg" im lokalen

Dateisystem speichern und nachträglich in Outlook importieren.

Die Nachricht wird im Klartext abgelegt.

Aktivieren Sie diese Einstellung, wenn die Schaltfläche

Nachricht s peichern im GINA-Frontend angezeigt werden soll.

Sie können dann die entschlüsselte E-Mails im Standard-Format

".eml" im lokalen Dateisystem speichern und nachträglich in einem E-Mail Client importieren. Die Nachricht wird im Klartext abgelegt.

Die Kurzinformation für den GINA-Empfänger wird als nur Text

Nachricht ausgeführt und nicht als HTML Nachricht.

Sektio n »Large File Management«

P arameter Bes chreibung

Enable Large File

Management

Day s to s to re Large Files

Thres ho ld fo r Large Files

Limit Large Files per Day

Aktiviert oder Deaktiviert die Funktion »Large File

Management«.

Zeitspanne in Tagen zur Vorhaltung der zwischengespeicherten

Dateien.

Größe der E-Mail in KB ab der eine E-Mail via »LFM« verarbeitet wird.

Anzahl der Dateien die ein Benutzer pro Tag via »LFM« versenden kann.

Für den Betrieb von Large File Management ist es erforderlich, einen zusätzlichen Bereich auf dem lokalen Datenspeicher einzurichten. Dieser Bereich wird im Menü »Ho me« als »LFM s to re« angezeigt.

Zum Einrichten des zusätzlichen Datenspeichers für Large File Management kontaktieren Sie Ihren

Support.

Sektio n »Terms o f us e«

P arameter Bes chreibung

Us e s ettings fro m mas ter template

Require new us ers to accept terms o f us e

Aktivieren Sie dieses Kontrollkästchen, falls Sie die

Einstellungen vom Master Template übernehmen möchten.

Aktivieren Sie dieses Kontrollkästchen, wenn jeder neue GINA-

Benutzer beim erstmaligen Aktivieren des GINA-Benutzerkontos spezielle Nutzungsbedingungen akzeptieren muß. Die detailierten

Nutzungsbedingungen können unter der eingetragenen URL eingesehen werden.

Terms o f us e URL (required)

Geben Sie hier die URL ein unter der die Nutzungsbedingungen im Internet eingesehen werden können. (z.B. http://www.

customer.com/termsofuse.html)

Sektio n »Language s ettings «

P arameter Bes chreibung

Default language

Av ailable Languages

Festlegen der Standard-Sprache für das GINA-Portal

Aktivieren, Deaktivieren und Hinzufügen bestehender und/oder neuer Sprachen

Erfahren Sie mehr dazu im Kapitel

GINA Webmail-

Sprachunterstützung verwalten

Wenn Sie die Einstellungen vom Master Template übernehmen möchten, klicken Sie auf das

Kontrollkästchen »Us e s ettings fro m mas ter template«. Diese Option ist nur dann sichtbar, wenn

Sie sich in der Konfuration einer zusätzlich angelegten GINA-Domain befinden.

Sektio n »Security «

P arameter Bes chreibung

Cho o s e ho w the us er can retriev e lo s t pas s wo rds

Minimum pas s wo rd length

P as s wo rd Co mplexity

Definiert das Standard-Verfahren für einen Kennwort-Reset innerhalb der GINA-Domain

Definiert die minimale Länge eines Kennworts

Definiert die Komplexität des Kennworts

P arameter »Cho o s e ho w the us er can retriev e lo s t pas s wo rds «

Wählen Sie das Verfahren für den Kennwort-Reset, damit ein externer GINA-Benutzer sein GINA-

Benutzerkennwort zurücksetzen kann. Danach wird je nach ausgewählem Verfahren für den Kennwort-

Reset eines der folgenden Verfahren verwendet:

Aus wahlwert »default (Res et by ho tline) «

Der Wert »default« bezieht sich auf die für die jeweilige GINA-Domain ausgewählte globale

Standardeinstellung. Dieses wird innerhalb der Konfiguration der GINA-Domain in der Sektion

»Security « eingestellt.

Aus wahlwert »Res et by Email v erificatio n«

Der externe GINA-Benutzer kann sein Kennwort selbstständig zurücksetzen. Zur Aktivierung und

Bestätigung dieser Aktion erhält er eine E-Mail-Benachrichtigung mit einem Aktivierungslink. Nach dem Bestätigen dieses Aktivierungslinks wird das vom externen Benutzer zuvor neu eingegebene

Kennwort aktiviert. Ein Login mit dem neu gesetzten Kennwort ist nun möglich.

Aus wahlwert »Res et by ho tline«

Der externe GINA-Benutzer kann sein Kennwort nicht selbstständig zurücksetzen. Er gibt dazu seine Rufnummer an, unter der er für den Support erreichbar ist. Nach Überprüfung durch die

Sicherheitsfrage erhält er vom Support-Mitarbeiter ein neues Einmalkennwort zum nächsten Login.

Nach dem Login ist es erforderlich, ein neues persönliches Kennwort erfassen. Ein Login mit dem neu gesetzten Kennwort ist nun möglich.

Aus wahlwert »Res et by ho tline, no reminder ques tio n/ans wer«

Der externe GINA-Benutzer kann sein Kennwort nicht selbstständig zurücksetzen. Er gibt dazu seine Rufnummer an, unter der er für den Support erreichbar ist. Eine Überprüfung durch die

Beantwortung einer Sicherheitsfrage ist nicht erforderlich. Beim Erstmaligen Initialisieren des GINA-

Benutzerkontos ist es nicht erforderlich, dass der Benutzer eine Sicherheitsfrage angibt. Der

Benutzer erhält vom Support-Mitarbeiter ein neues Einmalkennwort zum nächsten Login. Nach dem Login ist es erforderlich, ein neues persönliches Kennwort erfassen. Ein Login mit dem neu gesetzten Kennwort ist nun möglich.

Diese folgenden Möglichkeiten für das Zurücksetzen eines Kennworts können nur im Rahmen der

Funktion Self Serv ice P as s wo rt Management (SSP M) ausgeführt werden. Siehe

GINA Self

Service Passwort Management

Aus wahlwert »Res et by SMS«

Der externe GINA-Benutzer kann ein neues Kennwort via SMS auf sein Mobiltelefon anfordern.

Dieses neue Einmalkennwort verwendet der Benutzer für den nächsten Login. Dabei muss er ein neues persönliches Kennwort erfassen. Ein Login mit dem neu gesetzten Kennwort ist nun möglich.

Beim Reset des Kennworts via SMS muss die Mobilfunkrufnummer im

Benutzerprofil des Benutzers hinterlegt worden sein.

Beinhaltet ein ausgewähltes Verfahren zur Kennwortrücksetzung die Option SMS, so ist es ebenfalls erforderlich den SMS-Versand im Menü »Mail P ro ces s ing« einzurichten.

Aus wahlwert »Let us er cho o s e between ho tline and SMS«

Der externen GINA-Benutzer kann zum anfordern eines neuen Kennworts zwischen den beiden

Optionen »Ho tline« und »SMS« auswählen.

P arameter »Mo bile Number«

Beinhaltet die Mobilfunkrufnummer des GINA-Benutzers, fals diese vom Benutzer beim Verwalten seines Benutzerkontos hinterlegt wurde. Für den Support besteht die Möglichkeit dem Benutzer bei Bedarf ein neues One-Time Kennwort (Einmalkennwort) als SMS zu senden. Klicken Sie dazu auf die Schaltfläche »SMS pas s wo rd res et«. Es wird ein neues One-Time Kennwort automatisch durch SEPPmail generiert und via SMS gesendet.

P arameter »Minimum pas s wo rd length« und »P as s wo rd Co mplexity «

P arameter Bes chreibung

Minimum pas s wo rd length

Mus t Co ntain at leas t o ne lo wer cas e letter

Mus t Co ntain at leas t o ne upper cas e letter

Mus t Co ntain at leas t o ne number

Mus t Co ntain at leas t o ne s pecial character

Mus t no t co ntain o wn name o r mail addres s

Mus t be different fro m prev io us pas s wo rd

Minimale Passwortlänge (Standard: 8 Zeichen)

Das Passwort muss mindestens einen Kleinbuchstaben beinhalten.

Das Passwort muss mindestens einen Grossbuchstaben beinhalten.

Das Passwort muss mindestens eine numerisches Zeichen enthalten.

Das Passwort muss mindestens ein Sonderzeichen enthalten.

Das Passwort darf den eigenen Namen oder die eigene E-Mail-

Adresse nicht beinhalten.

Das Passwort darf nicht das Gleiche sein, wie das Vorherige.

Wenn Sie die Einstellungen vom Master Template übernehmen möchten, klicken Sie auf das

Kontrollkästchen »Us e s ettings fro m mas ter template«.

Sektio n »Certificate lo gin«

In der Sektion »Certificate Lo gin« können Sie Root-CA-Zertifikate hinterlegen (z.B. SuisseID) die für eine GINA-Benutzer Identifikation verwendet werden können. Jeder GINA-Benutzer muss in seinem

Webbrowser ein Zertifikat installiert haben, welches vor einer der hier hinterlegten Root-CAs ausgestellt wurde.

Wenn Sie die Einstellungen vom Master Template übernehmen möchten, klicken Sie auf das

Kontrollkästchen »Us e s ettings fro m mas ter template«.

6.6.1.4

GINA Layout verwalten

Menü »Mail Processing«

Zum Anpassen des Layouts einer bestehenden Webmail-Domain wählen Sie innerhalb des

Konfigurationsmenüs der GINA-Domain die Schaltfläche »Edit GINA Lay o ut«. Sie befinden sich nun in der Konfiguration für das GINA-Layout der jeweiligen GINA-Domain.

Sie können Parameter in den folgenden Kategorien verwalten:

Sektio n »Header Lo go «

In dieser Sektion können Sie eine zusätzliche Grafik im Bereich »Header Lo go « der Webmail-

Oberfläche einbinden. Die Anzeige dieser Grafik aktivieren Sie in der Sektion

Extended Settings

Sektio n »Co mpany Lo go «

Um die GINA-Oberfläche an Corporate-Design Vorgaben anzupassen haben Sie die Möglichkeit in dieser Sektion ein Firmenlogo einzufügen. Weitere Anpassungen können Sie in der Standard CSS-Datei der GINA-Oberfläche vornehmen. Siehe

GINA Webmail-Layout verwalten

Sektio n »Fav o urites Ico n«

In dieser Sektion können Sie ein optionales Favicon im Dateiformat . ico einfügen. Dieses Favicon wird dann als Grafik an Anfang der Adresszeile im Webbrowser angezeigt.

Sektio n »Fo o ter Lo go «

In dieser Sektion können Sie eine zusätzliche Grafik im Bereich »Fo o ter Lo go « der GINA-Oberfläche einbinden. Die Anzeige dieser Grafik aktivieren Sie in der Sektion

Extended Settings

Sektio n »Backgro und Image«

In dieser Sektion können Sie eine Grafik als Hintergrund für die GINA-Oberfläche einzufügen. Weitere

Eigenschaften können Sie in der Sektion

GINA Webmail-Layout verwalten

verwalten.

Sektio n »GINA CSS«

In dieser Sektion verwalten Sie alle GINA CSS Eigenschaften. Eine CSS-Datei wird verwendet, um das

Layout der GINA-Oberfläche anzupassen. Dabei sind die Daten und die Formatierung getrennt voneinander. Wenn Sie sich mit CSS beschäftigen können Sie die GINA-Oberfläche z.B. an Ihre

Corporate-Vorgaben anpassen und so einfach in Ihre Webseite integrieren.

Sektio n »Extended s ettings «

In dieser Sektion können Sie die zuvor eingerichteten Optionen zum Anzeigen in der GINA-Oberfläche aktivieren oder deaktivieren.

P arameter Bes chreibung

Dis able " P o wered by . . . "

Lo go in Webmail-v iewer

Enable Header lo go o n Lo gin page

Bei Aktivierung dieser Option wird der Text "Powered by

SEPPmail" beim Aufruf einer GINA-Nachricht nicht angezeigt.

aktivieren Sie das Header Logo innerhalb der GINA-Anmeldung

Enable Header lo go an all o ther pages

Enable Fo o ter lo go o n Lo gin page

Enable Fo o ter lo go an all o ther pages

aktivieren Sie das Header Logo innerhalb der gesamten GINA-

Oberfläche aktivieren Sie das Footer Logo innerhalb der GINA-Anmeldung aktivieren Sie das Footer Logo innerhalb der gesamten GINA-

Oberfläche aktivieren Sie den Footer Text innerhalb der GINA-Anmeldung

Enable Fo o ter text an Lo gin page

Enable Fo o ter text an all o ther pages

aktivieren Sie den Footer Text innerhalb der gesamten GINA-

Oberfläche

Die Einstellungen für den Footer Test finden Sie in der Sektion

GINA Webmail-

Sprachunterstützung verwalten

6.6.1.5

GINA Sprachunterstützung verwalten

In der Sektion »Language Settings « haben Sie die Möglichkeit, die bereits im Lieferumfang enthaltenen Übersetzungen anzupassen oder eigene Übersetzungen für zusätzliche

Sprachunterstützungen der GINA-Schnittstelle hinzuzufügen.

Sie können in dieser Sektion die folgenden Einstellungen vornehmen:

Edit translations...

Download

Add new...

P arameter/Schaltfläche Bes chreibung

Default language

Av ailable Languages

Einstellen der Standard-Sprache für die GINA-Schnittstelle

Herunterladen und Anpassen einer vorhandenen Sprachvariante für die GINA-Schnittstelle

Anpassen der Übersetzung einer vorhandenen Sprachvariante

Schaltfläche Edit

Trans latio ns

Schaltfläche Do wnlo ad

Schaltfläche Change

Schaltfläche Add new

aktuelle Übersetzung der jeweiligen Sprache herunterladen und ggf. als Vorlage für eigene Übersetzungen verwenden speichern der durchgeführten Änderungen in dieser Sektion hinzufügen Übersetzung für eine neuen Sprachvariante

Die fo lgenden Übers etzungen s ind im Aus lieferungs zus tand enthalten:

Englisch - English( e )

Spanisch - Spanish( s )

Deutsch - German ( d )

Französisch - French ( f )

Italienisch - Italian ( i )

Wenn Sie die Einstellungen vom Master Template übernehmen möchten, klicken Sie auf das

Kontrollkästchen »Us e s ettings fro m mas ter template«. Diese Option ist nicht für die

Einstellungen der Standard Webmail Domain »[default]« sichtbar sondern wird nur in zusätzlich angelegten Webmail Domains angezeigt.

Schaltfläche »Edit trans latio ns . . . «

Sie können über die Schaltfläche »Edit trans latio ns . . . « die aktuelle Übersetzung bestimmter

Textbestandteile der GINA Schnittstelle selbst und Textbestandteile der Kurzinformationstext der

GINA-Nachricht anpassen.

Innerhalb dieser Sektion können Sie mit den folgenden Schaltflächen navigieren:

Back

Adv anced

View

: Rückkehr in die übergeordnete Konfigurationsseite

: Erweitert die Anzeige und ermöglicht die Bearbeitung weiterer Ressourceneinträge der

Übersetzung

No rmal

View

: ist nur Verfügbar wenn zuvor die Schaltfläche »Adv anced View« betätigt wurde

Die folgenden Textbestandteile können bearbeitet werden:

Customization

Text in Secure Webmail

Open hint in Secure Webmail

Greeting on Login page

Footer text

Webmail Password Notification Mail

In der Erweiterten Ans icht:

Edit Translation file

Sektio n »Cus to mizatio n«

Wichtige Anmerkung

Verwenden Sie keines der reservierten Schlüsselwörter »ms gid« und »ms gs tr« in irgendeinem Textbestandteil.

Text darf keine Leerzeilen enthalten um einen Zeilenumbruch zu erzeugen.

Verwenden Sie <br> zum Erzeugen eines Zeilenumbruchs. Jedes <br> wird durch einen Zeilenumbruch ersetzt. (z.B. wie in reinen Text E-Mails).

HTML TAG's sind nicht erlaubt. Sie dürfen nur innerhalb von Textbestandteilen verwendet werden die im Webmail Viewer angezeigt werden.

Sektio n »Text in GINA«

Dieser Text wird innerhalb der GINA-Nachricht als Kurzinformationstext angezeigt und enthält Hinweise zur Handhabung dieser E-Mail für den Empfänger.

Sektio n »Open hint in GINA«

Dieser Text wird im Anmeldedialog angezeigt, wenn Sie eine Webmail öffnen und sich zur

Entschlüsselung anmelden.

Sektio n »Greeting o n Lo gin page«

Begrüßungstext, nachdem Sie eine GINA-Nachricht zum Entschlüsseln geöffnet haben.

Sektio n »Fo o ter text«

Dieser Text wird im Footer-Bereich der GINA-Oberfläche angezeigt und kann einund ausgeblendet werden. Siehe

GINA Webmail-Layout verwalten

Sektio n »GINA P as s wo rd No tificatio n Mail«

Dieser Text wird in die Passwortbenachrichtigung eingefügt die ein Absender erhält, nachdem er das

Erste Mal eine GINA-Nachricht an einen Empfänger versendet hat.

Sektio n »Edit Trans latio n file«

Wählen Sie die Schaltfläche »Adv anded View«, um den Editor zur Übersetzung der ausgewählten

Sprachversion zu erhalten.

In dieser Sektion können Sie die Übersetzung der ausgewählten Sprachversion bearbeiten. Um diesen

Bereich auszublenden wählen Sie die Schaltfläche »No rmal View«.

Sektio n »Do wnlo ad«

Sie können über die Schaltfläche »Do wnlo ad« die aktuelle Übersetzung einer bestehenden

Sprachvariante herunterladen und als Basis für eine neue Übersetzung einer zusätzlichen

Sprachvariante verwenden.

Sektio n »Add new. . . «

Zum Hinzufügen der Übersetzung für eine neue Sprachunterstützung wählen Sie die Schaltfläche »Add

new. . . «. Sie können die folgenden Parameter erfassen:

P arameter Bes chreibung

Name

P leas e enter the name o f the new language in ev ery o ther o f the av ailable languages

P leas e o ptio nally s elect an identify ing letter fo r the new language

P leas e uplo ad the co mplete trans latio n file fo r the new language

Name der neuen Sprache in der jeweiligen Landessprache, z.B.

Polski für Polnisch

Hinzufügen der Übersetzung der vorhandenen Sprachen in der neue Sprachvariante, z.B. Deutsch, German, Allemand,

Tedesco, Alemán etc. für Deutsch. Dies sind Pflichteingaben.

Weisen Sie der neuen Sprachversion einen Buchstaben zu.

Wählen Sie die Ressourcendatei mit der kompletten

Übersetzung für die neue Sprachversion zum Hochladen aus.

6.6.1.6

GINA Selbstregistrierung über Webmail Portal

Zum Registrieren eines eigenen GINA-Benutzerkontos ist es erforderlich, das GINA-Portal im

Webbrowser aufzurufen. Sie gelangen über den folgenden Link zum GINA-Portal: https://<IP-Adresse oder Hostname>/web.app

Externe Benutzer habe die Möglichkeit sich selbst über das GINA-Portal als GINA-Benutzer zu registrieren. Zum Selbstregistrieren eines externen Benutzers gehen Sie wie im Folgenden beschrieben vor:

Schritt 1

Registrieren Sie sich als GINA-Benutzer auf Ihrem SEPPmail System. Auf das GINA-Portal gelangen Sie via Webbrowser unter dem folgenden Link: https://<SecureWebmailApplaince>/web.app

Der Platzhalter <SecureWebmailAppliance> steht für die IP-Adresse oder den Hostnamen unter der/ dem das SEPPmail System intern erreichbar ist.

Damit der Bereich »Regis ter new acco unt« im GINA Secure Webmail-Portal angezeigt wird, muss im Menü »Mail P ro ces s ing -> [Webmail-Do main]« in der

Sektion »Extended Settings « die Option »Allo w acco unt s elf-regis tratio n in

webmail witho ut initial mail« aktiviert werden. Siehe

GINA Webmail-Domains verwalten

Schritt 2

Wählen Sie im Bereich »Regis ter new acco unt« die Schaltfläche »Regis tratio n«, um ein

Benutzerkonto anzulegen.

Wählen Sie die Schaltfläche »Co ntinue« zu fortfahren. Bestätigen Sie im folgenden Dialog mit der

Schaltfläche »Sav e«. Sie erhalten dann eine Bestätigungs-E-Mail mit einem »Activ atio n-Link«. Mit der Auswahl dieses Links bestätigen Sie die Registrierung. Das Benutzerkonto ist nun aktiv und Sie können sich anmelden. Verwenden Sie dazu die bei der Registrierung angegebenen Daten für

Benutzernamen und Passwort. (Benutzername = E-Mail Adresse)

Schritt 3

Bestätigen Sie den Activation-Link in der Bestätigungs-E-Mail.

Das neu angelegte GINA Konto wurde nun aktiviert und kann genutzt werden.

Schritt 4

Melden Sie sich hierzu mit Ihren Anmeldedaten an.

Nach der erfolgreichen Anmeldung an Ihren neuen GINA-Konto können Sie Ihr Konto verwalten oder eine neue GINA-Nachricht verfassen. Weitere Informationen erhalten Sie im Menü

GINA Webmail Konto verwalten

6.6.1.7

GINA Benutzerkonto verwalten

Zum Verwalten des eigenen GINA-Benutzerkontos ist es erforderlich, das GINA-Portal im Webbrowser aufzurufen. Sie gelangen über den folgenden Link zum GINA-Portal: https://<IP-Adresse oder Hostname>/web.app

Zur Administration eines GINA-Benutzerkontos stehen die folgenden Schaltflächen zur Verfügung:

Schaltfläche »Write e-mail«

Wählen Sie die Schaltfläche »Write e-mail«, um eine neue GINA-Nachricht zu erzeugen. Als Absender wird Ihre eigene E-Mail-Adresse verwendet. Als Empfänger können Sie alle E-Mail-Adressen verwenden die im E-Mail-Routing des SEPPmail Systems eingerichtet sind. Hierbei handelt es sich um die internen E-Mail Adressen desjenigen, der das SEPPmail System betreibt.

Es ist nicht möglich, GINA-Nachrichten an beliebige externen Empfänger im Internet zu verwenden. Die Relayberechtigung gilt für alle internen E-Mail-Domains.

Schaltfläche »P ro file«

Wählen Sie die Schaltfläche »P ro file«, um die eigenen Profildaten anzuzeigen.

Schaltfläche »Edit pro file«

Wählen Sie die Schaltfläche »Edit pro file«, um die eigenen Profildaten zu ändern. Sie können die folgenden Daten ändern:

Name

Sprachvariante der Webmail Oberfläche

Mobilfunkrufnummer

Schaltfläche »Change pas s wo rd«

Wählen Sie die Schaltfläche »Change pas s wo rd«, um das persönliche Kennwort und die

Sicherheitsfrage zum Wiederherstellen eines Kennwortes zu ändern.

Schaltfläche »K ey s /Certificates «

Wählen Sie die Schaltfläche »K ey s /Certificates «, um eigene S/MIME Public Keys oder PGP Public

Keys zum SEPPmail System hochzuladen. Diese Zertifikate und Schlüssel können zukünftig genutzt werden, um Ihnen S/MIME- oder PGP verschlüsselte E-Mails zu senden.

Ebenfalls haben Sie die Möglichkeit S/MIME oder PGP Public Keys von internen Mitarbeiten herunterzuladen, um diesen ebenfalls S/MIME- oder PGP verschlüsselte E-Mails zu senden.

6.6.1.8

GINA Self Service Passwort Management

Die Funktion »Self Serv ice P as s wo rt Management (SSP M) « ermöglicht es, dass vergessene

Kennworte vom Empfänger automatisch und ohne Sicherheitsrisiken via Mobiltelefon neu generiert bzw. angefordert werden können.

Diese Funktion steht optional zur Verfügung. Sie benötigen dazu eine separate Lizenz. Ob Ihr

SEPPmail System bereits für die Nutzung lizenziert ist können Sie im Menü »Ho me« in der Sektion »

Licens e« sehen.

Um diese Funktionen zu verwenden gehen Sie folgendermaßen vor:

Öffnen Sie eine bereits erhaltenen GINA-Nachricht. Im Anmeldedialog klicken Sie den »Fo rgo t y o ur

P as s wo rd?«

Sie erhalten daraufhin eine Auswahl der Möglichkeiten, wie Sie das Kennwort zurücksetzen können. In

Abhängigkeit der Sicherheitseinstellungen für das Zurücksetzen des Kennworts werden Ihnen die folgenden Möglichkeiten angeboten:

Sie haben im Rahmen der Funktion »Self Serv ice P as s wo rt Management (SSP M) « zusätzlich zu den Standard-Funktionen folgende Möglichkeiten, das Kennwort zurückzusetzen:

P arameter Bes chreibung default (Res et by ho tline)

Res et by Email v erificatio n

Res et by ho tline

Res et by ho tline, no reminder ques tio n/ans wer

Standard Siehe

GINA Webmail-Domains verwalten

Standard Siehe

GINA Webmail-Domains verwalten

Standard Siehe

GINA Webmail-Domains verwalten

Standard Siehe

GINA Webmail-Domains verwalten

Diese folgenden Möglichkeiten für das Zurücksetzen eines Kennworts können nur im Rahmen der

Funktion »Self Serv ice P as s wo rt Management (SSP M) « ausgeführt werden.

P arameter Bes chreibung

Res et by SMS

Let us er cho o s e between ho tline and SMS

der Webmail-Benutzer erhält ein neues Kennwort via SMS, wenn die Sicherheitsfrage richtig beantwortet wurde, danach muss der

Webmail-Benutzer ein neues Kennwort auswählen und speichern der Webmail-Benutzer hat die Möglichkeit, dass Zurücksetzen des Kennworts zwischen der Option Hotline und SMS auszuwählen

6.6.1.9

GINA Interne Verschlüsselung

Die Funktion Interne Verschlüsselung (IME) ermöglicht es, dass auch firmenintern vertrauliche E-Mails auf komfortable Weise verschlüsselt versendet werden können – vom Arbeitsplatz des Absenders bis zum Desktop des Empfängers. Dadurch sind vertrauliche interne E-Mails im gesamten Firmennetz vor unerlaubtem Zugriff geschützt.

Diese Funktion steht optional zur Verfügung. Sie benötigen dazu eine separate Lizenz. Ob Ihr

SEPPmail System bereits für die Nutzung lizenziert ist können Sie im Menü »Ho me« in der Sektion »

Licens e« sehen.

Um diese Funktionen zu verwenden gehen Sie folgendermaßen vor:

Schritt 1

Registrieren Sie sich als interner GINA-Benutzer auf Ihrem SEPPmail System. Auf das GINA-Portal gelangen Sie via Webbrowser unter dem folgenden Link: https://<SecureWebmailApplaince>/web.app

Der Platzhalter <SecureWebmailAppliance> steht für die IP-Adresse oder den Hostnamen unter der/ dem das SEPPmail-System intern erreichbar ist.

Damit der Bereich »Regis ter new acco unt« in der Webmail-Oberfläche angezeigt wird, muss im Menü »Mail P ro ces s ing -> [Webmail-Do main]« in der Sektion »

Extended Settings « die Option »Allo w acco unt s elf-regis tratio n in webmail

witho ut initial mail« aktiviert werden. Siehe

GINA Webmail-Domains verwalten

Wählen Sie im Bereich »Regis ter new acco unt« die Schaltfläche »Regis tratio n«, um ein

Benutzerkonto anzulegen.

Wählen Sie die Schaltfläche »Co ntinue« zu fortfahren. Bestätigen Sie im folgenden Dialog mit der

Benutzernamen und Passwort. (Benutzername = E-Mail Adresse)

Schritt 2

Nach erfolgreichem Anmelden können Sie über ihr neues GINA-Konto E-Mails an interne Benutzer versenden. Der Empfänger erhält Ihre Nachricht als verschlüsselte GINA-Nachricht in sein Postfach.

Die Nachricht bleibt auch nach dem Lesen weiterhin verschlüsselt im Postfach des Empfängers.

6.6.1.10 GINA S/MIME- und PGP Schlüsselsuche via GINA-Portal

Externe Benutzer habe die Möglichkeit über das GINA-Portal selbst nach S/MIME- oder PGP Public-

Keys von internen Mitarbeitern suchen und diese herunterladen. Es ist ebenfalls möglich nach S/

MIME- oder PGP Public-Keys von Zertifikaten für die Domainverschlüsselung zu suchen und diese herunterzuladen.

Zum GINA-Portal gelangen Sie via Webbrowser unter dem folgenden Link: https://

<SecureWebmailApplaince>/web.app

Der Platzhalter <SecureWebmailAppliance> steht für die IP-Adresse oder den Hostnamen unter der/ dem das SEPPmail System intern erreichbar ist.

Damit der Bereich »Search K ey s /Certificates « im GINA-Portal angezeigt wird, muss im Menü »Mail P ro ces s ing -> [Webmail-Do main]« in der Sektion »

Extended Settings « der Parameter »Allo w unregis tered us ers to s earch

public key s /certificates o f internal us ers « aktiviert werden. Siehe

GINA

Webmail-Domains verwalten

Damit der Bereich »Search K ey s /Certificates « nur für angemeldete Benutzer angezeigt wird, muss die Option »Enable S/MIME certificate / P GP key s earch

and management in webmail« aktiviert werden.

6.6.2 Regeln zur Verarbeitung von GINA-Nachrichten verwalten

Menü »Mail Processing« -> Sektion »GINA settings«

P arameter Bes chreibung

P as s wo rd Length

Us e v irtual ho s ting

Länge der durch Enhanced Secure Webmail automatisch generierten Kennworte (Standard: 8 Zeichen)

(0 = Kennworte werden nicht automatisch generiert, sondern vom Empfänger der GINA-Nachricht gesetzt)

Definiert das Aussehen der URL für den Zugang zum GINA-

Portal beim hinzufügen zusätzlicher GINA-Domains

Adresse der Web-Anwendung zur Anzeige des Lesestatus einer

GINA-Nachricht

Secure GINA track acces s

(e. g.

http: //192. 168. 1. 60: 8080)

Im Standardverhalten verwendet GINA pro angelegter GINA-Domain eine eigenständige URL für den

Zugang zum GINA-Portal.

Beispiel:

Es sind drei GINA-Domains angelegt. Jede GINA-Domain besitzt eine eigene

Portalkonfiguration. Auf die jeweiligen GINA-Portale kann über eine eigenständige

URL zugegriffen werden.

https://secmail.customer1.com/web.app

https://secmail.customer2.com/web.app

https://secmail.customer3.com/web.app

Die im Beispiel angegebenen FQDNs werden als Hostname innerhalb der jeweiligen GINA-Domain angegeben.

Beispiel:

Hostname: secmail.customer1.com

Das Standardverhalten kann durch den folgenden Parameter verändert werden.

P arameter »Us e v irtual ho s ting«

Die Aktivierung dieses Parameters ist erforderlich, wenn zusätzliche GINA-Domains angelegt werden müssen und das jeweilige GINA-Portal für die zusätzlichen Domains über eine eigenständige URL

85 erreichbar soll.

Standardv erhalten o hne zus ätzliche GINA-Do mains und o hne aktiv iertes »v irtuelles

Ho s ting«

Beispiel:

GINA-Hostname [Default]:

secmail.customer.com

GINA-URL eingebettet in der Secure-Webmail [Default]: https://

secmail.customer.com

/web.app?op=init

Standardv erhalten mit zus ätzlichen GINA-Do mains und o hne aktiv iertes »v irtuelles

Ho s ting«

Beispiel:

GINA-Hostname [Default]:

secmail.customer.com

GINA-URI eingebettet in der Secure-Webmail für [Default]: https://

secmail.customer.com

/web.app?op=init

GINA-Hostname [customerDomain1]:

secmail.customer1.com

GINA-URI eingebettet in der Secure-Webmail für [customerDomain1]: https://

secmail.customer.com

secmail.customer1.com

/web.app?op=init

In diesem Beispiel können Sie erkennen, dass o hne »virtuelles Hosting« das GINA-Portal der zusätzlichen GINA-Domain als Pfad unterhalb der [Default] GINA-Domain verwendet wird. Um dieses Verhalten zu optimieren kann es sinnvoll sein, keinen separaten FQDN als Hostnamen für die zusätzliche Domain zu verwenden sondern einen einfachen Pfadnamen.

Beispiel:

GINA-Hostname [customerDomain1]:

mypath

GINA-URI eingebettet in der Secure-Webmail für [customerDomain1]: https://

secmail.customer.com

mypath

/web.app?op=init

Ersetzen Sie den Pfad »mypath« durch einen für Sie passenden Wert.

Verhalten mit zus ätzlichen GINA-Do mains und MIT aktiv iertem »v irtuellen Ho s ting«

Bei aktiv iertem »virtuellem Hosting« sind die GINA-Portale der zusätzlichen GINA-Domains über eine eigenständige URL erreichbar. Innerhalb jeder zusätzlichen GINA-Domain muss ein eindeutiger

FQDN als Hostname eingetragen werden.

Beispiel:

GINA-Hostname [Default]:

secmail.customer.com

GINA-URL eingebettet in der Secure-Webmail [Default]: https://

secmail.customer.com

/web.app?op=init

GINA-Hostname [customerDomain1]:

secmail.customer1.com

GINA-URI eingebettet in der Secure-Webmail für [customerDomain1]: https://

secmail.customer1.com

/web.app?op=init

P arameter »Secure GINA track acces s «

Diese Funktion ermöglicht eine differenzierte Rückmeldung von Lesebestätigungen für versendete

GINA-Nachrichten. Wird eine GINA-Nachricht mit Anforderung der Lesebestätigung an mehrere

Empfänger verschickt, wird dem Absender nur die erste Lesebestätigung zurückgeschickt. Zusätzlich enthält die Lesebestätigung einen Link, unter dem die vollständige Übersicht der Lesebestätigungen aufgeführt ist. Dieser Link beginnt mit der Adresse, welche in diesem Feld eingegeben wird. Der hintere

Teil des Links wird jeweils dynamisch generiert.

Beispiel:

http://192.168.1.60:8080

Rückmeldung an den Absender http://192.168.253.60:8080/track.app?track=$MjAxMzA3Mj...

6.6.3 GINA-SMS Kennwortversand verwalten

Menü »Mail Processing« -> Sektion »GINA password via SMS«

Allgemeiner Hinweis zum SMS-Vers and v o n GINA-K ennwo rtbenachrichtigungen

Die GINA-Schnittstelle ermöglicht es, beim erstmaligen Versand einer GINA-Nachricht, die

Kennwortbenachrichtigung via SMS an den Empfänger zu übermitteln.

Dieser Vorgang kann vereinfacht werden, indem die Mobilfunkrufnummer für den Versand der

Kennwortbenachrichtigung als Bestandteil des Betreff der GINA-Nachricht verwendet wird. Die

Mobilfunkrufnummer wird vor dem Versand ins Internet aus dem Betreff durch SEPPmail entfernt.

Sie haben die folgenden Möglichkeiten die Kennwortbenachrichtigung via SMS zu übermitteln:

als Bes tandteil der E-Mail-Betreffzeile

(mobile: +49123456789) oder (sms: +49123456789) im Betreff einfügen

Beispiel:

Betreff: Sichere E-Mail-Verschlüsselung (mobile: +49123456789)

Betreff: Sichere E-Mail-Verschlüsselung (sms: +49123456789)

v erwenden einer zuv o r im GINA-Benutzerko nto hinterlegten Mo bilfunkrufnummer

Die im GINA-Benutzerkonto hinterlegte Mobilfunkrufnummer kann für die Funktion »Self-Serv ice

pas s wo rd management« verwendet werden. Externe GINA-Benutzer haben die Möglichkeit das eigene Benutzerkennwort bei Bedarf selbstständig zurückzusetzen.

Senden eines Einmalkennwo rts (One-Time P as s wo rd) über die

K o nfiguratio ns o berfläche im Menü »GINA acco unts -> [Name des GINA-

Benutzerko nto s ]«

Diese Option wird i.d.R. zum Zurücksetzen des Benutzerkennworts durch einen Administrator verwendet.

Verwenden einer in SEP P mail integrierten Web-Anwendung (Standard)

Für den internen Benutzer kann eine integrierte Web-Anwendung zum SMS-Versand an neue externe GINA-Benutzer eingerichtet werden. Auf diese Web-Anwendung kann wahlweise über den

Konfigurationswebserver oder das öffentliche GINA-Portal zugegriffen werden.

Zum Einrichten der Schnittstelle für den SMS-Versand stehen bei SEPPmail unterschiedliche

Konfigurationsmöglichkeiten zur Verfügung. Hierbei handelt es sich um eine global wirksame

Konfiguration die nicht durch den Benutzer beeinflusst werden kann.

P arameter Bes chreibung

Dis able

Us e cell pho ne / GSM mo dem attached to appliance

Us e Mail to SMS s erv ice

(co nfiguratio n belo w)

Us e xml s erv ice

(co nfiguratio n belo w)

Us e HTTP GET s erv ice

(co nfiguratio n belo w)

SMS-Versand deaktivieren

Mobiltelefon oder GSM-Modem verwenden, welches direkt an die Hardware-Appliance angeschlossen ist

E-Mail-zu-SMS Dienst oder Gateway mit folgenden

Einstellungen verwenden

XML-Dienst verwenden (weitere Informationen erhalten Sie über den technischen Support)

HTTP-GET-Dienst verwenden (weitere Informationen erhalten Sie

über den technischen Support)

In Abhängigkeit der ausgewählten Option für den SMS-Versand können Sie die Detailkonfiguration vornehmen.

Die fo lgenden Variablen (P latzhalter) s tehen innerhalb der K o nfiguratio n für den XML-

Diens t und den HTTP -GET-Diens t zur Verfügung:

1. $sms

2. $number

: zu übermittelnder Nachrichtentext

: Mobilfunkrufnummer incl. Landesvorwahl (+xx...)

3. $countrycode : Landesvorwahl, z.B. "49"

4. $localnumber : Mobilfunkrufnummer OHNE Landesvorwahl

P arameter »Us e cell pho ne / GSM mo dem attached to appliance«

Für diesen Parameter steht keine Detailkonfiguration zur Verfügung. Bei Verwendung einer

Hardware-Appliance haben die Möglichkeit, ein Mobiltelefon direkt via USB-Kabel anzuschließen.

Die Steuerung erfolgt dabei automatisch durch das SEPPmail System.

P arameter »Us e Mail to SMS s erv ice«

Mail fro m:

Absender Mail-Adresse für den SMS-Versand

Gateway Do main <Mo bile #>@ :

Gateway-Domäne für den SMS-Versand

P arameter »Us e xml s erv ice«

Hier binden Sie den XML-Service eines externen Dienstleisters ein, um GINA-

Kennwortbenachrichtigungen via SMS zu versenden. Dazu stehen die folgenden Parameter zur

Verfügung:

Serv er addres s :

Adresse des externen Servers an den das XML-Template übermittelt werden soll. Sie erhalten diese Adresse von Ihrem Dienstleister.

XML-Beispiel: https://xml1.aspsms.com

xml template:

Quellcode für das XML-Template. Sie erhalten diese Daten von Ihrem Dienstleister.

XML-Beispiel:

<?xml version="1.0" encoding="UTF-8"?>

<Originator>Secmail</Originator>

<PhoneNumber>$number</PhoneNumber>

</Recipient>

<Action>SendTextSMS</Action>

</aspsms>

P arameter »Us e HTTP GET s erv ice«

Hier binden Sie den HTTP-GET-Service eines externen Dienstleisters ein, um GINA-

Kennwortbenachrichtigungen via SMS zu versenden. Dazu stehen die folgenden Parameter zur

Verfügung:

Serv er addres s :

Adresse des externen Servers an den der HTTP-GET-String übermittelt werden soll. Sie erhalten diese Adresse von Ihrem Dienstleister.

HTTP-Get-Beispiel: https://www.chrus.ch

HTTP Get String:

Pfadname mit Anwendung incl. der übergebenen Parameter mit den zu übermittelnden SMS-Daten.

HTTP-Get-Beispiel: /mysms/http/send.php?

user=xyz&pwd=xyz&from=Secmail&to=$number&msg=$sms

Zugriffs berechtigung auf die integrierte Web-Anwendung für den SMS-Vers and

P arameter Bes chreibung

Dis abled

Av ailable v ia public GINA

GUI

Av ailable v ia the fo llo wing

URL (eg.

https : //192. 168. 1. 60: 8443/ pws end. app)

Zugang zur Web-Anwendung für den SMS-Versand ist deaktiviert

Aktiviert den Zugang zur Web-Anwendung für den SMS-Versand von Kennwortbenachrichtigungen über das öffentliche GINA-

Portal. Die Web-Anwendung steht auf demselben Port zur

Verfügung wie das GINA-Portal. (Standard: TCP/443 - HTTPS)

Aktiviert den Zugang zur Web-Anwendung für den SMS-Versand von Kennwortbenachrichtigungen aus dem internen Netzwerk.

