Granikos Technology Blog

Vor Office 365 gab es bereits eine Cloud Productivity Lösung von Microsoft. Die Business Productivity Online Services (BPOS) haben Dienste auf Basis der Produkte Exchange 2007 and MOSS 2007 bereitgestellt.

SharePoint Sites wurden in BPOS unter der Domäne microsoftonline.com erstellt und sind bis heute in Nutzung.

Ab dem 1. Januar 2017 werden SharePoint Sites, die noch der *.microsoftonline.com Namenskonvention entsprechen, zu *.sharepoint.com überführt.

Administratoren können dies bereits vor dem 1. Januar 2017 durchführen. Microsoft hat hierzu einen Support-Artikel veröffentlicht.

Neben der reinen Änderung der Url für die SharePoint Sites ergibt sich ein zusätzlicher Vorteil. SharePoint Sites unter der Url *.sharepoint.com können das neue SharePoint App Modell nutzen. Dies ist unter *.microsoftonline.com nicht möglich.

Link

• Information about how to rename the SharePoint Online site from *.microsoftonline.com to *.sharepoint.com using the self-service tool

Viel Spaß mit Office 365.

Different technologies are used to verify the validity of email senders. Each technology by itself represents only one component of a holistic solution. It is currently recommended to implement all three technologies.

The technologies are:

• SPF - Sender Policy Framework
  The SPF resource record of a DNS zone defines which servers (hostnames or IP addresses) are allowed to send emails on behalf of the domain. Each sender domain must have it's own SPF resource record.
   
• DKIM - Domain Keys Identified Mail
  DKIM pursues the same objective as SPF. With DKIM parts of an email, messages are encrypted using a private key. The public key is published as a DNS resource record. In most cases, the key pair is generated by the mail servers, as these encrypt the message anyway.
   
• DMARC - Domain-based Message Authentication, Reporting & Conformance
  DMARC is placed on top of SPF and DKIM. DMARC executes a so-called alignment for SPF and DKIM. An alignment defines a policy that describes how strict a receiving server (MTA) should validate and assess the sender address with SPF and DKIM. Stefan Cink of Net at Work has published a detailed post (DE) on this.

The following figure illustrates the protocol relations.

The use of SPF, DKIM, and DMARC are no substitute for email message encryption itself or transport encryption. These technologies are used to identify and asses valid senders and to protect against spam messages.

Keep in mind that SPF, DKIM, and DMARC are offerings for other emails servers. As a sending party, you do not control if and how SPF, DKIM, and DMARC are evaluated by the receiving server. But if evaluated, the configuration must be correct to avoid messages being rejected by receiving email servers.

The following sections focus on the DNS configuration for SPF, DKIM, and DMARC. This post is not intended to rate the technologies, but to describe the implementation.

SPF

Each domain is used for sending emails requires an SPF resource record (RR) in its DNS zone. An SPF record is always of the type TXT and does not use any hostname (or resource record name, if you will). An SPF RR is always valid for the entire DNS zone.

Example

mcsmemail.de.          3600     IN      TXT     "v=spf1 mx a:mail.mcsmemail.de ?all"

The following screenshot illustrates adding a new SPF TXT record in a common DNS management interface (DE) of an internet provider. The hostname textbox remains empty.

Example explained:

v=spf1
SPF Version

mx
MX server records defined within the DNS zone are valid senders

a:mail.mcsmemail.de
The additional DNS hostname defined as A resource record is a valid sender as well

?all
Neutral validation of non listed servers that send emails for this domain

SPF records can be created by using one of the various online resources.

• SPFWizard.NET
• CloudFloorDNS

DKIM

DKIM resource records are configured as TXT resource records as well. In contrast to an SPF record, a hostname is mandatory. In this case its called selector.

A DKIM TXT record is always created as a record in the subdomain _domainkey.

Example

nsp._domainkey.mcsmemail.eu. 3600 IN     TXT     "v=DKIM1\; k=rsa\; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQChZM8yjegaKfd0ssKyezTW/7xbDSNc0uPd50xa5/ecerv1v3mHKM+T7mClzRmIEx+Ji6AisVeo2uvjTYPemHFMBlQpuS/4zc2QxWHqp62FSQ7lASBOzDfUrIwayPVqwSPD6NrnfVSWoUNrFGGSVeU5uLASecBzTfxPukqTHgYKhQIDAQAB"

The following screenshot illustrates adding a new DKIM TXT record in a common DNS management interface (DE) of an internet provider. The hostname textbox contains the selector nsp followed by the subdomain _domainkey.

