Anfängerprobleme DKIM/TLS/Diffie-Hellman/DANE

patricksimon TLS: Hier wird "kritisiert" das der Server neben TLS 1.2. und 1.3 noch TLS 1.0 und TLS. 1.1 verwendet. Wie kann ich die beiden alten Protokolle in Grommunio dekativieren.

Eingeschaltet lassen, sonst kannst Du an ältere Mailserver keine Mails senden.

Zum DKIM, da muss man in einem Konfig File die Domain eintragen das die Signatur angehängt wird.
Das schon angesehen: https://rspamd.com/doc/modules/dkim_signing.html

GeneralProbe Ich habe für meinen Mailserver die Datei komplett auskommentiert: (muss allerdings nach jedem Update des Pakets grommunio-common wieder erneut auskommentiert werden)

Das ist eine nicht unterstützte Konfiguration, nicht aufregen wenn nach einem Update irgendwas nicht mehr funktioniert.
Die Vorgaben von grommunio sind technisch OK und auch den internationalen Standards entsprechend gesetzt! Da was umzubasteln ist riskant!

patricksimon Ich habe eine Datei händisch angelegt:
/etc/grommunio-antispam/override.d/dkim_signing.conf mit Inhalt:

# override.d/dkim_signing.conf
# If false, messages with empty envelope from are not signed
allow_envfrom_empty = true;

# If true, envelope/header domain mismatch is ignored
allow_hdrfrom_mismatch = false;

# If true, multiple from headers are allowed (but only first is used)
allow_hdrfrom_multiple = false;

# If true, username does not need to contain matching domain
allow_username_mismatch = false;

# Default path to key, can include '$domain' and '$selector' variables
#path = "/var/lib/grommunio-antispam/dkim/$domain.$selector.key";
path = "/var/lib/grommunio-antispam/dkim/$domain.key";

# Default selector to use
selector = "dkim";

# If false, messages from authenticated users are not selected for signing
sign_authenticated = true;

# If false, messages from local networks are not selected for signing
sign_local = true;

# Map file of IP addresses/subnets to consider for signing
# sign_networks = "/some/file"; # or url

# Symbol to add when message is signed
symbol = "DKIM_SIGNED";

# Whether to fallback to global config
try_fallback = true;

# Domain to use for DKIM signing: can be "header" (MIME From), "envelope" (SMTP From), "recipient" (SMTP To), "auth" (SMTP username) or directly specified domain name
use_domain = "header";

# Domain to use for DKIM signing when sender is in sign_networks ("header"/"envelope"/"auth")
#use_domain_sign_networks = "header";

# Domain to use for DKIM signing when sender is a local IP ("header"/"envelope"/"auth")
#use_domain_sign_local = "header";

# Whether to normalise domains to eSLD
use_esld = true;

# Whether to get keys from Redis
use_redis = false;

# Hash for DKIM keys in Redis
key_prefix = "DKIM_KEYS";

# map of domains -> names of selectors (since rspamd 1.5.3)
#selector_map = "/etc/grommunio-antispam/dkim_selectors.map";

# map of domains -> paths to keys (since rspamd 1.5.3)
#path_map = "/etc/grommunio-antispam/dkim_paths.map";

# If `true` get pubkey from DNS record and check if it matches private key
check_pubkey = false;

# Set to `false` if you want to skip signing if public and private keys mismatch
allow_pubkey_mismatch = true;

# Domain specific settings
domain {

  # Domain name is used as key
  DOMAIN1 {
    # Private key path
    path = "/var/lib/grommunio-antispam/dkim/<DOMAIN_KEY1>.key";
    # Selector
    selector = "dkim";
  }
  DOMAIN2 {
    # Private key path
    path = "/var/lib/grommunio-antispam/dkim/<DOMAINKEY2>.key";
    # Selector
    selector = "dkim";
  }
}

Alles macht der Installer nicht automatisch, DOMAIN1 und DOMAIN2 durch die richtigen Domains ersetzen.

patricksimon ipadresse:26
muss eingetrragen werden für ausgehende mail pmg nimmt nur auf port 26 ausgehende mails an

lg
christian

WalterH
Ja, das ist mir bewusst.
Deswegen haben wir schon mehrfach auf github und in den Webinaren das Thema angesprochen.
Schließlich setzt z.B. das BSI TLS 1.2 als Minimum voraus, weshalb das für mich für Endkundenkommunikation die Richtlinie darstellt.
https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Mindeststandards/Mindeststandard_BSI_TLS_Version_2_4.pdf?__blob=publicationFile&v=4

WalterH Testen mit dieser Webseite: https://www.ssllabs.com/ssltest/analyze.html