Die Web-Anwendung steht auf demselben Port zur Verfügung wie die Konfigurationsoberfläche. (Standard TCP/8443)

Acces s to GINA s end pas s wo rd fo rm:

P arameter »Av ailable v ia public Webmail GUI«

Zum Versenden einer Kennwortbenachrichtigung via SMS erhält der interne Absender eine E-Mail-

Nachricht. Diese Kennwortbenachrichtigung wird beim Erzeugen eines GINA-Kontos für einen externen

Empfänger automatisch generiert und an den internen Absender gesendet. In dieser E-Mail-Nachricht befindet sich ein Link zu einer Web-Anwendung über die der SMS-Versand durchgeführt wird. Je nach individueller Implementierung des Enhanced Secure Webmail-Systems kann es erforderlich sein, auf diese Web-Anwendung über das öffentliche GINA-Portal zuzugreifen. Aktivieren Sie diese Option, um

über den Port auf die Web-Anwendung zuzugreifen über auch das GINA-Portal erreichbar ist. Es wird empfohlen den Standard-Port für HTTPS (TCP/443) zu verwenden.

Beispiel:

GINA-Portal erreichbar über: https://secmail.customer.com/web.app

Web-Anwendung für den SMS-Versand der Kennwortbenachrichtigung erreichbar über: https://secmail.customer.com/pesend.app

P arameter »Av ailable v ia the fo llo wing URL«

Zum Versenden einer Kennwortbenachrichtigung via SMS erhält der interne Absender eine E-Mail-

Nachricht. Diese Kennwortbenachrichtigung wird beim Erzeugen eines GINA-Kontos für einen externen

Empfänger automatisch generiert und an den internen Absender gesendet. In dieser E-Mail-Nachricht befindet sich ein Link zu einer Web-Anwendung über die der SMS-Versand durchgeführt wird. Die

Web-Anwendung ist ausschließlich über die in diesem Eingabefeld definierte URI erreichbar. Diese

Einstellung können Sie verwenden, wenn die Web-Anwendung nur aus dem internen Netzwerk erreichbar sein soll.

Beispiel:

Web-Anwendung für den SMS-Versand der Kennwortbenachrichtigung erreichbar über: https://192.168.1.60:8443/pwsend.app

6.6.4 Disclaimer verwalten

Menü »Mail Processing« -> Sektion »Edit Disclaimer«

Der Standard-Disclaimer hat die Bezeichnung [default]. Sie können neben dem Standard-Disclaimer zusätzliche Disclaimer hinzufügen und Konfigurieren, Disclaimer Löschen oder bestehende Disclaimer editieren.

Einen Dis claimer lö s chen

Um einen Disclaimer zu löschen, wählen Sie den zu löschenden Disclaimer aus und klicken Sie auf die

Schaltfläche »Delete. . . «. Der Disclaimer wird aus der Konfiguration entfernt.

Beachten Sie dabei, dass dieser Disclaimer nicht mehr innerhalb der Ruleset-

Programmierung wird, bevor Sie diesen löschen. Anderenfalls kann es zu Problemen bei der Ausführung von Ruleset-Anweisungen kommen.

Einen v o rhandenen Dis claimer editieren

Um einen vorhandenen Disclaimer zu bearbeiten, klicken Sie die Schaltfläche »Edit. . . «.

P arameter »Dis claimer as text«

Fügen Sie in diesem Feld den Inhalt des Disclaimer im reinen Textformat ein.

P arameter »Dis claimer as Html«

Fügen Sie in diesem Feld den Inhalt des Disclaimers im HTML-Format ein. Sie können hier unterschiedliche HTML-Tags zur Formatierung benutzen. (z.B. Absätze, Schriftgröße oder

Schriftfarbe)

Einen neuen Dis claimer ers tellen

Sie können zusätzlich zum Standard-Disclaimer mit der Bezeichnung [default] bei Bedarf zusätzliche

Disclaimer einrichten. Ein Disclaimer kann innerhalb der Konfiguration einer »Managed Do main« zugewiesen und verwendet werden. Der Disclaimer wird an alle ausgehenden E-Mails dieser

»Managed Do main« automatisch angehängt.

Um einen zusätzlichen Disclaimer einzurichten, klicken Sie die Schaltfläche »Create new

dis claimer. . . «. Geben Sie eine Bezeichnung für den neuen Disclaimer ein und klicken Sie die

Schaltfläche »Create«. Wählen Sie anschließend Ihren neuen Disclaimer in der Auswahlliste aus und klicken Sie auf die Schaltfläche »Edit. . . «. Sie können nun den Text des neuen Disclaimers bearbeiten.

6.6.5 Mail-Vorlagen (Templates) verwalten

Menü »Mail Processing« -> Sektion »Edit Mail Templates«

Bei Templates handelt es sich um vordefinierte Nachrichten, welche in definierten Fällen automatisiert versendet werden. Templates können nur innerhalb von Ruleset-Anweisungen verwendet werden.

Das Standard-Template »bo unce_ no enc« v erwalten

Das einzige Template, welches nach Inbetriebnahme der SEPPmail-Systems zur Verfügung steht, hat die Bezeichnung »bo unce_ no enc«. Dieses Template kommt zum Einsatz, wenn ein Absender versucht, eine verschlüsselte E-Mail zu verschicken, die Verschlüsselung jedoch fehlschlägt. Die E-

Mail wird in einem solchen Fall nicht durch Enhanced Secure Webmail versendet. Der Absender erhält eine Benachrichtigung via E-Mail mit dem Inhalt des Templates als Nachrichtentext.

Um das Template »bo unce_ no enc« zu bearbeiten, klicken Sie auf die Schaltfläche »Edit. . . «.

Ein Template lö s chen

Um ein Template zu löschen, wählen Sie das zu löschende Template aus und klicken Sie auf die

Schaltfläche »Delete. . . «. Das Template wird aus der Konfiguration entfernt.

Beachten Sie dabei, dass dieses Template nicht mehr innerhalb der Ruleset-

Programmierung wird, bevor Sie es löschen. Anderenfalls kann es zu Problemen bei der Ausführung von Ruleset-Anweisungen kommen.

Ein bes tehendes Template editieren

Um ein vorhandenes Template zu bearbeiten, klicken Sie die Schaltfläche »Edit. . . «.

P arameter »Template as text«

Fügen Sie in diesem Feld den Inhalt des Templates im Textformat ein.

Die folgenden Variablen (Platzhalter) stehen innerhalb der Konfiguration für das Template zur

Verfügung:

1. $to

2. $header_to

: E-Mail-Adresse des Empfängers

: Header der ursprünglichen E-Mail als Anlage

Ein neues Template ers tellen

Sie können zusätzlich zum Standard-Template mit der Bezeichnung »bo unce_ no enc« bei Bedarf zusätzliche Templates einrichten. Ein Template wird jeweils durch eine entsprechende Regelwerk-

Anweisung verwendet.

Um ein zusätzliches Template einzurichten, klicken Sie die Schaltfläche »Create new template. . . «.

Geben Sie eine Bezeichnung für das neue Template ein und klicken Sie die Schaltfläche »Create«.

Wählen Sie anschließend Ihr neues Template in der Auswahlliste aus und klicken Sie auf die

Schaltfläche »Edit. . . «. Sie können nun den Text des neuen Templates bearbeiten.

6.6.6 Regelwerk verwalten

Menü »Mail Processing« -> Sektion »Ruleset Generator«

Die Sektion »Rules et« ist in folgende Bereiche unterteilt:

General Settings

User Creation

Encryption / Decryption

Signing

Key Generation

100

Protection Pack (Anti-SPAM / Anti-Virus)

Header tagging

102

Archiving

102

Custom Commands

103

10.

Advanced Options

103

11.

Remote Webmail Relay

104

101

Diese Bereiche werden nachfolgend einzeln erläutert.

Sektio n »Rules et Generato r« -> Bereich »General Settings «

P arameter Bes chreibung

Do no t to uch mails with the fo llo wing text in s ubject

Add dis claimer to all o utgo ing emails

Als o add dis claimer to replies (in-reply -to header s et)

Repro ces s mails s ent to repro ces s @ decry pt.

repro ces s

Sho w mes s age s ubject in lo gs

Definieren Sie einen Tag, um die cryptografische Verarbeitung einer E-Mail zu verhindern.

Fügt den Standard-Disclaimer allen ausgehenden E-Mail-

Nachrichten hinzu.

Fügt den Standard-Disclaimer allen ausgehenden E-Mail-

Nachrichten hinzu die durch den internen Benutzer als Antwort auf eine empfangene Nachricht gesendet wurden.

Ermöglicht es, den Entschlüsselungsvorgang einer empfangenen

E-Mail noch einmal durchzuführen.

Aktiviert die Anzeige der Betreffzeile innerhalb der Log-Dateien.

P arameter »Do no t to uch mails with the fo llo wing text in s ubject«

Standard: \[plain\]

Definieren Sie einen Tag, um die cryptografische Verarbeitung einer E-Mail zu verhindern. Fügen

Sie diesen Tag incl. der eckigen Klammern in der Betreffzeile hinzu, so wird diese E-Mail durch das Ruleset nicht cryptografisch verarbeitet. Das Ruleset kann somit »umgangen« werden. Die

Backslash innerhalb des Tags stellen Escape-Symbole dar. Dieses sind durch den Benutzer nicht einzugeben.

Beispiel:

Betreff: [plain] Sichere E-Mail-Verschlüsselung

Aktivieren Sie diesem Parameter, um dem Benutzer die Möglichkeit zu gehen das eingerichtete

Ruleset zu umgehen.

P arameter »Add dis claimer to all o utgo ing mails «

Nutzen Sie diese Einstellung, wenn Sie den Standard-Disclaimer an alle ausgehenden E-Mail-

Nachrichten anhängen möchten.

P arameter »Als o add dis claimer to replies (in-reply -to header s et) «

Nutzen Sie diese Einstellung, wenn Sie den Standard-Disclaimer auch an E-Mail-Nachrichten anhängen wollen auf die der interne Benutzer geantwortet hat.

P arameter »Repro ces s mails s ent to repro ces s @ decry pt. repro ces s «

Diese Einstellung betrifft verschlüsselte E-Mails, die an interne E-Mail-Empfänger geschickt wurden und vom SEPPmail-System nicht entschlüsselt werden konnten. Dieser Fall kann z.B.

eintreten, wenn das Secure-E-Mail-System zum Zeitpunkt des Erhalts einer E-Mail nicht über das benötigte Schlüsselmaterial verfügt. Mit diesem Parameter ermöglichen Sie entsprechenden

Benutzern den Versand von E-Mails, welche nicht entschlüsselt werden konnten, an die Adresse

»repro ces s @ decry pt. repro ces s «, um den Entschlüsselungsvorgang mittels SEPPmail

Appliance erneut auszulösen.

P arameter »Sho w mes s age s ubject in lo gs «

Nutzen Sie diese Einstellung, wenn die Betreffzeile einer E-Mail in den Log-Dateien angezeigt werden soll.

Sektio n »Rules et« -> Bereich »Us er Creatio n«

P arameter Bes chreibung

Manual us er creatio n: Only pro ces s o utgo ing mails fro m us ers with an acco unt auto matically create acco unts fo r new us ers if us er tries to s ign / encry pt auto matically create acco unts fo r all us ers

Deaktiviert das automatische anlegen von Benutzerkonten.

Aktiviert das automatische Anlegen von Benutzerkonten, wenn versucht wird die Cryptofunktionen zu nutzen.

Aktiviert das automatische Anlegen von Benutzerkonten für alle internen Absender-E-Mail-Adressen, von denen E-Mails durch

SEPPmail transportiert werden.

P arameter »Manual us er creatio n: Only pro ces s o utgo ing mails fro m us ers with an acco unt«

Aktivieren Sie diesen Parameter, wenn Sie die Nutzung der SEPPmail Appliance nur denjenigen

Personen ermöglichen möchten, welche bereits über ein Benutzerkonto auf der Appliance verfügen.

P arameter »auto matically create acco unts fo r new us ers if us er tries to s ign / encry pt«

Dieser Parameter ermöglicht die automatische Erstellung neuer Benutzer. Ist diese Einstellung

94 aktiv, werden interne E-Mail-Absender automatisch als Benutzer auf der Appliance erfasst. Dies erfolgt dann, wenn der internen E-Mail-Absender versucht eine E-Mail zu signieren oder zu verschlüsseln.

P arameter »auto matically create acco unts fo r all us ers «

Dieser Parameter ermöglicht die automatische Erstellung neuer Benutzer. Ist diese Einstellung aktiv, werden interne E-Mail-Absender automatisch als Benutzer auf der Appliance erfasst.

Sektio n »Rules et« -> Bereich »Encry ptio n / Decry ptio n« -> »Inco ming Emails «

P arameter Bes chreibung

Add this text to mes s age s ubject after decry ptio n

Set co nfidential flag after decry ptio n

Reject mails if S/MIME decry ptio n fails

Definiert einen Tag, um eine erfolgreich entschlüsselte E-Mail zu markieren

Setzt die Outlook-Nachrichtenoption »v ertraulich« nach erfolgreichen Entschlüsselung

Zurückweisen von eingehenden S/MIME-verschlüsselten E-Mails die nicht erfolgreich entschlüsselt werden können

P arameter »Add this text to mes s age s ubject after decry ptio n«

Standard: \[secure\]

Sie können einen Tag definieren, um eine erfolgreich entschlüsselte E-Mail zu markieren. Dieser wird am Ende der Betreffzeile einer entschlüsselten E-Mail angehängt. Die Backslash innerhalb des Tags stellen Escape-Symbole für die öffnende und schließende eckige Klammer dar. Die

Backslash werden beim Einfügen durch SEPPmail entfernt.

Beispiel:

Betreff: Sichere E-Mail-Verschlüsselung [secure]

P arameter »Set co nfidential flag after decry ptio n«

Wird eine eingehende E-Mail durch SEPPmail entschlüsselt, so wird automatisch die Outlook-

Nachrichtenoption »v ertraulich« bei einer nach intern weitergeleiteten E-Mail gesetzt. Beim

Antworten bleibt diese Nachrichtenoption erhalten und die ausgehende E-Mail wird durch

SEPPmail ebenfalls verschlüsselt.

P arameter »Reject mails if S/MIME decry ptio n fails «

Aktivieren Sie diesen Parameter, falls eingehende verschlüsselte E-Mails zurückgewiesen werden sollen, wenn die Entschlüsselung fehlschlägt.

Sektio n »Rules et« -> Bereich »Encry ptio n / Decry ptio n« -> »Outgo ing Emails «

P arameter Bes chreibung

Alway s encry pt mails with the fo llo wing text in s ubject

Alway s encry pt mails with

Outlo o k " co nfidential" flag s et

Alway s us e GINA techno lo gy fo r mails with the fo llo wing text in s ubject

Alway s us e GINA techno lo gy fo r mails with Outlo o k

" priv ate" flag s et

Create GINA us ers with empty pas s wo rd if the fo llo wing text is in the s ubject

Alway s us e S/MIME o r o penP GP if key s are av ailable

Alway s us e GINA encry ptio n if acco unt exis ts and no S/

MIME o r o penP GP key is kno wn

Do no t encry pt o utgo ing mails with the fo llo wing text in s ubject

Ausgehende E-Mails werden verschlüsselt, wenn das angegebene Tag im Betreff eingefügt wurde.

Ausgehende E-Mails werden verschlüsselt, wenn die Microsoft-

Outlook Nachrichtenoption "Vertraulich" gesetzt ist.

Ausgehende E-Mails werden via GINA-Technologie verschlüsselt, wenn das angegebene Tag im Betreff eingefügt wurde.

Ausgehende E-Mails werden via GINA-Technologie verschlüsselt, wenn die Microsoft-Outlook Nachrichtenoption

"Privat" gesetzt ist.

Bei neu erzeugten GINA-Benutzerkonten wird ein leeres

Kennwort gesetzt, wenn das angegebene Tag im Betreff eingefügt wurde.

Ausgehende E-Mails werden automatisch S/MIME oder

OpenPGP verschlüsselt, wenn Schlüsselmaterial des

Empfängers im SEPPmail-Schlüsselspeicher vorhanden ist.

Ausgehende E-Mails werden automatisch via GINA-Technologie verschlüsselt, wenn für den Empfänger ein GINA-Benutzerkonto existiert und kein Schlüsselmaterial des Empfängers im

SEPPmail-Schlüsselspeicher vorhanden ist.

Ausgehende E-Mails werden NICHT verschlüsselt, wenn das angegebene Tag im Betreff eingefügt wurde.

P arameter »Alway s encry pt mails with the fo llo wing text in s ubject«

Standard: \[confidential\]

Sie können einen Tag definieren, um die Verschlüsselung einer ausgehenden E-Mail zu initiieren.

Fügen Sie diesen Tag incl. der eckigen Klammern in der Betreffzeile hinzu, so wird SEPPmail diese

E-Mail verschlüsselt versenden. Die passende Verschlüsselungsmethode wird dabei automatisch durch SEPPmail ausgewählt. Die Backslash innerhalb des Tags stellen Escape-Symbole dar.

Dieses sind durch den Benutzer nicht einzugeben.

Beispiel:

Betreff: [confidential] Sichere E-Mail-Verschlüsselung

Reihenfo lge der Vers chlüs s elungs metho den

1. S/MIME-Benutzerverschlüsselung

2. PGP-Benutzerverschlüsselung

3. S/MIME-Domainverschlüsselung

4. PGP-Domainverschlüsselung

5. Verschlüsselung als GINA-Nachricht

Es wird versucht, die Verschlüsselungsmethoden der Reihenfolge nach anzuwenden. Wird kein

Schlüsselmaterial des Empfängers im SEPPmail Schlüsselspeicher gefunden, so wird die E-Mail via Adhoc-Verschlüsselung als GINA-Nachricht versendet.

Wird die Verwendung der GINA-Technologie deaktiviert, und eine E-Mail kann nicht anderweitig verschlüsselt werden, so wird diese E-Mail von SEPPmail zurückgewiesen und nicht versendet. Der Absender erhält dazu eine E-Mail-

Benachrichtigung. Es wird der Inhalt des Templates »bo unce_ no enc» verwendet.

P arameter »Alway s encry pt mails with Outlo o k " co nfidential" flag s et«

Nutzen Sie diesen Parameter, wenn E-Mails in Microsoft-Outlook mit der Nachrichtenoption

»Vertraulich« stets verschlüsselt werden sollen. Es wird analog zum vorherigen Menüpunkt verfahren.

P arameter »Alway s us e s ecure webmail techno lo gy fo r mails with the fo llo wing text in s ubject«

Standard: \[priv\]

Sie können einen Tag definieren, um die Verschlüsselung einer ausgehenden E-Mail via zu initiieren. Fügen Sie diesen Tag incl. der eckigen Klammern in der Betreffzeile hinzu, so wird

SEPPmail diese E-Mail verschlüsselt versenden. Als Verschlüsselungsmethode wird die

Verwendung der GINA-Technologie erzwungen. Die Backslash innerhalb des Tags stellen Escape-

Symbole dar. Dieses sind durch den Benutzer nicht einzugeben.

Beispiel:

Betreff: [priv] Sichere E-Mail-Verschlüsselung

P arameter »Alway s us e s ecure webmail techno lo gy fo r mails with Outlo o k " priv ate" flag s et«

Nutzen Sie diese Option, wenn E-Mails in Microsoft-Outlook mit der Nachrichtenoption »P riv ate« stets verschlüsselt werden sollen. Als Verschlüsselungsmethode wird die Verwendung der GINA-

Technologie erzwungen.

P arameter »Create Secure webmail us ers with empty pas s wo rd if the fo llo wing text is in the s ubject«

Standard: \[emptypw\]

Sie können einen Tag definieren, um GINA-Benutzerkonten mit einem leeres Kennwort zu erzeugen.

Fügen Sie diesen Tag incl. der eckigen Klammern in der Betreffzeile hinzu. Der Empfänger der

GINA-Nachricht erhält kein Initialisierungskennwort. Er bestimmt sein persönlichen Kennwort beim erstmaligen Login innerhalb des GINA-Portals selbst. Die Backslash innerhalb des Tags stellen

Escape-Symbole dar. Dieses sind durch den Benutzer nicht einzugeben.

Beispiel:

Betreff: [emptypw] Sichere E-Mail-Verschlüsselung

P arameter »Alway s us e S/MIME o r OpenP GP if key s are av ailable«

Aktivieren Sie diesen Parameter, um ausgehende E-Mails via S/MIME oder OpenPGP zu verschlüsseln, sofern entsprechendes Schlüsselmaterial vom Empfänger im SEPPmail

Schlüsselspeicher vorhanden sind. Bei vorhandenem Schlüsselmaterial des Empfängers erfolgt die Verschlüsselung nur dann, wenn für den internen Absender ein aktives Benutzerkonto existiert.

P arameter »Alway s us e Webmail encry ptio n if acco unt exis ts «

Aktivieren Sie diesem Parameter, um ausgehende E-Mails immer als GINA-Nachricht zu versenden, falls für den Empfänger bereits ein GINA-Benutzerkonten existiert. Die Verwendung der

GINA-Technologie wird für alle E-Mails an den Empfänger erzwungen.

P arameter »Do no t encry pt o utgo ing mails with the fo llo wing text in s ubject«

Standard: \[noenc\]

Sie können einen Tag definieren, um das Verschlüsseln einer ausgehenden E-Mail zu verhindern.

Fügen Sie diesen Tag incl. der eckigen Klammern in der Betreffzeile hinzu, so wird diese E-Mail durch das Ruleset nicht cryptografisch verarbeitet. Das Ruleset kann somit »umgangen« werden.

Die Backslash innerhalb des Tags stellen Escape-Symbole dar. Dieses sind durch den Benutzer nicht einzugeben.

Beispiel:

Betreff: [noenc] Sichere E-Mail-Verschlüsselung

Sektio n »Rules et« -> Bereich »Signing« -> »Inco ming Emails «

P arameter

Add this text to mes s age s ubject if S/MIME s ignature check s ucceeds remo v e s ignature if S/MIME s ignature check s ucceeds

Add this text to mes s age s ubject if S/MIME s ignature fails remo v e s ignature if S/MIME s ignature check fails

Bes chreibung

Fügt eine Statusinformation im Betreff der E-Mail hinzu, wenn die

S/MIME-Signaturprüfung erfolgreich durchgeführt werden konnte.

Entfernt die S/MIME-Signatur innerhalb der E-Mail, wenn die S/

MIME-Signaturprüfung erfolgreich durchgeführt werden konnte.

Fügt eine Statusinformation im Betreff der E-Mail hinzu, wenn die

S/MIME-Signaturprüfung NICHT erfolgreich durchgeführt werden konnte.

Entfernt die S/MIME-Signatur innerhalb der E-Mail, wenn die S/

MIME-Signaturprüfung NICHT erfolgreich durchgeführt werden konnte.

P arameter »Add this text to mes s age s ubject if S/MIME s ignature check s ucceeds «

Standard: \[signed\sOK\]

Sie können einen Tag definieren, um eine S/MIME signierte E-Mail zu markieren deren Signatur erfolgreich geprüft werden konnte. Dieser Tag wird am Ende der Betreffzeile einer signierten E-Mail angehängt. Die Backslash innerhalb des Tags stellen Escape-Symbole für die öffnende und schließende eckige Klammer dar. Die Backslash werden beim Einfügen durch SEPPmail entfernt.

Die S/MIME-Signatur wird gegen die Root-CA-Zertifikate im SEPPmail Zertifikatsspeicher (Menü

»X.509 Root certificates«) geprüft. Bei der Prüfung werden nur Root-CA-Zertifikate mit dem Status

»trus ted« berücksichtigt.

Beispiel:

Betreff: Sichere E-Mail-Verschlüsselung [signed OK]

P arameter »remo v e s ignature if S/MIME s ignature check s ucceeds «

Aktivieren Sie diesen Parameter, falls Sie die S/MIME-Signatur einer E-Mail entfernen wollten. Dies wird nur ausgeführt, wenn die S/MIME-Signatur durch SEPPmail erfolgreich gegen eine Root-CA im eigenen Root-CA-Speicher geprüft werden konnte. (Siehe Menü

»X.509 Root Certificates«

174

)

P arameter »Add this text to mes s age s ubject if S/MIME s ignature fails «

Standard: \[signed\sINVALID\]

Sie können einen Tag definieren, um eine S/MIME signierte E-Mail zu markieren deren Signatur

NICHT erfolgreich geprüft werden konnte. Dieser Tag wird am Ende der Betreffzeile einer signierten

E-Mail angehängt. Die Backslash innerhalb des Tags stellen Escape-Symbole für die öffnende und schließende eckige Klammer dar. Die Backslash werden beim Einfügen durch SEPPmail entfernt.

Die S/MIME-Signatur wird gegen die Root-CA-Zertifikate im SEPPmail Zertifikatsspeicher (Menü

»X.509 Root certificates«) geprüft. Bei der Prüfung werden nur Root-CA-Zertifikate mit dem Status

»trus ted« berücksichtigt.

Beispiel:

Betreff: Sichere E-Mail-Verschlüsselung [signed INVALID]

P arameter »remo v e s ignature if S/MIME s ignature check fails «

Aktivieren Sie diesen Parameter, falls Sie die S/MIME-Signatur einer E-Mail entfernen wollten. Dies wird nur ausgeführt, wenn die S/MIME-Signatur durch SEPPmail nicht erfolgreich gegen eine Root-

CA im eigenen Root-CA-Speicher geprüft werden konnte. (Siehe Menü

»X.509 Root Certificates«

174

)

Sektio n »Rules et« -> Bereich »Signing« -> »Outgo ing Emails «

P arameter Bes chreibung

S/MIME s ign o utgo ing mails with the fo llo wing text in s ubject

Ausgehende E-Mails werden S/MIME signiert, wenn das angegebene Tag im Betreff eingefügt wurde.

P arameter Bes chreibung

Sign all o utgo ing Emails if S/

MIME certificate av ailable

Do no t S/MIME s ign o utgo ing mails with the fo llo wing text in s ubject

S/MIME s ign o utgo ing mails with do main key with the fo llo wing text in s ubject

Ausgehende E-Mails werden S/MIME signiert, wenn für den internen Absender ein Benutzerkonto existiert und ein S/MIME-

Zertifikat vorhanden ist.

Ausgehende E-Mails werden NICHT S/MIME signiert, wenn das angegebene Tag im Betreff eingefügt wurde.

Ausgehende E-Mails werden S/MIME signiert, wenn das angegebene Tag im Betreff eingefügt wurde. Hierbei wird nicht das S/MIME Benutzerzertifikat des Absenders verwendet, sondern das Zertifikat eines durch die angegebene E-Mail definierten Benutzers.

P arameter »S/MIME s ign o utgo ing mails with the fo llo wing text in s ubject«

Standard: \[sign\]

Sie können einen Tag definieren, um eine ausgehende E-Mail zu signieren. Fügen Sie diesen Tag incl. der eckigen Klammern in der Betreffzeile hinzu. Falls ausgehende E-Mails nicht standardmäßig signiert werden, so kann der Benutzer die Signierung der aktuellen E-Mail initiieren.

Die Backslash innerhalb des Tags stellen Escape-Symbole dar. Dieses sind durch den Benutzer nicht einzugeben.

Beispiel:

Betreff: [sign] Sichere E-Mail-Verschlüsselung

P arameter »Sign all o utgo ing Emails if S/MIME certificate av ailable«

Aktivieren Sie diesem Parameter, um sämtliche ausgehenden E-Mails zu signiert, sofern ein entsprechende S/MIME-Zertifikat für den Absender vorhanden sind.

P arameter »Do no t S/MIME s ign o utgo ing mails with the fo llo wing text in s ubject«

Standard: \[nosign\]

Sie können einen Tag definieren, um eine ausgehende E-Mail NICHT zu signieren. Fügen Sie diesen

Tag incl. der eckigen Klammern in der Betreffzeile hinzu, so wird diese E-Mail durch das Ruleset nicht cryptografisch verarbeitet, falls dies evtl. der Voreinstellung entsprechen sollte. Das Ruleset kann somit »umgangen« werden. Die Backslash innerhalb des Tags stellen Escape-Symbole dar.

Dieses sind durch den Benutzer nicht einzugeben. Die Backslash innerhalb des Tags stellen

Escape-Symbole dar. Diese sind durch den Benutzer nicht einzugeben.

Beispiel:

Betreff: [nosign] Sichere E-Mail-Verschlüsselung

P arameter »S/MIME s ign o utgo ing mails with do main key with the fo llo wing text in s ubject«

100

Standard: \[domainsign\]

Sie können einen Tag definieren, um eine ausgehende E-Mails mit einem Domainzertifikat Ihrer

Organisation zu signieren. Fügen Sie diesen Tag incl. der eckigen Klammern in der Betreffzeile hinzu. Falls ausgehende E-Mails nicht standardmäßig signiert werden, so kann der Benutzer die

Signierung der aktuellen E-Mail initiieren. Die Backslash innerhalb des Tags stellen Escape-

Symbole dar. Dieses sind durch den Benutzer nicht einzugeben.

Beispiel:

Betreff: [domainsign] Sichere E-Mail-Verschlüsselung

Weitere K o nfiguratio ns parameter:

1. Using Certificate : zu verwendendes Domainzertifikat eines aus einem in SEPPmail

2. Text before new FROM : Text vor dem Domainabsender

3. Text after new FROM : Text nach dem Domainabsender

Sektio n »Rules et« -> Bereich »K ey Generatio n«

P arameter Bes chreibung auto matically create o penP GP key s fo r new us ers

automatisches Erzeugen von OpenPGP Benutzerschlüsseln automatisches Erzeugen von S/MIME Benutzerzertifikaten

auto matically create S/MIME key s fo r new us ers auto matically buy . . . . . . . . . . . . . . . . S/MIME key s fo r new us ers

automatisches Beziehen von S/MIME-Benutzerzertifikaten über den angezeigten CA-Connector

P arameter »auto matically create o penP GP key s fo r new us ers «

Dieser Parameter bewirkt, dass für neue Benutzer automatisch OpenPGP-Schlüssel erzeugt werden.

P arameter »auto matically create S/MIME key s fo r new us ers «

Dieser Parameter bewirkt, dass für neue Benutzer automatisch S/MIME-Zertifikate erzeugt werden.

P arameter »auto matically buy Swis s Sign S/MIME key s fo r new us ers «

Dieser Parameter ist im Standard nicht sichtbar. Er wird in Abhängigkeit des aktivierten CA-

Connnectors angezeigt. Aktivieren Sie diesen, um automatisch Benutzerzertifikate für neue

Benutzer über den jeweiligen CA-Connector zu beziehen.

Fo lgende CA-Co nnecto ren s tehen im Menü »CA« zur Verfügung:

1. S-TRUST

2. none

3. Signtrust

: CA von Deutscher Sparkassen Verlag GmbH

: CA-Connector ist deaktiviert

: CA von Deutsche Post Signtrust und DMDA GmbH

101

4. SwissSign : CA von SwissSign AG (100%-ige Tochterfirma der Schweizerischen Post)

Sektio n »Rules et« -> Bereich »P ro tectio n P ack (Anti-SP AM / Anti-Virus ) «

P arameter Bes chreibung

Check mails fo r v irus es and s end infected mails to

(leav e empty to reject infected mails )

Send no tificatio n to this email addres s if a v irus was fo und

Check inco ming mails fo r s pam and add the fo llo wing text to the s ubject to identify s pam

Check inco ming mails fo r s pam and redirect s pam to

(leav e empty to reject s pam)

Aktiviert den Virenscanner und sendet infizierte E-Mails an die angegebene E-Mail-Adresse.

Sendet eine Benachrichtigung über einen Virenfund an die angegebene E-Mail-Adresse.

Aktiviert die SPAM-Prüfung eingehender E-Mails und markiert diese nach erfolgreicher SPAM-Prüfung.

Aktiviert die SPAM-Prüfung und sendet als SPAM erkannte E-

Mails an die angegebene E-Mail-Adresse.

P arameter »Check mails fo r v irus es and s end infected mails to (leav e empty to reject infected mails ) «

Sie können mit diesem Parameter eingehende E-Mails auf Viren überprüfen und bei erkannter

Infektion an die zusätzliche angegebene E-Mail-Adresse weiterleiten. Der ursprüngliche Empfänger erhält die infizierte E-Mail nicht. Wenn keine E-Mail-Adresse angegeben ist, werden entsprechende

E-Mails gelöscht.

P arameter »Send no tificatio n to this email addres s if a v irus was fo und«

Wird bei einer eingehenden E-Mail ein Virus gefunden, so wird eine Benachrichtigung über dieses

Ereignis an die hier angegebene E-Mail-Adresse gesendet.

P arameter »Check inco ming mails fo r s pam and add the fo llo wing text to the s ubject to identify s pam«

Standard: [SPAM]

Sie können mit diesem Parameter eingehende E-Mails auf SPAM überprüfen. Handelt es sich um eine als SPAM erkannte E-Mail, so wird der zusätzlich definierte Tag am Ende der Betreffzeile hinzugefügt, um die E-Mail als SPAM gekennzeichnet.

Tag lev el: Sie definieren hier einen Schwellwert, ab dem eine eingehende E-Mail als SPAM eingestuft und markiert wird. Je niedriger dieser Wert ist, desto wahrscheinlicher ist es, dass eine

E-Mail als SPAM erkannt wird. Gleichzeitig erhöht sich bei niedrigen Werten das Risiko einer

Falscherkennung, so dass legitime E-Mails als SPAM erkannt werden. Eine als SPAM erkannte und markierte E-Mail wird an den ursprünglichen Empfänger weitergeleitet.

102

P arameter »Check inco ming mails fo r s pam and redirect s pam to (leav e empty to reject s pam) «

Sie können mit diesem Parameter eingehende E-Mails auf SPAM überprüfen und bei positiver

Erkennung an die hier zusätzlich angegebene E-Mail-Adresse weiterleiten. Der ursprüngliche

Empfänger erhält diese E-Mail nicht mehr. Wenn keine E-Mail-Adresse angegeben ist, werden entsprechende E-Mails gelöscht.

Spam lev el: Sie definieren hier einen Schwellwert, ab dem eine eingehende E-Mail als SPAM eingestuft und an die angegebene E-Mail-Adresse weitergeleitet wird. Wenn keine E-Mail-Adresse angegeben ist, werden entsprechende E-Mails beim Empfang zurückgewiesen.

Sektio n »Rules et« -> Bereich »Header tagging«

Wird das SEPPmail-System zusammen mit anderen E-Mail verarbeitenden Systemen verwendet die darauf angewiesen sind, dass eingehende-, ausgehende, verschlüsselte- und entschlüsselte E-Mails eine spezielle Markierung erhalten, so können Sie diese Markierung durch selbst definierte »X-

Header« abbilden. Ein zusätzliches E-Mail verarbeitendes System kann diese durch SEPPmail gesetzten »X-Header« auswerten und darauf reagieren. Ein Beispiel für ein zusätzliches E-Mail verarbeitendes System kann ein Data Loss Prevention (DLP) System sein.

P arameter Bes chreibung

Set header X-. . . . . to v alue . . . . .

Fo r all inco ming mails

Set header X-. . . . . to v alue . . . . .

Fo r all o utgo ing mails

Set header X-. . . . . to v alue . . . . .

Fo r all mails that hav e been encry pted

Set header X-. . . . . to v alue . . . . .

Fo r all mails that hav e been decry pted

X-Header und Wert für alle durch SEPPmail empfangenen E-

Mails, z.B. von intern oder extern empfangene E-Mails.

X-Header und Wert für alle durch SEPPmail gesendeten E-Mails, z.B. GINA-Nachrichten die durch GINA erzeugt werden oder

Status-Nachrichten die durch SEPPmail erzeugt werden.

X-Header und Wert für alle durch SEPPmail verschlüsselten E-

Mails

X-Header und Wert für alle durch SEPPmail entschlüsselten E-

Mails

Sektio n »Rules et« -> Bereich »Archiv ing«

P arameter Bes chreibung

Send a co py o f ALL emails to the fo llo wing Addres s

Sämtliche durch SEPPmail transportierte E-Mails werden an die angegebene E-Mail-Adresse in Kopie gesendet.

Sektio n »Rules et« -> Bereich »Cus to m Co mmands «

P arameter Bes chreibung

Cus to m co mmands fo r inco ming Email

Cus to m co mmands fo r o utgo ing Email

Cus to m co mmands fo r Us er

Creatio n

Ruleset-Befehle für die Verarbeitung eingehender Nachrichten

Ruleset-Befehle für die Verarbeitung ausgehender Nachrichten

Ruleset-Befehle für die Erstellung von Benutzerkonten

Diese zusätzlichen selbstdefinierten Ruleset-Befehle werden jeweils am Anfang der entsprechenden

Sektion im Ruleset-Quellcode eingefügt und somit als erstes verarbeitet.

P arameter »Cus to m co mmands fo r inco ming Email«

Nutzen Sie diesen Bereich, um zusätzliche selbstdefinierte Ruleset-Befehle für die Verarbeitung eingehender Nachrichten zu aktivieren.

P arameter »Cus to m co mmands fo r o utgo ing Email«

Nutzen Sie diesen Bereich, um zusätzliche selbstdefinierte Ruleset-Befehle für die Verarbeitung ausgehender Nachrichten zu aktivieren.

P arameter »Cus to m co mmands fo r Us er Creatio n«

Verwenden Sie diesen Bereich, um zusätzliche selbstdefinierte Ruleset-Befehle für die Erstellung von Benutzerkonten zu aktivieren.

Beispiel:

if (authenticated()) {

} else { createaccount('@CREATEGPGKEYS@'); log(1, 'user account generated');

}

$?$

Sektio n »Rules et« -> Bereich »Adv anced Optio ns «

P arameter Bes chreibung

Re-inject mails to s ending mails erv er (us e with care!)

Run in queueles s mo de (us e with care!)

Co mpletely dis able GINA techno lo gy

Verarbeitete E-Mails werden an den einliefernden E-Mail-Server zurückgesendet

Aktiviert den Queueless Mode für die Verarbeitung von E-Mail

Deaktiviert das GINA-Subsystem

103

104

P arameter Bes chreibung

Co mpletely dis able us erbas ed S/MIME and o penP GP

Deaktiviert die benutzerbasierte S/MIME und OpenPGP Ver- und

Entschlüsselung

P arameter »Re-inject mails to s ending mails erv er (us e with care!) «

Mit dieser Einstellung werden alle E-Mails nach der Bearbeitung an den Server zurückgeschickt, von dem sie an SEPPmail gesendet wurden (z.B. zentrale E-Mail-Drehscheibe).

P arameter »Run in queueles s mo de (us e with care!) «

Diese Einstellung bewirkt, dass E-Mails an einzelne Empfänger während der Verarbeitung nicht

»zwis chenges peichert« werden. Stattdessen wird die Verbindung einer eingelieferten E-Mail erst dann quittiert, wenn die verarbeitete E-Mail erfolgreich an den nächsten E-Mail-Server weitergeleitet wurde und diese abgehende Verbindung quittiert wurde. Wenn beim Versand an mehrere Empfänger die Annahme für einige Empfänger nicht quittiert wird, befinden sich diese E-

Mails kurzzeitig bis zur Quittierung durch die empfangenden E-Mail-Server auf der Appliance.

P arameter »Co mpletely dis able s ecure webmail techno lo gy «

Mit dieser Option können Sie die GINA-Technologie zentral deaktivieren. Dies kann erforderlich sein, wenn SEPPmail von extern nicht erreichbar ist bzw. die GINA-Technologie nicht benötigt wird.

P arameter »Co mpletely dis able us er-bas ed S/MIME and o penP GP «

Mit diesem Parameter können Sie die Benutzerverschlüsselung für S/MIME und OpenPGP zentral deaktivieren. Dies kann erforderlich sein, wenn Sie ausschließlich die GINA-Technologie oder ausschließlich Domainverschlüsselung nutzen wollen.

Sektio n »Rules et« -> Bereich »Adv anced Optio ns « -> »Remo te GINA Relay «

P arameter Bes chreibung

Us e remo te GINA s erv er, reachable under the fo llo wing email addres s

E-Mail-Adresse des Remote GINA Servers

This is a remo te GINA s erv er

Konfigurationsparameter, wenn Sie SEPPmail als Remote GINA

Relay nutzen

Um die GINA-Technologie nutzen zu können ist es erforderlich, dass SEPPmail-System aus dem

Internet zu erreichen. Sollte dies nicht möglich sein, können Sie die GINA-Technologie nicht nutzen.

Um diesem Umstand zu umgehen, können Sie ein externes SEPPmail-System als Remote GINA Relay nutzen.