Example explained:

v=DKIM1
DKIM version

k=rsa
Public key encryption method

p=MIGfMA....
The DKIM public key

DMARC

DMARC is configured as a TXT resource record as well. The DMARC resource record uses the fixed hostname _dmarc.

Example

_dmarc.mcsmemail.de.     3600    IN      TXT     "v=DMARC1\; p=none\; rua=mailto:DMARCRUA@mcsmemail.de\; ruf=mailto:DMARCRUF@mcsmemail.de\; fo=1\; adkim=s\; aspf=s\; rf=afrf\"

The following screenshot illustrates adding a new DMARC TXT record in a common DNS management interface (DE) of an internet provider. The hostname textbox contains always the value _dmarc.

Example explained:

v=DMARC1
DMARC version

p=none
No DMARC policy defined (You should always start with None, before switching to Quarantine or Reject)

rua=mailto:DMARCRUA@mcscmemail.de
Email address for status reports

ruf=mailto:DMARCRUF@mcscmemail.de
Email address for error reports

fo=1
Error report type

adkim=s
DKIM alignment, s = strict

aspf=s
SPF alignment, s = strict

rf=afrf
Error report message format, afrf = Abuse Report Format following RFC 5965

The DMARC policy (p) should be raised step-by-step. The results for each policy type are:

• none - No action, affected messages are part of the daily message report
• quarantine - Affected messages are marked as spam
• reject - An affected message is rejected on the SMTP layer

Recommended reading on this topic: Google Support Post.

DMARC DNS zone entries can easily be checked by using the Net at Works PowerShell tool. The PowerShell script can only be used with NoSpamProxy11+. But there are some online tools available as well.

Links

• NoSpamProxy Blog (DE): Auswertung von DMARC, DKIM und SPF Prüfungen per PowerShell
• MXToolbox
  • SPF Lookup
  • DKIM Lookup
  • DMARC Lookup
• More on SPF
  The website OpenSPF.org is not available anymore. If you want to know more about SPF, read more at MailBird. 
• More on DKIM
• More on DMARC
• Prevent outgoing spam with DMARC
• DNS management interface screenshots are courtesy of HKN

Do you need assistance with your Exchange Server setup? You have questions about your Exchange Server infrastructure and going hybrid with Office 365?

Contact us at office365@granikos.eu or visit our website http://www.granikos.eu.

Problem

Es gibt zahlreiche Gründe, warum externe Dienstanbieter E-Mails unter Verwendung einer E-Mail-Dömane eines Kunden senden. Beispielhafte Anwendungsfälle sind z.B.:

• Marketingdienste zum Versand von Newslettern und anderen Nachrichten
• Reisedienstleister, die das gesamte Reisemanagement für Kunden abwickeln
• In der Cloud gehostete Geschäftslösungen für CRM, ERP o.ä.

Die Nutzung einer E-Mail Domäne, die ein Unternehmen bereits in Verwendung hat, birgt Risiken. Bei der Nutzung durch einen Marketing-Dienstleister, der hauptsächlich E-Mail-Nachrichten an externe Empfänger sendet, treten die Probleme noch nicht so deutlich hervor. Werden jedoch Dienste in Anspruch genommen, die eine Zustellung von E-Mail-Nachrichten an interne Mitarbeiter notwendig machen, kommt es zu Problemen.

Eine der einfachsten Funktionen im Rahmen des E-Mail-Grundschutzes ist die Abweisung von E-Mails, die eine eigene Domäne (Accepted oder Owned Domain) als Absender verwenden.

Das nachfolgende Schaubild verdeutlicht die Situation.