P arameter »Us e remo te GINA s erv er, reachable under the fo llo wing email addres s «

Die Kommunikation zwischen dem internen SEPPmail und dem SEPPmail welches als Remote

GINA Relay genutzt wird, erfolgt via E-Mail. Geben Sie die E-Mail-Adresse an, die für die

105

Kommunikation verwendet werden soll.

SEPPmail stellt in diesem Fall keine GINA-Funktionalität zur Verfügung, sondern leitet ausgehende

E-Mails die via GINA-Technologie versendet werden sollen an das Remote GINA Relay weiter. In diesem Fall tragen Sie keine Werte für die Parameter unter »This is a remo te Webmail s erv er« ein.

P arameter »This is a remo te GINA s erv er«

Nutzen Sie SEPPmail als Remote GINA Relay, dann erfassen Sie die Werte für die folgenden

Parameter. Tragen Sie für den Parameter »Us e remo te GINA s erv er, reachable under the

fo llo wing email addres s « keinen Wert ein.

Relay fo r do main

E-Mail-Domain(s) des GINA-Absenders. Für die angegebenen E-Mail-Domain(s) stellt dieses

System die GINA-Funktion nach extern bereit. Dieses System erzeugt GINA-E-Mails und stellt das

Portal für die externen Benutzer zur Entschlüsselung bereit.

Relay email addres s

E-Mail-Adresse des Remote GINA Relay. Unter dieser E-Mail-Adresse ist dieses System als

Remote GINA Relay erreichbar.

Relay do main key fingerprint

Fingerprint des Domainkeys welcher von diesem Relay-Server verwendet wird.

6.6.7 Regelwerk anzeigen und laden

Menü »Mail Processing« -> Sektion »SMTP Ruleset«

P aramerter Bes chreibung

Dis play

Uplo ad

Zeigt das aktuelle Ruleset an.

Ermöglicht den Upload eines eigenen Rulesets.

106

6.7 Menüpunkt "SSL"

Wählen Sie den Menüpunkt »SSL«, um das SSL-Device-Zertifikat (Secure Sockets Layer) der

SEPPmail Appliance zu verwalten.

Folgende Vorgänge werden in den kommenden Abschnitten beschrieben:

SSL-Device-Zertifikat selbst erstellen

106

SSL-Device-Zertifikat von einer öffentlichen Zertifizierungsstelle anfordern

108

Bestehendes SSL-Device-Zertifikat verwenden

109

SSL-Device-Zertifikat sichern

110

6.7.1 SSL-Device-Zertifikat selbst erstellen

Menü »SSL« -> Schaltfläche »Request an new Certificate...«

SEPPmail ermöglicht es, ein eigenes SSL-Device-Zertifikate über die Konfigurationsoberfläche zu erstellen. Für eine Testinstallation ist es nicht zwingend erforderlich ein kostenpflichtiges SSL-Device-

Zertifikat zu beschaffen. Das Zertifikat kann auf der SEPPmail-Appliance automatisch generiert und signiert werden.

Füllen Sie die Felder wie folgt aus (die kursiven Felder müssen ausgefüllt werden):

Sektio n »Is s ue To «

P arameter Bes chreibung

Name o r IP (CN)

IP-Adresse oder Hostname unter der SEPPmail aus dem Internet erreichbar ist. Bei einem selbstsignierten Zertifikat muss der hier angegebene Werte dem Namen in der URL entsprechen unter der SEPPmail angesprochen wird.

Beispiel:

Soll SEPPmail unter der URL

»https://securewebmail.

example.tld« angesprochen werden, so lautet der im

Feld

»Name or IP (CN)« anzugebende Hostname

»securewebmail.example.tld«.

E-Mail

Org. Unit (OU)

Organizatio n (O)

Lo cality (L)

State (ST)

Eine gültige E-Mail-Adresse innerhalb der Firma, unter der eine zuständige Person erreicht werden kann.

Name der zuständigen Organisationseinheit (optional).

Name der Organisation (optional).

Ort, in dem die Organisation ihren Sitz hat (optional).

Kanton/Bundesland, in dem die Organisation ihren Sitz hat

(optional).

107

P arameter

Co untry (C)

Sektio n »Attributes «

P arameter

K ey s ize (bits )

Bes chreibung

Land, in dem die Organisation ihren Sitz hat.

Bes chreibung

Schlüssellänge in Bits

Mögliche Werte: 1024 oder 2048

Wählen Sie als Schlüssellänge immer den Wert

»2048«. Kürzere Schlüssel gelten nicht mehr als ausreichend sicher.

Signature

Für diesen Parameter stehen die folgenden Werte zur Auswahl:

»Create

Certificate s igning reques t«

»Create s elfs igned certificate«

Erzeugt einen Zertifikatsantrag (CSR) zum

Signieren von einer öffentlichen

Zertifizierungsstelle.

Erzeugt ein selbstsigniertes SSL-Device-

Zertifikat.

Wählen Sie »Create s elf-s igned certificate« aus, um ein selbst generiertes und selbst signiertes SSL-Device-Zertifikat zu erzeugen.

Um die Erstellung des SSL-Zertifikats auszuführen, klicken Sie auf die Schaltfläche »Create

Reques t«. Danach erhalten Sie eine Bestätigung mit den Zertifikatsdetails.

Es ist ebenfalls möglich ein Wildcard SSL-Zertifikat zu erstellen. Wildcard

Zertifikate gelten nicht nur für einen dedizierten Host sondern können für mehrere

Hosts einer Domain verwendet werden.

Beis piel: Ein SSL-Zertifikat mit dem Namen ginatest.testdomain.net kann nur für diesen einen Host verwendet werden. Anderenfalls wird eine Zertifikatsfehlermeldung im Webbrowser angezeigt. Ein Wildcard SSL-Zertifikat können Sie auf beliebigen

Hosts einer Domain verwenden, z.B. ginatest.testdomain.net, webmail.testdomain.

net oder secmail.testdomain.net.

Um ein Wildcard SSL-Zertifikat zu erzeugen, geben Sie den Hostnamen wie folgt ein:

*.kundendomain.tld .

Nach Eingabe der Informationen erhalten Sie eine Bestätigung mit den Zertifikatsdetails. Diese

108 beinhaltet neben den von Ihnen angegebenen Werten folgende Angaben:

1. die Seriennummer des Zertifikats (Serial No . )

2. die Gültigkeitsdauer (Validity )

3. den Fingerprint (SHA1 Fingerprint)

Bitte beachten Sie, dass zur Aktivierung des neuen SSL-Device-Zertifikats ein Neustart der SEPPmail-

Appliance erforderlich ist. Sie können den Neustart ausführen, indem Sie im Menüpunkt

»Adminis tratio n« auf die Schaltfläche »Rebo o t« klicken und danach den angezeigten

Sicherheitscode bestätigen.

6.7.2 SSL-Device-Zertifikat von einer öffentlichen Zertifizierungsstelle anfordern

Menü »SSL« -> Schaltfläche »Request an new Certificate...«

Gehen Sie wie fo lgt v o r:

1. Verfahren Sie analog den Schritten im Abschnitt

SSL-Device-Zertifikat selbst erstellen

106

, wählen

Sie jedoch für den Parameter »Signature« den Wert »Create Certificate s igning reques t«, um einen Zertifikatsantrag (CSR) zu erstellen. Zum Erstellen des Zertifikatsantrags wählen Sie die

Schaltfäche »Create Reques t«.

2. Wählen Sie die Schaltfläche »Do wnlo ad and Impo rt s igned Certificate. . . «.

Hinweis:

Falls Sie im oberen Bereich des Menüs die gelb hinterlegte Information

»Remember

to import the signed certificate.« angezeigt wird, so wurde zuvor bereits ein

Zertifikatsantrag erstellt.

3. Kopieren Sie den Text in der Sektion »Reques t« und übermitteln Sie diesen an die

Zertifizierungsstelle, von der Sie das SSL-Device-Zertifikat anfordern wollen. Sie sollten diesen

Zertifikatsantrag zur Sicherheit noch einmal lokal in einer Textdatei speichern. Bei vielen

Zertifizierungsstellen können Sie den Zertifikatsantrag (CSR) im Webportal bei der Beauftragung des

SSL-Device-Zertifikats mit einfügen.

4. Sobald Sie von der Zertifizierungsstelle Ihr SSL-Device-Zertifikat erhalten haben, wählen Sie im

Menü »SSL« die Schaltfläche »Do wnlo ad and Impo rt s igned Certificate. . . «

5. Fügen Sie das Zertifikat in der Sektion »Impo rt Certificate« ein und wählen Sie dann die

Schaltfläche »Impo rt Certificate«. Der Vorgang zum Erstellen eines neuen SSL-Device-Zertifikats für die SEPPmail Appliance ist nun abbeschlossen. Zum Aktivieren des neuen SSL.Device-

Zertifikats führen Sie bitte einen Neustart des SEPPmail Systems durch.

Hinweis:

Fügen Sie das neu erstellte eigene SSL-Device-Zertifikat zusammen mit den zusätzlich benötigten Zertifikaten für ein oder mehrere Intermediate CA-

Zertifikate und das Zertifikat der Root-CA selbst in der dargestellten

Reinhenfolge ein. Stellen Sie dabei sicher, dass die Reihenfolge in der die

Zertifikatsbestandteile eingefügt werden korrekt ist. Sie können im Fehlerfall das

SSL-Device-Zertifikat nicht nutzen. Ebenfalls kann es zu Problemen beim Zugriff auf die Konfigurationsoberfläche kommen. In diesem Fall können Sie die

109

Konfigurationsoberfläche über das Protokoll HTTP auf Port TCP/8080 erreichen.

(http://<Appliance>:8080)

Reihenfo lge für das Einfügen der Zertifikats bes tandteile:

1. Public Key des eigenen SSL-Device-Zertifikats

2. Public Key von einer oder mehreren Intermediate CA-Zertifikaten

3. Public Key der Root-CA

6.7.3 Bestehendes SSL-Device-Zertifikat verwenden

Menü »SSL« -> Schaltfläche »Request an new Certificate...«

Sektio n »Uplo ad exis ting key «

P arameter Bes chreibung

X. 509 K ey

X. 509 Certificate

Fügen Sie den private-Key des Zertifikats ein.

Fügen Sie den public-Key des Zertifikats ein.

P arameter »X. 509 K ey «

Fügen Sie in diesem Feld den private-Key des Zertifikats ein. Falls der private-Key durch ein

Kennwort geschützt ist, muss dieses zuvor entfernt werden.

P arameter »X. 509 Certificate (and o ptio nal intermediate certificates ) «

Fügen Sie in diesem Feld den public-Key des Zertifikats ein. Zusätzlich zum eigenen public-Key fügen Sie hier ebenfalls weitere optionale Zweischenzertifikate (Intermediate Certificates) und den public-Key des Root-CA-Zertifikats ein. Draus ergibt sich eine Zertifikatskette (Chain) die der

SEPPmail-Webserver an den Webbrowser des Benutzers übergibt und die zur Überprüfung des

SSL-Device-Zertifikats verwendet werden.

Reihenfo lge für das Einfügen der Zertifikats bes tandteile:

1. Public Key des eigenen SSL-Device-Zertifikats

2. Public Key von einer oder mehreren Intermediate CA-Zertifikaten

3. Public Key der Root-CA

Schließen Sie den Vorgang in beiden Fällen ab, indem Sie auf die Schaltfläche »Create Reques t« klicken.

110

6.7.4 SSL-Device-Zertifikat sichern

Menü »SSL« -> Schaltfläche »Backup Certificate«

Sichern Sie das Zertifikat, indem Sie auf die Schaltfläche »Backup Certificate« klicken. Sie können das aktuell installierte SSL-Device-Zertifikat (public- und private-Key) als Datei auf der lokalen

Festplatte sichern. Die Zertifikatsdatei ist im PEM-Format und hat als Vorgabewert den Namen »cert.

pem«.

Beispiel:

-----BEGIN PRIVATE KEY-----

MIIEvQIBADANBgkqhkiG9w0BAQEFAASCBKcwggSjAgEAAoIBAQDqLer/5Tp0j/+v

KHp36xzcsUNklzcPW89MWdUccLKmMf+KTDQBaJqrHplhSgtkKLh+MdyzTCEgkldT

VFbcif6/k5dNnDxz/wCZSzQ=

-----END PRIVATE KEY-----

-----BEGIN CERTIFICATE-----

MIIFIjCCBAqgAwIBAgIJALbNmR60XAsAMA0GCSqGSIb3DQEBBQUAMIGmMRcwFQYD

7ej1ce+YN2vIn2mYMFtn0D+yCxP9mPLsAGEdO6EaY/IPRaVNJUI8XYmJSicyOzIY

PCqvmnfimMsxA3u0rID+ein0SwbR+g==

-----END CERTIFICATE-----

111

6.8 Menüpunkt "CA"

Wählen Sie den Menüpunkt »CA«, um die eigene Certificate Authority (CA) der SEPPmail Appliance zu verwalten.

Folgende Vorgänge werden in den kommenden Abschnitten beschrieben:

Interne CA-Einstellungen verwalten

111

CA-Zertifikat einrichten

112

CA-Zertifikat sichern

112

Verbindung zur externen CA-Stelle SwissSign einrichten

114

Verbindung zur externen CA-Stelle Signtrust einrichten

113

Verbindung zur externen CA-Stelle S-Trust einrichten

112

6.8.1 Interne CA-Einstellungen verwalten

Menü »CA«

Sektio n »Certificate Rev o catio n Lis t«

P arameter »Certificate Rev o catio n Lis t (CRL) herunterladen«

Klicken Sie auf die Schaltfläche »Create and Do wnlo ad CRL«, um die CRL herunterzuladen und einzusehen. Die CRL-Datei kann unter der folgenden Adresse direkt vom SEPPmail-

Webserver heruntergeladen werden: https://<IP-Adresse-SEPPmail>/certs.crl

Sektio n »Internal CA Settings «

Passen Sie die Einstellungen der internen CA den Angaben Ihrer Organisation an. Die angegebenen

Werte werden beim Erzeugen von Zertifikaten durch die lokale SEPPmail-CA berücksichtigt.

P aramater »Static Subject P art«

C : Land, in dem die Organisation ihren Sitz hat

OU : Name der zuständigen Organisationseinheit

O : Name der Organisation

P arameter »Validity in day s «

Gültigkeit des CA-Zertifikats in Tagen

P arameter »Extens io n s ettings « -> Bereich »Weitere P arameter« name v alue

: Name des Parameters

: entsprechender Wert

Beispiel:

SEPPmail unterstützt als Standardfunktion das Ausstellen und Bereitstellen einer

CRL als Datei zum Download von extern. Um wirksam zu werden ist es erforderlich, den Sperrlistenverteilungspunkt im Zertifikat selbst mit anzugeben.

112

Fügen Sie dazu folgenden zusätzlichen Parameter hinzu: name value

: crlDistributionPoints

: URI:https://<Hostname SEPPmail>/certs.crl

Sektio n »External CA«

Aktivieren Sie einen der vorhandenen CA-Connectoren, um automatisch Benutzerzertifikate über die

Managed-PKI einer externen CA zu beziehen. Bei einer Managed-PKI handelt es sich um die

Schnittstelle zu einem Zertifikatsanbieter der es ermöglicht, automatisiert Zertifikate abzurufen. Dazu ist i.d.R. eine vertragliche Vereinbarung mit dem ausgewählten Zertifikatsanbieter erforderlich. Der

Folgende Zertifikatsanbieter Signtrust bietet hierzu einen sehr einfach zu handhabenden Online-Antrag an.

Sie können den Signtrust Online-Antrag unter diesem Link erreichen: Signtrust Online-Antrag

Fo lgende CA-Co nnecto ren s tehen im Menü »CA« zur Verfügung:

1. S-TRUST

2. none

3. Signtrust

4. SwissSign

: CA von Deutscher Sparkassen Verlag GmbH

: CA-Connector ist deaktiviert

: CA von Deutsche Post Signtrust und DMDA GmbH

: CA von SwissSign AG (100%-ige Tochterfirma der Schweizerischen Post)

6.8.2 CA-Zertifikat einrichten

Menü »CA«

Um ein CA-Zertifikat zu erzeugen, klicken Sie auf die Schaltfläche »Reques t a new Certificate. . . «.

Gehen Sie bei der Zertifikatserstellung analog den Schritten im Kapitel

SSL-Zertifikat einrichten

106

vor.

6.8.3 CA-Zertifikat sichern

Menü »CA«

Führen Sie die Sicherung aus, indem Sie auf die Schaltflächen »Do wnlo ad Certificate« und

»Do wnlo ad K ey « klicken.

Schaltfläche Bes chreibung

»Do wnlo ad Certificate«

»Do wnlo ad K ey «

Sichern Sie den öffentlichen Teil (public Key) des CA-Zertifikats.

Sichern Sie den privaten Teil (private Key) des CA-Zertifikats.

6.8.4 Verbindung zur externen CA S-Trust einrichten

Menü »CA«

Um die Verbindung zum externen Zertifikatsanbieter S-Trust einzurichten, klicken Sie in der

Konfigurationsoberfläche auf die Schaltfläche »Sav e«. Klicken Sie auf die Schaltfläche »S-Trus t

113

co nnecto r. . . «, um die Einstellungen für die Einbindung der S-Trust MPKI zu bearbeiten.

Sollten Sie noch keinen CA-Connector eingerichtet haben, wählen Sie einen CA-Connector S-Trust aus und speichern Sie diese Einstellung. Jetzt können Sie den zuvor ausgewählten CA-Connector konfigurieren.

Alle zur Konfiguration erforderlichen Daten erhalten Sie von der S-Trust CA.

6.8.5 Verbindung zur externen CA Signtrust einrichten

Menü »CA«

Um die Verbindung zum externen Zertifikatsanbieter Signtrust einzurichten, klicken Sie in der

Konfigurationsoberfläche auf die Schaltfläche »Sav e«. Klicken Sie auf die Schaltfläche »Signtrus t

co nnecto r. . . «, um die Einstellungen für die Einbindung der Signtrust MPKI zu bearbeiten.

Sollten Sie noch keinen CA-Connector eingerichtet haben, wählen Sie einen CA-Connector Signtrust aus und speichern Sie diese Einstellung. Jetzt können Sie den zuvor ausgewählten CA-Connector konfigurieren.

Alle zur Konfiguration erforderlichen Daten erhalten Sie von der Signtrust CA.

P arameter Bes chreibung

Certificate Reques t Sender

Email

Clas s 3 certificate

P as s wo rd

E-Mail Adresse die als Absender für die Beauftragung von

Zertifikaten verwendet wird.

Auswahl des Class3-Zertifikats zur persönlichen Identifizierung des Administrators.

Kennwort für das Class3-Zertifikat des Administrators.

Hinweis :

Bitte beachten Sie, dass alle von SEPPmail an die CA ausgehenden E-Mails und alle von der CA zurück gesendeten E-Mails nicht durch einen vorgelagerten SPAM-Filter verändert, zurückgehalten oder gelöscht werden. Definieren Sie dazu bitte innerhalb den von Ihnen eingesetzten SPAM-Filters die entsprechenden Ausnahmen für die im

Parameter Certificate Request Sender Email eingetragene E-Mail Adresse und für die von der CA als Absender verwendeten E-Mail Adresse [email protected].

de.

Zur Nutzung des Signtrust CA-Connectors steht Ihnen der folgende Online-Anftrag zur Verfügung.

Der Bezug von Benutzerzertifikaten über den Signtrust CA-Connector erfolgt im Benutzerkonto im

Menü »Us ers «.

114

6.8.6 Verbindung zur externen CA SwissSign einrichten

Menü »CA«

Um die Verbindung zum externen Zertifikatsanbieter SwissSign einzurichten, klicken Sie in der

Konfigurationsoberfläche auf die Schaltfläche »Sav e«. Klicken Sie auf die Schaltfläche » Swis s Sign

co nnecto r. . . «, um die Einstellungen für die Einbindung der SwissSign MPKI zu bearbeiten.

Sollten Sie noch keinen CA-Connector eingerichtet haben, wählen Sie einen CA-Connector SwissSign aus und speichern Sie diese Einstellung. Jetzt können Sie den zuvor ausgewählten CA-Connector konfigurieren.

Sie haben die Auswahl zwischen Silv er light certificates oder Standard certificates . Um Silv er

light certificates zu verwenden, sind keine weiteren Angaben notwendig.

Alle zur Konfiguration erforderlichen Daten erhalten Sie von der SwissSign CA.

115

6.9 Menüpunkt "Administration"

Wählen Sie den Menüpunkt »Adminis tratio n«, um administrative Aufgaben der SEPPmail-Appliance zu verwalten.

Folgende Vorgänge werden in den kommenden Abschnitten beschrieben:

Appliance registrieren

115

Lizenzdatei einspielen

115

Appliance nach verfügbaren Updates prüfen

116

Einstellungen der Appliance sichern und wiederherstellen

117

Appliance neu starten oder herunterfahren

118

Appliance auf Werkseinstellungen zurücksetzen

119

Bestehende Benutzer oder Schlüssel importieren

119

Eingehende Supportverbindung herstellen

121

6.9.1 SEPPmail Appliance registrieren

Menü »Administration« -> Sektion »License and Registration«

Eine Registrierung des SEPPmail-Systems ist erforderlich, um eine permanente Lizenz zu erhalten.

Klicken auf die Schaltfläche »Regis ter this dev ice. . . « und Sie erhalten Sie ein Registrierungsfenster.

Füllen Sie die Felder im Registrierungsfenster mit Ihren Angaben aus. Geben Sie in der oberen Hälfte

Ihre Kundeninformationen und in der unteren Hälfte die Daten Ihres Resellers ein. Schließen Sie die

Eingaben ab, indem Sie auf die Schaltfläche »Send« klicken.

Erscheint die Meldung »Regis tratio n s ucces s ful«, haben Sie den Registrierungsvorgang erfolgreich abgeschlossen.

Für diese Installation wird nun durch SEPPmail eine Lizenz für Ihr System ausgestellt. Der Import der

Lizenz in SEPPmail erfolgt dabei automatisch durch eine Onlineverbindung zum Lizenzserver.

Für die Registrierung und den Lizenzbezug ist es erforderlich, dass SEPPmail eine

Onlineverbindung ins Internet auf Zielport TCP/22 (SSH) herstellen kann. Sollte dies nicht möglich sein, so schlagen die Registrierung bzw. der Lizenzbezug fehl.

6.9.2 Lizenzdatei einspielen

Menü »Administration« -> Sektion »License and Registration«

Die Lizenzierung der SEPPmail-Appliance erfolgt nach kurzer Zeit automatisch, wenn Sie die Appliance registrieren (siehe Abschnitt

Appliance registrieren

115

Um eine Lizenzdatei manuell einzuspielen, klicken Sie auf die Schaltfläche »Impo rt Licens e File. . . «.

Klicken Sie auf die Schaltfläche »Bro ws e«, um die Lizenzdatei auszuwählen, welche Sie einspielen möchten.

Sie können die aktuellen Lizenzdaten im Menü »Ho me« einsehen.

116

Die Verwendung von Lizenzdateien wird für Neuinstallationen nicht mehr unterstützt.

Bei Neuinstallationen erfolgt die Lizenzierung ausschließlich über die

Onlinelizenzierung.

6.9.3 Appliance nach verfügbaren Updates prüfen

Menü »Administration« -> Sektion »Update«

Um Ihre SEPPmail-Appliance auf den neusten Softwarestand zu bringen, stehen in der

Konfigurationsoberfläche verschiedene Möglichkeiten zur Verfügung.

Schaltflächen Bes chreibung

Check fo r Update

Fetch Update

P refetch (rebo o t manually )

Prüft Online auf neue Updates und zeigt eine Release-

Information an.

Lädt ein vorhandenes Update herunter und installiert es automatisch.

Lädt ein vorhandenes Update herunter, installiert es aber nicht.

Die Installation erfolgt erst nach dem nächsten Reboot.

Schaltfläche »Check fo r Update«

Klicken Sie auf die Schaltfläche »Check fo r Update«, um Online nach verfügbaren

Softwareupdates für SEPPmail zu suchen. Falls ein Update zur Verfügung steht, wird Ihnen dies angezeigt. Zusätzlich wird ebenfalls eine Release-Information angezeigt.

Schaltfläche »Fetch Update«

Zum Installieren eines vorhandenen Updates klicken Sie auf die Schaltfläche »Fetch Update«.

Dieser Vorgang kann zeitaufwändig sein, wenn das gelieferte System noch eine ältere Firmware enthält und deshalb mehrere Updates durchgeführt werden müssen. Nach jedem Update erfolgt ein Reboot des Systems.

Wiederholen Sie diesen Schritt, bis keine verfügbaren Updates mehr angezeigt werden. Das

System optimiert diesen Update-Prozess, so dass nicht für jede Zwischenversion ein Update installiert werden muss, sondern nur für die Updates, welche die Datenstruktur verändern.

Schaltfläche »P refetch (rebo o t manually ) «

Für Kunden mit einer Netzwerkinfrastruktur in der Updates nur innerhalb dafür vorgesehener

Zeiträume durchgeführt werden können (Wartungsfenster), kann ein Softwareupdate vorab heruntergeladen werden. Das eigentliche Update können Sie im Wartungszeitraum durch

Neustarten des SEPPmail-Systems durchführen.

Über die Schaltfläche »P refetch (rebo o t manually ) « starten Sie den Download des Updates.

Nach erfolgtem Download wird eine Statusmeldung unterhalb der Schaltflächen angezeigt. Nach einen Reboot wird das zuvor heruntergeladene Update automatisch installiert.

Allgemeine Hinweis e

117

Die SEPPmail Appliance muss nach Updates jeweils einen Neustart durchführen und Sie müssen sich neu anmelden. Führen Sie diesen Schritt gegebenenfalls selbst durch, falls das System lange keine

Rückmeldung gibt, Ihnen also nicht die Loginmaske angezeigt wird. Prüfen Sie nach dem Neustart erneut, ob weitere Updates zur Verfügung stehen.

Wenn Sie die Meldung »Yo u already hav e the lates t v ers io n ins talled« erhalten, ist Ihre

SEPPmail-Appliance auf dem neusten Softwarestand. Sollten in Zukunft weitere Updates verfügbar sein, wird dies nach einem Neustart automatisch im Menü »Home« und im Menü »Administration« angezeigt.

Wenn Sie auf das Menü »Adminis tratio n« zugreifen wollen und dieser Vorgang dauert sehr lange bzw. länger als gewohnt, dann kann SEPPmail unter Umständen keine Onlineprüfung auf neue Updates durchführen. Prüfen Sie ggf. Ihre

Firewallkonfiguration. Das Menü »Adminis tratio n« wird dann nach etwas längerer

Wartezeit trotzdem angezeigt.

6.9.4 Einstellungen der Appliance sichern und wiederherstellen

Menü »Administration« -> Sektion »Backup«

Um die Einstellungen der SEPPmail-Appliance zu sichern oder wiederherzustellen, stehen in der

Konfigurationsoberfläche verschiedene Möglichkeiten zur Verfügung.

Wichtiger Hinweis :

Ein Systembackup enthält alle Konfigurationsdaten bis auf die Folgenden:

1. das lokale SSL-Device-Zertifikat

2. das lokale Root-CA-Zertifikat

3. der lokale Cluster-Identifier

Stellen Sie sicher, dass die genannten Ausnahmen vom Systembackup separat manuell gesichert werden. Im Fehlerfall können Sie nur die Daten wiederherstellen die im Systembackup enthalten sind und die Sie zusätzlich zum Systembackup manuell gesichert haben.

Die folgenden Bewegungsdaten sind ebenfalls nicht im Systembackup enthalten:

1. die lokalen Log-Dateien

2. die lokalen System-Statistiken

3. der lokale LFM-Store

4. die lokale E-Mail-Queue

118

Schaltflächen

Backup: Do wnlo ad

Backup: Change P as s wo rd

Res to re: Impo rt Backup

File. . .

Res to re: Impo rt ldif. . .

Bes chreibung

Manuelles Herunterladen eines Systembackups

Ändern des Backup-Kennworts

Manuelles Zurücksichern eines Systembackups

Manuelles Zurücksichern einer LDIF-Datei

Allgemeiner Hinweis zum Backup

Um den aktuellen Stand Ihrer SEPPmail-Appliance zu sichern, müssen Sie zuerst ein Backup-Kennwort festlegen. Dieses wird beim Zurückspielen eines Backups benötigt.

Schaltfäche »Do wnlo ad«

Um die Datensicherung durchzuführen, klicken Sie auf die Schaltfläche »Do wnlo ad«. Sie erhalten eine verschlüsselte Datei zum lokalen Speichern. Für die Verschlüsselung wird das angegebene

Kennwort verwendet.

Schaltfäche »Change P as s wo rd«

Bevor Sie das Erste Backup erstellen ist er erforderlich, dass Sie ein Kennwort zur Sicherung der

Backupdateien vergeben. Dieses Kennwort benötigen Sie, um die Backupdatei im Fehlerfall wieder einspielen zu können. Um das Kennwort für zukünftige Backups zu ändern, klicken Sie auf die Schaltfläche »Change P as s wo rd«.

Achtung, die Änderung wirkt sich nur auf zukünftige Backups aus! Backup-

Dateien aus der Vergangenheit sind weiterhin mit dem entsprechenden in der

Vergangenheit gesetzten Passwort geschützt.

Schaltfläche »Impo rt Backup File«

Um eine Backup-Datei einzuspielen und somit Einstellungen der Appliance wiederherzustellen, klicken Sie auf die Schaltfläche »Impo rt Backup File. . . «. Um die Wiederherstellung durchzuführen, wählen Sie im anschliessenden Dialog die Backup-Datei aus und geben Sie das dazugehörige Passwort ein.

6.9.5 Appliance neu starten oder herunterfahren

Menü »Administration« -> Sektion »System«

Schaltfläche Bes chreibung

Rebo o t. . .

Neustart des Systems

119

Schaltfläche

Shut do wn. . .

Bes chreibung

Herunterfahren des Systems und ausschalten

Um einen ungewollten Neustart oder ein ungewolltes Herunterfahren zu verhindern, müssen diese

Vorgänge mit einem Sicherheitscode bestätigt werden. Der Sicherheitscode wird jeweils automatisch generiert und angezeigt und muss von im Feld »Security co de« eingegeben werden.

Beispiel:

Please enter the security code

ivahkagh

in the field below.

Hierbei ist die Zeichenfolge

»ivahkagh«

der Security Code.

Dieser muss im Feld »Security co de« eingegeben werden. Klicken Sie dann auf die Schaltfläche

»Rebo o t s y s tem no w. . . «, um einen Neustart auszuführen. Bei einem Herunterfahren des Systems verfahren Sie analog.

6.9.6 Appliance auf Werkseinstellungen zurücksetzen

Menü »Administration« -> Sektion »Database and System Settings«

Zum Zurücksetzen des Systems auf die Werkseinstellungen klicken Sie auf die Schaltfläche »P erfo rm

facto ry res et. . . «. Um ein ungewolltes Zurücksetzen des Systems zu verhindern, muss dieser

Vorgang mit einem Sicherheitscode bestätigt werden. Der Sicherheitscode wird jeweils automatisch generiert und angezeigt und muss von Ihnen im Feld »Security co de« in umgekehrter Reihenfo lge

(v o n hinten nach v o rne) eingegeben werden.

Nach korrekter Eingabe des Sicherheitscodes und einem Klick auf die Schaltfläche »Facto ry res et!« erscheint die Bestätigungsmeldung »Facto ry res et in pro gres s . The dev ice will auto matically

s witch o ff after finis hing«. Sobald der Vorgang abgeschlossen ist, schaltet sich SEPPmail automatisch aus.

Damit alle auf dem System gespeicherten Daten sicher gelöscht werden haben Sie die Möglichkeit, durch das Aktivieren des Parameters »Secure Ov erwrite (P artitio ns will be o v erwritten ten

times with rando m data, might take v ery lo ng) « die Bereiche des Datenspeichers 10 Mal mit zufälligen Daten zu überschreiben. Dieser Vorgang dauert sehr lange, bietet aber eine höhere Sicherheit vor unberechtigtem Wiederherstellen von gelöschten Daten.

6.9.7 Bestehende Benutzer oder Schlüssel importieren

Menü »Administration« -> Sektion »Import«

Schaltfläche Bes chreibung

Impo rt Us ers (CSV)

Impo rt GINA Us ers (CSV)

Importieren von Benutzern aus einer CSV-Datei

Importieren von GINA-Benutzern aus einer CSV-Datei

120

Schaltfläche Bes chreibung

Impo rt o penP GP s ecret key s

Importieren von OpenPGP Schlüsseln

Impo rt S/MIME key s

Import von S/MIME Schlüsselpaaren

Impo rt S/MIME certificates

Import von S/MIME public-Keys

Schaltfläche »Impo rt Us ers (CSV) : Impo rt«

Benutzerkonten importieren Sie, indem Sie auf die Schaltfläche »Impo rt«, neben »Impo rt Us ers

(CSV) «, klicken. Die Datei mit Benutzerinformationen muss im CSV (Comma-Separated Values)

Format vorliegen und folgende Syntax aufweisen: USERID; NAME; EMAIL; P ASSWORD. Das

Feld »P ASSWORD« ist optional. Die importierten Benutzer werden im Menü »Us ers « angezeigt.

Schaltfläche »Impo rt GINA Us ers (CSV) : Impo rt«

Um GINA-Benutzer zu importieren, klicken Sie auf die Schaltfläche »Impo rt«, neben »Impo rt

GINA Us ers (CSV) «. Die Datei Datei mit Benutzerinformationen muss im CSV-Format vorliegen und folgende Syntax aufweisen: EMAIL; P ASSWORD. Die importierten Benutzer werden im

Menü »GINA-acco unts « angezeigt.

Schaltfläche »Impo rt o penP GP s ecret key s «

Bestehende openPGP-Schlüsselpaare können Sie mit einem Klick auf die Schaltfläche »Impo rt

o penP GP s ecret key s « einlesen. Sie können die Schlüssel als Datei oder in Textform importieren. Zusätzlich müssen Sie den Passphrase des jeweiligen Schlüssels eingeben. Wenn Sie eine größere Menge von OpenPGP Keys auf einmal importieren wollen, müssen diese Schlüssel in einer Schlüsseldatei zusammengefasst vorliegen. Beim Import der OpenPGP Schlüsselpaare wird für jedes Schlüsselpaar ein Benutzerkonto angelegt. Jedem Benutzerkonto wird das passende

OpenPGP Schlüsselpaar automatisch zugeordnet.

Schaltfläche »Impo rt S/MIME key s «

Bestehende S/MIME-Zertifikate (Schlüsselpaare) können Sie mit einem Klick auf die Schaltfläche

»Impo rt S/MIME key s « einlesen. Die Zertifikate müssen als Datei im Format P K CS#12 vorliegen. Um eine größere Menge von S/MIME Zertifikaten auf einmal zu importieren (Bulk), können Sie diese in einem ZIP-Archiv zusammenfassen. Dieses ZIP-Archiv darf keine

Verzeichnisstruktur enthalten und nicht durch ein Kennwort gesichert sein. Beim Import der S/

MIME-Zertifikate (Schlüsselpaare) wird für jedes Schlüsselpaar ein Benutzerkonto angelegt. Jedem

Benutzerkonto wird das passende S/MIME Schlüsselpaar automatisch zugeordnet.

Schaltfläche »Impo rt S/MIME certificates «

Bestehende S/MIME-Public Keys können Sie mit dem Klick auf die Schaltfläche »Impo rt S/MIME

certificates « einlesen. Die eingelesenen Zertifikate werden im SEPPmail eigenen

Zertifikatsspeicher abgelegt. Die eingelesenen S/MIME-Public Keys finden Sie im Menü »X. 509

Certificates «

6.9.8 Ausgehende Supportverbindung herstellen

Menü »Administration« -> Sektion »Establish Support Connection«

Mit der Schaltfläche »Es tablis h Suppo rt Co nnectio n« wird eine Verbindung zum Hersteller geöffnet. Verwenden Sie diese Funktion nur auf Anweisung des Herstellers. Damit die Verbindung aufgebaut werden kann, muss auf Ihrer Firewall bzw. Ihrem Router Port TCP/22 (SSH) von der

SEPPmail Appliance ins Internet geöffnet sein.

Um eine eingehende Supportverbindung herzustellen, klicken Sie in der Konfigurationsoberfläche auf den Menüpunkt »Adminis tratio n« und anschließend auf die Schaltfläche »Co nnect«.

121

122

6.10 Menüpunkt "Cluster"

Dieses Kapitel beschreibt die grundsätzliche Funktionsweise und die Verwaltung des SEPPmail-

Cluster. Sie erfahren, welche Cluster Betriebsarten durch SEPPmail unterstützt werden und wie Sie diese in der Konfigurationsoberfläche einrichten können.

Allgemeine Informationen zu den Cluster Betriebsarten

122

Hocherverfügbarkeitscluster

Load Balancing Cluster

125

122

Geo Cluster (»MultiSite System«)

Frontend-Backend Cluster

133

132

Einrichten eines Clusterkonfiguration

134

6.10.1 Allgemein

Es gibt verschiedene Arten eines Cluster-Betriebs die durch SEPPmail unterstützt werden.

Ein Cluster bezeichnet einen Rechnerverbund aus mehreren vernetzten Computersystemen. Diese miteinander vernetzten Computersysteme sind zwar physisch getrennt werden aber logisch als eine

Einheit betrachtet. So ist es möglich, dass ein Cluster als ein einziges logisches System angesprochen werden kann, tatsächlich aber aus mehreren physischen Systemen besteht.

Für den Einsatz eines Clusters gibt es verschiedene Zielsetzungen die sich ja nach Anwendung unterscheiden. Für ein Cluster aus mehreren SEPPmail Systemen gibt es die folgenden 4

Betriebsarten:

1. Ho chv erfügbarkeits clus ter zur Aus falls icherheit (Failo v er)

2. Lo ad Balancing Clus ter zur Las tv erteilung

Aufteilung des eingehenden und ausgehenden Mailflusses auf je ein Cluster Member System

Einsatz eines externen Load Balancers, zum verteilen des E-Mails auf verschiedene Cluster

Member Systeme (je nach Konfiguration)

Lastverteilung basierend auf dem DNS Round Robin Verfahren

( http://de.wikipedia.org/wiki/Lastverteilung_per_DNS )

3. Geo Clus ter zum replizieren v o n K o nfiguratio ns datenbanken auf geo grafis ch v o neinander entfernte Sy s teme

4. Fro ntend-Backend Clus ter

In den folgenden Abschnitten sind die jeweiligen 4 Betriebsarten im Detail beschrieben.

6.10.2 Hochverfügbarkeitscluster

Die Ausfallsicherheit des SEPPmail Systems kann durch die Bildung eines Clusters erhöht werden.

Das SEPPmail System besitzt eine integrierte Clusterfunktionalität auf Basis des CARP Protokolls ( http://de.wikipedia.org/wiki/Common_Address_Redundancy_Protocol ).

Um einen Cluster zu bilden sind mindestens zwei SEPPmail Systeme erforderlich die sich gegenseitig

überwachen. Fällt ein System aus bzw. antwortet dieses nicht mehr auf Überwachungsanfragen, so

übernimmt das zweite System dessen Funktion. Ist das ausgefallene System wieder verfügbar bzw. es

123 antwortet wieder auf Überwachungsanfragen, so übernimmt es wieder seine ursprüngliche Aufgabe.

Diese Funktion kann mit bis zu 9 SEPPmail Systemen abgebildet werden, wodurch Sie eine sehr hohe

Ausfallsicherheit erreichen können.

Das Hochverfügbarkeitscluster kann mit SEPPmail Systemen auf Hardwarebasis und auf Basis der

Virtualisierung mit VMware ESX abgebildet werden. Ein Mischbetrieb mit Systemen auf Hardwarebasis und virtualisierten Systemen ist ebenfalls möglich.

Wie funktio niert das Ho chv erfügbarkeits clus ter?

Bei diesem Verfahren werden einem Cluster eine oder mehrere virtuelle IP Adresse(n) mit verschiedenen Prioritäten zugeordnet. Jedes Cluster Member System hat unabhängig von der zugewiesenen virtuellen Cluster IP-Adresse eine jeweils eigene eindeutige IP-Adresse. Über diese eigene eindeutige IP-Adresse kann jedes Cluster Member System explizit angesprochen werden.

Beis piel:

In der folgenden Abbildung ist die virtuelle Cluster IP-Adresse des Clusters 10.10.0.1. Die Cluster

Member Systeme haben in unserem Beispiel die IP Adressen 10.10.0.9 und 10.10.0.10.