Das Unternehmen in diesem Beispiel nutzt die E-Mail Domäne varunagroup.de als primäre E-Mail-Domäne. Der Dienstanbieter nutzt die Adresse news@varunagroup.de als Absenderadresse. E-Mail-Nachrichten an externe Empfänger können meist problemlos zugestellt werden, insofern der SPF-Eintrag des Dienstanbieters in der externen DNS-Zone varunagroup.de eingetragen ist. Die E-Mail-Sicherheitslösung am Gateway verweigert jedoch die Annahme von E-Mail-Nachrichten an interne Empfänger, da nur interne Systeme unter der Domäne varunagroup.de senden dürfen.

Am E-Mail-Gateway können natürlich Ausnahmen konfiguriert werden. Diese sind aber von Natur aus aufwändig in der Wartung und und sehr fehleranfällig.

Lösung

Das Problem kann durch Nutzung von Subdomänen einfach und elegant gelöst werden.

Externe Dienstleister nutzen für den Versand von E-Mail-Nachrichten anstatt der Domäne varunagroup.de die neu konfigurierte Subdomäne email.varunagroup.de. In der zur DNS-Zone der Subdomäne werden der zugehörige SPF-Eintrag des Dienstleisters und alle erforderlichen DKIM-Einträge verwaltet.

Das nachfolgende Schaubild verdeutlicht den Unterschied zum ersten Schaubild.

Das Unternehmen nutzt weiterhin die Domäne varunagroup.de als primäre E-Mail-Domäne. Für externe Dienstanbieter wurde aber die Subdomäne email.varunagroup.de eingerichtet. Somit versendet der externe Dienstanbieter in diesem Beispiel E-Mail-Nachrichten mit der Absenderadresse news@email.varunagroup.de. Für externe Empfänger ändert sich hierdurch nichts. Für das E-Mail-Sicherheitsgateway des Unternehmens ändert sich aber alles. Die Absenderdomäne email.varunagroup.de ist ist eine vollwertige externe Domäne, die durch SPF und DKIM abgesichert wurde und entspricht keiner internen Domäne. Alle E-Mail-Nachrichten des Dienstanbieters werden angenommen und an interne Empfänger zugestellt.

Bei Bedarf kann für jeden externen Dienstanbieter eine separate Subdomäne konfiguriert werden. Dieses Vorgehen ist ein wenig aufwendiger, bietet jedoch ein verbesserte Kontrolle der DNS-Konfiguration.

Die nachfolgenden Präsentationen verdeutlichen die Problemstellung und die Lösungsmöglichkeiten.

Deutschsprachige Präsentation

Englischsprachige Präsentation

Richten Sie für externe Dienstanbieter, die unter Ihrer E-Mail-Domäne Nachrichten versenden sollen, immer Subdomänen ein. Für Unternehmen, die Office 365 und Exchange Online nutzen, ist die Empfehlung mit der beschriebenen Subdomänen-Konfiguration zu arbeiten. Ansonsten wird Exchange Online Protection (EOP) E-Mails von externen Dienstanbietern abweisen.

Links

• Präsentationen:
  • Externe Dienstleister und sicherer E-Mail-Versand
  • Service provider email implications
• NoSpamProxy E-Mail Gateway
• SmarterMail 
• SPF, DKIM, DMARC und DNS

Gerne unterstützen wir Sie bei der Planung und Durchführung Ihrer Exchange Server Implementierung oder Migration.

Sie denken über einen vollständigen Wechsel zu Microsoft 365 oder eine Hybrid-Konfiguration mit Office 365 nach? Wir beraten Sie umfassend und neutral über die Möglichkeiten der Office 365 Plattform und Microsoft 365.

Sie möchten mehr über Exchange Server 2019 erfahren? Gerne erläutern wir Ihnen die technischen Änderungen und Chancen für Ihr Unternehmen in einem individuellen Workshop. Bis dahin, werfen Sie doch einen Blick in das Microsoft Exchange Server 2019: Das Handbuch für Administratoren.

Weitere Informationen zu unseren Dienstleistungen finden Sie auf unserer Website (https://www.granikos.eu) oder Sie kontaktieren direkt unser Vertriebsteam: info@granikos.eu

Foto von Miguel Á. Padriñán von Pexels.

Die Dokumentation von Microsoft Azure ist einem steten Wandel unterworfen und die Verlinkungen der Informationsquellen ändern sich ähnlich agil.

Mark Grimes von Microsoft hat eine ausführliche Liste (Stichwort: Work in Progress) zusammengestellt, über die man zu (fast) allen Themenbereichen von MIcrosoft Azure den passenden Absprung findet.

• aka.ms/Azure/Shortcuts

Dieser Link gehört ab sofort ins Standardrepertoire, wenn man mit Microsoft Azure arbeitet.

Und sollte es dich mal in eine Sackgasse führen, dann einfach eine E-Mail an: Azure Shortcuts

Viel Spaß mit Microsoft Azure.

Das Exchange Blog Cumulative Update für August 2016 (CU0816) fasst interessante Themen rund um Exchange Server und Office 365 (Exchange Online), Azure und Skype for Business (aka Lync) des Monats August 2016 zusammen.

Exchange Server

• Public Folder Hierarchy and Client Access
  https://eightwone.com/2016/08/08/public-folder-hierarchy-clients/
• Photos, Exchange, And The File System
  http://c7solutions.com/2016/08/photos-exchange-and-the-file-system
• How to Change the From Address in OWA
  http://www.expta.com/2016/08/how-to-change-from-address-in-owa.html
• How to Perform HTTP -> HTTPS Redirection in a Single Exchange Server Environment
  http://www.expta.com/2016/08/how-to-perform-http-https-redirection.html

Office 365 & Exchange Online

• [STICKY] Office 365-Trust Center
  http://bit.ly/Office365TrustCenter
• [STICKY] Office 365 URLs and IP address ranges
  http://bit.ly/Office365URLsIPaddresses
• Add Directory Synchronization to your Office 365 dev/test environment
  https://blogs.technet.microsoft.com/solutions_advisory_board/2016/07/29/add-directory-synchronization-to-your-office-365-devtest-environment/
• Migrate traditional Distribution Groups to Office 365 Groups
  https://blogs.technet.microsoft.com/exchange/2016/08/18/migrate-traditional-distribution-groups-to-office-365-groups/

Skype for Business, Lync Server & Communication

• Lync 2013 / SfB 2015 Client Security Update – August 2016
  https://greiginsydney.com/lync-2013-sfb-2015-client-security-update-august-2016/
• Skype for Business Federation fails only with Office 365 domains
  http://realtimeuc.com/2016/06/federation-fails-with-o365/
• Careful when clicking on links in Skype for Business
  https://msitpros.com/?p=3631
• Lync 2013 Server Update – August 2016
  https://greiginsydney.com/lync-2013-server-update-august-2016/
• Skype for Business – Migration Methodology
  https://skype4b.uk/2016/08/26/skype-for-business-migration-methodology/
• Skype for Business 2016 client only supports new v19 ICE
  http://blog.giombini.com/2016/08/skype-for-business-2016-clients-only.html

Microsoft Azure

• [STICKY] Microsoft Azure Trust Center
  http://azure.microsoft.com/en-us/support/trust-center
• AzureAD Mailbag: Hybrid Identity and ADFS Part 2
  https://blogs.technet.microsoft.com/enterprisemobility/2016/07/29/azure-ad-mailbag-hybrid-identity-and-adfs-part-2/
• Step-By-Step: Managing Azure Active Directory Domain Service via Virtual Server
  https://blogs.technet.microsoft.com/canitpro/2016/08/03/step-by-step-managing-azure-active-directory-domain-service-via-virtual-server/
• API's for AzureAD Identity Protection are now available in the Microsoft Graph
  https://blogs.technet.microsoft.com/enterprisemobility/2016/08/02/apis-for-azuread-identity-protection-are-now-available-in-the-microsoft-graph/
• Step-By-Step: Azure Virtual Network Peering
  https://blogs.technet.microsoft.com/canitpro/2016/08/10/step-by-step-azure-virtual-network-peering/
• 23 more apps now work with AzureAD
  https://blogs.technet.microsoft.com/enterprisemobility/2016/08/11/23-more-apps-now-work-with-azuread/
• AzureAD Identity Protection news: Enhanced support for federation and European availability!
  https://blogs.technet.microsoft.com/enterprisemobility/2016/08/22/azure-ad-identity-protection-news-enhanced-support-for-federation-and-european-availability/