Ab b i ld ung 1 - Schemati s che D ar s tellung ei nes Ho chv er fügb ar k ei ts clus ter s

Das Cluster selbst wird von anderen Systemen, z.B. einem internen E-Mail Server oder einem vorgelagerten E-Mail Relay Server (Gateway) über die eingerichtete(n) virtuelle(n) IP-Adresse(n) angesprochen. Im Beispiel oben ist das die IP-Adresse 10.10.0.1.

Wird das Cluster selbst über seine Cluster IP-Adresse angesprochen, so reagiert immer das Cluster

Member System mit der höchsten Priorität auf die angesprochene virtuelle Cluster IP-Adresse. Alle anderen Cluster Member Systeme mit niedrigerer Priorität reagieren nicht, wenn die virtuelle Cluster

IP-Adresse angesprochen wird und ein Cluster Member System mit einer höheren Priorität verfügbar ist.

Im Fehlerfall, falls ein Cluster Member System mit höherer Priorität ausfällt, welches normalerweise auf die angesprochene virtuelle Cluster IP-Adresse reagiert, so übernimmt automatisch ein Cluster

Member System mit der nächst niedrigeren Priorität die virtuelle Cluster IP Adresse inclusive der

Funktion des ausgefallenen Cluster Member Systems.

124

Die Prioritäten sind in der folgenden Reihenfolge geordnet:

1. Primary

2. Secondary

3. Backup

Das Einrichten der Priorität des jeweiligen Cluster Member Systems führen Sie im Menü »Sy s tem« durch.

125

6.10.3 Load Balancing Cluster

Ein Cluster kann zusätzlich zur Erhöhung des E-Mail Durchsatzes verwendet werden. Hierfür gibt es die folgenden Möglichkeiten:

Aufteilung des eingehenden und aus gehenden E-Mail Datenflus s es auf je ein Clus ter

Member Sy s tem

125

Eins atz eines externen Lo ad Balancers , zum Verteilen der E-Mails auf v ers chiedene

Clus ter Member Sy s teme (je nach K o nfiguratio n)

127

Las tv erteilung bas ierend auf dem DNS Ro und-Ro bin-Verfahren

128

( http: //de.

wikipedia. o rg/wiki/Las tv erteilung_ per_ DNS )

Einsatz mit redundanten externen und internen MTAs (Mail Transport Agent)

130

Das Failover-Verhalten des Clusters wird durch diese Konfigurationen nicht verändert.

Aufteilung des eingehenden und aus gehenden E-Mail Datenflus s es auf je ein Clus ter

Member Sy s tem

Die Aufteilung des einund ausgehenden E-Mail Datenflusses kann, wie bereits erwähnt, auf drei verschiedene Arten erfolgen. In Abbildung 1 werden einund ausgehende E-Mails durch eine statische

Konfiguration jeweils an eine separate virtuelle IP-Adresse gesendet. Es existieren 2 SEPPmail

Systeme die mit unerschiedlicher Priorität auf jeweils zwei virtuelle IP-Adressen (Alias IP-Adressen) reagieren. Jeweils ein System erhält alle eingehenden E-Mails und ein System erhält alle ausgehenden

E-Mails. Durch das Einrichten von zwei virtuellen IP-Adressen können die beiden SEPPmail Systeme

über eine dedizierte virtuelle IP-Adresse separat angesprochen werden.

In Abbildung 1 ist dies logisch abgebildet. Physisch existieren lediglich zwei SEPPmail Systeme.

Was pas s iert im Detail:

Jedes SEPPmail System hat eine eigene völlig separate IP-Adresse über die nur dieses System angesprochen werden kann, z.B. für die Konfiguration von Einstellungen die nicht im Cluster synchronisiert werden.

In Abbildung 1 sind dies die IP-Adressen 10.10.0.9 und 10.10.0.10.

Zusätzlich gibt es zwei virtuelle IP-Adressen, um die beiden SEPPmail Systeme logisch zu jeweils einer Gruppe zusammenzufassen. In Abbildung 1 sind diese virtuellen IP-Adressen (Gruppen) farblich getrennt dargestellt.

Die v irtuelle IP -Adres s e 10. 10. 0. 1, hier grün dargestellt, wird für alle aus gehenden E-Mails vom internen E-Mail Server angesprochen bzw. die ausgehenden E-Mails werden vom internen E-Mail

Server an diese virtuelle IP-Adresse gesendet.

Die v irtuelle IP -Adres s e 10. 10. 0. 2, hier o range dargestellt, wird für alle eingehenden E-Mails vom externen E-Mail Server oder auch einem vorgelagerten E-Mail Relay (z.B. Firewall) angesprochen bzw. die eingehenden E-Mails werden von den externen oder vorgelagerten Systemen an diese virtuelle IP-Adresse gesendet.

Unter einer v irtuellen IP -Adres s e sind nun die beiden physichen SEPPmail Systeme lo gis ch

zus ammengefaßt. Grundsätzlich reagieren beide Systeme, wenn die virtuelle IP-Adresse

126 angesprochen wird. Dies ist aber nicht immer sinnvoll, da wir jeweils ein System für alle eingehenden

E-Mails verwenden wollen und das andere System für alle ausgehenden E-Mails. Um dies zu erreichen ist die Reihenfolge in der die einzelnen Systeme antworten sollen in einer Hierarchie festgelegt, wenn eine der beiden virtuellen IP-Adressen angesprochen wird.

In Abbildung 1, grün darges tellt, sehen Sie die v irtuelle IP -Adres s e 10. 10. 0. 1 für alle ausgehenden E-Mails. Hier ist das Cluster Member System mit der IP-Adresse 10. 10. 0. 9 als

P rimary eingerichtet und reagiert immer als erstes System, wenn die virtuelle IP-Adresse 10.10.0.1

angesprochen wird. Das Cluster Member System mit der IP-Adresse 10. 10. 0. 10 ist als Seco ndary eingerichtet und reagiert nur dann, wenn der Cluster Member Primary nicht verfügbar ist.

In Abbildung 1, o range darges tellt, sehen Sie die v irtuelle IP -Adres s e 10. 10. 0. 2 für alle eingehenden E-Mails. Hier ist das Cluster Member System mit der IP-Adresse 10. 10. 0. 10 als

P rimary eingerichtet (entgegengesetzt der vorherigen Darstellung) und reagiert immer als erstes

System, wenn die virtuelle IP-Adresse 10.10.0.2 angesprochen wird. Das Cluster Member System mit der IP-Adresse 10. 10. 0. 9 ist als Seco ndary eingerichtet und reagiert nur dann, wenn der Cluster

Member Primary nicht verfügbar ist.

Zus ammenfas s ung:

Jedes einzelne SEPPmail System kann über zwei verschiedene virtuelle IP-Adressen angesprochen werden und reagiert mit jeweils unterschiedlichen Prioritäten einmal als Primary und einmal als

Secondary. Dadurch ist der Betrieb beim Ausfall eines Cluster Member Systems weiterhin möglich.

Das verbliebene Cluster Member System übernimmt dann die Arbeit des nicht mehr verfügbaren

Systems und wird alle einund ausgehenden E-Mails verarbeiten.

Für die Nutzung von Enhanced Secure Webmail kann eine virtuelle Cluster IP-Adresse 10.10.0.1

angesprochen werden. In Abhängigkeit der Cluster Member Prioritäten wird im Beispiel in Abbildung 1 das Cluster Member System mit der IP-Adresse 10.10.0.9 antworten, da dies mit der Priorität

»Primary« eingerichtet ist. Ist dieses System nicht verfügbar, so wird das Cluster Member System mit der IP-Adresse 10.10.0.10 antworten, da dies mit der Priorität »Secondary« eingerichtet ist.

Das einrichten der virtuellen IP-Adressen und das Zuweisen den Prioritäten führen Sie im Menü

»Sy s tem« durch.

Ab b i ld ung 1 - Schemati s che D ar s tellung d er s tati s chen Auftei lung für ei n- und aus gehend en E -M ai ls

127

Einsatz eines externen Load Balancers, zum Verteilen der E-Mails auf verschiedene Cluster Member

Systeme

In Abbildung 2 werden einund ausgehende E-Mails durch einen externen Load Balancer dynamisch an die Cluster Member Systeme gesendet. Jedes Cluster Member System erhält dadurch gleichermaßen einund ausgehende E-Mails. Falls ein Cluster Member System nicht mehr verfügbar ist, so ist der Load Balancer dafür verantwortich dies zu erkennen und entsprechend zu reagieren.

Abbildung 2 zeigt eine logische Darstellung des Szenarios.

Was pas s iert im Detail:

Die Clusterfunktionalität von SEPPmail wird in diesem Szenario lediglich für die Synchronisation der

Konfiguration zwischen den Cluster Member Systemen verwendet. Die Ents cheidung, welches

System auf einund ausgehende E-Mails reagiert wird durch den v o rgelagerten Lo ad Balancer getroffen. Dieser verteilt je nach Konfiguration und Lastsituation die E-Mails an wahlweise an ein

Cluster Member System. Hierbei wird das Cluster Member System nicht über eine v irtuelle IP -

Adres s e anges pro chen sondern über seine eigene separate IP-Adresse.

In Abbildung 2 sind dies die IP-Adressen 10.10.0.9 und 10.10.0.10.

Der wesentliche Unterschied zur Abbildung 1 ist, dass hierbei keine virtuelle IP-Adresse angesprochen wird. Zum Verteilen ausgehender E-Mails wird der Load Balancer am internen E-Mail Server diese wahlweise an die Cluster Member Systeme mit den IP-Adressen 10.10.0.9 und 10.10.0.10 verteilen.

Zus ammenfas s ung:

Beim Einsatz eines externen Load Balancers werden die SEPPmail Cluster Member Systeme direkt vom Load Balancer angesprochen. Falls ein Cluster Member System ausfällt, so ist der Load Balancer dafür verantwortlich dies zu erkennen und die ein- oder ausgehenden E-Mails an das verbleibende

System zu senden.

Für die Nutzung von Enhanced Secure Webmail kann weiterhin die virtuelle Cluster IP-Adresse angesprochen werden. In Abhängigkeit der Cluster Member Prioritäten wird im Beispiel in Abbildung 2 das Cluster Member System mit der IP-Adresse 10.10.0.9 antworten, da dies mit der Priorität

»Primary« eingerichtet ist. Ist dieses System nicht verfügbar, so wird das Cluster Member System mit der IP-Adresse 10.10.0.10 antworten, da dies mit der Priorität »Secondary« eingerichtet ist.

Das einrichten der virtuellen IP-Adressen und das Zuweisen den Prioritäten führen Sie im Menü

»Sy s tem« durch.

128

Ab b i ld ung 2 - Schemati s che D ar s tellung d er d y nami s chen Auftei lung für ei n- und aus gehend e E -M ai ls d ur ch ei nen ex ter nen Lo ad B alancer

Las tv erteilung bas ierend auf dem DNS Ro und-Ro bin-Verfahren

Eine detailierte Beschreibung dieser Funktion finden Sie im folgenden Artikel:

http: //de. wikipedia.

o rg/wiki/Las tv erteilung_ per_ DNS

In der Konfiguration des internen und externen E-Mail Servers wird nicht mehr eine virtuelle Cluster IP-

Adresse für den E-Mail Versand angegeben sondern jeweils ein Hostname, z.B. »cluster-in.domain.tld« oder »cluster-out.domain.tld«, der bei einund ausgehenden E-Mails angesprochen wird. Im DNS ist es möglich zu jedem Hostnamen mehrere IP-Adressen anzugeben. Dadurch kann eine einfache

Lastverteilung erreicht werden.

Fragt z.B. der internen E-Mail Server den für den E-Mail Versand angegebenen Hostnamen des

SEPPmail Clusters beim DNS an, so werden immer alle diesem Hostnamen zugeordneten IP-Adressen zurückgeliefert, dies aber jedes Mal in unterschiedlicher Reihenfolge. Der interne E-Mail Server kann nun eine dieser IP-Adressen zum Versand der E-Mail auswählen. Im Fehlerfall wird das im Cluster mit der nächst niedrigeren Priorität verfügbare Cluster Member System antworten. Abbildung 3 zeigt eine logische Darstellung des Szenarios.

Was pas s iert im Detail:

In Abbildung 3 sind dies die IP-Adressen 10.10.0.9 und 10.10.0.10.

Zusätzlich gibt es zwei virtuelle IP-Adressen, um die beiden SEPPmail Systeme logisch zu jeweils einer Gruppe zusammenzufassen. In Abbildung 3 sind diese virtuellen IP-Adressen (Gruppen) farblich getrennt dargestellt.

Der interne und der externe E-Mail Server sprechen für den Versand von einund ausgehenden E-

Mails an das SEPPmail Cluster System einen Hostnamen statt einer virtuellen IP-Adresse an. Wird eine Anfrage für diesen Hostnamen an den DNS-Server gestellt, so wird der Hostname in alle

129 eingerichteten IP-Adressen aufgelöst.

In unserem Fall entsprechenden die aufgelösten IP-Adressen den virtuellen Cluster IP-Adressen wie in

Abbildung 3 dargestellt. Die beiden virtuellen IP-Adressen haben jeweils ein anderes System als

Cluster Member Primary und Cluster Member Secondary. Hierdurch ist eine Redundanz im Fehlerfall gegeben, da sich beide Cluster Member Systeme überwachen und jeweils die Aufgabe des ausgefallenen Systems übernehmen können.

Die v irtuelle IP -Adres s e 10. 10. 0. 1, hier grün dargestellt, und die v irtuelle IP -Adres s e

10. 10. 0. 2, hier o range dargestellt, werden dem Hostnamen zugeordnet, der z.B. im internen E-Mail

Server für den Versand von ausgehende E-Mails eingetragen ist. Dieser Hostname wird in die folgenden IP-Adressen aufgelöst: custer-out.domain.tld. 1800 IN A 10.10.0.1

custer-out.domain.tld. 1800 IN A 10.10.0.2

Bei jeder Auflösung des angesprochenen Hostnamen »cluster-out.domain.tld« wird der DNS Server alle zugeordneten IP-Adressen zurückliefern, allerdings in anderer Reihendolge.

custer-out.domain.tld. 1800 IN A 10.10.0.2

custer-out.domain.tld. 1800 IN A 10.10.0.1

Der interne E-Mail Server kann nun eine IP-Adresse auswählen und die ausgehende E-Mail versenden.

Da sich bei jeder Anfrage die Reihenfolge der zurückgelieferten IP-Adressen ändern, können die E-

Mails auf die zur Verfügung stehenden Cluster Member Systeme verteilt werden.

Zus ammenfas s ung:

Beim Versand von einund ausgehenden E-Mails über das SEPPmail Cluster wird statt einer virtuellen

Cluster IP-Adresse ein Hostname im jeweiligen E-Mail Server angegeben. Dieser wird dann zur Laufzeit in die zugehörigen IP-Adressen aufgelöst. So können der interne und der externe E-Mail Server einund ausgehende E-Mails wahlweise an eine dieser aufgelösten IP-Adressen senden. Da es sich hierbei jeweils um virtuelle Cluster IP-Adressen handelt reagieren die Cluster Member Systeme je nach

Priorität, z.B. im Fehlerfall.

Durch die DNS Round-Robin-Funktion kann für den einund ausgehenden E-Maildatenfluss eine

Lastverteilung erreicht werden.

Quelle: Wikipedia,

http: //de. wikipedia. o rg/wiki/Las tv erteilung_ per_ DNS

(auch auszugsweise in diesem Kapitel wiedergegeben)

Das einrichten der virtuellen IP-Adressen und das Zuweisen den Prioritäten führen Sie im Menü

»Sy s tem« durch.

130

Ab b i ld ung 3 - Schemati s che D ar s tellung d er Las tv er tei lung d ur ch d as D NS R o und -R o b i n-V er fahr en für ei n- und aus gehend e E -M ai ls

Eins atz mit redundanten internen und externen MTAs (Mail Trans po rt Agent)

In der SEPPmail Konfiguration kann als externer MTA (E-Mail Relay) genau 1 Host konfiguriert werden.

Analog kann pro interner E-Mail Domain genau 1 interner MTA (E-Mail Server) konfiguriert werden. Das

SEPPmail System kann redundante externe und interne MTAs mit dem in den folgenden Abschnitten erläuterten Verfahren unterstützen.

Im SEPPmail System kann der externe bzw. der interne MTA auf mehrere Arten konfiguriert werden:

Angabe einer IP Adresse

Angabe eines Hostnamens

Angabe einer Domain, für die ein MX Lookup durchgeführt wird

Die Unterscheidung zwischen IP Adresse, Hostname und Domain erfolgt mittels eckiger Klammern

(»[« , »]«): IP Adressen und Hostnamen müssen in eckigen Klammern angegeben werden, Domains, für die ein MX Lookup durchgeführt wird, ohne eckige Klammern.

Das SEPPmail System kann redundante externe oder interne MTAs unterstützen, indem für den externen und den internen MTA je eine nur intern verfügbare Dummy-Domain konfiguriert wird. Für jede

Dummy-Domain werden 2 MX Records mit unterschiedlichen Preferences im internen DNS angelegt.

Das SEPPmail System leitet E-Mails standardmässig an den Host mit der niedrigsten Preference weiter. Beim Ausfall dieses Hosts werden E-Mails automatisch an den Host mit der höheren

Preference geleitet.

Das einrichten der Hostnamen für die redundanten internen und externen MTAs führen Sie im Menü

»Mail Sy s tem« durch.

Ab b i ld ung 4 - Schemati s che D ar s tellung für d en E i ns atz v o n r ed und anten i nter nen und ex ter nen

M TAs

131

132

6.10.4 Geo Cluster

Ein Geo-Cluster (auch »Multisite System« genannt) dient zum replizieren von

Konfigurationsdatenbanken zwischen geografisch voneinander entfernten SEPPmail Systemen an verschiedenen Standorten des Unternehmens.

Eins atzbeis piel:

Ein Unternehmen ist weltweit tätig und betreibt aus diesem Grund mehrere Datacenter auf verschiedenen Kontinenten. Die Unternehmensstandorte selbst sind alle durch ein VPN verbunden und haben in jedem Datacenter einen Zugang zum Internet. Innerhalb dieses internen

Unternehmensnetzwerks besteht ein E-Mail Transportsystem, z.B. auf Basis von Microsoft Exchange oder Lotus Notes. Die nach extern gesendeten E-Mails können je nach intern abgebildeter Richtlinie an verschiedenen Internetzugängen des Unternehmens ins Internet versendet werden. (z.B. falls ein

Internetzugang an einem Standort nicht funktioniert, die VPN-Verbindung zwischen den Standorten davon aber nicht betroffen ist und dadurch der externe Versand von E-Mails nun über einen anderen

Standort durchgeführt wird)

Dazu ist es erforderlich, dass die notwendige kryptografische E-Mail Verarbeitung an allen

Internetzugängen gleich erfolgt. Es müssen alle Benutzerkonten und deren Zertifikate zu Signieren,

Entschlüsseln und Verschlüsseln vorhanden sein und auch die Konfigurationseinstellungen müssen identisch sein um keine Abweichungen bei der E-Mail Verabeitung zu haben.

Durch die Geo-Cluster Funktion des SEPPmail Systems können Konfigurationsänderungen zwischen allen SEPPmail Systeme im Geo-Cluster sofort repliziert werden. Somit ist eine konsistente

Konfiguration alle Systeme gewährleistet.

Ab b i ld ung 1 - Schemati s che D ar s tellung ei ner Geo -Clus ter Str uk tur

6.10.5 Frontend-Backend Cluster

Frontend-Backend Cluster, wobei die Frontend Systeme keine lokale Konfigurationsdatenbank besitzen

Das Betreiben eines SEPPmail Systems als Frontend Server ist eine sehr spezielle Cluster Funktion.

Der Unterschied zur normalen Cluster Funktion des SEPPmail Systems besteht darin, dass auf dem

Frontend Server selbst keine Konfigurationsdatenbank existiert.

Die zur Laufzeit benötigten Konfigurationsdaten werden ja nach Anforderung, z.B. beim notwendigen

Entschlüsseln einer eingehenden E-Mail, vom Cluster auf den Frontend Server transferiert und nur temporär vorgehalten. Nach der E-Mail Verarbeitung werden diese Konfigurationsdaten sofort wieder gelöscht.

Diese Funktion kann in Szenarien Anwendung finden die entsprechende Anforderungen an die

Compliance stellen.

133

Ab b i ld ung 1 - Schemati s che D ar s tellung ei ner Fr o ntend -B ack end Clus ter Str uk tur

134

6.10.6 Einrichten einer Clusterkonfiguration

Wichtiger Hinweis :

Bitte beachten Sie die Sicherheits hinweis e, wenn Sie Änderungen an den

Parametern des Clusterverbunds vornehmen, Systeme aus dem Clusterverbund herauslösen, Systeme im Fehlerfall ersetzten oder neue Systeme dem Clusterverbund hinzufügen.

Ohne das Beachten dieser Sicherheitshinweise können Sie den kompletten

Clusterverbund unbrauchbar machen.

Die Sicherheitshinweise finden Sie im Kapitel

Sicherheitshinweise

137

Sektio n P arameter Bes chreibung

P repare fo r Clus ter us e this key to add a different dev ice to this dev ice/clus ter

Schaltfläche »Do wnlo ad Clus ter Identifier«

Wählen Sie die Schaltfläche »Do wnlo ad Clus ter

Identifier«, um den systemeigenen RSA

P RIVATE K EY herunterzuladen und als Datei lokal zu speichern. Die heruntergeladene Datei hat den Dateinamen »clus terid. txt«. Eine Cluster-

Identifizierung wird benötigt, um eine weitere

SEPPmail-Appliance zu diesem Gerät hinzuzufügen und somit einen Cluster-Verbund zu bilden.

Add this dev ice to exis ting clus ter

Clus ter Identifier

Importieren Sie in diesem Eingabefeld die

»Clus ter Identifier« Datei eines bestehenden

SEPPmail-Cluster-Systems. Das lokale System wird dem bereits bestehenden Cluster hinzugefügt.

WARNING: All data except netwo rk co nfiguratio n o f this dev ice will be lo s t

Bitte beachten Sie die

Sicherheitshinweise, wenn Sie ein neues System einem bestehenden Clusterverbund hinzufügen. Fahren Sie mit der weiteren Einrichtung des Clusters erst dann fort, wenn Sie das

Prinzip der Einrichtung eines

Clusterverbunds komplett verstanden haben!

Ohne das Beachten der

Sicherheitshinweise können Sie den kompletten Clusterverbund unbrauchbar machen.

Die Sicherheitshinweise finden

Sie im Kapitel

Sicherheitshinweise

137

135

Sektio n P arameter Bes chreibung

Add this dev ice as fro ntend s erv er (no lo cal databas e)

Clus ter Member IP

IP addres s o f this dev ice

Co nnect

Clus ter Identifier

Exis ting Appliance

IP o f the dev ice y o u want to co nnect to .

Do NOT us e an IP alias addres s !

Geben Sie hier die eindeutige IP-Adresse eines

SEPPmail-Systems ein, welches bereits

Bestandteil des Clusters ist zudem Sie dieses

System hinzufügen wollen. Verwenden Sie keine virtuelle IP-Adresse des Clusters!

Siehe Menü »Sy s tem > IP -Adres s es « in der

Konfigurationsoberfläche.

Die Verbindung der Cluster Systeme untereinander erfolgt über eine Secure Shell Verbindung auf Port

TCP/22. Verändern Sie diese Port Einstellung nicht.

IP addres s o ther dev ices in the clus ter can us e to co nnect to this dev ice. Do NOT us e an IP alias addres s !

Geben Sie hier die eindeutige IP-Adresse des lokalen Systems ein, welches dem bestehenden

Cluster hinzugefügt werden soll.

Siehe Menü »Sy s tem > IP -Adres s es « in der

Konfigurationsoberfläche.

Die Verbindung der Cluster Systeme untereinander erfolgt über eine Secure Shell Verbindung auf Port

TCP/22. Verändern Sie diese Port Einstellung nicht.

Schaltfläche »Start«

Wählen Sie die Schaltfläche »Start«, nachdem Sie alle notwendigen Werte für die entsprechenden

Parameter eingegeben haben,um die Cluster

Funktion auf dem lokalen System zu starten.

Dieses System wird nun Bestandteil des Cluster-

Verbunds.

Importieren Sie in diesem Eingabefeld die

»Clus ter Identifier« Datei eines bestehenden

SEPPmail-Cluster-Systems. Das lokale System wird dem bereits bestehenden Cluster als spezielle Frontend Server hinzugefügt.

IP (o r v irtual IP ) o f the dev ice (o r clus ter) y o u want to co nnect to .

Geben Sie hier die eindeutige IP-Adresse oder die virtuelle Cluster IP-Adresse eines SEPPmail-

136

Sektio n P arameter Bes chreibung

Systems ein, welches bereits Bestandteil des

Clusters ist zudem Sie dieses System hinzufügen wollen.

Die Verbindung der Cluster-Systeme untereinander erfolgt über eine Secure Shell Verbindung auf Port

TCP/22. Verändern Sie diese Port Einstellung nicht.

Schaltfläche »Start«

Co nnect

Wählen Sie die Schaltfläche »Start«, nachdem Sie alle notwendigen Werte für die entsprechenden

Parameter eingegeben haben,um die Cluster

Funktion auf dem lokalen System zu starten.

Dieses System wird nun Bestandteil des Cluster-

Verbunds als Frontend Server.

R efer enz d er M enü P ar ameter i m M enüp unk t »Clus ter «

6.10.6.1 Überblick

Das Vorgehen für die Einrichtung und den Betrieb eines SEPPmail-Clusters wird in diesem Kapitel beschrieben. Das in unserem Konfigurationsbeispiel eingerichtete SEPPmail-Cluster besteht aus zwei

Systemen. In den folgenden Abschnitten dieses Kapitels werden alle notwendigen

Konfigurationsschritte detailliert beschrieben.

K o nfiguratio ns s chritte:

1. Erstes SEPPmail-System vollständig einrichten

2. Zweites SEPPmail-System einrichten

3. Beim zweiten SEPPmail-System werden nur die Einstellungen im Menü »Sy s tem«, die

Registrierung des Systems im Menü »Adminis tratio n« und der Import des SSL-Device Zertifikats im Menü »SSL« benötigt, alle übrigen Einstellungen wie z.B. die Einstellungen im Menü »Mail

P ro ces s ing« und weitere werden beim Erstellen des Clusters automatisch übernommen.

4. In einer virtualisierten Umgebung muss eine zweite virtual Appliance importiert werden. Diese darf

kein Duplikat der bes tehenden ers ten Ins tanz sein.

5. Im ersten SEPPmail-System die Cluster Identifizierung herunterladen.

6. Das Zweite SEPPmail-System dem Cluster hinzufügen.

7. Festlegung und Konfiguration der virtuellen IP Adresse(n) des Clusters. Je nach Betriebsart des

Clusters werden eine oder zwei virtuelle IP Adressen benötigt.

Wird das Cluster als reiner Hochverfügbarkeitscluster (Failover-Cluster) betrieben (keine Aufteilung des einund ausgehenden E-Mail-Datenflusses), dann wird nur eine virtuelle Cluster IP-Adresse benötigt.

Wird das Cluster zusätzlich für Load-Balancing zur Erhöhung der Performance eingerichtet, dann werden zwei virtuelle Cluster IP-Adressen benötigt.

137

Auch bei dieser Betriebsart, Hochverfügbarkeitscluster mit zusätzlichem Load-Balancing, bleibt das

Failover-Verhalten des Clusters erhalten.

6.10.6.2 Sicherheitshinweise

Wenn Sie ein neues SEPPmail-System einem bestehenden Clusterverbund hinzufügen oder erstmalig einen Clusterverbund erzeugen, so wird die gesamte bestehende Clusterkonfiguration auf dieses neue Cluster Member System repliziert und danach ständig mit dem Clusterverbund synchronisiert.

Alle Daten auf diesem System mit Ausnahme der Einstellungen in den Menüs

»Sy s tem« und »SSL« sowie den Log-Dateien und Statistiken in den Menüs »Lo gs «,

»Webmail Lo gs « und »Statis tics « gehen verloren.

Dies ist insofern wichtig, falls sich auf diesem System noch benötigte Daten wie z.B.

S/MIME-Zertifikate, PGP-Schlüssel, GINA-Benutzerkonten etc. befinden.

Weiterhin ist es sehr wichtig zu verstehen, in welcher Reihenfolge SEPPmail-Systeme einem bestehenden Clusterverbund hinzugefügt werden müssen bzw. welches

System die Replikationsquelle und welches System das Replikationsziel ist. Falls Sie diese Systeme beim erstellen eines neues Clusterverbunds verwechseln so kann es passieren, dass ein bestehendes und eingerichtetes SEPPmail-System mit leeren

Daten des neu hinzugefügten Systems überschrieben wird. Noch viel wichtiger ist dies bei einem bestehenden Clusterverbund der bereits aus mehreren Cluster

Member Systeme besteht. Das Verwechseln von Replikationsquelle und

Replikationsziel bedeutet in diesem Fall, den kompletten Clusterverbund mit leeren

Daten des neuen Systems zu überschreiben.

Der gesamte Clusterverbund wäre dann unbrauchbar. Bitte bedenken Sie dies bei der

Konfiguration.

138

6.10.6.3 Konfiguration der VMware ESX Umgebung

Für den Aufbau und Betrieb eines SEPPmail-Clusters auf Basis virtueller Maschinen in einer VMware

ESX Umgebung ist es erforderlich, die Sicherheitseinstellungen des vSwitch und den entsprechenden

Portgruppen wie folgt einzurichten:

Im VMware vSphere Client wählen Sie »Bestandsliste -> ESX-Server -> [Reiter Konfiguration] ->

Netzwerk«

Ab b i ld ung 1 - Si cher hei ts ei ns tellung d er P o r tgr up p en i m v Swi tch ei nes V M war e E SX Sy s tems

139

6.10.6.4 Einrichten der Basiseinstellungen eines SEPPmail Systems

Um ein SEPPmail-Cluster-System einzurichten müssen auf den zugehörigen Systemen einige

Basiseinstellungen vorgenommen werden. Alle weiteren Einstellungen werden beim Aufbau eines

Clusters oder dem Hinzufügen eines neuen SEPPmail-Systems zu einem bestehenden Cluster automatisch auf das neue Cluster Member System repliziert. Danach synchronisieren sich alle Cluster

Member Systeme untereinander, wenn auf einem Cluster Member System eine Veränderung der

Konfigurationsparameter oder der Bewegungsdaten erfolgt. Die Bewegungsdaten beinhalten PGP und

S/MIME Benutzerzertifikate/Domainzertifikate sowie X.509 Root Zertifikate.

Die Basiseinstellungen beinhalten die folgenden statischen systemspezifischen

Konfigurationsparameter, die nicht zwischen den Cluster Member Systemen repliziert und synchronisiert werden: alle Einstellungen im Menü »Sy s tem« das SSL-Device Zertifikat im Menü »SSL« die Systemlizenz und die Registrierungsdaten des Systems

Die Log-Dateien und Statistiken in den Menüs »Lo gs «, »Webmail Lo gs « und »Statis tik« sind ebenfalls systemspezifisch und werden nicht repliziert. Alle anderen Konfigurationsparameter werden zwischen den Cluster Member Systemen repliziert und bei jeder Veränderung synchronisiert.

6.10.6.5 Einrichten der SEPPmail Cluster Systeme

Das erste SEPPmail-System eines Clusters muß vollständig eingerichtet sein. Siehe Kapitel

Inbetriebnahme von SEPPmail

Das zweite SEPPmail-System muß mit den Basiseinstellungen eingerichtet werden. Dies beinhaltet die

Netzwerkkonfiguration und die Registrierung des Systems. Siehe Kapitel

Einrichten der

Basiseinstellungen eines SEPPmail Systems

139

140

6.10.6.6 Cluster-Identifizierung herunterladen

Eine Cluster-Identifizierung wird benötigt, um ein weiteres SEPPmail-System zu einem bestehenden

Clusterverbund hinzuzufügen oder einen Clusterverbund aus zwei SEPPmail-Systemen zu bilden.

Um eine Cluster-Identifizierung herunterzuladen, wählen Sie in der Konfigurationsoberfläche das Menü

»Clus ter«. Wählen Sie anschließend die Schaltfläche »Do wnlo ad Clus ter Identifier« in der

Sektion »P repare fo r Clus ter«. Sie erhalten danach einen »Datei s peichern« Dialog und können die Cluster-Identifizierung als Datei »clus terid. txt« lokal speichern.

Ab b i ld ung 1 - Clus ter -I d enti fi zi er ung her unter lad en

Ab b i ld ung 2 - Clus ter -I d enti fi zi er ung her unter lad en und lo k al s p ei cher n

141

6.10.6.7 SEPPmail Cluster einrichten

Zum Einrichten eines SEPPmail-Cluster benötigen Sie mindestens zwei Systeme. Grundsätzlich gibt es für die Anzahl der Cluster Member Systeme keine Beschränkung. Sie können ohne weiteres 10

Systeme oder mehr in einem Clusterverbund betreiben. Dieser Clusterverbund kann alle je nach spezifischer Anforderung so eingerichtet werden, dass alle 4 Betriebsarten Anwendung finden.

Die primäre Einrichtung eines SEPPmail-Cluster, bestehend aus mindestens zwei Systemen, funktioniert genauso wie das Hinzufügen weiterer Cluster Member Systeme.

Um eine SEPPmail-Appliance zu einem bestehenden Cluster hinzuzufügen (oder um ein Cluster erstmalig einzurichten), wählen Sie in der Konfigurationsoberfläche den Menüpunkt »Clus ter«.

Zum Aufbau des Clusters müssen die Felder in der Sektion »Add this dev ice to exis ting clus ter« ausgefüllt werden. Gehen Sie dabei wie folgt vor:

1. Wählen Sie für den Parameter »Clus ter Identifier« die Datei mit der Cluster-Identifizierung aus, welche Sie heruntergeladen haben.

2. Geben Sie für den Parameter »Clus ter Member IP « die (physische) IP-Adresse der ersten

SEPPmail-Appliance ein, zu welchem Sie dieses System hinzufügen möchten. Befinden sich schon mehrere Appliances im Cluster, so reicht die (physische) IP-Adresse eines Cluster Members

Systems.

3. Geben Sie für den Parameter »IP addres s o f this dev ice« die eigene (physische) IP-Adresse ein, unter der diese Appliance für andere Appliances im Cluster erreichbar ist.

4. Überprüfen Sie alle zuvor eingegebenen Werte. Schließen Sie den Vorgang durch auswählen der

Schaltfläche »s tart« ab. Der Clusterverbund wird nun erstellt bzw. erweitert, indem die bestehende

Cluster Konfiguration auf das neue Cluster Member System repliziert wird. Alle nun folgenden

Änderungen der Konfiguration im Cluster werden mit dem neu hinzugefügten Cluster Member

System sofort automatisch synchronisiert.

Ab b i ld ung 1 - Hi nzufügen ei ner SE P P mai l Ap p li ance zu ei nem b es tehend en Clus ter b zw. er s tmali ges

E r zeugen ei nes Clus ter s

142

Nachdem der Clusterverbund erstellt wurde ändert sich die Anzeige im Menü »Clus ter« und es wird nun der Status des Clusterverbunds angezeigt. Wenn Sie dieses System aus dem Clusterverbund wieder entfernen möchten, so wählen Sie in der Sektion »remo v e fro m clus ter« die Schaltfläche

»remo v e this dev ice fro m clus ter«.

Ab b i ld ung 2 - Clus ter Status d es 1. Clus ter M emb er Sy s tems

Ab b i ld ung 3 - Clus ter Status d es 2. Clus ter M emb er Sy s tems

Wenn Sie ein SEPPmail-System einem bestehenden Clusterverbund hinzufügen oder erstmalig einen Clusterverbund erzeugen, so wird die gesamte bestehende

Clusterkonfiguration auf dieses neue Cluster Member System repliziert und danach ständig mit dem Clusterverbund synchronisiert.

Alle Daten auf diesem System mit Ausnahme der Einstellungen in den Menüs

»Sy s tem« und »SSL« sowie den Log-Dateien und Statistiken in den Menüs »Lo gs «,

»Webmail Lo gs « und »Statis tics « gehen verloren.

Dies ist insofern wichtig, falls sich auf diesem System noch benötigte

Konfigurationsdaten wie z.B. S/MIME Zertifikate, PGP Schlüssel, Secure Webmail

Konten etc. befinden.

Weiterhin ist es sehr wichtig zu verstehen, in welcher Reihenfolge SEPPmail Systeme einem bestehenden Clusterverbund hinzugefügt werden müssen bzw. welches

System die Replikationsquelle und welches System das Replikationsziel ist. Falls Sie diese Systeme beim Erstellen eines neues Clusterverbunds verwechseln so kann es passieren, dass ein bestehendes und eingerichtetes SEPPmail System mit den

»leeren Daten« des neu hinzugefügten Systems überschrieben wird. Noch viel

wichtiger ist dies bei einem bestehenden Clusterverbund, wenn dieser bereits aus mehreren Cluster-Member-Systemen besteht. Das Verwechseln von

Replikationsquelle und Replikationsziel bedeutet in diesem Fall, dass der bestehende Clusterverbund mit den »leeren Daten« des neuen Systems

überschreiben wird.

143

Ab b i ld ung 4 - Schemati s che D ar s tellung d er R ep li k ati o n d er Clus ter k o nfi gur ati o n zwi s chen zwei

SE P P mai l Clus ter M emb er Sy s temen

Bis jetzt haben Sie die primäre Replikation und dann folgende Sychronisation der Konfigurationsdaten zwischen den Cluster Member Systemen eingerichtet. Um ein Hochverfügbarkeitscluster und ein Load

Balancing Cluster einzurichten ist es erforderlich, die einzelnen Cluster Member Systeme unter einer oder mehreren virtuellen Cluster IP-Adressen zusammenzufassen.

144

6.10.6.8 Hochverfügbarkeitscluster einrichten

Zum Einrichten eines Hochverfügbarkeitsclusters sind zwei verschiedene Funktionen notwendig.

Im Menü »Clus ter« in der Konfigurationsoberfläche ist die Replikation und dann folgende

Sychronisation der Konfigurationsdaten der Clusterkonfiguration zwischen den Cluster Member

Systemen einzurichten und zu aktivieren. Diesen Punkt haben wir bereits im vorherigen Kapitel behandelt.

Im Menü »Sy s tem« in der Konfigurationsoberfläche sind die Überwachung der Cluster Member

Systeme untereinander und die Prioritäten der einzelnen Cluster Member Systeme innerhalb des

Clusters einzurichten.

Die Konfiguration der virtuellen Cluster IP-Adresse(n) erfolgt im Menüpunkt »Sy s tem« (Advanced

View) in der Sektion »IP ALIAS Adres s es «. Diese Konfiguration muß in jedem Cluster Member

System vorgenommen werden, das zum Cluster gehört.

Bei der Konfiguration für den Betrieb als reines Hochverfügbarkeitscluster (Failover Cluster) wird in den

Cluster Member Systemen die gleiche virtuelle Cluster IP-Adresse konfiguriert. Ein System muß dabei mit der Priorität »P rimary « konfiguriert werden und ein System muß mit der Priorität »Backup« konfiguriert werden. Siehe Abbildung 1 und Abbildung 2. Wir verwenden die IP-Adressen aus der

Darstellung im Kapitel

Hochverfügbarkeitscluster

122

Ab b i ld ung 1 - Ho chv er fügb ar k ei ts clus ter - v i r tuelle Clus ter I P -Ad r es s e d es 1. SE P P mai l Clus ter

M emb er Sy s tems

145

Ab b i ld ung 2 - Ho chv er fügb ar k ei ts clus ter - v i r tuelle Clus ter I P -Ad r es s e d es 2. SE P P mai l Clus ter

M emb er Sy s tems

Die beiden Cluster Member Systeme sind nun unter einer virtuellen Cluster IP-Adresse zusammengefaßt. Wird diese Cluster IP-Adresse angesprochen, so reagiert das System mit der

Priorität »P rimary «. Falls dieses System nicht verfügbar ist, so antwortet das System mit der

Priorität »Backup«. Es wird ein automatischer Statuswechsel durchgeführt, falls das primäre System nicht verfügbar ist. Das System mit dem Status »Backup« erhält seinen ursprünglichen Status automatisch zurück, sobald das primäre System wieder verfügbar ist. In diesem Fall ist gewährleistet, dass im Fehlerfall einund ausgehende E-Mails weiterhin verarbeitet werden können und im E-Mail

Datenfluss keine Störung auftritt.

Ab b i ld ung 4 - Ho chv er fügb ar k ei ts clus ter - auto mati s cher Status wechs el d es s ek und är en Sy s tems

( d as p r i mär e Clus ter M emb er Sy s tem i s t ni cht v er fügb ar )

Somit ist die Clusterkonfiguration abgeschlossen. Beim Einsatz eines Clusters ist folgendes zu beachten:

Beim Routing von E-Mails zum SEPPmail Cluster sollte immer die virtuelle Cluster IP-Adresse angesprochen werden.