Cloud Themen & Cloud Sicherheit

• [STICKY] Microsoft Security TechCenter
  http://technet.microsoft.com/de-DE/security/dd252948
• The cloud as an economic development tool
  https://enterprise.microsoft.com/en-us/industries/government/cloud-economic-development-tool/
• Microsoft signs up for Privacy Shield
  http://blogs.microsoft.com/on-the-issues/2016/08/01/microsoft-signs-privacy-shield
• Microsoft brings together IT management and security for the hybrid cloud
  https://blogs.technet.microsoft.com/server-cloud/2016/08/03/microsoft-brings-together-it-management-and-security-for-the-hybrid-cloud/
• Managing cloud security: Four key questions to evaluate your security position
  http://blogs.microsoft.com/microsoftsecure/2016/08/15/managing-cloud-security-four-key-questions-to-evaluate-your-security-position/
• What's new in failover clustering: #08 Cloud Witness
  https://blogs.technet.microsoft.com/windowsserver/2016/08/10/whats-new-in-failover-clustering-08-cloud-witness/
• Microsoft Intune provides day 0 support for Android Nougat
  https://blogs.technet.microsoft.com/enterprisemobility/2016/08/22/microsoft-intune-provides-day-0-support-for-android-nougat/
• Two new posters for SharePoint 2016 and Skype for Business architectural models
  https://blogs.technet.microsoft.com/solutions_advisory_board/2016/08/29/two-new-posters-for-sharepoint-2016-and-skype-for-business-architecture-models/

Knowledge Base & TechNet

• Supported Browsers for Outlook Web App and Exchange Online
  https://technet.microsoft.com/en-us/library/bb899685.aspx
• KB3035227: Some Android devices do not redirect to Exchange Online
  https://support.microsoft.com/en-us/kb/3035227

Replay

• April 2013: GAL pictures not displaying? Checkpoints to resolve the issue
  https://blogs.technet.microsoft.com/outlooking/2013/04/22/gal-pictures-not-displaying-checkpoints-to-resolve-the-issue/
• Oktober 2004: How mail-enabled Public Folders work
  https://blogs.technet.microsoft.com/exchange/2004/10/06/how-mail-enabled-public-folders-work/
• März 2016: Office 365 – Script To Determine Exchange Online Mailbox Location
  http://blogs.perficient.com/microsoft/2016/03/office-365-script-to-determine-exchange-online-mailbox-location/
• Juli 2013: Part 1: Step-by-Step Exchange 2007 to 2013 Migration
  https://blogs.technet.microsoft.com/meamcs/2013/07/25/part-1-step-by-step-exchange-2007-to-2013-migration/
• März 2015: Exchange 2013 Health Mailboxes
  https://blogs.technet.microsoft.com/admoore/2015/03/11/exchange-2013-health-mailboxes/

Podcast Empfehlungen

• Exchange Exposed
  http://bit.ly/ExchangeExposedPodcast

Tools

• Cloud Security Audit
• Mailscape 365 - Exchange Online Monitoring und Reporting
• Mailscape - Exchange Monitoring und Reporting
• Uniscope - Lync Monitoring und Reporting
• Compass - Active Directory Monitoring und Reporting
• ForeSite - SharePoint Monitoring und Reporting
• Configure OAuth between Skype for Business Server and Exchange Online
• The Microsoft Cloud Storage for Enterprise Architects poster
• Microsoft Skype for Business Server 2015 Resource Kit Tools
• PRTG Custom Sensor to monitor NoSpamProxy Message Flow
• FindTime for Outlook – Doodle for Business
• Microsoft Message Analyzer

Gerne unterstützen wir Sie bei der Planung und Durchführung Ihrer Exchange Server Implementierung oder Migration.

Sie denken über einen vollständigen Wechsel zu Office 365 oder eine Hybrid-Konfiguration mit Office 365 nach? Wir beraten Sie umfassend und ausführlich über die Möglichkeiten der Office 365 Plattform.

Sie möchten mehr über Exchange Server 2016 erfahren? Gerne erläutern wir Ihnen die technischen Änderungen und Chancen für Ihr Unternehmen in einem persönlichen Workshop.

Weitere Informationen zu unseren Dienstleistungen finden Sie auf unserer Website (https://www.granikos.eu) oder Sie kontaktieren direkt unser Vertriebsteam: info@granikos.eu