Im internen E-Mail Server und im externen MTA müssen alle IP Adressen des Clusters berechtigt sein, E-Mails zuzustellen, d.h. alle physischen und virtuellen IP-Adressen des SEPPmail Cluster (E-

Mail Relay Einstellungen der jeweiligen Komponenten).

In der Firewall müssen alle IP-Adressen des Clusters berechtigt werden, eine SSH Verbindung (Port

TCP/22) zum Update Server im SEPPmail Rechenzentrum aufzubauen, d.h. alle physischen und virtuellen IP-Adressen des SEPPmail Clusters.

In einem Cluster werden die Konfigurationen der beiden SEPPmail Systeme automatisch synchronisiert (mit Ausnahme der Einstellungen im Menü »Sy s tem«)

146

6.10.6.9 Load Balancing Cluster einrichten

Das zusätzliche Einrichten eines Load Balancing Clusters erfordert ein bereits funktionsfähig eingerichtetes Hochverfügbarkeitscluster. Ein Load Balancing Cluster teilt den Datenfluss für einund ausgehende E-Mails auf je ein Cluster Members System aus und ermöglicht eine optimale Auslastung der vorhandenen Systemressourcen.

Jede Gruppe von Cluster Member Systemen erhält zusätzlich zu den einzelnen physischen IP-

Adressen der Einzelsysteme eine virtuelle IP-Adresse. In Abhängigkeit der zugewiesenen Priorität werden die Systeme beim Ansprechen der virtuellen Cluster IP-Adresse reagieren. Haben zwei oder mehr Cluster Member Systeme die gleiche Priorität im Clusterverbund, so werden die Systeme in der

Reihenfolge antworten in der diese gestartet wurden.

In dieser Dokumentation wird ein Clusterverbund aus zwei SEPPmail Systemen gezeigt. Sie können ebenfalls ein Cluster aus drei oder mehr Systemen einrichten. In diesem Fall ist jede virtuelle Cluster IP-Adresse als zusätzliche IP Alias Adresse anzulegen.

Bei der Konfiguration für den Betrieb als Hochverfügbarkeitscluster (Failover Cluster) mit Aufteilung des einund ausgehenden E-Mail Datenflusses (Load Balancing Cluster) werden in den Cluster

Member Systemen mindestens zwei virtuelle Cluster IP-Adresse konfiguriert.

Eine virtuelle Cluster IP-Adresse für den eingehenden E-Mail Datenfluss (IP Alias 0) und eine weitere virtuelle Cluster IP-Adresse (IP Alias 1) für den ausgehenden E-Mail Datenfluss. Damit ist beim Ausfall eines Cluster Member Systems gewährleistet, dass das zweite System die Funktion des ausgefallenen

Systems mit übernehmen kann. Ein Cluster Member System muß dabei mit der Priorität »P rimary « konfiguriert werden und ein Cluster Member System mit der Priorität »Backup«. Die Prioritäten müssen je virtueller IP-Adresse entgegengesetzt vergeben werden.

Jedem Cluster Member System sind nun jeweils zwei (oder auch mehr, falls z.B. 3 Systeme verwendet werden) IP Alias Adressen als virtuelle Cluster IP-Adressen zugeordnet. Die einzelnen Cluster Member

Systeme reagieren je nach eingerichteter Priorität auf jeweils eine virtuelle Cluster IP-Adresse. Fällt ein

System aus, so kann das verbleibende System immer als Backup System arbeiten.

Zusätzlich muß für jede virtuelle Cluster IP-Adresse eine eindeutige »Virtual Ho s t ID« vergeben werden, da wir mehr als eine Alias IP-Adresse pro Cluster Member System gebunden haben. (die

»VHID« muß für die entsprechende virtuelle Cluster IP-Adresse auf jedem System identisch sein)

Ab b i ld ung 5 - Ho chv er fügb ar k ei ts clus ter mi t zus ätzli cher Las tv er tei lung - zwei v i r tuelle Clus ter I P -

147

Ad r es s en d es 1. SE P P mai l Clus ter M emb er Sy s tems

Ab b i ld ung 6 - Ho chv er fügb ar k ei ts clus ter mi t zus ätzli cher Las tv er tei lung - zwei v i r tuelle Clus ter I P -

Ad r es s en d es 2. SE P P mai l Clus ter M emb er Sy s tems

Somit ist die Clusterkonfiguration abgeschlossen. Beim Einsatz eines Clusters ist folgendes zu beachten:

Beim Routing von E-Mails zum SEPPmail Cluster sollte immer die virtuelle Cluster IP-Adresse angesprochen werden.

Im internen E-Mail Server und im externen MTA müssen alle IP Adressen des Clusters berechtigt sein, E.Mails zuzustellen, d.h. alle physischen und virtuellen IP-Adressen des SEPPmail Cluster (E-

Mail Relay Einstellungen der jeweiligen Komponenten).

In der Firewall müssen alle IP-Adressen des Clusters berechtigt werden, eine SSH Verbindung (Port

TCP/22) zum Update Server im SEPPmail Rechenzentrum aufzubauen, d.h. alle physischen und virtuellen IP-Adressen des SEPPmail Clusters.

In einem Cluster werden die Konfigurationen der beiden SEPPmail Systeme automatisch synchronisiert (mit Ausnahme der Einstellungen im Menü »Sy s tem«)

148

6.10.6.10 Geo Cluster einrichten

Mit einem Geo Cluster können lokale SEPPmail Cluster die sich an mehreren unterschiedlichen geografischen Standorten eines Unternehmens befinden ihre Konfigurationsdaten automatisch synchronisieren.

Betrachten wir beim Einsatz eines Geo Cluster folgendes Szenario:

Ein Unternehmen kann neben der Firmenzentrale noch weitere geografisch getrennte Standorte besitzen und zwischen diesen Standorten via VPN verbunden sein. Die interne Kommunikation im

Unternehmen wird über ein unternehmensweites Groupware System abgebildet.

Jeder geografische Standort hat z.B. einen eigenen Internetzugang für den lokalen Empfang und

Versand von E-Mails. Jeder Standort betreibt eigene Groupware Server die untereinander miteinander verbunden sind. Die unternehemensinterne E-Mail Kommunikation wird über dieses eigene E-Mail

Transportnetzwerk abgebildet.

Jeder geografische Standort kann seine E-Mails über einen eigenen Internetzugang versenden und empfangen. Ein dynamisches E-Mail Routing ermöglicht es, dass E-Mails grundsätzlich an allen

Standorten durch das unternehmensinterne E-Mail Transportnetzwerk versendet oder empfangen werden können. Dies erfordert an jedem Standort jeweils ein eigenes SEPPmail Cluster zur E-Mail

Signatur und zur Ver- und Entschlüsselung von E-Mails.

Die an jedem Standort lokal eingerichteten SEPPmail Cluster sind jeweils als

Hochverfügbarkeitscluster eingerichtet. Jedes Cluster an den verschiedenen Standorten wäre somit ein eigenständiges und aber lokal begrenztes System, indem sich die Cluster Member Systeme gegenseitig überwachen und ihre Konfiguration untereinander synchronisieren.

Um zusätzlich eine globale Synchronisierung der einzelnen Cluster Systeme zwischen den geografisch getrennten Standorten einzurichten, können wir ein Geo Cluster oder auch »MultiSite System« einrichten. Ein Geo Cluster synchronisiert die Konfigurationen zwischen den einzelnen lokalen Cluster

Systemen der geografische getrennten Standorte zu einem globalen SEPPmail Cluster System. Ein solches System wird als Geo Cluster bezeichnet. Es verbindet alle lokalen Cluster Systeme der geografisch getrennten Standorte zu einem unternehmensweiten Geo Cluster.

In diesem Geo Cluster werden alle Konfigurationsänderungen die an einem SEPPmail Cluster Member

System durchgeführt werden sofort auf alle Cluster Member Systeme in allen Standorten automatisch synchronisiert. Damit ist gewährleistet, dass zu jedem Zeitpunkt die benötigten Daten wie z.B. neue

Benutzerkonten incl. Benutzerzertifikaten oder Secure Webmail Konten auf allen Cluster Member

Systemen zur Verfügung stehen. Eine manuelle Konfiguration jedes einzelnen Systems bzw. eine manuelle Synchronisation der Konfiguration zwischen den Cluster Member Systemen ist nicht mehr notwendig und reduziert den administrativen Konfigurationsaufwand.

Wie wird ein Geo Cluster eingerichtet?

Bei der Einrichtung eines Geo Clusters wird ein Cluster Member System am Standort B zu einem

Cluster Member System vom Standort A hinzugefügt. Diese Cluster Member Systeme werden nicht

über eine virtuelle Cluster IP-Adresse verbunden, wie das Hochverfügbarkeits- und Load Balancing

Cluster. Es erfolgt lediglich die Synchronisation der Konfigurationsdaten.

Verfahren Sie hierzu wir in den Kapiteln

Cluster-Identifizierung herunterladen

140

und

SEPPmail Cluster einrichten

141

149

6.10.6.11 Frontend-Backend Cluster einrichten

Falls Sie ein neu hinzugefügtes SEPPmail System aus Sicherheitsgründen ohne lokale Datenbank (z.B.

Benutzerzertifikate, Domainzertifikate etc.) betreiben möchten, können Sie das neue System alternativ als Frontend-Server hinzufügen. Die eigentlichen Konfigurations- und Benutzerdaten liegen dabei auf den übrigen SEPPmail Systemen, die als Backend-Server Appliances operieren. Wählen Sie dazu in der Konfigurationsoberfläche den Menüpunkt »Clus ter«.

Zum Hinzufügen des neuen SEPPmail Systems als Frondend-Server zu einem bestehenden Cluster müssen die Felder in der Sektion »Add this dev ice as fro ntend s erv er (no lo cal databas e) « ausgefüllt werden. Gehen Sie dabei wie folgt vor:

1. Wählen Sie für den Parameter »Clus ter Identifier« die Datei mit der Cluster-Identifizierung aus, welche Sie heruntergeladen haben. Siehe Abschnitt

Cluster-Identifizierung herunterladen

140

2. Geben Sie für den Parameter »Exis ting Appliance IP « die physische IP-Adresse des Cluster

Member Systems bzw. die Alias IP-Adresse des bestehenden Clusterverbunds an, zu welchem Sie eine Verbindung aufbauen möchten.

3. Überprüfen Sie alle zuvor eingegebenen Werte. Schließen Sie den Vorgang durch auswählen der

Schaltfläche »s tart« ab.

Auf den Backend-Servern ist keine Anpassung notwendig.

Ab b i ld ung 1 - Hi nzufügen ei ner SE P P mai l Ap p li ance als Fr o nd end -Ser v er zu ei nem b es tehend en

Clus ter M emb er Sy s tem b zw. d em Clus ter v er b und

150

6.11 Menüpunkt "Logs"

Wählen Sie den Menüpunkt »Lo gs « zum Verwalten der E-Mail Log-Dateien und um die Log-

Informationen der letzten 500 E-Mail-Bewegungen anzuzeigen. Die letzten E-Mail-Bewegungen sind in der Sektion »Mail Lo g (las t 500) « aufgelistet.

Sektio nen Bes chreibung

Other Lo gs

Queue Co ntro l

Lo g Archiv e

Filter

Mail Lo g (las t 500)

Anzeige zusätzlicher Log-Dateien

Anzeige der E-Mail-Warteschlange, Abarbeiten der aktuellen E-

Mail-Warteschlange

Herunterladen und Löschen von Logdateien

Suche in bestehenden Logdateien

Anzeige der letzen 500 Logeinträge in der E-Mail-Logdatei

Sektio n »Other Lo gs «

Schaltfläche »Sho w webmail lo g. . . «

Anzeige der Log-Informationen für Nachtichten die via GINA-Technologie versendet wurden.

Schaltfläche »Sho w Blacklis t / Grey lis t Lo g. . . «

Anzeige der Log-Informationen für eingehende E-Mails die durch Blacklisten-Bewertung vollständig oder durch Greylisting temporär abgewiesen wurden.

Sektio n »Queue Co ntro l«

Siehe

E-Mails in der Warteschlange anzeigen

152

Schaltfläche »Sho w queued mails . . . «

Wählen Sie die Schaltfläche »Sho w queued mails . . . «, um anzuzeigen welche E-Mails sich derzeit noch in der Warteschlage befinden.

Schaltfläche »Retry to deliv er queued mails . . . «

Wählen Sie die Schaltfläche »Retry to deliv er queued mails . . . «, um den Versand von E-

Mails in der Warteschlange auszulösen.

Sektio n »Lo g Archiv e«

Schaltfläche »Do wnlo ad co mplete lo g«

Wählen Sie die Schaltfläche »Do wnlo ad co mplete lo g«, um die komplette E-Mail Log-Datei einzusehen. In der aktuellen E-Mail Log-Datei sind alle aktuellen sowie archivierten Log-

Informationen enthalten.

151

Schaltfläche »Do wnlo ad lo g archiv e«

Wählen Sie die Schaltfläche »Do wnlo ad lo g archiv e«, um alle archivierten Log-

Informationen einzusehen.

Schaltfläche »Delete lo g archiv e«

Wählen Sie die Schaltfläche »Delete lo g archiv e«, um die das Log-Archive zu löschen.

Sektio n »Filter«

In diesem Eingabefeld geben Sie die Werte ein nach denen die Log-Dateien durchsucht werden sollen. Als Ergebnis erhalten Sie eine Übersicht mit den Log-Informationen die den eingegebenen

Filterwerten entsprechen.

Wählen Sie zusätzlich die Option »Include recently archiv ed lo gs « aus, so werden auch kürzlich archivierte Log-Informationen in die Suche einbezogen.

Um den Filter auf alle archivierten Log-Dateien anzuwenden, wählen Sie die Option »Include

co mplete archiv ed lo gs (might be time-co ns uming) «. Dies kann je nach Größe der archivierten Log-Dateien einige Zeit bis zum Anzeigen des Ergebnis in Anspruch nehmen.

Sektio n »Mail lo g (las t 500) «

In dieser Sektion können Sie die Log-Datei Einträge der letzten 500 E-Mail Bewegungen einsehen. Dies ist der schnellste und gebräuchlichste Weg Log-Informationen einzusehen.

Farbco de für den mo mentanen Verarbeitungs s tatus einer E-Mail:

black green

: Die E-Mail wurde noch nicht verarbeitet oder wurde direkt ausgeliefert.

: Die E-Mail wurde erfolgreich ausgeliefert.

yellow : Die E-Mail konnte noch nicht erfolgreich ausgeliefert werden, dieser Vorgang wird in

Intervallen wiederholt.

red : Die E-Mail konnte nicht ausgeliefert werden und wurde zurückgewiesen.

Den Verarbeitungsstatus einer E-Mail können Sie in der Spalte »To « (Empfänger E-Mail Adresse) einsehen. Die Empfänger E-Mail Adresse wird entsprechend den oben aufgeführten Farbcodes dargestellt. So haben Sie sehr schnell die Möglichkeit Abweichungen in der Verarbeitung von einund ausgehenden E-Mails zu erkennen.

Die letzten E-Mail Bewegungen werden mit fo lgenden Details angezeigt:

P arameter Bes chreibung

Nr.

So urce IP

Eine fortlaufende Nummerierung der E-Mail Nachrichten. Der

Wert dieser Spalte ist farbig dargestellt und dient ebenfalls als

Link zur Detailansicht der Log-Informationen. Wählen Sie diesen

Link und Sie können die gesamten Log-Informationen zu dieser

E-Mail einsehen.

IP-Adresse des E-Mail Absenders. Die IP-Adresse beschreibt den E-Mail-Server, der die E-Mail direkt an SEPPmail gesendet hat. (Hier ist nicht der jeweilige Arbeitsplatzrechner gemeint.)

152

P arameter

Date

Fro m

Mes s age-ID

Subject

Size

Bes chreibung

Versanddatum der E-Mail

Absender E-Mail-Adresse

Empfänger E-Mail-Adresse

Eindeutige Kennung der E-Mail

Betreffzeile der jeweiligen E-Mail

Größe der E-Mail

6.11.1 E-Mails in der Warteschlange anzeigen

Menü »Logs«

E-Mails die sich aktuell in der lokalen SEPPmail E-Mail-Warteschlange (Mail-Queue) befinden werden durch klicken der Schaltfläche »Sho w queued mails . . . « angezeigt.

P arameter Bes chreibung

Date

Size

Fro m

Status

Eindeutige Kennung der jeweiligen Nachricht

Datum, an welchem die entsprechende E-Mail versandt wurde

Grösse der E-Mail

Absender E-Mail Adresse

Empfänger E-Mail Adresse

Der aktuelle Status der E-Mail-Verarbeitung

153

6.12 Menüpunkt "Statistics"

Menü »Statistics«

In der Übersicht werden die Statistiken für Durchsatz, Technologie, AntiSPAM, Prozessor und

Speicher-Statistiken dargestellt. Diese Statistiken werden für die Zeitabschnitte Heute, Letzte Woche,

Letzten Monat, Letztes Jahr und die letzten 3 Jahre angezeigt.

Sektio n »Thro ughput Vis ualis atio n«

Sie sehen die Anzahl versendeter und empfangener Nachrichten und die Anzahl der durchgeführten

Ver- und Endschlüsselungsoperationen. Zusätzlich sehen Sie die Anzahl der Nachrichten die im

Durchschnitt verarbeitet wurden und wie groß die maximale Anzahl verarbeiteter Nachrichten pro

Minute in der entsprechenden Betrachtungsperiode war.

P arameter Bes chreibung

To day

Las t Week

Las t Mo nth

Las t Year

Las t 3 Years

Durchsatz-Statistiken für den folgenden Zeitabschnitt: heute

Durchsatz-Statistiken für den folgenden Zeitabschnitt: Letzte

Woche

Durchsatz-Statistiken für den folgenden Zeitabschnitt: Letzten

Monat

Durchsatz-Statistiken für den folgenden Zeitabschnitt: Letztes

Jahr

Durchsatz-Statistiken für den folgenden Zeitabschnitt: Letzte 3

Jahre

Sektio n »Techno lo gy Vis ualis atio n«

Sie sehen die Anzahl verarbeiteter E-Mails getrennt nach den Typen Secure Webmail, S/MIME-,

OpenPGP- und Domainverschlüsselung. Zusätzlich sehen Sie, die Anzahl der Nachrichten die im

Durchschnitt verarbeitet wurden und wie groß die maximale Anzahl verarbeiteter Nachrichten pro

Minute in der entsprechenden Betrachtungsperiode war.

P arameter Bes chreibung

To day

Las t Week

Las t Mo nth

Las t Year

Las t 3 Years

Technologie-Statistiken für den folgenden Zeitabschnitt: heute

Technologie-Statistiken für den folgenden Zeitabschnitt: Letzte

Woche

Technologie-Statistiken für den folgenden Zeitabschnitt: Letzten

Monat

Technologie-Statistiken für den folgenden Zeitabschnitt: Letztes

Jahr

Technologie-Statistiken für den folgenden Zeitabschnitt: Letzte 3

Jahre

154

Sektio n »Spam Vis ualis atio n«

Sie sehen die Anzahl erhaltener Nachrichten, die Anzahl der SPAM-Erkennungen und die Anzahl der E-

Mails die anhand von Black- oder Greylisting behandelt wurden. Zusätzlich sehen Sie die Anzahl der

SPAM-Nachrichten die im Durchschnitt verarbeitet wurden und wie groß die maximale Anzahl verarbeiteter SPAM-Nachrichten pro Minute in der entsprechenden Betrachtungsperiode war.

P arameter Bes chreibung

To day

Las t Week

Las t Mo nth

Las t Year

Las t 3 Years

SPAM-Statistiken für den folgenden Zeitabschnitt: heute

SPAM-Statistiken für den folgenden Zeitabschnitt: Letzte Woche

SPAM-Statistiken für den folgenden Zeitabschnitt: Letzten Monat

SPAM-Statistiken für den folgenden Zeitabschnitt: Letztes Jahr

SPAM-Statistiken für den folgenden Zeitabschnitt: Letzte 3 Jahre

Sektio n »CP U Us age Vis ualis atio n«

Sie sehen die Prozessorauslastung getrennt nach Systemverarbeitung, Verarbeitung im User Mode

(Ausführung von Applikationen) und Prozessen die bezüglich Prozesspriorität durch das nice-

Dienstprogramm gesteuert wurden.

P arameter Bes chreibung

To day

Statistiken zur Prozessor-Auslastung für den folgenden Zeitabschnitt: heute

Las t Week

Statistiken zur Prozessor-Auslastung für den folgenden Zeitabschnitt: Letzte Woche

Las t Mo nth Statistiken zur Prozessor-Auslastung für den folgenden Zeitabschnitt: Letzten Monat

Las t Year

Statistiken zur Prozessor-Auslastung für den folgenden Zeitabschnitt: Letztes Jahr

Las t 3

Years

Statistiken zur Prozessor-Auslastung für den folgenden Zeitabschnitt: Letzte 3 Jahre

Sektio n »Memo ry Us age Vis ualis atio n«

Sie sehen die aktive und totale Auslastung des Arbeitsspeichers, Speicherauslagerungen sowie freie

Kapazitäten des Arbeitsspeichers.

P arameter

To day

Las t Week

Las t Mo nth

Las t Year

Las t 3 Years

Bes chreibung

Arbeitsspeicher-Statistiken für den folgenden Zeitabschnitt: heute

Arbeitsspeicher-Statistiken für den folgenden Zeitabschnitt:

Letzte Woche

Arbeitsspeicher-Statistiken für den folgenden Zeitabschnitt:

Letzten Monat

Arbeitsspeicher-Statistiken für den folgenden Zeitabschnitt:

Letztes Jahr

Arbeitsspeicher-Statistiken für den folgenden Zeitabschnitt:

Letzte 3 Jahre

155

156

6.13 Menüpunkt "Users"

Wählen Sie den Menüpunkt »Us ers «, um die internen Benutzer der SEPPmail Appliance zu verwalten.

Folgende Vorgänge werden in den kommenden Abschnitten beschrieben:

Übersicht

156

Benutzer erstellen

156

Benutzer verwalten

157

6.13.1 Übersicht Menüpunkt "Users"

P arameter Bes chreibung

Us er ID

Name

E-Mail

P GP

S/MIME

State

Name des Benutzerkontos zur Anmeldung an der SEPPmail

Konfigurationsoberfläche.

Tatsächlicher Benutzername, z.B. Robert Lander

E-Mail Adresse des Benutzer

Anzahl der im Benutzerkonto installierten PGP Benutzerschlüssel

Anzahl der im Benutzerkonto installierten S/MIME

Benutzerzertifikate

Aktueller administrativer Status des Benutzer

6.13.2 Interne Benutzer erstellen

Menü »Users«

Zum Erstellen eines neuen Benutzerskontos wählen Sie die Schaltfläche »Create new us er

acco unt. . . «.

Füllen Sie folgende Felder aus, um den Benutzer zu erstellen:

P arameter Bes chreibung

Us er ID

Full Name

E-Mail

P as s wo rd

Benutzer-ID

Vollständiger Name des Benutzers

E-Mail-Adresse des Benutzers

Kennwort des Benutzers

P arameter »Us er ID«

157

Erfassen Sie in diesem Feld die Benutzer-ID des Benutzers, z.B. die E-Mail-Adresse oder einen anderen eindeutigen Wert. Benötigt wird diese ID zum Anmelden an der Konfigurationsoberfläche.

P arameter »Full Name«

Vollständiger Name des Benutzers, z.B. Robert Lander

Hinweis :

Geben Sie den vollständigen Namen des Benutzers unbedingt ein, da dieser Wert beim Erstellen von Benutzerzertifikaten erforderlich ist.

P arameter »E-Mail«

Erfassen Sie in diesem Feld die E-Mail-Adresse des Benutzers. Anhand dieser E-Mail-Adresse werden geprüft, ob ein Absender berechtigt ist die Cryptofunktion von SEPPmail zu nutzen. Für alle Absender die kein Benutzerkonto haben wird die Cryptofunktion nicht angewendet.

P arameter »P as s wo rd«

Erfassen Sie in diesem Feld das Kennwort des Benutzers (geben Sie dieses zwei Mal ein).

Hinweis :

Ein Passwort für den Benutzer wird nur dann benötigt, wenn dieser administrative

Berechtigung an der Konfigurationsoberfläche erhalten soll. Die Berechtigung, für den Zugriff auf bestimmte Menüpunkte, kann durch die Auswahl der Gruppen definiert werden.

6.13.3 Interne Benutzer verwalten

Menü »Users«

Um die Details eines Benutzers zu bearbeiten, klicken Sie auf die »Us er ID« des entsprechenden

Benutzers.

Sektio n »Us er Data«

P arameter Bes chreibung

Us er ID

Full Name

E-Mail

P as s wo rd

Encry ptio n Settings

eindeutige Benutzer-ID vollständiger Name des Benutzers (editierbar)

E-Mail-Adresse des Benutzers (muss eindeutig sein)

Kennwort des Benutzers administrativer Status des Benutzerkontos

158

P arameter

No tificatio n Settings

Us er Statis tics

Bes chreibung

Lesebestätigung für GINA-Nachrichten statistische Übersicht des Systembenutzung

P arameter »Us er ID«

Benutzer-ID des Benutzers, z.B. die E-Mail-Adresse oder ein anderer eindeutiger Wert. Dieser

Parameter ist Read-Only und kann nachträglich nicht mehr verändert werden. Die Benutzer-ID ist der Anmeldename des Benutzers für den Zugang zur Konfigurationsoberfläche.

P arameter »Full Name«

Vollständiger Name des Benutzers. Dieser Parameter kann nachträglich verändert werden.

Hinweis :

Geben Sie den vollständigen Namen des Benutzers unbedingt ein, da dieser Wert beim Erstellen von Benutzerzertifikaten erforderlich ist.

P arameter »E-Mail«

E-Mail-Adresse des Benutzers. Dieser Parameter ist Read-Only und kann nachträglich nicht mehr verändert werden.

P arameter »P as s wo rd«

Das Kennwort des Benutzers kann hier neu vergeben werden.

Hinweis :

Ein Passwort für den Benutzer wird nur dann benötigt, wenn dieser administrative

Berechtigung an der Konfigurationsoberfläche erhalten soll. Die Berechtigung, für den Zugriff auf bestimmte Menüpunkte, kann durch die Auswahl der Gruppen definiert werden.

P arameter »Encry ptio n Settings «

Hier können Sie den administrativen Status des Benutzerkontos beeinflussen. Sie können die

Cryptofunktionen des Benutzers durch die folgenden Optionen einschränken oder wieder freigeben.

1. May not encrypt mails : deaktiviert das verschlüsseln ausgehender E-Mails für diesen

Benutzer

2. May not sign mails : deaktiviert das signieren ausgehende E-Mails für diesen Benutzer

Wenn Sie beide Optionen aktivieren, dann wird das Benutzerkonto deaktiviert. Der Benutzer kann in diesem Fall die Cryptofunktionen für ausgehende E-Mails nicht mehr nutzen. Eingehende E-

Mails werden weiterhin entschlüsselt. Durch das Deaktivieren des Benutzerkontos bleibt dieses in der Konfiguration erhalten, es wird aber keine Benutzerlizenz verbraucht.

159

Hinweis :

Benötigt ein Benutzer die Cryptofunktionen von SEPPmail nicht mehr und existiert für diesen Benutzer S/MIME oder OpenPGP Schlüsselmaterial, so empfehlen wir, das Benutzerkonto nicht zu löschen sondern zu deaktivieren. Die verbrauchte Benutzerlizenz wird dadurch wieder frei. Eingehende E-Mails für diesen Benutzer können weiterhin entschlüsselt werden.

Löschen Sie das Benutzerkonto mit existierenden Schlüsselmaterial, so wird ebenfalls eine verbrauchte Benutzerlizenz freigegeben. Eingehende E-Mails für diesen Benutzer können dann nicht mehr durch SEPPmail entschlüsselt werden.

Das Benutzerzertifikat eines z.B. ausgeschiedenen Mitarbeiters kann bei externen

Kommunikationspartnern weiterhin vorhanden sein und auch für die

Verschlüsselung genutzt werden.

P arameter »No tificatio n Settings «

Aktiviert das Versenden von Benachrichtigungen, wenn von diesem Benutzer versendete GINA-E-

Mails vom Empfänger gelesen wurden. Dies bezieht sich auf alle GINA-E-Mails die dieser Benutzer versendet. Das Anfordern einer Lesebestätigung ist dann nicht mehr bei jeder ausgehenden GINA-

E-Mails separat erforderlich. Dieser Parameter kann durch eine übergeordnete Einstellung innerhalb der E-Mail-Domain übersteuert werden.

P arameter »Us er Statis tics «

Zeigt eine statistische Übersicht zu verarbeiteten E-Mail bzgl. dem Cryptoverfahren, der Anzahl und der letzen Aktivität.

Sektio n »Gro up Members hips «

Zeigt an, in welchen Gruppen das Benutzerkonto Mitglied ist. Die Gruppenmitgliedschaft wird im

Menü »Gro ups « verwaltet.

Sektio n »S/MIME«

Schaltfläche/P arameter Bes chreibung

Impo rt S/MIME Certificate. . .

vorhandenes S/MIME-Zertifikat importieren

Generate S/MIME

Certificate. . .

Generate [CA] Certificate. . .

neues S/MIME-Zertifikat für den Benutzer durch die SEPPmail-

CA selbst generieren neues S/MIME-Zertifikat für den Benutzer über den eingerichteten CA-Connector beziehen

Seriennummer des Zertifikats

Serial

Certificate Autho rity

Is s ued o n

Subject der CA die dieses Zertifikat ausgestellt hat

Ausstellungsdatum des Zertifikats

160

Schaltfläche/P arameter

Expires o n

Sektio n »P GP «

Schaltfläche/P arameter

Impo rt P GP key . . .

Generate new P GP key . . .

K ey ID

Us er ID

Is s ued o n

Expires o n

Bes chreibung

Ablaufdatum des Zertifikats

Bes chreibung

vorhandenes PGP-Schlüsselpaar importieren neues PGP-Schlüsselpaar für den Benutzer die SEPPmail selbst generieren

Schlüssel-ID des Schlüsselpaars

Benutzer-ID des Schlüsselpaars

Ausstellungsdatum des Schlüsselpaars

Ablaufdatum des Schlüsselpaars

Sektio n »Remo te P OP 3«

Geben Sie die POP3-Authentifizierungsdetails des Benutzers ein, um E-Mails des Benutzers regelmässig von einem POP3-Server abzurufen.

P arameter Bes chreibung

Us er ID

P as s wo rd

Mail s erv er

Benutzername

Kennwort

IP-Adresse oder Hostname des POP3 E-Mail-Servers von dem

E-Mails abgeholt werden sollen

161

6.14 Menüpunkt "Groups"

Wählen Sie den Menüpunkt »Gro ups «, um die Gruppenstruktur der SEPPmail Appliance zu verwalten.

Folgende Vorgänge werden in den kommenden Abschnitten beschrieben:

Übersicht

161

Gruppen erstellen

163

Gruppen verwalten

163

Benutzer zuweisen und entfernen

164

6.14.1 Übersicht Menüpunkt "Groups"

Wollen Sie zusätzlich zum Benutzer »admin« weiteren Benutzern administrative Rechte an der

Konfigurationsoberfläche geben, so können Sie einen Benutzer zum Mitglied unterschiedlicher

Gruppen machen. Die Gruppenstruktur entspricht im wesentlichen den einzelnen Menüpunkten.

Sie haben über den Menüpunkt »Gro ups « eine Übersicht aller den jeweiligen Gruppen zugeordneten

Benutzern.

Eine Ausnahme bildet die folgende Gruppe:

»backup (Backup Operato r) «. Sie dient nicht zur Vergabe von Berechtigungen an Menüpunkten der

Konfigurationsoberfläche.

Gruppe Bes chreibung admin

(Adminis trato r)

Wählen Sie die Schaltfläche »Create new us er gro up. . . «, um eine neue Gruppe anzulegen. Siehe

Gruppen erstellen

163

Gruppen die einmal angelegt wurden können nachträglich nicht mehr gelöscht werden.

Alle Mitglieder dieser Gruppe sind dem Standardbenutzer »admin« gleichgestellt und haben uneingeschränkten administrativen Zugang zur Konfigurationsoberfläche mit allen Berechtigungen. Um einen

Benutzer Sicherheitsäquivalent zum Standardbenutzer »admin« zu machen, fügen Sie diesen Benutzer der Gruppe »admin

(Adminis trato r) « hinzu.

Alle Mitglieder dieser Gruppe haben Zugriff auf das Menü

»Adminis tratio n« in der Konfigurationsoberfläche.

adminis tratio nadmin

(GUI Acces s to

Adminis tratio n Sectio n) backup

(Backup Operato r ) caadmin

(GUI Acces s to CA

Dieses Gruppe ist eine Sonderbedeutung zugeordnet. Sie unterscheidet sich von den Systemgruppen für den Zugriff auf die

Konfigurationsoberfläche dadurch, dass kein Zugriff auf die

Konfigurationsoberfläche erfolgt. Alle Mitglieder dieser Gruppe erhalten das Systembackup des jeweiligen Systems einmal täglich via

E-Mail. Das Systembackup wird täglich um 0.00 Uhr erzeugt und via

E-Mail an alle Mitglieder dieser Gruppe gesendet.

Alle Mitglieder dieser Gruppe haben Zugriff auf das Menü »CA« in der

Konfigurationsoberfläche.

162

Gruppe Bes chreibung

Sectio n) clus teradmin

(GUI Acces s to Clus ter

Sectio n) do mainkey s admin

(GUI Acces s to Do main

K ey s Sectio n)

Alle Mitglieder dieser Gruppe haben Zugriff auf das Menü »Clus ter« in der Konfigurationsoberfläche.

Alle Mitglieder dieser Gruppe haben Zugriff auf das Menü »Do main

key s « in der Konfigurationsoberfläche.

gro ups admin

(GUI Acces s to Gro ups

Sectio n) ho meadmin

(GUI Acces s to Ho me

Sectio n)

Alle Mitglieder dieser Gruppe haben Zugriff auf das Menü »Gro ups « in der Konfigurationsoberfläche.

Alle Mitglieder dieser Gruppe haben Zugriff auf das Menü »Ho me« in der Konfigurationsoberfläche.

lo gs admin

(GUI Acces s to Lo gs

Sectio n)

Alle Mitglieder dieser Gruppe haben Zugriff auf das Menü »Lo gs « in der Konfigurationsoberfläche.

mailpro ces s ingadmin

(GUI Acces s to Mail Mail

P ro ces s ing Sectio n)

Alle Mitglieder dieser Gruppe haben Zugriff auf das Menü »Mail

P ro ces s ing« in der Konfigurationsoberfläche.

mails y s temadmin

(GUI Acces s to Mail

Sy s tem Sectio n) multiplecus to mers admin

(Admin acces s to

Cus to mer s ettings in multitenant deplo y ments ) pgpkey s admin

(GUI Acces s to P GP

K ey s Sectio n) s s ladmin

(GUI Acces s to SSL

Sectio n) s tatis tics admin

(GUI Acces s to

Statis tics Sectio n) s y s temadmin

(GUI Acces s to Sy s tem

Sectio n)

Alle Mitglieder dieser Gruppe haben Zugriff auf das Menü »Mail

Sy s tem« in der Konfigurationsoberfläche.

Alle Mitglieder dieser Gruppe haben Zugriff auf das Menü

»Cus to mers « in der Konfigurationsoberfläche.

Alle Mitglieder dieser Gruppe haben Zugriff auf das Menü »P GP

public key s « in der Konfigurationsoberfläche.

Alle Mitglieder dieser Gruppe haben Zugriff auf das Menü »SSL« in der Konfigurationsoberfläche.

Alle Mitglieder dieser Gruppe haben Zugriff auf das Menü

»Statis tics « in der Konfigurationsoberfläche. Zusätzlich erhalten alle

Mitglieder dieser Gruppe einen täglichen System-Report des jeweiligen Systems. Der System-Report wird täglich um 0.00 Uhr erzeugt und via E-Mail an alle Mitglieder dieser Gruppe gesendet.

Alle Mitglieder dieser Gruppe haben Zugriff auf das Menü »Sy s tem« in der Konfigurationsoberfläche.

163

Gruppe Bes chreibung us ers admin

(GUI Acces s to Us ers

Sectio n) webmailacco unts admin

(GUI Acces s to Webmail

Acco unts Sectio n) x509certificates admin

(GUI Acces s to X. 509

Certificates Sectio n) x509ro o tcertificates adm in

(GUI Acces s to X. 509

Ro o t Certificates

Sectio n)

Alle Mitglieder dieser Gruppe haben Zugriff auf das Menü »Us ers « in der Konfigurationsoberfläche.

Alle Mitglieder dieser Gruppe haben Zugriff auf das Menü »Webmail

acco unts « in der Konfigurationsoberfläche.

Alle Mitglieder dieser Gruppe haben Zugriff auf das Menü »X. 509

Certificates « in der Konfigurationsoberfläche.

Alle Mitglieder dieser Gruppe haben Zugriff auf das Menü »X. 509

Ro o t Certificates « in der Konfigurationsoberfläche.

6.14.2 Gruppen erstellen

Menü »Groups«

Zum Erstellen einer neuen Gruppe wählen Sie in der Konfigurationsoberfläche die Schaltfläche

»Create new us er gro up. . . «. Geben Sie den Namen der neuen Gruppe sowie eine kurze

Beschreibung ein und wählen Sie dann die Schaltfläche »Create«, um die Erstellung der neuen

Gruppe abzuschließen.

6.14.3 Gruppen verwalten

Menü »Groups«

Benutzer können je nach Rolle einer oder mehreren Gruppen zugeordnet werden.

Alle Mitglieder der Gruppe »backup« (Backup Operato r) « erhalten das Systembackup des jeweiligen Systems einmal täglich via E-Mail. Das Systembackup wird täglich um 0.00 Uhr erzeugt und via E-Mail an alle Mitglieder dieser Gruppe gesendet. (Siehe Kapitel

Backup User erstellen

Die weiteren vordefinierten Gruppen ermöglichen deren Mitgliedern die Administration der SEPPmail-

Appliance. Die Gruppe »webmailacco unts admin« erlaubt beispielsweise den Zugriff auf den

Menüpunkt »Webmail acco unts « in der SEPPmail Konfigurationsoberfläche.

Für jeden Menüpunkt in der Konfigurationsoberfläche gibt es eine entsprechende Gruppe, jeweils vermerkt mit »GUI Acces s to . . . «. So können verschiedene Administrationsaufgaben an mehrere

Personen übertragen werden.

Zum Löschen einer vorhandenen Gruppe wählen Sie die Schaltfläche »Edit . . . « neben der Gruppe die

Sie löschen wollen. Wählen Sie zum Löschen die Schaltfläche »Delete Gro up«.

164

6.14.4 Benutzer zuweisen und entfernen

Menü »Groups«

Um einen Benutzer einer bestehenden Gruppe hinzuzufügen, wählen Sie die Schaltfläche »Edit. . . « neben der Gruppe, der Sie einen Benutzer hinzufügen wollen.

Wählen Sie die im Bereich »Gro up members « einen Benutzer. Fügen Sie diesen Benutzer durch wählen der Schaltfläche »Add us er. . . « der Gruppe hinzu. Wählen Sie zum Speichern des hinzugefügten Benutzer die Schaltfläche »Sav e changes «.

Um einen Benutzer aus einer Gruppe zu entfernen, markieren Sie den Benutzereintrag in der Liste »

Gro up members « und wählen Sie zum Entfernen die Schaltfläche »Remo v e s elected us ers . . . «.

165

6.15 Menüpunkt "GINA accounts"

Wählen Sie den Menüpunkt »GINA-K o nten«, um die automatisch erzeugten Webmail-Konten der

SEPPmail Appliance zu verwalten.

Folgende Vorgänge werden in den kommenden Abschnitten beschrieben:

Übersicht

165

GINA-Benutzerkonten sperren

167

GINA-Benutzerkonten löschen

167

GINA-Benutzerkonten verwalten

167

6.15.1 Übersicht Menüpunkt "GINA accounts"

Menü »GINA accounts«

Dieses Menü ist in mehrere Bereiche aufgeteilt die zum Teil dynamisch erzeugt werden. Dynamisch erzeugt bedeutet in diesem Zusammenhang, dass für jeden angelegten Kunden im Menü »Cus to mer« eine eigene Sektion angezeigt wird. In dieser Sektion werden alle dem Kunden zugeordneten GINA-

Benutzerkonten angezeigt.

P arameter Bes chreibung

[K undenname]

Default Cus to mer

No Cus to mer

E-mail

Acco unt s tatus

Las t mes s age s tatus

Gruppierung für einen oder mehrere Kundenbereiche, in denen dem Kunden zugeordneten GINA-Benutzerkonten gruppiert werden.

GINA-Benutzerkonten die keinem anderen Kunden zugeordnet sind

GINA-Benutzerkonten die nicht verwendet werden dürfen

E-Mail-Adresse des Empfängers

Administrativer Status des GINA-Benutzerkontos

Status der letzten Benutzerinteraktion mit Zeitstempel

P arameter »[K undenname]«

Wird ein SEPPmail-System für mehrere Kunden gleichzeitig verwendet, so können einem Kunden spezifische Konfigurationsparameter explizit zugewiesen werden. Dies ist auch für GINA-

Benutzerkonten der Fall. Für jeden im Menü »Cus to mer« angelegten Kunden wird eine eigene Sektion angelegt die mit dem Kundennamen bezeichnet wird. Innerhalb dieses kundenspezifischen Bereichs werden alle dem Kunden zugeodeneten GINA-Benutzerkonten angezeigt. Ein externen GINA-Benutzer kann mehreren Kundensektionen zugeordnet sein.

P arameter »Default Cus to mer«

Diese Sektion hat eine Sonderbedeutung. Sie enthält alle GINA-Benutzerkonten, die keiner anderen

Kundensektion zugeordnet sind.

166

P arameter »No Cus to mer«

Diese Sektion hat eine Sonderbedeutung. Sie enthält alle GINA-Benutzerkonten, die nicht mehr verwendet werden dürfen. Diese GINA-Benutzerkonten sind deaktiviert, bleiben aber in der

Konfiguration erhalten. Sie können wieder reaktiviert werden, indem sie einem Kunden oder dem

»Default Cus to mer« zugeordnet werden.

P arameter »E-mail«

E-Mail Adresse des GINA-Empfängers

P arameter »Acco unt s tatus «

Administrativer Status des GINA-Benutzerkontos des Empfängers. Der »Acco unt s tatus « kann folgende Werte anzeigen: locked enabled

Das GINA-Benutzerkonto des Empfängers ist gesperrt.

Das GINA-Benutzerkonto des Empfängers ist aktiv.

P arameter »Las t mes s age s tatus «

In dieser Spalte wird der Status der letzen Benutzerinteraktion angezeigt. Der »las t mes s age s tatus « kann folgende Werte anzeigen:

<Statusmeldung> Wird eine Statusmeldung in rot angezeigt, dann wurde die letzte

Benutzerinteraktion, z.B. die Benutzeranmeldung am GINA-Benutzerkonto, nicht erfolgreich ausgeführt.

Beis piele:

May 2 18:00:00: auth failure, pwdCount 4 Das Benutzerkennwort des

Empfängers wurde 4 Mal falsch eingegeben.

May 2 18:00:00: auth failure, disable account

Das Benutzerkonto des

Empfängers wurde gesperrt, nachdem das

Benutzerkennwort 4 Mal falsch eingegeben wurde.

<Statusmeldung> Wird die Statusmeldung in grün angezeigt, dass wurde die letzte

Benutzerinteraktion, z.B. das Lesen einer GINA-Nachricht, erfolgreich ausgeführt.

Beis piele:

May 2 18:00:00: success. message-ID:

<[email protected]>

Eine GINA-Nachricht wurde vom

Empfänger erfolgreich entschlüsselt und angezeigt.

167

May 2 18:00:00: auth ok Der Empfänger konnte sich erfolgreich an seinem GINA-

Benutzerkonto anmelden.

6.15.2 GINA-Benutzerkonten sperren

Menü »GINA accounts«

Um GINA-Benutzerkonten zu sperren, klicken Sie in der Konfigurationsoberfläche auf den Menüpunkt »

GINA acco unts «. Klicken Sie anschließend auf die E-Mail-Adresse des entsprechenden GINA-

Benutzers. Um das ausgewählte GINA-Benutzerkonto zu sperren, wählen Sie in der Sektion »User

Data« im Bereich »Account status« auf die Option »lo cked«. Das Benutzerkonto ist nun gesperrt und kann nur durch einen Administrator entsperrt werden.

6.15.3 GINA-Benutzerkonten löschen

Menü »GINA accounts«

Um GINA-Benutzerkonten zu löschen, klicken Sie in der Konfigurationsoberfläche auf den Menüpunkt »

GINA acco unts «. Klicken Sie anschließend auf die E-Mail-Adresse des GINA-Benutzers. Um das ausgewählte Benutzerkonto zu löschen, klicken Sie auf die Schaltfläche »Delete Acco unt«.

Wichtiger Hinweis :

Beim Erstellen eines GINA-Benutzerkontos wird ein eindeutiger Schlüssel zur Ver- und

Entschlüsselung der GINA-Nachrichten erzeugt.

Alle GINA-Nachrichten für diesen Empfänger werden mit dem zu diesem GINA-

Benutzerkonto gehörenden Schlüssel verschlüsselt und können nur mit diesem

Schlüssel wieder entschlüsselt und gelesen werden.

Wird ein GINA-Benutzerkonto gelöscht, so wird ebenfalls der eindeutige Schlüssel für dieses Benutzerkonto gelöscht. Dies hat zur Folge, dass der Empfänger alle bisher empfangenen GINA-Nachrichten nicht mehr entschlüsseln und lesen kann.

Wird ein neues GINA-Benutzerkonto für einen zuvor gelöschten Empfänger angelegt, so wird ein neuer eindeutiger Schlüssel erzeugt. Der Empfänger kann nur GINA-

Nachrichten entschlüsseln und lesen, die mit dem neuen Schlüssel verschlüsselt wurden. Alle GINA-Nachrichten die vor dem Erstellungszeitpunkt des neuen GINA-

Benutzerkontos empfangen wurden, können nicht mehr entschlüsselt und gelesen werden. Dies ist unabhängig davon, ob ein neu angelegtes GINA-Benutzerkonto denselben Namen hat wie ein zuvor gelöschtes GINA-Benutzerkonto.

6.15.4 GINA-Benutzerkonten verwalten

Menü »GINA accounts«

Sektio n »Us er Data«

168

P arameter

Creatio n Info

Name

E-Mail

P as s wo rd reminder

Ans wer

P as s wo rd

Mus t Change P as s wo rd

Zip Attachement

Acco unt s tatus

P as s wo rd Security Lev el

Mo bile number

Bes chreibung

Absender E-Mail-Adresse und Zeitstempel bei Erstellen des

GINA-Benutzerkontos.

Name des GINA-Empfängers.

E-Mail-Adresse des Empfängers.

Sicherheitsfrage bei Verlust des Benutzerkennworts. Frage und

Antwort diesen zum Identifizieren des Empfängers.

Antwort auf die Sicherheitsfrage.

Setzen eines neuen Benutzerkennworts.

Wenn Sie diese Option setzen wird der GINA-Empfänger beim nächsten Login aufgefordert, sein Kennwort zu ändern.

GINA-Nachrichten werden innerhalb einer ZIP-Dateianlage gesendet.

Status des Benutzerkontos.

Mobilfunkrufnummer des Empfängers

P arameter »Creatio n Info «

Absender E-Mail-Adresse und Zeitstempel bei Erstellen des GINA-Benutzerkontos.

P arameter »Name«

Name des GINA-Empfängers. Diese Informationen kann der GINA-Empfänger innerhalb seines

Benutzerkontos selbst verwalten.

P arameter »E-Mail«

E-Mail-Adresse des Empfängers.

P arameter »P as s wo rd reminder«

Sicherheitsfrage bei Verlust des Benutzerkennworts. Frage und Antwort diesen zum Identifizieren des Empfängers.

P arameter »Ans wer«

Antwort auf die Sicherheitsfrage.

P arameter »P as s wo rd«

Setzen eines neuen Benutzerkennworts.

169

P arameter »Mus t Change P as s wo rd«

Wenn Sie diese Option setzen wird der GINA-Empfänger beim nächsten Login aufgefordert, sein

Kennwort zu ändern.

P arameter »Zip Attachment«

Nutzen Sie diesen Parameter, wenn Sie möchten, dass GINA-Nachrichten in Form einer ZIP-

Dateianlage zur GINA-Nachricht gesendet werden. Dieser Parameter ist bei Empfängern erforderlich, die Outlook Web Access (OWA) verwenden, da GINA-Nachrichten im Format einer HTML-Datei aus

OWA nicht entschlüsselt werden können. Um die Einstellung nur bei einzelnen GINA-Nachrichten zu nutzen, kann das Tag »[o wa]« in der Betreffzeile der E-Mail verwendet werden. Sollte eine GINA-

Nachricht im Format einer HTML-Datei an einen OWA-Empfänger gelangen, erkennt die SEPPmail-

Appliance dies. Der Absender wird daraufhin aufgefordert, die E-Mail nochmal zu senden. Gleichzeitig wird im GINA-Benutzerkonto des Empfängers der Parameter »ZIP Attachment« automatisch gesetzt.

Bei allen neu gesendeten GINA-Nachrichten werden die GINA-Nachrichten innerhalb einer ZIP-

Dateianlage gesendet und können via Outlook Web Access dargestellt werden.

P arameter »Acco unt s tatus «

locked Webmail-Konto ist deaktiviert/gesperrt enabled Webmail-Konto ist aktiviert

Diese Option wird verwendet, um Brute-Force* Angriffe zu vermeiden. Das GINA-Benutzerkonto wird automatisch deaktiviert, nachdem das Kennwort 4 Mal falsch eingegeben wurde. Das Benutzerkonto wird solange gesperrt, bis es durch den Administrator wieder freigegeben wird.

P arameter »P as s wo rd Security Lev el«

Wählen Sie das Verfahren für den Kennwort-Reset, damit ein externer GINA-Benutzer sein GINA-

Benutzerkennwort zurücksetzen kann. Danach wird je nach ausgewählem Verfahren für den Kennwort-

Reset eines der folgenden Verfahren verwendet:

Aus wahlwert »default (Res et by ho tline) «

Der Wert »default« bezieht sich auf die für die jeweilige GINA-Domain ausgewählte globale

Standardeinstellung. Dieses wird innerhalb der Konfiguration der GINA-Domain in der Sektion

»Security « eingestellt.

Aus wahlwert »Res et by Email v erificatio n«

Der externe GINA-Benutzer kann sein Kennwort selbstständig zurücksetzen. Zur Aktivierung und

Bestätigung dieser Aktion erhält er eine E-Mail-Benachrichtigung mit einem Aktivierungslink. Nach dem Bestätigen dieses Aktivierungslinks wird das vom externen Benutzer zuvor neu eingegebene

Kennwort aktiviert. Ein Login mit dem neu gesetzten Kennwort ist nun möglich.

Aus wahlwert »Res et by ho tline«

Der externe GINA-Benutzer kann sein Kennwort nicht selbstständig zurücksetzen. Er gibt dazu seine Rufnummer an, unter der er für den Support erreichbar ist. Nach Überprüfung durch die

Sicherheitsfrage erhält er vom Support-Mitarbeiter ein neues Einmalkennwort zum nächsten Login.

Nach dem Login ist es erforderlich, ein neues persönliches Kennwort erfassen. Ein Login mit dem neu gesetzten Kennwort ist nun möglich.

170

Aus wahlwert »Res et by ho tline, no reminder ques tio n/ans wer«

Der externe GINA-Benutzer kann sein Kennwort nicht selbstständig zurücksetzen. Er gibt dazu seine Rufnummer an, unter der er für den Support erreichbar ist. Eine Überprüfung durch die

Beantwortung einer Sicherheitsfrage ist nicht erforderlich. Beim Erstmaligen Initialisieren des GINA-

Benutzerkontos ist es nicht erforderlich, dass der Benutzer eine Sicherheitsfrage angibt. Der

Diese folgenden Möglichkeiten für das Zurücksetzen eines Kennworts können nur im Rahmen der

Funktion »Self Serv ice P as s wo rt Management (SSP M) « ausgeführt werden. Siehe

GINA Self

Service Passwort Management

Aus wahlwert »Res et by SMS«

Der externe GINA-Benutzer kann ein neues Kennwort via SMS auf sein Mobiltelefon anfordern.

Dieses neue Einmalkennwort verwendet der Benutzer für den nächsten Login. Dabei muss er ein neues persönliches Kennwort erfassen. Ein Login mit dem neu gesetzten Kennwort ist nun möglich.

Beim Reset des Kennworts via SMS muss die Mobilfunkrufnummer im

Benutzerprofil des Benutzers hinterlegt worden sein.

Beinhaltet ein ausgewähltes Verfahren zur Kennwortrücksetzung die Option SMS, so ist es ebenfalls erforderlich den SMS-Versand im Menü »Mail P ro ces s ing« einzurichten.

Aus wahlwert »Let us er cho o s e between ho tline and SMS«

Der externen GINA-Benutzer kann zum anfordern eines neuen Kennworts zwischen den beiden

Optionen »Ho tline« und »SMS« auswählen.

P arameter »Mo bile Number«

Beinhaltet die Mobilfunkrufnummer des GINA-Benutzers, falls diese vom Benutzer beim Verwalten seines Benutzerkontos hinterlegt wurde. Für den Support besteht die Möglichkeit dem Benutzer bei Bedarf ein neues One-Time Kennwort (Einmalkennwort) als SMS zu senden. Klicken Sie dazu auf die Schaltfläche »SMS pas s wo rd res et«. Es wird ein neues One-Time Kennwort automatisch durch SEPPmail generiert und via SMS gesendet.

Sektio n »Us er Lo gs «

In diesem Bereich sehen Sie eine Historie der Benutzerinteraktionen.

* Bei einem Brute-Force Angriff handelt es sich um das Durchprobieren aller möglichen (oder zumindest sehr vieler) Kennwortkombinationen.

171

6.16 Menüpunkt "PGP public keys"

Wählen Sie den Menüpunkt »P GP public key s «, um die OpenPGP-Benutzerschlüssel der

Kommunikationepartner auf der SEPPmail Appliance zu verwalten.

Folgende Vorgänge werden in den kommenden Abschnitten beschrieben:

Übersicht

171

OpenPGP-Schlüssel importieren

171

OpenPGP-Schlüssel herunterladen oder löschen

171

6.16.1 Übersicht Menüpunkt "PGP public keys"

P arameter Bes chreibung

K ey ID

E-mail addres s es

Us er Name

Is s ued o n

Expires o n

Schlüssel-ID des Schlüsselpaars

Benutzer-ID des Schlüsselpaars

Benutzername innerhalb des Schlüsselpaars

Ausstellungsdatum des Schlüsselpaars

Ablaufdatum des Schlüsselpaars

6.16.2 OpenPGP-Schlüssel importieren

Menü »PGP public keys«

Zum Importieren eines bestehenden OpenPGP-Schlüsselpaar klicken Sie die Schaltfläche »Impo rt

P GP key . . . «. Beim Import eines OpenPGP-Schlüssels können Sie die entsprechende Datei auswählen oder den Schlüssel in Textform einfügen.

6.16.3 OpenPGP-Schlüssel herunterladen oder löschen

Menü »PGP public keys«

Um einen öffentlichen OpenPGP-Schlüssel von der SEPPmail Appliance auf Ihren PC herunterzuladen oder zu löschen, klicken Sie auf die »K ey ID« des Schlüssels. Zum Herunterladen des OpenPGP-

Keys wählen Sie die Schaltfläche »Do wnlo ad public key «. Möchten Sie hingegen den OpenPGP-

Schlüssel löschen, wählen Sie die Schaltfläche »Delete K ey «. Zusätzlich können Sie einen

Kommentar zu dem P GP public key im Feld Co mment erfassen.

172

6.17 Menüpunkt "X.509 Certificates"

Wählen Sie den Menüpunkt »X. 509 Certificates «, um die S/MIME-Benutzerzertifikate der

Kommunikationepartner auf der SEPPmail Appliance zu verwalten.

Folgende Vorgänge werden in den kommenden Abschnitten beschrieben:

Übersicht

172

S/MIME-Schlüssel importieren

172

S/MIME-Schlüssel herunterladen oder löschen

173

6.17.1 Übersicht Menüpunkt "X.509 Certificates"

P arameter Bes chreibung

E-mail Addres s

Certificate Subject

Serial Number

Is s ued o n

Expires o n

E-Mail-Adresse innhalb des Zertifikats

Identifikation des Zertifikats

Seriennummer des Zertifikats

Ausstellungsdatum des Zertifikats

Ablaufdatum des Zertifikats

6.17.2 S/MIME-Benutzerzertifikat importieren

Menü »X.509 Certificates«

Manuelles Impo rtieren

Zum Importieren eines bestehenden S/MIME-Benutzerzertifikats klicken Sie die Schaltfläche

»Impo rt S/MIME Certificate. . . «. Wählen Sie zum Import eines S/MIME-Benutzerzertifikats die entsprechende Datei aus. Die zu importieren de Datei darf nicht mit einem Kennwort gesichert sein.

Auto matis ches Impo rtieren

Neben dem manuellen Importieren von X.509-Benutzerzertifikaten (S/MIME-Signaturen) können diese auch automatisch importiert werden. Dazu werden alle eingehenden S/MIME-signierten E-

Mails ausgewertet und gegen die Menge der installierten und als »trus ted« klassifizierten Root-

CA-Zertifikate geprüft. Wurde eine S/MIME-Signatur von einer vertrauenswürdigen Root-CA ausgestellt, so wird diese Signatur im lokalen Zertifikatsspeicher angelegt. Diese Signatur (public-

Key) steht dann global für alle Benutzer zur Verfügung und kann zur Verschlüsselung ausgehender

E-Mails verwendet werden.

Das Automatische Importieren von X.509-Benutzerzertifikaten (S/MIME-Signaturen) ist eine

Basisfunktion von SEPPmail.

173

6.17.3 S/MIME-Benutzerzertifikat herunterladen oder löschen

Menü »X.509 Certificates«

Um ein S/MIME-Benutzerzertifikat von der SEPPmail auf Ihren PC herunterzuladen, klicken Sie auf die

E-Mail Adres s e des Zertifikats. Zum Herunterladen des S/MIME-Benutzerzertifikats wählen Sie die

Schaltfläche »Do wnlo ad Certificate. Möchten Sie hingegen das S/MIME-Benutzerzertifikat löschen, wählen Sie die Schaltfläche »Delete Certificate«.

174

6.18 Menüpunkt "X.509 Root Certificates"

Wählen Sie den Menüpunkt »X. 509 Ro o t Certificates «, um die X.509 Root-CA-Zertfikate der vertrauenswürdigen Zertifizierungsstellen auf der SEPPmail Appliance zu verwalten.

Folgende Vorgänge werden in den kommenden Abschnitten beschrieben:

Übersicht

174

X.509-Root-Zertifikate importieren

175

X.509-Root-Zertifikate herunterladen oder löschen

176

X.509-Root-Zertifikate vertrauen

176

6.18.1 Übersicht Menüpunkt "X.509 Root Certificates"

Die SEPPmail-Appliance beinhaltet bereits im Auslieferungszustand eine umfangreiche Liste mit X.509-

Root-Zertifikaten. Diese Liste umfaßt die gängigsten öffentlichen Zertifizierungsstellen. Im produktiven

Betrieb kann jedoch es erforderlich sein, diese Liste mit eigenen X.509-Root-Zertifikaten von

Kommunikationspartnern zu erweitern oder bereits importierte X.509-Root-Zertifikate zu löschen.

P arameter Bes chreibung

Trus t State

Is s ued to

Is s ued by

Expires o n

aktueller Vertrauenstatus des Zeritikats

Ausgestellt für

Ausgestellt von

Läuft aus am

P arameter »Trus t State« - »Vertrauens tatus «

Vertrauensstatus des Zertifikats. Es sind die folgenden Werte möglich:

? (undefined)

Der Vertrauensstatus »?« (undefiniert) wird für alle X.509-Root-Zertifikate vergeben die SEPPmail automatisch von eingehenden S/MIME signierten E-

Mails »erntet« und in den Zertifikatsspeicher importiert. Da diese X.509-Root-

Zertifikate noch nicht bekannt sind ist es erforderlich, dass die Benutzung durch einen Administrator authorisiert wird.

trus ted untrus ted

Hinweis :

Alle neu importierten X.509-Root-Zertifikate die den Status »?« (undefiniert) haben werden im täglichen Status Report aufgeführt der an alle Benutzer der

Gruppe »s ts tis tics admin« um Mitternach via E-Mail gesendet wird.

Der Vertrauensstatus »trus ted« wird für alle X.509-Root-Zertifikate vergeben die für die produktive Zertifikatsprüfung aller eingehenden signierten E-Mails verwendet werden.

Der Vertrauensstatus »untrus ted« wird für alle X.509-Root-Zertifikate vergeben die nicht für die produktive Zertifikatsprüfung aller eingehenden signierten E-Mails verwendet werden.

175

Hinweis :

Die Bezeichner der Spalte »Trus t State« sind farblich dargestellt und dienen als

Link zur Anzeige von Detailinformationen des jeweiligen Zertifikats. Wenn Sie

Detailinformationen zum jeweiligen Zertifikat in diesem Menüpunkt anzeigen wollen, wählen Sie mit dem Mauszeiger den Bezeichner des »Trus t State« vom entsprechenden Zertifikat.

P arameter »Is s ued to « - »Aus ges tellt für«

Dieser Wert beschreibt bei X.509-Root-Zertifikaten meist den Betreiber (Firma) der Root-CA bzw.

beschreibt die spezifische Verwendung eines Zwischenzertifikats.

P arameter »Is s ued by « - »Aus ges tellt v o n«

Dieser Wert beschreibt bei X.509-Root-Zertifikaten meist die Firma bzw. den Betreiber der Root-

CA der dieses Zertifikat ausgestellt hat.

P arameter »Expires o n« - Gültigkeits zeitraum - »Läuft aus am«

Das Ablaufdatum des jeweiligen Zertifikats definiert das Ende der Verwendung des jeweiligen

Zertifikats. Nach dem Erreichen bzw. überschreiten des Ablaufdatums wird dieses Zertifikat nicht mehr für die Zertifikatsprüfung und die E-Mail-Signatur verwendet. Importieren Sie ein neues

X.509-Root-Zertifikat dieser CA, wenn diese weiterhin verwendet werden soll.

6.18.2 X.509-Root-Zertifikate importieren

Menü »X.509 Root Certificates«

Manuelles Impo rtieren

Zum Importieren eines bestehenden X.509-Root-Zertifikats wählen Sie in der

Konfigurationsoberfläche die Schaltfläche »Impo rt S/MIME Ro o t Certificate«. Wählen Sie zum

Import eines X.509-Root-Zertifikats die entsprechende Datei aus.

Auto matis ches Impo rtieren

Neben dem manuellen Importieren von X.509-Root-Zertifikaten können diese auch automatisch importiert werden. Dazu werden alle eingehenden S/MIME-signierten E-Mails ausgewertet. Wurde eine S/MIME-Signatur von einer Root-CA ausgestellt die sich noch nicht im Zertifikatsspeicher von

SEPPmail befindet, so wird das bei der S/MIME-Signatur mitgelieferte Root-CA-Zertifikat automatisch importiert. Dieses automatisch importierte Root-CA-Zertifikat wird im

Zertifikatsspeicher mit dem Vertrauenstatus »?« (undefined/undefiniert) gekennzeichnet. Alle Root-

CA-Zertifikate mit diesem Vertrauenstatus werden nicht für die Überprüfung von S/MIME-

Signaturen verwendet.

Zum Aktivieren dieses Zertifikats ist es erforderlich, den Vertrauenstatus auf den Wert »trus ted« zu setzen. Über das Vorhandensein eines automatisch importierten Root-CA-Zertifikats mit dem

Vertrauenstatus »?« (undefined/undefiniert), wird im täglichen Statusbericht hingewiesen. Dieser wird täglich um 0:00 Uhr an alle Mitglieder der Gruppe »s tatis tics admin« via E-Mail gesendet.

176

6.18.3 X.509-Root-Zertifikate herunterladen oder löschen

Menü »X.509 Root Certificates«

Wählen Sie in der Liste der X.509-Root-Zertifikate (erste Spalte) den Link des Zertifikats aus, welches

Sie bearbeiten möchten.

Um ein X.509-Root-Zertifikat von der SEPPmail-Appliance auf Ihren PC herunterzuladen, wählen Sie die Schaltfläche »Do wnlo ad Certificate«. Möchten Sie hingegen ein X.509-Root-Zertifikat löschen, wählen Sie die Schaltfläche »Delete Certificate«.

6.18.4 X.509-Root-Zertifikaten vertrauen

Menü »X.509 Root Certificates«

Um den Vertrauenstatus bestehender X.509-Root-Zertifikate zu verändern, klicken Sie bei einem nicht vertrauten X.509-Root-Zertifikat in der Spalte »Trus t State« auf den Link »UNTRUSTED«. Sie können dem X.509-Root-Zertifikat vertrauen, indem Sie auf die Schaltfläche »Trus t this certificate« klicken. Nachdem Sie dem X.509-Root-Zertifikat vertraut haben, erhalten Sie die Bestätigungsmeldung

»Trus t s tatus changed« und das Zertifikat hat neu den Status »trus ted«. Zusätzlich können Sie einen Kommentar zu dem »Ro o t CA Zertifikat« im Feld »Co mment erfassen«.

Analog dazu wechseln Sie den Vertrauenstatus auf »untrus ted«.

6.18.5 X.509-Root-Zertifikate automatisch importieren

Menü »X.509 Root Certificates«

Den manuellen Import von X.509-Root-Zertifikaten ist im Kapitel

X.509-Root-Zertifikate importieren

175 beschrieben. SEPPmail bietet zusätzlich die Möglichkeit noch unbekannte X.509-Root-Zertifikate aus eingehenden S/MIME signierten E-Mails automatisch zu importieren. Diese Funktion wird auch als

»Certificate harv ers ting«, das Ernten von Zertifikaten, bezeichnet.

Diese automatisch importierten X.509-Root-Zertifikate erhalten immer den Status (Trust State)

»undefined«. In der Konfigurationsoberfläche wird dieser Status durch ein »?« Fragezeichen gekennzeichnet. Der Administrator wird über neu importierte X.509-Root-Zertifikate im täglichen

System-Report informiert.

Den Vertrauensstatus muss der Administrator manuell in der Konfigurationsoberfläche ändern.

Überprüfen Sie bitte vor dem Ändern des Vertrauensstatus das neue X.509-Root-Zertifikat auf

Echtheit.

Um einem neuen automatisch importierten X.509-Root-Zertifikat zu vertrauen, wählen Sie in der

Konfigurationsoberfläche den Menüpunkt »X. 509 Ro o t Certificates «. Anschließend klicken Sie bei einem nicht vertrauten X.509-Root-Zertifikat in der Spalte Trus t State auf den Link »?«.

Zum Ändern des Vertrauensstatus verfahren Sie weiter wie im Abschnitt

»X.509-Root-Zertifikat vertrauen«

176

beschrieben.

177

6.19 Menüpunkt "Domain keys"

Wählen Sie den Menüpunkt »Do main key s «, um die OpenPGP-Domainschlüssel und S/MIME-

Domainzertifikate der Kommunikationepartner auf der SEPPmail-Appliance zu verwalten.

Folgende Vorgänge werden in den kommenden Abschnitten beschrieben:

Übersicht

177

OpenPGP Domain keys importieren

178

OpenPGP Domain keys herunterladen oder löschen

178

S/MIME Domain keys importieren

179

S/MIME Domain keys herunterladen oder löschen

179

Domain keys verwalten

179

6.19.1 Übersicht Menüpunkt "Domain keys"

Die SEPPmail-Appliance bietet die Möglichkeit, automatisch S/MIME-Domainzertifikate anderer

SEPPmail Systeme zu importieren. Der Import dieser S/MIME-Public-Domain-keys erfolgt über einen zentralen Update-Dienst der durch die SEPPmail AG bereitgestellt wird.

Beim einrichten einer E-Mail-Domain über die SEPPmail-Konfigurationsoberfläche wird, je nach

Einstellung, automatisch ein S/MIME-Domain-Zertifikat erstellt. Der öffentliche Teil dieses Zertifikats

(Public key) wird automatisch an einen zentralen Update-Dienst der SEPPmail AG weitergeleitet und nach manueller Prüfung automatisch an alle weltweit installierten SEPPmail-Systeme verteilt.

Sektio n »P GP Do main K ey s «

Schaltfläche/P arameter Bes chreibung

Impo rt P GP key . . .

Mail Do main

K ey ID

Is s ued o n

Expires o n

Schaltfläche zum manuellen Importieren bestehender OpenPGP-

Domainzertifikate von Kommunikationspartnern zum Domain-Public-Key zugeordnete E-Mail-Domain

Schlüssel-ID des OpenPGP-Public-key

Ausgestellt von

Ablaufdatum des Zertifikats

Sektio n »SMIME Do main Certificates «

Schaltfläche/P arameter Bes chreibung

Impo rt S/MIME certificate. . .

Mail Do main

Schaltfläche zum manuellen Importieren bestehender S/MIME-

Domainzertifikate von Kommunikationspartnern zum Domain-Public-Key zugeordnete E-Mail-Domain

178

Schaltfläche/P arameter

E-mail Addres s

Serial Number

Is s ued o n

Expires o n

Bes chreibung

E-Mail-Adresse im Domainzertifikat, z.B. [email protected]

Seriennummer des Domainzertifikats

Ausgestellt von

Ablaufdatum des Zertifikats

Sektio n »Managed Do main key s «

Schaltfläche/P arameter Bes chreibung

Aktualis ierungs s tatus

letzter Aktualisierungsversuch der Domainzertifikate vom zentralen Update-Dienst

Update do main certificates . . . Schaltfläche, um die Aktualisierung der Domainzertifikate vom zentralen Update-Dienst manuell durchzuführen

Auto -Update SMIME Do main

Certificates

Aktiviert/Deaktiviert das automatische Aktualisieren von S/MIME-

Domainzertifikaten

Search Do main Certificate. . .

Suchen nach einem bestehenden S/MIME-Domainzertifikaten im lokalen Domainzertifikatsspeicher für automatisch importierte

Managed-Domainzertifikate

Sollten Sie keine automatische Aktualisierung der S/MIME-Domain-keys wünschen, so deaktivieren Sie die Option »Auto -Update SMIME Do main Certificates «.

6.19.2 OpenPGP Domain keys importieren

Menü »Domain keys«

Zum Importieren eines bestehenden OpenPGP-Schlüsselpaars wählen Sie in der

Konfigurationsoberfläche die Schaltfläche »Impo rt P GP K ey . . . «. Geben Sie im Feld »Do main

name« den zugehörigen E-Mail-Domainnamen an. Sie können dann die entsprechende Datei auswählen oder den Schlüssel in Textform einfügen.

6.19.3 OpenPGP Domain keys herunterladen oder löschen

Menü »Domain keys«

Um einen OpenPGP Domain-key von der SEPPmail Appliance auf Ihren PC herunterzuladen, klicken

Sie auf den Namen der angezeigten »E-Mail Do main« des entsprechenden Schlüssels und dann auf die Schaltfläche »Do wnlo ad public key «. Möchten Sie hingegen einen OpenPGP Domain-key löschen, wählen Sie die Schaltfläche »Delete K ey «.

179

6.19.4 S/MIME Domain keys importieren

Menü »Domain keys«

Zum Importieren eines bestehenden S/MIME-Domainzertifikats wählen Sie in der

Konfigurationsoberfläche die Schaltfläche »Impo rt S/MIME certificate. . . «. Geben Sie im Feld

»Do main name« den zugehörigen E-Mail-Domainnamen an und wählen Sie zum Import eines S/

MIME-Domainzertifikats die entsprechende Datei aus.

6.19.5 S/MIME Domain keys herunterladen oder löschen

Menü »Domain keys«

Um ein vorhandenes S/MIME-Domainzertifikat von der SEPPmail Appliance auf Ihren PC herunterzuladen, klicken Sie auf den Namen der angezeigten »E-Mail-Do main« des entsprechenden

Schlüssels und dann auf die Schaltfläche »Do wnlo ad Certificate«. Möchten Sie hingegen ein vorhandenes S/MIME-Domainzertifikat löschen, wählen Sie die Schaltfläche »Delete Certificate«.

6.19.6 Domain keys verwalten

Menü »Domain keys«

Wählen Sie auf die Schaltfläche »Update do main certificates . . . «, um Domainzertifikate anderer

SEPPmail-Appliances mit der eigenen SEPPmail-Appliance abzugleichen. Dieser Abgleich findet automatisch in periodischen Intervallen statt, wenn das Kontrollkästchen »Auto -Update SMIME

Do main Certificates « aktiviert ist.

Möchten Sie prüfen, ob ein bestimmtes Domainzertifikat bereits existiert und dessen Details ansehen, geben Sie den entsprechenden E-Mail-Domainnamen im Suchfeld ein und klicken Sie auf die

Schaltfläche »Search Do main Certificate. . . «.

180

6.20 Menüpunkt "Customers"

Wählen Sie den Menüpunkt »Cus to mers «, das Anlegen einer kundenspezifischen Konfiguration zu ermöglichen. Um diese Funktion zu nutzen ist eine zusätzliche kostenpflichtige Lizenz erforderlich.

Folgende Vorgänge werden in den kommenden Abschnitten beschrieben:

Neuen Kunden erstellen

181

Bestehenden Kunden verwalten

182

Bestehenden Kunden löschen

183

Allgemeiner Info rmatio nen

Wenn Sie die Funktion »Multitenancy « aktiviert haben, dann ändert sich der E-Mail-Datenfluss zwischen Absender und Empfänger wie folgt:

E-Mails werden nur zwischen Absendern und Empfängern übertragen die demselben Kunden zugeordnet sind.

Wenn ein GINA-Empfänger nicht demselben Kunden zugeordnet ist wie der Absender, dann wird ein neues GINA-Benutzerkonto erstellt unter den Kunden dem auch der Absender zugeordnet ist.

Im GINA-Portal angemeldete Benutzer können nur an die internen Empfänger Nachrichten versenden die demselben Kunden zugeordnet sind.

Alle S/MIME-Zertifikate und PGP-Schlüsselpaare für dieselbe E-Mail-Adresse werden mit allen

GINA-Benutzerkonten geteilt, die ebenfalls dieselbe E-Mail-Adresse haben.

Jeder Kunde ist einer oder mehreren Managed E-Mail-Domains exklusiv zugewiesen. Eine Managed E-

Mail-Domain kann nicht mehreren Kunden zugewiesen werden. Benutzer, die E-Mail-Adressen haben deren Domain einem Kunden zugewiesen wurde, werden automatisch ebenfalls demselben Kunden zugewiesen. Andere Benutzer können einem Kunden manuell zugewiesen werden. GINA-Empfänger müssen einem Kunden immer manuell zugewiesen werden.

GINA-Benutzerkonten und Managed E-Mail-Domains können immer nur einem einzigen Kunden zur gleichen Zeit zugewiesen werden. Keinem Kunden explizit zugewiesene GINA-Benutzerkonten und

Managed E-Mail-Domains werden dem »Default Cus to mer« zugewiesen.

Weisen Sie dieselbe GINA-Domain keiner Managed E-Mail-Domains zu, die einem anderen Kunden zugeordnet ist wie die GINA-Domain selbst!

181

Jedem Kunden können ein oder mehrere Benutzer als spezielle Kunden-Administratoren zugewiesen werden. Diese zugewiesenen Kunden-Aministratoren verwalten die dem Kunden zugewiesenen GINA-

Benutzerkonten und die GINA-Domains die den Managed E-Mail-Domains des Kunden zugeordnet sind.

Wenn Sie die Funktion »Multitenancy « das erste Mal aktiviert wird, dann wird auch der Standard-

Kunde - »Default Cus to mer« erzeugt. Alle zu diesem Zeitpunkt angelegten Managed E-Mail-

Domains, Benutzerkonten und GINA-Benutzerkonten werden dem Standard-Kunden - »Default

Cus to mer« zugewiesen. Das System arbeitet weiter wie zuvor.

Nur wenn Kunden angelegt werden und diesen Kunden Managed E-Mail-Domains, Kunden-

Administratoren, GINA-Benutzerkonten (optional) und Benutzerkonten zugewiesen werden, verändert sich das Verhalten in der Verarbeitung von E-Mails zuvor beschrieben.

Der spezielle Kunde »No Cus to mer« wird ebenfalls automatisch erzeugt, wenn die Funktion

»Multitenancy « das erste Mal aktiviert wird. Diesem Kunden sollen alle GINA-Benutzerkonten zugewiesen werden die sonst keinem Kunden zugewiesen wurden. Diese GINA-Benutzerkonten sollen nicht verwendet werden.

6.20.1 Neuen Kunden erstellen

Menü »Customers«

Zum Erstellen eines neuen Kunden klicken Sie in der Konfigurationsoberfläche die Schaltfläche

»Create new cus to mer. . . «.

Sektio n »Cus to mer details «

P arameter Bes chreibung

Cus to mer

Cus to mer Name

Cus to mer Admin E-mail

Co mment

Creatio n info

Name des Kunden (nicht mehr editierbar)

Bezeichner des Kunden (editierbar)

E-Mail-Adressen des Kunden-Administrator (editierbar)

Kommentar (editierbar)

Information zur Erzeugung des Kunden, Benutzer mit Zeitstempel

Sektio n »Impo rt backup«

Importieren Sie ein zuvor erzeugtes Kundenbackup. Es wird automatisch ein neuer Kunde angelegt.

182

6.20.2 Bestehenden Kunden verwalten

Menü »Customers«

Zum Verwalten eines vorhandenen Kunden wählen Sie den Kunden aus und klicken Sie in der

Konfigurationsoberfläche die Schaltfläche »Edit. . . «.

Verwalten eines manuell angelegten K unden o der des Standard-K unden »Default

Cus to mer«

Sektio n »Cus to mer details «

In dieser Sektion können Sie die Detaildaten einsehen und verändern, die Sie beim Anlegen des

Kunden erfaßt haben.

Sektio n »Cus to mer adminis trato rs «

In dieser Sektion können Sie vorhandene Benutzer als Kunden-Administratoren hinzufügen.

Sektio n »As s igned managed do mains «

In dieser Sektion können Sie vorhandenen Managed E-Mail-Domains diesem Kunden zuordnen.

Sektio n »As s igned GINA acco unts «

In dieser Sektion können Sie vorhandenen GINA-Benutzerkonten zu diesem Kunden hinzufügen oder entfernen.

Sektio n »Backup/Res to re«

Schaltfläche »Do wnlo ad«

Manuelles Erzeugen einer Datensicherung zum Speichern auf dem lokalen PC. Die

Datensicherung ist mit einem Kennwort geschützt.

Schaltfläche »Change P as s wo rd«

Ändern des Kennworts für die Datensicherung. Bevor Sie die erste Datensicherung durchführen, setzten Sie das Kennwort zu Schutz der Backupdatei.

Beachten Sie, dass die Backupdatei mit dem Kennwort geschützt ist, welches zum Zeitpunkt der Erstellung des Backups aktuell war.

Schaltfläche »Impo rt Backup File«

Importieren einer zuvor erstellen Datensicherung. Sie benötigen dazu das Kennwort, mit welchem die Backupdatei zum Zeitpunkt der Erstellung gesichert wurde. Ohne das passende

Kennwort kann das Backup nicht zurückgesichert werden.

Kundenspezifische Sprachvarianten für das GINA-Subsystem sind nicht Bestandteil der

Datensicherung und müssen manuell gesichert und neu installiert werden.

Verwalten des Spezial-K unden »No Cus to mer«

Beim Kunden »No Cus to mer« handelt es sich um einen speziellen Kunden. Die Verwaltung dieses

Kunden erfolgt prinzipiell analog zu manuell angelegten Kunden bzw. dem Kunden »Default

Cus to mer« mit den folgenden Ausnahmen:

Es können keine Managed E-Mail-Domains zugeordnet werden

Es kann kein Backup erstellt werden

6.20.3 Bestehenden Kunden löschen

Menü »Customers«

Zum Löschen eines vorhandenen Kunden wählen Sie den Kunden aus und klicken Sie in der

Konfigurationsoberfläche die Schaltfläche »Delete. . . «.

Beim Löschen werden alle den Kunden zugewiesenen GINA-Benutzerkonten und Managed E-Mail-

Domains dem Standard-Kunden »Default Cus to mer« zugewiesen.

183

184

7 Referenz der Regelwerk-Anweisungen

7.1 Kontrollstrukturen - if/else Anweisungen

Die if/else Anweisungen sind Kontrollstrukturen und dienen innerhalb des Rulesets der

Ablaufsteuerung. Sie sind ein elementarer Bestandteil des Regelwerks. Ist eine Bedingung erfüllt, wird eine Aktionen ausgeführt, sonst wird eine alternative Aktion ausgeführt. Die auszuführende Aktion ist kann immer nur ein Befehl sein. Wenn als Aktion mehrere Befehle ausgeführt werden sollen, so können diese einzelnen Befehle in einem Anweisungsblock zusammengefaßt werden. Ein Anweisungsblock wird innerhalb geschweifter Klammern geschrieben.

Mit if wird festgelegt, welche Voraussetzung zur Ausführung einer Aktion erfüllt sein muß. Mit else wird eine alternative Aktion eingeleitet, sollte die durch if geforderte Bedingung nicht erfüllt sein. Eine if/else

Anweisung muss nicht durch ein Semikolon abgeschlossen werden. if/else Anweisungen können geschachtelt werden.

Aufbau des Befehls

if (Bedingung) {

Anweisungsblock 1;

} oder if (Bedingung) {

Anweisungsblock 1;

} else {

Anweisungsblock 2;

}

Die if-Anweisung bestimmt aufgrund des Rückgabewertes der Bedingung den weiteren Verlauf im

Programmablauf. Die Bedingung besteht aus einem einzelnen Befehl, die mindestens einen

Rückgabewert hat.

Anweisungsblock 1

wird nur dann ausgeführt, wenn der Rückgabewert po s itiv ist. Anderenfalls wird, falls vorhanden, ausschließlich Anweisungsblock 2 ausgeführt.

Beis piel:

if (authenticated()) {

} else { createaccount('@CREATEGPGKEYS@'); log(1, 'user account generated');

}

Erklärung:

185

Das Beispiel wertet den Rückgabewert des Befehls authenticated() aus. Wenn der interne interne

Absender der E-Mail erfolgreich authentifiziert wurde, der Rückgabewert true ist, dann wird ohne weitere Aktion im Programmablauf fortgefahren. Falls die Authentifizierung nicht erfolgreich durchgeführt wurde, wird ein Benutzerkonto für den Absender angelegt.

7.2 Allgemeine Befehle

Parameter die in eckigen Klammern angegeben sind, z.B. [OLDRECIPIENT] sind optional und müssen nicht angegeben werden. Fehlt dieser Parameter wird ein vordefinierter Standardwert bzw.

Standardverhalten angewendet.

Innerhalb von Vorlagen stehen die folgenden Variablen zur Verfügung:

Variable Bes chreibung

$header_from

$from

$header_to

$to

$header_cc

$mailid

$subject

Header-From

From

Header-To

Message ID

Subject

7.2.1 add_rcpt()

Der Befehl add_rcpt() ermöglicht es, eine zusätzliche Empfänger E-Mail-Adresse hinzuzufügen.

Aufbau des Befehls

add_rcpt('E-Mail-Adresse');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl dient zum Hinzufügen einer zusätzlichen Empfänger E-Mail-Adresse. Die E-Mail-Adresse wird im Envelope hinzugefügt.

Der Rückgabewert ist immer po s itiv . Dieser Befehl hat 1 Parameter.

Parameter »E-Mail-Adresse«

Dieser Parameter definiert eine E-Mail-Adresse die als zusätzlicher Empfänger im Envelope hinzugefügt

186 wird..

Beis piel:

add_rcpt('[email protected]');

Erklärung:

In diesem Beispiel wird ein zusätzlicher Empfänger hinzugefügt. Beim Empfänger erscheint die E-Mail im Posteingang so, als ob diese via BCC gesendet wurde. Der ursprüngliche Empfänger wird nicht verändert.

7.2.2 authenticated()

Der Befehl authenticated() überprüft den Identifikationsstatus des Absenders der E-Mail. Der

Identifikationsstatus des Absenders beinhaltet die Identität und die Authentifizierung.

Aufbau des Befehls

authenticated(['header']);

Der Befehl muß mit einem Semikolon abgeschlossen werden. Der Rückgabewert dieses Befehls ist

po s itiv , wenn sich der Absender erfolgreich authentifiziert hat, sonst negativ . Dieser Befehl hat 1

Parameter.

Hinweis :

Authentifiziert bedeutet entweder, dass sich der Benutzer via SMTP authentifiziert hat, oder dass die E-Mail von einem E-Mail-Server kommt, der eine Relay-

Berechtigung hat. Die Relay-Berechtigung fügen Sie im Menü »Mail Sy s tem« ->

Sektion »Relay ing« hinzu.

Als Benutzer werden die lokalen Named User auf der Appliance bezeichnet.

P arameter »header«

Wenn header als Wert angegeben wird, so wird der Benutzer erneut authentifiziert. Dazu wird die E-

Mail-Adresse im FROM-Feld des Headers benutzt.

Beis piel 1:

if (authenticated()) {

} else { createaccount('@CREATEGPGKEYS@'); log(1, 'user account generated');

}

Erklärung:

187

Dieses Beispiel wertet den Rückgabewert des Befehls authenticated() aus. Wenn der interne

Beis piel 2:

if (authenticated(['header'])) {

} else { createaccount('@CREATEGPGKEYS@'); log(1, 'user account generated');

}

Erklärung:

Dieses Beispiel wertet den Rückgabewert des Befehls authenticated() aus. Wenn der interne

7.2.3 compare()

Der Befehl compare() vergleicht Werte in Headerfeldern.

Aufbau des Befehls

compare('Header-Feld', 'Operator', 'Wert');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl vergleicht den Inhalt des Parameters Header-Feld mit Hilfe des Parameters

Operator

mit dem Parameter Wert.

Der Rückgabewert dieses Befehls ist po s itiv , wenn der Parameter Wert mindestens einmal vorkommt, sonst negativ . Dieser Befehl hat 3 Parameter.

P arameter »Header-Feld«

Gibt das Header-Feld an, dessen Inhalt gegen den Inhalt des Parameters Wert vergleichen werden soll. Als Header-Felder können alle Header in einer E-Mail verwendet werden.

Beis piele für den P arameter »Header-Feld«:

return-path from to subject envelope-to etc..

188

P arameter »Operato r«

equal : vergleicht auf Gleichheit match

: prüft auf das Zutreffen eines regulären Ausdrucks substit : ist gleich wie match, entfernt aber den zutreffenden Teil von Wert aus Header-Feld ute

Hinweis :

Codierte Felder werden vor dem Vergleich decodiert. Die Sonderzeichen

Tabulator, Wagenrücklauf, Zeilenvorschub und Seitenende werden vor einem

Vergleich mit dem Operator equal entfernt.

P arameter »Wert«

Gibt den Wert an, gegen den Vergleichen werden soll. Dieser Wert kann auch ein regulärer Ausdruck sein.

Beis piel 1:

compare('x-smenc', 'equal', 'yes');

Erklärung:

Dieses Beispiel prüft, ob das Header-Feld x-smenc exakt den Wert 'yes' beinhaltet. Dies bedeutet nicht, dass der Wert 'yes' lediglich vorhanden ist, sondern, dass der Wert ausschließlich 'yes' beinhaltet.

Beis piel 2:

if (compare('to', 'match', '\@cusomer\.com')) { tagsubject('[nosign]');

} else {}

Erklärung:

Dieses Beispiel prüft bei einer ausgehenden E-Mail im Header-Feld to mit dem Operator match auf das Vorhandensein der Domain '@customer.com' innerhalb der Empfänger E-Mail-Adresse. Wenn die

E-Mail-Adresse des Empfängers die Zeichenkette '@customer.com' enthält, dann ist der

Rückgabewert von compare() true, im Betreff wird das das Tag '[nosign]' hinzugefügt. Je nach

Basiskonfiguration des Ruleset bedeutet dies, dass diese E-Mail nicht signiert wird.

Beis piel 3:

compare('subject', 'substitute', '(\s)*\[secure\]');

189

Erklärung:

Dieses Beispiel prüft den Betreff, Header-Feld subject, einer E-Mail auf das Vorhandensein des regulären Ausdrucks '(\s)*\[secure\]'. Dieser Ausdruck wird in die Zeichenkette '[secure]' ausgewertet.

Wird diese Zeichenkette innerhalb des Betreff gefunden, so wird diese entfernt.

7.2.4 compareattr()

Der Befehl compareattr() ermöglicht es, Attribute / Systemvariablen zu prüfen.

Aufbau des Befehls

compareattr('Attribut', 'Operator', 'Wert');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl vergleicht mit Hilfe des Operators den Inhalt des Header-Feldes mit dem Wert.

Der Rückgabewert ist po s itiv , sofern mindestens ein Vorkommnis besteht, sonst negativ . Der

Befehl hat 3 Paramater.

P arameter »Attribut«

Attribut

kann die Variable connect_from adressieren oder Variablen, die mit ldap_read() oder setuserattr()

geschrieben wurden.

P arameter »Operato r«

Für Operator stehen zwei verschiedene Operatoren stehen zur Auswahl: equal match

: vergleicht auf Identität.

: prüft auf das Zutreffen eines regulären Ausdrucks.

P arameter »Wert«

Wert gegen den verglichen werden soll.

Beis piel:

if (compareattr('connect_from','equal','172.16.161.1')) {

log(1,'Message comes from 172.16.161.1'); } else {

log(1,'Message does NOT come from 172.16.161.1');

}

Erklärung:

In diesem Beispiel wird überprüft, ob die zu verarbeitende E-Mail von einem E-Mail-Server bestimmten

Server kommt. Es wird die Systemvariable connect_from ausgewertet.

190

7.2.5 comparebody()

Der Befehl comparebody() ermöglicht es, eine E-Mail nach einem angegebenen Wert zu durchsuchen.

Aufbau des Befehls

comparebody('Wert');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl durchsucht den Nachrichtentext einer E-Mail nach dem angegebenen Wert.

Der Rückgabewert dieses Befehls ist po s itiv , wenn der Parameter Wert mindestens einmal vorkommt, sonst negativ . Dieser Befehl hat 1 Parameter.

P arameter »Wert«

Der Parameter Wert definiert den Suchbegriff, nach dem innerhalb der E-Mail gesucht wird. Wert hat das Format eines regulären Audrucks.

Beis piel:

if (comparebody('(\d{1,3}\.){3}\d{1,3}')) {

log(1, 'Mail contains an IP address');

} else {

log(1, 'Mail does not contain an IP address');

}

Erklärung:

In diesem Beispiel wird innerhalb des Nachrichtentextes einer E-Mail auf das Vorhandensein einer IP-

Adresse geprüft. Wird mindestens eine IP-Adresse gefunden, so wird der Log-Eintrag 'Mail contains an IP address' im System-Logger geschrieben. Wird keine IP-Adresse gefunden, so wird der Log-

Eintrag 'Mail does not contain an IP address' im System-Logger geschrieben.

7.2.6 disclaimer()

Der Befehl disclaimer() fügt einen Textanhang einer bestehenden E-Mail hinzu.

Aufbau des Befehls

disclaimer(['Vorlage'], ['Position'], ['force']);

Der Befehl muß mit einem Semikolon abgeschlossen werden.

191

Dieser Befehl fügt einen Textanhang aus der Vorlage einer bestehenden E-Mail hinzu. Wenn eine leere Zeichenfolge als Vorlage angegeben ist, wird versucht, anhand der Einstellungen der

»Managed Do mains « den richtigen Disclaimer zu wählen. Dazu werden die den jeweiligen E-Mail-

Domains zugeordneten Disclaimer ausgewertet.

Ist force auf true gesetzt, so wird jeder ausgehenden E-Mail ein Textanhang hinzugefügt. Dies ist unabhängig davon, ob es sich im eine Antwort-E-Mail handelt oder nicht. Ist force nicht angegeben, dann werden die Paramater »Als o add dis claimer to replies (in-reply -to header s et) « und

»Add dis claimer to all o utgo ing emails « im Menü »Mail P ro ces s ing« -> Sektion »Rules et

Generato r« -> Bereich -> »General Settings « ausgewertet. Statt true kann auch yes oder 1 verwendet werden.

Der Rückgabewert ist immer po s itiv . Dieser Befehl hat 3 Parameter.

P arameter »Vo rlage«

Definiert den Namen der Vorlage, welche als Textanhang verwendet werden soll. Vorlagen können im

Menü »Mail P ro ces s ing« -> Sektion »Edit Dis claimer« verwaltet werden.

P arameter »P o s itio n«

top bottom

: oberhalb des E-Mail-Body

: unterhalb des E-Mail-Body

Default

: bottom

P arameter »fo rce«

Dieser Paramater erzwingt das hinzufügen eines Textanhangs an eine ausgehende E-Mail.

Option zum Parameter »fo rce«

Mögliche Werte: true oder yes oder 1

Beis piel:

disclaimer('', 'bottom', 'yes');

Erklärung:

In diesem Beispiel wird der Standard Textanhang anhand der Einstellungen innerhalb der »Managed

Do mains « ausgewählt und am Ende jeder versendeten E-Mail angehängt. Es ist dabei unerheblich, ob es sich um eine Antwort-E-Mail handelt oder nicht.

7.2.7 from_managed_domain()

Der Befehl from_managed_domain() ermöglicht es zu prüfen, ob eine E-Mail von einem Absender einer »Managed Do main« gesendet wurde.

Aufbau des Befehls

192 from_managed_domain();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Der Rückgabewert ist po s itiv , wenn die E-Mail von einem Absender einer »Managed Do main« versendet wurde, sonst negativ .

Der Befehl hat keinen Parameter.

Beis piel:

if (from_managed_domain()) {

log('1', 'E-Mail is from managed domain');

} else {

log('1', "E-Mail isn't from managed domain");

}

Erklärung:

In diesem Beispiel wird geprüft, ob eine E-Mail von einer unter »Managed Domains« eingetragenen

Absender E-Mail-Adresse gesendet wurde.

7.2.8 incoming()

Der Befehl incoming() ermöglicht es, das Auslieferungsziel einer E-Mail zu bestimmen.

Aufbau des Befehls

incoming();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl prüft, ob eine E-Mail lokal ausgeliefert wird. Sind nicht alle Empfänger der E-Mail

ausschließlich lokal oder ausschließlich nicht lokal, werden zwei Gruppen gebildet.

Hinweis :

Das Ausliefern einer E-Mail ausschließlich lokal bedeutet, dass diese E-Mail an einen

Empfänger weitergeleitet werden kann der unter »Managed Do mains « definiert wurde. E-Mails an diese Empfänger werden als ausschließlich lokale Empfänger angesehen und durch den Anweisungsblock 1 behandelt.

Das Ausliefern einer E-Mail ausschließlich nicht lokal bedeutet, dass die E-Mail an einen externen Empfänger weitergeleitet wird. Diese E-Mail wird wie eine ausgehende

E-Mail behandelt und durch den Anweisungsblock 2 behandelt.

Der Rückgabewert ist für die Gruppe der lokalen Empfänger po s itiv . Für die Gruppe der nicht lokalen

Empfänger ist der Rückgabewert negativ . Dieser Befehl hat keinen Parameter.

Beis piel:

193 if (incoming()) {

Ruleset-Anweisungen für alle E-Mails die lokal zugestellt werden können

Anweisungsblock 1 - Rückgabewert: positiv

} else {

Ruleset-Anweisungen für alle E-Mails die nicht lokal zugestellt werden können

Anweisungsblock 2 - Rückgabewert: negativ

}

Erklärung:

In diesem Beispiel wird für eine eingehende E-Mail der Anweisungsblock 1 ausgeführt. Für eine ausgehende E-Mail wird der Anweisungsblock 2 ausgeführt.

7.2.9 log()

Der Befehl log() ermöglicht es, eine Meldung im Syslog aufzuzeichnen.

Aufbau des Befehls

log ('Stufe', 'Eintrag');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl sendet den Wert des Parameters Eintrag an den System-Logger. Dem Eintrag wird in runden Klammern eine Identifikation (Message-ID) angehängt. Der Wert des Parameters Stufe kann einen Wert von 0 bis 7 annehmen und bestimmt die Wichtigkeit des Eintrags.

Die Aufgezeichneten Log-Meldungen können im Menü »Lo gs « eingesehen werden.

Der Rückgabewert ist immer po s itiv . Dieser Befehl hat 2 Paramater.

P arameter »Stufe« n

Bedeutung

Debug

Info

Notice

Warning

Bedeutung

Error

Critical

Alert

Emerg

P arameter »Eintrag«

194

Geben Sie hier den Text an, der als Log-Eintrag im Syslog aufgezeichnet werden soll.

Beis piel:

log ('1', 'Hello World');

Header der E-Mail:

Date: Fri, 05 Aug 2013 11:40:00 +0200

From: [email protected]

To: [email protected]

Subject: Some Topic

Content-Type: text/plain;

Message-Id: <E0D4DE42-DCB5-11D7>

Aufzeichnung im Log:

Aug 05 11:40:04 test gateway: <E0D4DE42-DCB5-11D7> Hello World

Erklärung:

Die Zeichenkette 'Hello World' wird mit der Priorität info im Syslog aufgezeichnet.

7.2.10 logheader()

Der Befehl logheader() ermöglicht es, den Inhalt einer Headers an den System-Logger zu senden.

Aufbau des Befehls

logheader('HEADER');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl dient zum Debuggen der Verarbeitung von E-Mails durch die RuleEngine. Es wird der

Inhalt des HEADER an den System-Logger gesendet.

Der Rückgabewert ist immer po s itiv . Dieser Befehl hat keine Parameter.

Beis piel:

logheader('Message-ID');

Erklärung:

195

In diesem Beispiel wird der Inhalt des Headers 'Message-ID' an den System-Logger gesendet.

7.2.11 normalize_header()

Der Befehl normalize_header() ermöglicht es, alle Sonderzeichen in einem Header durch normale

ASCII-Zeichen zu ersetzen.

Aufbau des Befehls

normalize_header('HEADER');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl ersetzt alle Sonderzeichen in HEADER durch normale ASCII-Zeichen. Sonderzeichen können z.B. deutsche Umlaute wie ä, ö, ü oder ? sein.

Der Rückgabewert dieses Befehls ist immer po s itiv . Dieser Befehl hat 1 Parameter.

P arameter »HEADER«

Gibt die Bezeichnung des HEADER an.

Beis piele für den P arameter »HEADER«:

return-path from to subject envelope-to etc..

Beis piel 1:

normalize_header('subject');

Erklärung:

In diesem Beispiel wird im Header-Feld subject aus der Zeichenkette 'Herr Müller' wird die normalisierte Form 'Herr Mueller'.

Beis piel 2:

normalize_header('to');

Erklärung:

In diesem Beispiel wird im Header-Feld to aus der Zeichenkette '<Bernd Hänsel> bernd.

196 [email protected]' die normalisierte Form '<Bernd Haensel> [email protected]'.

7.2.12 notify()

Der Befehl notify() ermöglicht es, eine E-Mail-Benachrichtigung bezüglich einer durch SEPPmail verarbeiteten E-Mail zu versenden.

Aufbau des Befehls

notify('Empfängeradresse', 'Vorlage', ['From: "System Admin"

<[email protected]>;X-MyHeader: Test']);

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl erzeugt eine E-Mail-Banachrichtigung und sendet diese an die Empfängeradresse.

Die Empfängeradresse kann neben einer E-Mail-Adresse auch die Variable sender für die

Absender-E-Mail-Adresse oder die Variable admin für die E-Mail-Adresse des lokalen Administrator sein.

Das Aussehen der E-Mail wird mit der Vorlage definiert.

Der dritte Parameter ermöglicht es, zusätzlich eigene Header einzufügen. Mehrere Header können mit einem » ; « getrennt werden.

Der Rückgabewert ist immer po s itiv . Dieser Befehl hat 3 Parameter.

P arameter »Empfängeradres s e«

Dieser Parameter kann die folgenden Werte enthalten: [email protected]

: E-Mail-Adresse, z.B. [email protected]

Variablen

: repräsentiert die E-Mail-Adresse des Absender der verarbeiteten ursprüglichen Esender

Mail admin

: repräsentiert die E-Mail-Adresse des lokalen SEPPmail-Administrators

Hinweis :

Der Platzhalter admin bezieht sich auf den lokalen Administrator der Appliance.

Dieses definieren Sie im Menü »Mail Sy s tem« -> Sektion »SMTP s ettings « ->

Parameter »P o s tmas ter addres s «.

P arameter »Vo rlage«

Definiert das Aussehen und den Inhalt der E-Mail-Benachrichtigung. Vorlagen können im Menü »Mail

P ro ces s ing« -> Sektion »Edit Dis claimer« verwaltet werden.

P arameter »Eigene Header«

197

Dieser Parameter ermöglicht es, zusätzlich eigene Header zu definieren und einzufügen. Mehrere

Header können durch ein Semikolon » ; « getrennt werden.

Beis piel für eigene Header:

From : "System Admin" <[email protected]>

X-MyHeader : MyOwnHeaderValue

Zusammengefaßte Notation des Parameters mit mehrerem zusätzlichen Headern:

'From: "System Admin" <[email protected]>;X-MyHeader: MyOwnHeaderValue'

Der Betreff einer E-Mail, durch den Header Subject definiert, kann nicht verändert werden. Dieser

Wert ist immer Notification und ist fest vorgegeben.

Beis piel 1:

notify('sender', 'bounce_noenc', 'From: "System Admin"

<[email protected]>;X-MyHeader: Test');

Erklärung:

Bei der Verarbeitung einer E-Mail wird eine zusätzliche E-Mail-Benachrichtigung erzeugt. Diese wird an den Absender der verarbeiteten E-Mail gesendet. Die E-Mail-Adresse des Absenders steht über die

Variable sender zur Verfügung. Als Nachrichteninhalt wird der Inhalt der Vorlage bounce_noenc verwendet. Es werden zusätzlich die Header From und X-MyHeader mit den jeweiligen Werten eingefügt.

Beis piel 2:

notify('[email protected]', 'monit_rev', 'From: "System Admin"

<[email protected]>;X-MyHeader: Revision');

Erklärung:

Bei der Verarbeitung einer E-Mail wird eine zusätzliche E-Mail-Benachrichtigung erzeugt. Diese wird an die E-Mail-Adresse [email protected] gesendet. Als Nachrichteninhalt wird der Inhalt der

Vorlage monit_rev verwendet. Es werden zusätzlich die Header From und X-MyHeader mit den jeweiligen Werten eingefügt.

7.2.13 replace_rcpt()

Der Befehl replace_rcpt() ermöglicht es, den/die Empfänger einer E-Mail zu ändern.

Aufbau des Befehls

replace_rcpt(['OLDRECIPIENT'], 'NEWRECIPIENT');

198

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Die Empfänger der verarbeiteten E-Mail können in Abhängigkeit der verwendeten Parameter verändert werden. Jeder Parameter entspricht einem regulären Ausdruck, der als Ergebnis eine E-Mail-Adresse oder einen Teil einer E-Mail-Adresse liefern muss. Wird für den Parameter OLDRECIPIENT der Wert ' [email protected]

' angenommen, das ist der in der E-Mail enthaltene ursprüngliche Empfänger, und für den Parameter der Wert ' [email protected]

' definiert, so wird die E-Mail an den neuen

Empfänger ' [email protected]

' gesendet.

Ebenfalls können Teile der beiden Parameter als regulärer Ausdruck beschrieben werden. Es kann z.B.

nach dem Domainanteil innerhalb der Parameter gesucht werden und dieser durch einen neuen Wert ersetzt werden.

Mehrere Empfänger können mit Strichpunkten » ; « abgetrennt werden.

Der Rückgabewert ist immer po s itiv . Dieser Befehl hat 2 Parameter.

P arameter »OLDRECIP IENT«

Regulärer Ausdruck der die ursprügliche E-Mail-Adresse oder Teile davon beschreibt.

P arameter »NEWRECIP IENT«

Regulärer Ausdruck der die neue E-Mail-Adresse oder Teile davon beschreibt.

Beis piel:

replace_rcpt('\@mydomain\.com', '\@customer\.ch');

Erklärung:

In diesem Beispiel wird im Parameter OLDRECIPIENT der Domainanteil der ursprünglichen E-Mail-

Adresse des/der Empfängers von '@mydomain.com' in den Wert des Paramaters NEWRECIPIENT, '

@customer.ch', geändert. Der Bestandteil der E-Mail-Adresse vor dem '@' bleibt dabei unverändert.

Falls OLDRECIPIENT angegeben wird, wird nur dieser Empfänger bzw. der Bestandteil des

Empfängers angepaßt.

Falls mehrere E-Mail-Empfängeradressen vorhanden sind, würden alle Empfängeradressen von

'@mydomain.com' zu '@mydomain.ch' geändert werden.

7.2.14 replace_sender()

Der Befehl replace_sender() ermöglicht es, den Absender im Envelope einer E-Mail zu verändern.

Aufbau des Befehls

replace_sender('neuer sender', ['subst']);

199

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl ersetzt den ursprünglichen Absender einer E-Mail im Envelope durch neuer_senden.

Der Wert für From wird dadurch nicht verändert. Der Parameter subst entspricht einem regulären

Ausdruck. Ist subst angegeben, so wird der subst entsprechende Teil des ursprünglichen

Absenders durch den Wert von neuer_sender ersetzt.

Der Rückgabewert ist immer po s itiv . Dieser Befehl hat 2 Parameter.

P arameter »neuer s ender«

Dieser Parameter ist der Wert, durch den die ursprüngliche Absender E-Mail-Adresse im Envelope ersetzt wird. Ist subst mit angegeben, so ist neuer_sender die Zeichenkette, die für den Teil der E-

Mail-Adresse eingesetzt wird auf den subst zutrifft.

P arameter »s ubs t«

Regulärer Ausdruck der auf die ursprüngliche Absender E-Mail-Adresse angewendet wird.

Beis piel 1:

replace_sender('[email protected]');

Erklärung:

In diesem Beispiel wird die E-Mail-Adresse im Envelope der E-Mail durch 'new_sender@customer.

com' ersetzt.

Beis piel 2:

replace_sender('@customer.com', '\@customer\.org');

Erklärung:

In diesem Beispiel wird der Teil die E-Mail-Adresse im Envelope der E-Mail durch auf den regulären

Ausdruck '\@customer\.org' zutrifft durch '@customer.com' ersetzt.

7.2.15 rmatch()

Der Befehl rmatch() ermöglicht es zu prüfen, ob ein regulärer Ausdruck auf alle Empfänger zutrifft.

Aufbau des Befehls

rmatch('REGEXP');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Der Rückgabewert dieses Befehls ist po s itiv , wenn innerhalb der E-Mail erfolgreich auf die REGEXP

200 getestet werden konnte, sonst negativ . Dieser Befehl hat 1 Parameter.

P arameter »REGEXP «

Definiert den regulären Ausdruck auf den getestet werden soll.

Beis piel 1:

if ( rmatch('\@customer\.org') ) {

notify ('sender', 'info_send_email');

} else {}

Erklärung:

In diesem Beispiel wird überprüft, ob die E-Mail-Adresse aller Empfänger einer E-Mail den

Domainbestandteil '@customer.org' hat. Ist dies der Fall, dann wird eine E-Mail-Benachrichtigung an den Absender gesendet.

Beis piel 2:

if ( rmatch('\@customer\.org') ) {

notify ('sender', 'info_send_email', 'From: "System Admin"

<[email protected]>');

} else {}

Erklärung:

In diesem Beispiel wird überprüft, ob die E-Mail-Adresse aller Empfänger einer E-Mail den

Domainbestandteil '@customer.org' hat. Ist dies der Fall, dann wird eine E-Mail-Benachrichtigung an den Absender gesendet. Zusätzlich wird für den Header From ein neuer Wert gesetzt.

7.2.16 rmatchsplit()

Der Befehl rmatchsplit() ermöglicht es, eine E-Mail durch einen regulären Audruck aufzuteilen.

Aufbau des Befehls

rmatchsplit('REGEXP');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Der reguläre Ausdruck wird auf die gesamte E-Mail angewendet. Das beinhaltet alle Header und den gesamten Body der E-Mail. Eine E-Mail wird in mehrere Gruppen aufgeteilt, wenn auf dem regulären

Ausdruck erfolgreich getestet werden konnte. Eine Gruppe, die dem regulären Audruck entspricht und eine weitere Gruppe die dem regulären Ausdruck nicht entspricht. Durch den regulären Ausdruck kann auch eine Vielzahl von Gruppen erzeugt werden. Der Befehl rmatchsplit() wird klassisch innerhalb der if/else Kontrollstruktur verwendet.

Der Rückgabewert dieses Befehls ist po s itiv , wenn innerhalb der E-Mail erfolgreich auf die REGEXP getestet werden konnte, sonst negativ . Dieser Befehl hat 1 Parameter.

P arameter »REGEXP «

Dieser Parameter definiert den regulären Ausdruck auf dem die E-Mail geprüft wird.

Beis piel:

if (rmatchsplit('sales@customer\.com|Invoice')) {

log(1, 'regex test successful');

} else {

log(1, 'regex test not successful');

}

Erklärung:

In diesem Beispiel wird die E-Mail auf das Vorhandensein der Textbestandteile sales@customer.

com

oder Invoice geprüft. Wird einer dieser Textbestandteile innerhalb der gesamten E-Mail gefunden, so wird die Anweisung log(1, 'regex test successful') ausgeführt, sonst wird die Anweisung log(1, 'regex test not successful') ausgeführt.

7.2.17 rmheader()

Der Befehl rmheader() ermöglicht es, eine Header-Zeile innerhalb einer E-Mail zu löschen.

Aufbau des Befehls

rmheader('HEADER');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Hinweis :

Falls mehrere Header mit dem Namen HEADER existieren, werden alle Header gelöscht.

201

Löscht die mit HEADER angegebene Header-Zeile innerhalb der E-Mail.

Der Rückgabewert ist immer po s itiv . Der Befehl hat 1 Parameter.

P arameter »Header«

Gibt das Header-Feld an, welches gelöscht werden soll.

Beis piele für den P arameter »Header-Feld«:

return-path

202 from to subject envelope-to etc..

Beis piel:

rmheader('X-Greylist');

Erklärung:

In diesem Beispiel werden alle X-Greylist Header entfernt.

7.2.18 setheader()

Der Befehl setheader() ermöglicht es, eine Header-Zeile innerhalb einer E-Mail hinzuzufügen oder zu verändern.

Aufbau des Befehls

setheader('HEADER', 'TEXT');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl fügt einer E-Mail den HEADER mit dem WERT hinzu. Falls dieser Header bereits besteht, so wird dieser auf den angegebenen WERT geändert.

Hinweis :

Falls mehrere Header mit dem Namen HEADER existieren, wird der jeweils erste gefundene Header angepaßt.

Der Rückgabewert ist immer po s itiv . Dieser Befehl hat 2 Parameter.

P arameter »HEADER«

Gibt das Header-Feld an, welches hinzugefügt oder verändert werden soll.

Beis piele für den P arameter »Header-Feld«:

return-path from to subject envelope-to etc..

203

Beis piel 1:

setheader('x-smenc','yes');

Erklärung:

In diesem Beispiel wird einer E-Mail der zusätzliche Header x-smenc mit dem Wert 'yes' hinzugefügt.

Beis piel 2:

setheader('from','[email protected]');

Erklärung:

In diesem Beispiel wird in einer E-Mail das Header-Feld from auf dem Wert '[email protected]' geändert.

7.2.19 logsubject()

Der Befehl logsubject() ermöglicht es, den Inhalt der Betreffzeile einer E-Mail zu protokollieren.

Aufbau des Befehls

logsubject();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl sendet den Inhalt der Betreffzeile als Log-Info an den System-Logger.

Der Rückgabewert ist immer po s itiv . Dieser Befehl hat keinen Parameter.

7.2.20 tagsubject()

Der Befehl tagsubject() ermöglicht es, dem Betreff einer E-Mail einen Textbestandteil anzuhängen.

Aufbau des Befehls

tagsubject('TEXT');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

In der Betreffzeile einer E-Mail wird den angegebene TEXT angehängt.

Der Rückgabewert ist immer po s itiv . Dieser Befehl hat 1 Parameter.

204

P arameter »TEXT«

Der Parameter gibt den Text (Zeichenkette) an, der an die Betreffzeile angehängt wird.

Beis piel:

tagsubject('[priv]');

Erklärung:

In diesem Beispiel wird an den Inhalt der Betreffzeile einer E-Mail die Zeichenkette '[priv]' angehängt.

7.3 Befehle für die Benutzerverwaltung

7.3.1 createaccount()

Der Befehl createaccount() ermöglicht es, neue Benutzerkonten zu erstellen.

Aufbau des Befehls

createaccount(['KEYS'],['USERID'],['NAME']);

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Als Benutzerkonto wird ein lokales SEPPmail Benutzerkonto bezeichnet. Dieses Benutzerkonto kann im Menü »Us ers « eingesehen werden. Dieser Befehl wird klassisch innerhalb einer LDAP-Anbindung zum Benutzermanagement eingesetzt.

Der Rückgabewert dieses Befehls ist immer po s itiv . Dieser Befehl hat 3 Parameter.

P arameter »K EYS«

Dieser Parameter gibt an, welches Schlüsselmaterial beim Erstellen der Benutzerkontos automatisch generiert werden soll. Das Format entspricht einer Bitmaske in Oktalnotation.

Die folgenden Werte stehe zur Verfügung:

Bit 0

Bit 1

Bit 2

: OpenPGP-Schlüsselpaar generieren

: S/MIME-Zertifikat mit der eigenen CA generieren

: S/MIME-Zertifikat via CA-Connector generieren

Bit 0: OpenPGP

Bit 1: S/MIME mit eigener CA

Bit 2: S/MIME via CA-Connector

Wert für KEYS

Mask Mask Mask Mask Mask x x x x x

1 3 x

5 x

4 2

P arameter »USERID«

Dieser Parameter gibt die UID des Benutzers an.

P arameter »NAME«

Dieser Parameter gibt des Namen des Benutzers an.

Hinweis :

Für USERID und NAME können Variablen benutzt werden, die durch den Befehl ldap_read()

gesetzt wurden.

Sonderzeichen in USERID und NAME werden automatisch ersetzt.

205

206

7.3.2 member_of()

Der Befehl member_of() ermöglicht es zu prüfen, ob ein Absender einer bestimmten Gruppe zugeordnet ist.

Aufbau des Befehls

member_of('group');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Als Gruppe wird eine lokale SEPPmail Gruppe bezeichnet. Diese Gruppen werden im Menü

»Gro ups « verwaltet.

Der Rückgabewert ist po s itiv , wenn der Absender der angegebenen Gruppe zugeordnet ist, sonst

negativ . Dieser Befehl hat 1 Parameter.

P arameter »gro up«

Definiert den Namen der Gruppe gegen den die E-Mail-Adresse des Absenders als Mitglied geprüft werden soll.

Beis piel:

if (member_of('support')) {

setheader('x-smenc','yes');

} else {}

Erklärung:

In diesem Beispiel wird geprüft, ob der Absender Mitglied der Gruppe 'support' ist. Falls ja, dann wird als Rückgabewert true geliefert, und der Befehl setheader() wird ausgeführt. Falls nein wird als

Rückgabewert fals e geliefert.

7.3.3 setuserattr()

Der Befehl setuserattr() ermöglicht es, Zusatzinformationen für den aktuellen Benutzer zu speichern.

Aufbau des Befehls

setuserattr('ATTR', 'VALUE');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Es wird eine zusätzliche Variable für den aktuellen Benutzer gesetzt. Der User muß authentifiziert sein.

Der Rückgabewert ist immer po s itiv . Der Befehl hat 2 Parameter.

Hinweis :

Für VALUE können Variablen benutzt werden, die durch ldap_read() gesetzt wurden.

Es können alle Attribute von InetOrgPerson benutzt werden.

Die Attribute können im GUI angezeigt werden.

P arameter »ATTR« und »VALUE«

Folgende Systemattribute stehen zur Verfügung:

ATTR VALUE

accountOptions Bit 0: User darf nicht verschlüsseln

Bit 2: User darf nicht signieren

Bit 0: User darf nicht verschlüsseln

Bit 1: nicht belegt

Bit 2: User darf nicht signieren

Wert für VALUE

Mark Mask Mask x x

Sn userPassword

Uid

Name des Benutzers

Kennwort des Benutzers für GUI-Zugriff

User ID

207

208

7.4 Befehle für die Zertifikatsverwaltung

7.4.1 attachpgpkey()

Der Befehl attachpgpkey() ermöglicht es, den OpenPGP-Public-Key des Absenders an eine E-

Mail anzuhängen.

Aufbau des Befehls

attachpgpkey();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl hängt den OpenPGP-Public-Key des Absenders an eine E-Mail als Dateianhang an.

Der Rückgabewert ist immer po s itiv . Der Befehl hat keinen Parameter.

7.4.2 has_smime_key()

Der Befehl has_smime_key() ermöglicht es zu prüfen, ob der Benutzer einen gültigen privaten S/

MIME-Schlüsselbestandteil besitzt.

Aufbau des Befehls

has_smime_key();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Der Rückgabewert ist po s itiv , wenn der Benutzer einen gültigen privaten S/MIME-

Schlüsselbestandteil besitzt, sonst negativ . Der Befehl hat keinen Parameter.

Hinweis :

Der Rückgabewert ist auch dann negativ, wenn der Benutzer nur abgelaufene S/

MIME-Zertifikate besitzt.

Der Rückgabewert ist auch dann negativ, wenn der Benutzer auf den Status »may

no t encry pt« gesetzt ist.

7.4.3 smime_create_key()

Der Befehl smime_create_key() ermöglicht es, für einen Benutzer ein S/MIME-Zertifikat zu generieren.

Aufbau des Befehls

smime_create_key(['SUBJECT']);

209

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl generiert ein S/MIME-Zertifikat für einen Benutzer durch die lokale CA. Optional kann das SUBJECT für das Zertifikat angegeben werden.

Der Rückgabewert ist immer po s itiv . Der Befehl hat 1 Parameter.

P arameter »SUBJECT«

Definiert das Subject für das zu erzeugende S/MIME-Zertifikat.

Innerhalb des SUBJECT steht die Variable $sender zur Verfügung. Über diese Variable steht der

Absender der E-Mail zur Verfügung.

Beis piel:

smime_create_key('/C=CH/OU=Department/O=Company/emailAddress=$sender');

Erklärung:

In diesem Beispiel wird ein S/MIME-Zertifikat über die lokale CA generiert. Das optionale SUBJECT wird ebenfalls mitgegeben.

7.4.4 smime_revoke_keys()

Der Befehl smime_revoke_keys() ermöglicht es, alle noch nicht abgelaufenen S/MIME-Zertifikate eines Benutzers zu revozieren.

Aufbau des Befehls

smime_revoke_keys();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Der Rückgabewert ist po s itiv , wenn alle Zertifikate revoziert werden konnten oder abgelaufen sind.

Der Rückgabewert ist negativ , wenn mindestens ein Zertifikat nicht revoziert werden konnte, z.B. weil es ein importiertes Zertifikat ist.

Dieser Befehl hat keinen Parameter.

7.4.5 swisssign_create_key()

Der Befehl swisssign_create_key() ermöglicht es, es S/MIME-Zertifikat für einen Benutzer von der Zertifizierungsstelle SwissSign zu beschaffen.

Aufbau des Befehls

210 swisssign_create_key();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl hat keinen Parameter.

211

7.5 Befehle für die Handhabung von Nachrichten

7.5.1 archive()

Der Befehl archive() ermöglicht es, eine E-Mail erneut zu verarbeiten.

Aufbau des Befehls

archive('E-MAIL-ADRESSE');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Die E-Mail wird innerhalb der Verarbeitung zusätzlich an die E-MAIL-ADRESSE gesendet bzw. der E-

Mail wird die E-MAIL-ADRESSE als weiterer Empfänger hinzugefügt.

Der Rückgabewert ist immer po s itiv . Der Befehl hat 1 Parameter.

P arameter »E-MAIL-ADRESSE«

E-Mail-Adresse des zusätzlichen Empfängers

Beis piel:

archive('[email protected]');

Erklärung:

In diesem Beispiel wird die gerade verarbeitete E-Mail zusätzlich an den Empfänger ' [email protected]' gesendet.

7.5.2 bounce()

Der Befehl bounce() ermöglicht es, die Verarbeitung einer E-Mail zu veweigern.

Aufbau des Befehls

bounce('Vorlage', 'Header als Anlage');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl erzeugt eine »Bounce«-E-Mail und löscht die ursprüngliche E-Mail. Das Aussehen der

»Bounce«-E-Mail wird durch die Vorlage definiert. Der Absender dieser E-Mail ist »admin«. Der E-

Mail wird der Header der ursprünglichen E-Mail als Dateianlage angehängt, wenn Header als

Anlage

den booleschen Wert true hat. Anstatt true kann auch yes oder 1 verwendet werden.

Der Befehl hat keinen Rückgabewert. Dieser Befehl hat 2 Parameter.

212

Hinweis :

Alle nachfolgenden Befehle werden ignoriert.

Dieser Befehl kann nicht die Bedingung einer if/else Anweisung sein (siehe

Abschnitt

if/else Anweisungen

184

P arameter »Vo rlage«

Definiert die zu verwendende Vorlage. Vorlagen können im Menü »Mail P ro ces s ing« -> Sektion

»Edit Dis claimer« verwaltet werden.

P arameter »Header als Anlage«

Option zum Parameter »Header als Anlage«

Mögliche Werte: true, alternativ yes oder 1

Beis piel:

bounce('bounce', 'yes');

Erklärung:

Die Auslieferung der E-Mail soll verhindert werden und an den Absender soll eine E-Mail geschickt werden. Der Inhalt der E-Mail ist in der Vorlage bounce definiert. Der E-Mail soll der Header der nicht ausgelieferten E-Mail als Anlage angehängt werden. Die Anweisung sieht wie folgt aus:

7.5.3 deliver()

Der Befehl deliver() ermöglicht es, eine E-Mail unmittelbar auszuliefern.

Aufbau des Befehls

deliver(['Mailserver[:Port]'|'loop'|'queueless'|'']);

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl liefert die E-Mail an den angegebenen E-Mail-Server / Port aus. Wird kein Parameter angegeben, so wird die E-Mail dem lokalen Mail-Transport-Agent (MTA) übergeben.

Hinweis :

Alle nachfolgenden Befehle werden ignoriert.

Dieser Befehl kann nicht die Bedingung einer if/else Anweisung sein (siehe

Abschnitt

if/else Anweisungen

184

Der Rückgabewert ist immer po s itiv . Der Parameter hat 1 Parameter.

213

P arameter

Optionen zum Parameter loop queueless

: Das E-Mail wird an den Mailserver zurückgegeben, von welchem es angenommen wurde.

: Diese Einstellung bewirkt, dass Mails an einzelne Empfänger während der

Verarbeitung nicht zwischengelagert werden. Stattdessen wird die eingehende

Verbindung erst quittiert, wenn dieabgehende Verbindung quittiert wurde. Wenn beim Versand an mehrere Empfänger die Annahme für einige Empfänger nicht quittiert wird, befinden sich diese Mails kurzzeitig bis zur Quittierung durch die empfangenden Mailserver auf der Appliance.

keine Option Der Befehl wird ohne Parameter aufgerufen.

Beis piel 1:

deliver('relay.customer.com:587');

Erklärung:

In diese Beispiel wird die E-Mail an den angegebenen E-Mail-Server mit Zielport TCP/587 gesendet.

Beis piel 2:

deliver();

Erklärung:

In diesem Beispiel wird die E-Mail direkt über den eigenen lokalen E-Mail-Transport-Agent (MTA) ausgeliefert.

7.5.4 drop()

Der Befehl drop() ermöglicht es, eine E-Mail zurückzuweisen.

Aufbau des Befehls

drop(['CODE'], ['ERROR']);

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl E-Mail wird nicht mehr verarbeitet die E-Mail und gibt optional einen Errorcode zurück.

Der Befehl hat keinen Rückgabewert. Der Befehl hat 2 Parameter.

214

Hinweis e:

Weder eine »Bounce«-E-Mail an den Absender noch eine Benachrichtigung an den

Empfänger wird erzeugt.

Alle nachfolgenden Befehle werden ignoriert.

Dieser Befehl kann nicht die Bedingung einer if/else Anweisung sein (siehe

Abschnitt

if/else Anweisungen

184

Mit CODE und ERROR können auch alternative Errorcodes gesetzt werden.

Werden keine Parameter angegeben, so wird der Standard Errorcode mit dem entsprechenden

Meldungstext zurückgegeben.

Standard: CODE = '555', ERROR = 'mail not accepted'

P arameter »CODE«

Gibt den den Errorcode im Form eines numerischen Werts an, z.B. 420.

P arameter »ERROR«

Gibt den Errorcode in Form einer Zeichenkette an, z.B. system temporarily unavailable.

Beis piel:

drop('420', 'system temporarily unavailable');

Erklärung:

Die E-Mail wird mit dem temporären Fehler »420 system temporarily unavailable« abgewiesen werden.

7.5.5 reprocess()

Der Befehl reprocess() ermöglicht es, eine E-Mail erneut zu verarbeiten.

Aufbau des Befehls

reprocess();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Alle an eine E-Mail angehängten E-Mails werden erneut verarbeitet und an den Absender zurückgesendet. Dies kann dann erforderlich sein, wenn sich im Posteingang eines Benutzers noch verschlüsselte E-Mails befinden. Diese können zur erneuten Entschlüsselung an die Appliance gesendet werden und verarbeitet bzw. entschlüsselt werden.

Der Befehl hat keinen Rückgabewert. Dieser Befehl hat keinen Parameter.

215

Hinweis :

Die ursprüngliche Message-ID wird aus den neu entschlüsselten E-Mails entfernt.

Es wird keine »Bounce«-E-Mail an den Absender erzeugt.

Alle nachfolgenden Befehle werden ignoriert.

Dieser Befehl kann nicht die Bedingung einer if/else Anweisung sein (siehe

Abschnitt

if/else Anweisungen

184

Beis piel:

if (compare('to', 'match', '(?i)reprocess\@decrypt\.reprocess')) {

log(1, 'reprocess recipient found - Re-injecting attached messages');

reprocess();

drop('220', 'mesage reprocessed');

} else {}

Erklärung:

In diesem Beispiel sendet ein internen Benutzer eine verschlüsselte E-Mail als Anhang in einer nicht verschlüsselten E-Mail an die systemspezifische E-Mail-Adresse [email protected].

Die verschlüsselte E-Mail im Anhang wird erneut verarbeitet bzw. es wird versucht diese E-Mail zu entschlüsseln. Es wird ein Log-Eintrag erzeugt. Nach dem Ausführen von reprocess() wird die ursprüngliche E-Mail mit drop() gelöscht.

216

7.6 Befehle für die Ver- und Entschlüsselung

7.6.1 decrypt_pgp()

Der Befehl decrypt_pgp() ermöglicht es, PGP- verschlüsselte und signierte E-Mails zu entschlüsseln.

Aufbau des Befehls

decrypt_pgp();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl versucht alle PGP- verschlüsselten und signierten Texte und Anlagen einer E-Mail zu entschlüsseln und deren Signaturen zu prüfen.

Der Rückgabewert ist po s itiv , wenn mindestens ein Text oder eine Anlage entschlüsselt oder deren

Signatur erfolgreich geprüft wurde. Andernfalls ist der Rückgabewert negativ . Dieser Befehl hat keinen

Parameter.

7.6.2 decrypt_domain_pgp()

Der Befehl decrypt_domain_pgp() ermöglicht es, domainverschlüsselte und signierte PGP-E-

Mails zu entschlüsseln.

Aufbau des Befehls

decrypt_domain_pgp();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl versucht alle PGP- verschlüsselten und signierten Texte und Anlagen einer E-Mail zu entschlüsseln und deren Signaturen zu prüfen die durch den Absender via Domainverschlüsselung verschlüsselt wurden.

Der Rückgabewert ist po s itiv , wenn mindestens ein Text oder eine Anlage entschlüsselt oder deren

Signatur erfolgreich geprüft wurde. Andernfalls ist der Rückgabewert negativ . Dieser Befehl hat keinen

Parameter.

7.6.3 domain_pgp_keys_avail()

Der Befehl domain_pgp_keys_avail() ermöglicht es, die Verfügbarkeit von PGP-Domian-Public-

Keys zu überprüfen.

Aufbau des Befehls

domain_pgp_keys_avail('Anwendung');

217

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl prüft, ob für alle Empfänger einer E-Mail Domain-PGP-Public-Keys im lokalen

Zertifikatsspeicher zur Verfügung stehen.

Der Rückgabewert ist po s itiv , wenn für alle Empfänger der E-Mail Domain-PGP-Public-Keys vorhanden sind und für den Parameter Anwendung der Wert strict angegeben wurde, sonst ist der

Rückgabewert negativ . Wird für den Parameter Anwendung der Wert auto angegeben, werden die

Empfänger in zwei Gruppen aufgeteilt. Die Gruppe von Empfängern, für die Domain-PGP-Public-Keys vorhanden sind, erhält einen po s itiv en Rückgabewert. Die Gruppe von Empfängern, für die keine

Domain-PGP-Public-Keys vorhanden sind, erhält einen negativ en Rückgabewert.

Der Befehl hat 1 Parameter.

7.6.4 decrypt_smime()

Der Befehl decrypt_smime() ermöglicht es, S/MIME-verschlüsselte E-Mails zu entschlüsseln.

Aufbau des Befehls

decrypt_smime();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl versucht eine S/MIME-verschlüsselte E-Mail zu entschlüsseln.

Der Rückgabewert ist po s itiv , wenn die E-Mail entschlüsselt wurde, sonst negativ . Dieser Befehl hat keinen Parameter.

7.6.5 decrypt_domain_smime()

Der Befehl decrypt_domain_smime() ermöglicht es, domainverschlüsselte S/MIME-E-Mails zu entschlüsseln.

Aufbau des Befehls

decrypt_domain_smime();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl versucht eine domainverschlüsselte S/MIME-E-Mail zu entschlüsseln.

Der Rückgabewert ist po s itiv , wenn die E-Mail entschlüsselt wurde, sonst negativ . Dieser Befehl hat keinen Parameter.

218

7.6.6 domain_smime_keys_avail()

Der Befehl domain_smime_keys_avail() ermöglicht es, die Verfügbarkeit von S/MIME-Domian-

Public-Keys zu überprüfen.

Aufbau des Befehls

domain_smime_keys_avail('Anwendung');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl prüft, ob für alle Empfänger einer E-Mail Domain-S/MIME-Public-Keys im lokalen

Zertifikatsspeicher zur Verfügung stehen.

Der Rückgabewert ist po s itiv , wenn für alle Empfänger der E-Mail Domain-S/MIME-Public-Keys vorhanden sind und für den Parameter Anwendung der Wert strict angegeben wurde, sonst ist der

Rückgabewert negativ . Wird für den Parameter Anwendung der Wert auto angegeben, werden die

Empfänger in zwei Gruppen aufgeteilt. Die Gruppe von Empfängern, für die Domain-S/MIME-Public-

Keys vorhanden sind, erhält einen po s itiv en Rückgabewert. Die Gruppe von Empfängern, für die keine Domain-S/MIME-Public-Keys vorhanden sind, erhält einen negativ en Rückgabewert.

Der Befehl hat 1 Parameter.

7.6.7 delete_smime_sig()

Der Befehl delete_smime_sig() ermöglicht es, die S/MIME-Signatur einer E-Mail zu löschen.

Aufbau des Befehls

delete_smime_sig();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl löscht eine Signatur aus der signierten E-Mail.

Der Rückgabewert ist po s itiv , wenn die E-Mail nach dem S/MIME-Verfahren signiert war. Andernfalls ist der Rückgabewert negativ . Dieser Befehl hat keinen Parameter.

Hinweis :

Die Gültigkeit der S/MIME-Signatur wird nicht geprüft.

219

7.6.8 encrypt_pgp()

Der Befehl encrypt_pgp() ermöglicht es, E-Mails via PGP zu verschlüsseln und zu signieren.

Aufbau des Befehls

encrypt_pgp('Signatur' [, 'Adresse']);

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl verschlüsselt alle Texte und Anlagen der E-Mail. Zusätzlich werden sie signiert, wenn die Signatur den booleschen Wert true hat. Anstatt true kann auch yes oder 1 verwendet werden. Ist die Adresse spezifiziert, wird ausschliesslich der PGP-Public-Key dieses Empfängers zum Verschlüsseln aller E-Mails für alle Empfänger verwendet.

Stehen nicht für alle Empfänger PGP-Public-Keys zur Verfügung, werden zwei Gruppen gebildet.

Der Rückgabewert ist für die Gruppe der Empfänger po s itiv , für die verschlüsselt werden konnte. Für die Gruppe der Empfänger, für die nicht verschlüsselt werden konnte, ist der Rückgabewert negativ .

Dieser Befehl hat 2 Parameter.

P arameter »Signatur«

Option zum Parameter »Signatur«

Mögliche Werte: true oder yes oder 1

P arameter »Adres s e«

E-Mail-Adresse des Empfängers, dessen PGP-Public-Key zum Verschlüsseln verwendet werden soll.

Beis piel:

encrypt_pgp('yes', '[email protected]');

Erklärung:

In diesem Beispiel wird versucht alle Texte und Anlagen einer E-Mail zu verschlüsseln und zu signieren, da Signatur den Wert 'yes' hat. Zum Verschlüsseln wird der PGP-Public-Key des mit

Adresse

spezifizierten Empfängers verwendet. In unserem Fall '[email protected]'.

7.6.9 encrypt_domain_pgp()

Der Befehl encrypt_domain_pgp() ermöglicht es, E-Mails via PGP-Domainverschlüsselung zu verschlüsseln.

Aufbau des Befehls

encrypt_domain_pgp();

220

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl verschlüsselt alle Texte und Anlagen der E-Mail via PGP-Domainverschlüsselung.

Stehen nicht für alle Empfänger Domain-PGP-Public-Keys zur Verfügung, werden zwei Gruppen gebildet.

Dieser Befehl hat keinen Parameter.

Beis piel:

encrypt_domain_pgp();

Erklärung:

In diesem Beispiel wird versucht alle Texte und Anlagen einer E-Mail via PGP-Domainverschlüsselung zu verschlüsseln.

7.6.10 encrypt_smime()

Der Befehl encrypt_smime() ermöglicht es, E-Mails via S/MIME zu verschlüsseln.

Aufbau des Befehls

encrypt_smime();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl verschlüsselt eine E-Mail nach dem S/MIME-Standard. Stehen nicht für alle Empfänger S/

MIME-Zertifikate zur Verfügung, werden zwei Gruppen gebildet.

7.6.11 encrypt_domain_smime()

Der Befehl encrypt_domain_smime() ermöglicht es, E-Mails via S/MIME-Domainverschlüsselung zu verschlüsseln.

Aufbau des Befehls

encrypt_domain_smime();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

221

Dieser Befehl verschlüsselt alle Texte und Anlagen der E-Mail via S/MIME-Domainverschlüsselung.

Stehen nicht für alle Empfänger Domain-S/MIME-Public-Keys zur Verfügung, werden zwei Gruppen gebildet.

Dieser Befehl hat keinen Parameter.

Beis piel:

encrypt_domain_smime();

Erklärung:

In diesem Beispiel wird versucht alle Texte und Anlagen einer E-Mail via S/MIME-

Domainverschlüsselung zu verschlüsseln.

7.6.12 encrypt_webmail()

Der Befehl encrypt_webmail() ermöglicht es, eine E-Mail unter Verwendung der GINA-Technologie zu verschlüsseln.

Aufbau des Befehls

encrypt_webmail(['TEMPLATE']);

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl verschlüsselt eine Nachricht via GINA-Technologie für die Empfängeradresse. Die verschlüsselte Nachricht kann anschließend in der RuleEngine weiterverarbeitet werden.

Empfehlung:

Die GINA-Nachricht direkt mit deliver() abschicken.

Die Empfängeradresse wird aus der aktuell verarbeiteten Nachricht entnommen.

Falls TEMPLATE angegeben ist, wird ein spezielles Template für die GINA-Nachricht verwendet. Falls nicht, wird das Template anhand der Absenderadresse ausgewählt. Als Template wird in diesem Falls das angelegte GINA-Profil bzw. angelegte die GINA-Domain bezeichnet.

Der Rückgabewert ist immer po s itiv . Der Befehl hat 1 Parameter.

P arameter »TEMP LATE«

Definiert das angelegte GINA-Profil bzw. angelegte die GINA-Domain.

222

7.6.13 pgp_encrypted()

Der Befehl pgp_encrypted() ermöglicht es, eine E-Mail auf PGP-Verschlüsselung zu überprüfen.

Aufbau des Befehls

pgp_encrypted();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl prüft, ob die vorliegende E-Mail mit dem PGP-Verfahren verschlüsselt ist.

Der Rückgabewert ist po s itiv , wenn die E-Mail PGP-verschlüsselt ist, sonst negativ . Der Befehl hat keinen Parameter.

7.6.14 pgp_keys_avail()

Der Befehl pgp_keys_avail() ermöglicht es, die Verfügbarkeit von PGP-Public-Keys zu

überprüfen.

Aufbau des Befehls

pgp_keys_avail('Anwendung');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl prüft, ob für alle Empfänger einer E-Mail PGP-Public-Keys im lokalen Zertifikatsspeicher zur Verfügung stehen.

Der Rückgabewert ist po s itiv , wenn für alle Empfänger der E-Mail PGP-Public-Keys vorhanden sind und für den Parameter Anwendung der Wert strict angegeben wurde, sonst ist der Rückgabewert

negativ . Wird für den Parameter Anwendung der Wert auto angegeben, werden die Empfänger in zwei Gruppen aufgeteilt. Die Gruppe von Empfängern, für die PGP-Public-Keys vorhanden sind, erhält einen po s itiv en Rückgabewert. Die Gruppe von Empfängern, für die keine PGP-Public-Keys vorhanden sind, erhält einen negativ en Rückgabewert.

Der Befehl hat 1 Parameter.

7.6.15 pgp_secret_keys_avail()

Der Befehl pgp_secret_keys_avail() ermöglicht es, die Verfügbarkeit von PGP-Private-Keys zu

überprüfen.

Aufbau des Befehls

pgp_secret_keys_avail();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

223

Dieser Befehl prüft, ob für alle Empfänger einer E-Mail PGP-Private-Keys zur Verfügung stehen.

Der Rückgabewert ist po s itiv , wenn ein PGP-Private-Keys für den Absender vorhanden ist, sonst

negativ .

Dieser Befehl hat keinen Parameter.

7.6.16 smime_keys_avail()

Der Befehl smime_keys_avail() ermöglicht es, die Verfügbarkeit von S/MIME-Public-Keys zu

überprüfen.

Aufbau des Befehls

smime_keys_avail('Anwendung');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl prüft, ob für alle Empfänger einer E-Mail S/MIME-Public-Keys im lokalen

Zertifikatsspeicher zur Verfügung stehen.

Der Rückgabewert ist po s itiv , wenn für alle Empfänger der E-Mail S/MIME-Public-Keys vorhanden sind und für den Parameter Anwendung der Wert strict angegeben wurde, sonst ist der

Rückgabewert negativ . Wird für den Parameter Anwendung der Wert auto angegeben, werden die

Empfänger in zwei Gruppen aufgeteilt. Die Gruppe von Empfängern, für die S/MIME-Public-Keys vorhanden sind, erhält einen po s itiv en Rückgabewert. Die Gruppe von Empfängern, für die keine S/

MIME-Public-Keys vorhanden sind, erhält einen negativ en Rückgabewert.

Der Befehl hat 1 Parameter.

7.6.17 sign_smime()

Der Befehl sign_smime() ermöglicht es, eine E-Mail mit der S/MIME-Signatur des Absenders zu versehen.

Aufbau des Befehls

sign_smime();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Der Rückgabewert ist po s itiv , wenn die Nachricht erfolgreich signiert wurde, sonst negativ . Dieser

Befehl hat keinen Parameter.

Beis piel:

if (sign_smime()) {

224

log(1, 'sign smime successful');

} else { }

Erklärung:

In diesem Beispiel wird eine E-Mail mit der S/MIME-Signatur des Absenders versehen. Es wird weiterhin geprüft, ob dieser Vorgang erfolgreich durchgeführt werden konnte. Falls ja, ist der

Rückgabewert true und es wird eine Log-Info an den System-Logger gesendet.

7.6.18 smime_signed()

Der Befehl smime_signed() ermöglicht es, eine E-Mail auf das Vorhandensein einer S/MIME-

Signatur zu überprüfen.

Aufbau des Befehls

smime_signed();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl prüft, ob die vorliegende E-Mail mit dem S/MIME-Verfahren signiert ist.

Der Rückgabewert ist po s itiv , wenn die E-Mail S/MIME-signiert ist, sonst negativ . Dieser Befehl hat keinen Parameter.

7.6.19 smime_encrypted()

Der Befehl smime_encrypted() ermöglicht es, eine E-Mail auf S/MIME-Verschlüsselung zu

überprüfen.

Aufbau des Befehls

smime_encrypted();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl prüft, ob die vorliegende E-Mail mit dem S/MIME-Verfahren verschlüsselt ist.

Der Rückgabewert ist po s itiv , wenn die E-Mail S/MIME-verschlüsselt ist, sonst negativ . Dieser

Befehl hat keinen Parameter.

7.6.20 validate_smime_sig()

Der Befehl validate_smime_sig() ermöglicht es, die S/MIME-Signatur einer E-Mail auf Gültigkeit zu prüfen.

Aufbau des Befehls

225 validate_smime_sig('Zertifikat speichern');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl prüft die S/MIME-Signatur einer E-Mail auf Gültigkeit. Zusätzlich zur Signaturprüfung kann das Zertifikat in den Zertifikatsspeicher der Appliance importiert werden, wenn für den Parameter

Zertifikat speichern

der Wert true gesetzt wurde. Statt true kann auch yes oder 1 verwendet werden.

Der Rückgabewert ist po s itiv , wenn alle der folgenden Punkte zutreffen:

Die E-Mail wurde mit dem S/MIME-Verfahren signiert.

Die E-Mail ist vollständig und unverändert.

Die E-Mail wurde mit einem S/MIME-Zertifikat signiert, das von einer als vertrauenswürdig eingestuften Certificate Authority (CA) ausgestellt wurde.

Das zur Anbringung der Signatur verwendete S/MIME-Zertifikat ist weder auf einer der Appliance bekannten »Revocation list« (CRL) aufgeführt, noch ist dessen Ablaufdatum überschritten.

Falls einer der obigen Punkte nicht zutrifft, ist der Rückgabewert negativ . Dieser Befehl hat 1

Parameter.

P arameter »Zertifikat s peichern«

Option zum Parameter »Zertifikat s peichern«

Mögliche Werte: true oder yes oder 1

Beis piel:

if (validate_smime_sig('true')) {

log(1, 'smime signed valid');

} else {

log(1, 'smime signed, but signature invalid');

}

Erklärung:

In diesem Beispiel wird die S/MIME-Signatur einer E-Mail auf Gültigkeit überprüft. Ist der

Rückgabewert von validate_smime_sig() po s itiv , dann wird der Log-Eintrag 'smime signed valid' geschrieben. Sonst wird der Log-Eintrag 'smime signed, but signature invalid' geschrieben.

7.6.21 webmail_keys_avail()

Der Befehl webmail_keys_avail() ermöflicht es zu prüfen, on ein GINA-Benutzerkonto zur vorhanden ist.

Aufbau des Befehls

webmail_keys_avail('Anwendung');

226

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl prüft, ob für alle Empfänger einer E-Mail ein GINA-Benutzerkonto zur Verfügung steht. Ist die Anwendung des Befehls strict, so ist der Rückgabewert nur dann po s itiv , wenn für alle

Empfänger GINA-Benutzerkonten vorhanden sind. Ist die Anwendung auto, teilt der Befehl die

Empfänger in zwei Gruppen auf und gibt jeder Gruppe den entsprechenden Rückgabewert mit.

Dieser Befehl hat 1 Parameter.

7.6.22 webmail_keys_gen()

Der Befehl webmail_keys_gen() ermöglicht es, GINA-Benutzerkonten zu erzeugen.

Aufbau des Befehls

webmail_keys_gen(['Empfängeradresse'], ['Länge des Kennworts'],

['NoPwEmailIsSmsSend']);

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl generiert ein GINA-Benutzerkonto und schickt das Initialisierungskennwort an den

Absender der ursprünglichen E-Mail oder an Empfängeradresse, falls diese angegeben ist.

Der Rückgabenwert ist immer positiv. Der Befehl hat 3 Parameter.

P arameter »Empfängeradres s e«

Definiert die E-Mail-Adresse, an die die E-Mail mit dem Initialisierungskennwort gesendet werden soll.

P arameter »Lange des K ennwo rts «

Definiert die Länge des Kennworts: 0 für leeres Kennwort. Wird der Parameter nicht angegeben, wird der Standardwert verwendet. Dieser kann über die Konfigurationsoberfläche eingesehen und verändert werden.

P arameter »No P wEmailIs Sms Send«

Option zum Parameter »No P wEmailIs Sms Send«

Mögliche Werte: true oder yes oder 1

Beis piel:

webmail_keys_gen('', '8');

Erklärung:

In diesem Beispiel wird ein GINA-Benutzerkonto erzeugt. Der Absender der ursprünglichen E-Mail

227 erhält eine E-Mail-Benachrichtigung mit dem Initialisierungskennwort. Das Kennwort für dieses GINA-

Benutzerkonto muss mindestens 8 Stellen haben.

7.6.23 pack_mail()

Der Befehl pack_mail() ermöglicht es, eine ausgehende E-Mail für die Weiterleitung an ein GINA-

Relay-System zu packen.

Aufbau des Befehls

pack_mail('E-Mail-Addr', ['Domainsignatur']);

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl packt eine E-Mail für die Weiterleitung an ein GINA-Relay-System. E-Mail-Addr definiert die E-Mail-Adresse des GINA-Relay-Systems. Ist der optionale Parameter Domainsignatur true, so wird die gepackte E-Mail zusätzlich signiert. Statt true kann auch yes oder 1 verwendet werden.

Der Rückgabewert ist po s itiv , wenn das Packen der E-Mail erfolgreich war, sonst negativ . Der

Befehl hat 2 Parameter.

P arameter »E-Mail-Addr«

Definiert die E-Mail-Adresse des GINA-Relay-Systems

P aramater »Do mains ignatur«

Option zum Parameter »Do mains ignatur«

Mögliche Werte: true oder yes oder 1

Beis piel:

pack_mail('[email protected]', 'yes');

Erklärung:

In diesem Beispiel wird die ausgehende E-Mail zur Weiterleitung an ein GINA-Relay-System gepackt.

Daraus wird eine neue E-Mail-Nachricht erzeugt und an die Ziel-E-Mail-Adresse des GINA-Relay-

Systems gesendet. Zusätzlich wird diese E-Mail-Nachricht mit dem Domainzertifikat signiert.

7.6.24 unpack_mail()

Der Befehl unpack_mail() ermöglicht es, eine gepackte E-Mail auf einem GINA-Relay-System zu entpacken.

Aufbau des Befehls

unpack_mail();

228

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Der Rückgabewert ist immer po s itiv . Dieser Befehl hat keine Parameter.

7.7 Befehle für LDAP (Zugriff auf externe Quellen)

7.7.1 ldap_compare()

Der Befehl ldap_compare() ermöglicht es, einen in einem LDAP-Verzeichnis abgelegten Wert mit einem angegebenen Attribut zu vergleichen.

Aufbau des Befehls

ldap_compare('URI;USER;PASSWORD;BASEDN;FILTER', 'ATTR', 'VALUE');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl baut eine Verbindung zu einem LDAP-Server auf und prüft den Wert eines Attributs.

Der Rückgabewert ist po s itiv , wenn VALUE im Attribut vorhanden ist, sonst negativ . Dieser Befehl hat 3 Parameter.

P arameter

URI

USER

PASSWORD

BASEDN

FILTER

ATTR

VALUE

Bes chreibung

Die IP-Adresse oder der Name des LDAP-Servers. Es können auch zwei mit Komma getrennte Werte angegeben werden: In diesem Fall wird automatisch auf den zweiten Server zugegriffen, wenn der erste nicht erreicht werden kann.

Der User, welcher für den Zugriff verwendet werden soll

Das Passwort des Users

Die Base DN (Distinguished Name) für die Abfrage

Der Filter für die Abfrage

Das Attribut, welches abgefragt werden soll

Der Wert, welcher im Attribut vorkommen soll

Beis piel:

Es soll geprüft werden, ob der aktuelle Benutzer der Gruppe »Meinegruppe« angehört.

Die Anweisung sieht wie folgt aus: ldap_compare('192.168.10.10;CN=Peter Mueller,OU=SBSUsers,OU=Users,

OU=MyBusiness,DC=Firma,DC=local;mypassword;OU=SBSUsers,OU=Users,

OU=MyBusiness,DC=Firma,DC=local;(mail=$sender)','memberOF',

Meinegruppe');

229

230

Erklärung:

Sollte das angegebene Attribut oder der gesuchte Eintrag nicht existieren, so ist der Rückgabewert

negativ.

Sollten mehrere Einträge gefunden werden, so wird nur der erste ausgewertet.

Sollten mehrere Attribute vorhanden sein, so werden alle Attribute ausgewertet (Multi value).

Falls keiner der angegebenen LDAP-Server erreichbar ist, so wird die Mail mit einem temporären

Fehler abgewiesen.

7.7.2 ldap_read

Der Befehl ldap_read() ermöglicht es, einen in einem LDAP-Verzeichnis abgelegten Wert auszulesen.

Aufbau des Befehls

ldap_read('URI;USER;PASSWORD;BASEDN;FILTER' ,'ATTR', 'VAR');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl baut eine Verbindung zu einem LDAP-Server auf und speichert den Wert des abgefragten

Attributs in der Variable VAR. Der Rückgabewert ist po s itiv , wenn der Variablen VAR ein Wert zugewiesen werden kann, sonst negativ . Dieser Befehl hat 3 Parameter.

P arameter

URI

USER

PASSWORD

BASEDN

FILTER

ATTR

VAR

Bes chreibung

Der User, welcher für den Zugriff verwendet werden soll

Das Passwort des Users

Die Base DN (Distinguished Name) für die Abfrage

Der Filter für die Abfrage

Das Attribut, welches abgefragt werden soll

Variable, in welcher das Attribut gespeichert werden soll

Beis piel:

Es soll der Wert des Attributs »name« aus einem LDAP-Verzeichnis ausgelesen werden. Dieser soll in der Variable »name« abgespeichert werden.

ldap_read('192.168.10.10;CN=Peter Mueller,OU=SBSUsers,OU=Users,

231

OU=MyBusiness,DC=Firma,DC=local;mypassword;OU=SBSUsers,OU=Users,

OU=MyBusiness,DC=Firma,DC=local; (mail=$sender)','name','name'););

Erklärung:

Sollte das angegebene Attribut oder der gesuchte Eintrag nicht existieren, so wird der Variable ein leerer Wert zugewiesen.

Sollten mehrere Einträge (Objekte) gefunden werden, so wird nur der erste ausgewertet.

Sollten mehrere Attribute vorhanden sein, so werden alle Attribute ausgelesen und mit Strichpunkten

";" abgetrennt der Variablen zugewiesen (Multi value Attribut).

Falls keiner der angegebenen LDAP-Server erreichbar ist, so wird die Mail mit einem temporären

Fehler abgewiesen.

7.7.3 ldap_getcerts()

Der Befehl ldap_getcerts() ermöglicht es, S/MIME-Public-Keys bei einem LDAP-Verzeichnisdienst abzurufen.

Aufbau des Befehls

ldap_getcerts('URI;USER;PASSWORD;BASEDN');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl ermöglicht es, S/MIME-Public-Key für jeden Empfänger einer E-Mail bei einem LDAP-

Verzeichnisdienst anzurufen.

Der Rückgabewert ist immer po s itiv . Dieser Befehl hat 1 Parameter.

P aramater

Beis piel:

URI

USER

: ldap-directory.domain.tld

: Benutzername zur Anmeldung am LDAP-Verzeichnis

PASSWORD

: Kennwort zur Anmeldung am LDAP-Verzeichnis

BASEDN

: ou=pki-participant,dc=pki,dc=domain,dc=tld

P arameter

URI

USER

PASSWORD

BASEDN

Bes chreibung

Der User, welcher für den Zugriff verwendet werden soll

Das Passwort des Users

Die Base DN (Distinguished Name) für die Abfrage

232

Beis piel:

ldap_getcerts('ldap-directory.domain.tld;;;ou=pki-participant,dc=pki, dc=domain,dc=tld');

Erklärung:

In diesem Beispiel wird für den Empfänger einer E-Mail der S/MIME-Public-Key bei einem LDAP-

Verzeichnisdienst abgefragt. Der Zugang zu diesem LDAP-Verzeichnisdienst ist öffentlich, deshalb sind keine Anmeldeinformationen erforderlich.

7.7.4 ldap_getpgpkeys()

Der Befehl ldap_getpgpkeys() ermöglicht es, PGP-Public-Keys bei einem LDAP-Verzeichnisdienst abzurufen.

Aufbau des Befehls

ldap_getpgpkeys('URI;USER;PASSWORD;BASEDN');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl ermöglicht es, PGP-Public-Key für jeden Empfänger einer E-Mail bei einem LDAP-

Verzeichnisdienst anzurufen.

Der Rückgabewert ist immer po s itiv . Dieser Befehl hat 1 Parameter.

P aramater

Beis piel:

URI

USER

: ldap-directory.domain.tld

: Benutzername zur Anmeldung am LDAP-Verzeichnis

PASSWORD

: Kennwort zur Anmeldung am LDAP-Verzeichnis

BASEDN

: ou=pki-participant,dc=pki,dc=domain,dc=tld

P arameter

URI

USER

PASSWORD

BASEDN

Bes chreibung

Der User, welcher für den Zugriff verwendet werden soll

Das Passwort des Users

Die Base DN (Distinguished Name) für die Abfrage

Beis piel:

233 ldap_getpgpkeys('ldap-directory.domain.tld;;;ou=pki-participant,dc=pki, dc=domain,dc=tld');

Erklärung:

In diesem Beispiel wird für den Empfänger einer E-Mail der PGP-Public-Key bei einem LDAP-

Verzeichnisdienst abgefragt. Der Zugang zu diesem LDAP-Verzeichnisdienst ist öffentlich, deshalb sind keine Anmeldeinformationen erforderlich.

234

7.8 Befehle für Content Management

7.8.1 iscalendar()

Der Befehl iscalendar() ermöglicht es, eine E-Mail auf das Vorhandensein des Mime-Type »text/

calendar« zu prüfen.

Aufbau des Befehls

iscalendar();

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Der Befehl prüft, ob die E-Mail den Mime-Type »text/calendar« beinhaltet. Falls ja, ist der

Rückgabewert po s itiv , sonst negativ . Dieser Befehl kann benutzt werden, um zu verhindern, dass E-

Mails mit Kalendereintrgungen z.B. Einladungen, Termine, Besprechungsanfragen signiert werden.

Microsoft Outlook kann z.B. nicht mit signierten Kalendereinträgen umgehen.

Dieser Befehl hat keine Parameter.

7.8.2 isspam()

Der Befehl isspam() ermöglicht es, eine E-Mail auf SPAM zu überprüfen.

Aufbau des Befehls

isspam('MARKLEVEL', 'TAG', 'REJECTLEVEL');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Der Rückgabewert dieses Befehls ist immer po s itiv . Dieser Befehl hat 3 Parameter.

P arameter »MARK LEVEL«

Dieser Parameter definiert den Punktwert, ab dem eine E-Mail als SPAM-E-Mail markiert wird. Zum

Markieren wird das angegebene TAG verwendet.

Wertebereich

Schrittweite

P arameter »TAG«

: 0.5 - 9.5

: 0.5

Dieser Parameter definiert einen Wortbestandteil (TAG) der zur Markierung einer E-Mail als SPAM an den Betreff angehängt wird.

Beispiel für diesen Parameter: [SPAM]

P arameter »REJECTLEVEL«

235

Dieser Parameter definiert den Punktwert, ab dem eine E-Mail als SPAM abgewiesen wird.

Wertebereich

Schrittweite

Beis piel:

: 0.5 - 9.5

: 0.5

isspam('2.5', '[SPAM]', '4.5');

Erklärung:

In diesem Beispiel wird eine E-Mail auf SPAM überprüft. Der Parameter für MARKLEVEL hat den Wert

'2.5'. Wird bei der SPAM-Prüfung dieser Schwellwert erreicht bzw. überschritten, dann wird die E-Mail mit dem TAG '[SPAM]' markiert. Das TAG wird an den Betreff angehängt. Wird der Schwellwert von

'4.5' für REJECTLEVEL erreicht oder überschritten, dann wird die E-Mil abgewiesen und nicht empfangen.

7.8.3 partoftype()

Der Befehl partoftype() ermöglicht es, den Dateityp von E-Mail-Dateianlagen zu bestimmen.

Aufbau des Befehls

partoftype('Typ', 'Handlung', 'Archivinhalte prüfen');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl prüft, ob die Dateianlagen einer E-Mail einem bestimmten Typ entsprechen. Die

Handlung

definiert, was mit den Datenanlagen passiert, wenn die Prüfung auf den Typ positiv ist.

Die Inhalte von Archivdateien werden durchsucht, wenn Archivinhalte prüfen den booleschen

Wert true hat. Statt true kann auch yes oder 1 verwendet werden.

Der Rückgabewert ist immer dann po s itiv , wenn das Ergebnis mindestens einer Prüfung der

Dateianlagen einer E-Mail positiv ist, sonst ist er negativ . Der Befehl hat 3 Parameter.

P arameter »Ty p«

Weitere Informationen zum Parameter Typ sind im Abschnitt

Liste der Dateitypen

237

zu finden.

P arameter »Handlung«

Für den Parameter Handlung stehen folgenden Optionen zur Verfügung: info delete

: stellt das Resultat für die folgenden Befehle zu Verfügung

: entfernt zusätzlich die entsprechende Dateianlage aus der E-Mail

P arameter »Archiv inhalte prüfen«

236

Option zum Parameter »Archiv inhalte prüfen«

Mögliche Werte: true, alternativ yes oder 1

Beis piel:

partoftype('EXE', 'delete', 'true');

Erklärung:

In diesem Beispiel wird eine E-Mail auf das Vorhandensein von Dateianhängen des Typ 'EXE'

überprüft. Wird ein Dateianhang gefunden, so wird dieser aus der E-Mail entfernt. Enthält die E-Mail als Dateianhang eine Archivdatei, so wird diese ebenfalls durchsucht. Wird innerhalb der Archivdatei eine Datei vom Typ 'EXE' gefunden, so wird die Datei aus dem Archiv entfernt.

7.8.4 vscan()

Der Befehl vscan() ermöglicht es, alle Datenanlagen einer E-Mail auf Viren zu prüfen.

Aufbau des Befehls

vscan('E-Mail-Addr-für-Benachrichtigung');

Der Befehl muß mit einem Semikolon abgeschlossen werden.

Dieser Befehl prüft alle Dateianlagen einer E-Mail auf bekannte Viren. Wird ein Virus gefunden, dann wird eine E-Mail-Benachrichtigung an E-Mail-Addr-für-Benachrichtigung gesendet. Ein nachfolgender Ruleset-Befehl muss diese E-Mail weiter behandeln.

Der Rückgabewert ist immer dann po s itiv , wenn das Ergebnis mindestens einer Prüfung der

Dateianlagen einer E-Mail positiv ist, sonst ist er negativ . Der Befehl hat 1 Parameter.

P arameter »E-Mail-Addr-für-Benachrichtigung«

Definiert die E-Mail-Adresse an die eine Benachrichtigung bei Virenfund gesendet wird.

Beis piel:

vscan('[email protected]');

Erklärung:

In diesem Beispiel wird eine E-Mail-Benachrichtigung an '[email protected]' gesendet, wenn ein Virus gefunden wurde.

237

7.9 Dateitypen

7.9.1 Liste der Dateitypen

Folgende Dateitypen werden unterschieden:

LHA

LHARC

LWF

MPEG.L3

MPEG.SYS

MPEG.VID

MS.ASF

MS.OFF

MS.XLS

NIFF

PBMPLUS

PCX

PDF

PNG

RAR

RIFF.ANI

BMP

BZIP

CAB

COM

EMF

EXE

FAX

GIF

GZIP

ICO

ISO9660

JPEG

JPG2000

RIFF.AVI

RIFF.DIB

RIFF.MID

RIFF.MMF

RIFF.WAV

RTF

TAR

Bes chreibung

PC Bitmap

BZIP Compressed

Microsoft CAB file

MSDOS Computable

Enhanced Windows Metafile

MSDOS Executable

G3 Fax

GIF Image

GZIP Compressed

Windows Icon

ISO 9660 CD-ROM

JPEG Image

JPEG 2000 Image

LHa 2.x? Archive

LHarc 1.x Archive

LuraWave Image

MPEG Layer 3

MPEG System Stream

MPEG Video

Microsoft ASF

MS Office document

MS Excel 5.0 Worksheet

NIFF Image

PBMPLUS Bitmap

Z-Soft Image

PDF Document

PNG Image

RAR Archive

MS RIFF Animated Cursor

MS RIFF Audio Video Interleave

MS RIFF DIB Bitmap

MS RIFF MIDI File

MS RIFF Multimedia Movie

MS RIFF Wave Audio

Rich Text Format

TAR Archive

238

TARGA

TIFF

ZIP

ZOO

Li s te d er D atei ty p en

Bes chreibung

TARGA Bitmap

TIFF Image

PKZIP Archive

Zoo Archive

239

7.9.2 Gruppen von Dateitypen

Folgende Gruppen von Dateitypen werden unterschieden: