Outlook bietet mehreren Personen Zugang auf ein freigegebenes Exchange-Postfach, um von dort E-Mails versenden zu dürfen, die versandten E-Mails finden sich stets im Postfach des eigenen Benutzer „Gesendete Elemente“. Dieses Standard Verhalten von Outlook macht es für Mitarbeiter nur schwer nachvollziehbar, was von wem auf welche E-Mail geantwortet wurde.
In den Einstellungen von Outlook gibt es keine Möglichkeit, diesen Zustand zu verändern. Jedoch durch das hinzufügen eines Registry-Schlüssels wird ermöglicht, dass Outlook solche E-Mails immer in das Postfach verschiebt, das die E-Mail abgeschickt hat. Die folgende Anleitung ist gültig für Microsoft Outlook 2007 bis 2016.
Öffne den Registrierungs-Editor mit regedit ausführen, und navigiere zu folgendem Ordner:
Niemand mag SPAM, um die Flut unerwünschter E-Mails einzudämmen, müssen eingehende E-Mails mehrere Filter und sogenannte Milter durchlaufen. Eine effiziente Filter Lösung bietet der Mail Transfer Agent – Postfix, das Open Source Programm wurde 1998 von Wietse Zweitze Venema entwickelt. Postfix ist ein leistungsfähiger Mail Transfer Agent für Unix und Unix-Derivate. Die Software sollte zum Entwicklungszeitpunkt eine kompatible Alternative zu Sendmail sein. Dabei wurde bei der Entwicklung insbesondere auf Sicherheitsaspekte geachtet. Der Quellcode von Postfix steht unter der IBM Public License. Postfix MTA’s werden von vielen Internet Providern und in Großunternehmen eingesetzt.
Die Architektur von Postfix erlaubt es eine Vielzahl an Filter einzubinden, wie das unter der Apache-Lizenz stehende SpamAssassin, um unerwünschte E-Mails herauszufiltern und zu markieren, oder Greylisting um das verhalten eines Senders zu überprüfen. Zum Schutz gegen Viren und Schadcode kann Clam AntiVirus eingebunden werden – ClamAV steht unter der GNU General Public License.
Workaround
Als E-Mail Client Software in Unternehmen ist MS Outlook im Exchange betrieb weit verbreitet. Für SPAM der nicht in einem Filter abgefangen wurde, bietet Outlook die Möglichkeit unerwünschte Absender zu sperren, hierbei ist die Bezeichnung nicht gerade zutreffend, denn die sogenannten Junk E-Mails werden auf dem Server nicht gesperrt, sondern sie werden beim Empfang viel mehr in den Outlook Ordner Junk-E-Mail verschoben. Besser wäre es aber wenn der vermeintliche Absender es gar nicht schafft es zuzustellen, also es zurückgewiesen wird.
Hier gibt es eine Möglichkeit einzugreifen, wenn der Exchange Server wie oft die E-Mails nicht direkt aus dem Internet empfängt, sondern über einen Smarthost abwickelt. Smarthosts sind meist Linux basierte Server die mit dem Postfix MTA arbeiten.
Der folgende PowerShell Script ruft die Junk-E-Mail Einträge aus der Outlook Sperrliste Blockierte Absender von allen Mailboxen aus und extrahiert die formatierte Ausgabe als Windows-ANSI Text und in eine ACSII-Text Datei. Anschliessend wird die erzeugte Datei extracted_JunkEmails.asc auf den Smarthost übertragen. Die Whitelist wird in der Datei extracted-TrustedEmails.asc angelegt.
PowerShell
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
<#
JunkEmails.ps1 extract junk email addresses from mailboxes and write to file being distribute to smarthost
Der Script wird auf dem Exchange Server in der Exchange Management Shell als Administrator ausgeführt, geeigneterweise als Job in der Aufgabenplanung zu jeder Stunde. Bei Zeile 8 soll anstelle des Platzhalters der Benutzername gefolgt vom Name des Smarthost stehen, dies als FQDN oder host IP.
Auf dem Exchange Server wird PuTTY benötigt, nach der Installation von PuTTY 64bit dient pscp.exe (PuTTY Secure Copy) zur Übertragung der Sperrliste Blockierte Absender auf den Smarthost. Damit es zu keiner Passwort abfrage kommt, muss mit PuTTY Key Generator (puttygen.exe) ein Schlüsselpar erzeugt werden, der erzeugte Public Key wird auf dem Smarthost unter das home Verzeichnis des Benutzers in das Verzeichnis .ssh in die Datei authorized_keys kopiert. Damit ist der Script mit pscp in der lage sich beim Smarthost zu authentifizieren.
Auf dem Linux Smarthost dient ein Shell Script um die Zeilen in das Unix (LF) Format zu konvertieren. Dieser Einzeiler erzeugt die passende Ausgabe in das Postfix Verzeichnis über pipe in die Datei junkbl_access und trusted_access.
Shell
1
2
3
4
5
6
7
# build postfix junk emails lookup tables
cat-v/tmp/extracted-JunkEmails.asc|tr,'\n'|sed's/[{}]//g;s/[\t ]//g;/^$/d;s/\.\.\.//g;s/\^M$//g;s/BlockedSendersAndDomains://g'|grep.|sort|uniq-u|sed's/$/\t 550 message was classified as spam/'>/etc/postfix/junkbl_access
Code in eine Datei junkbl.sh einfügen und unter dem Pfad /usr/bin/ speichern.
Der Shell Script wird ausführbar gemacht.
1
2
chmod+x/usr/bin/junkbl.sh
Der stream-editor – sed konvertiert die Zeilenumbrüche, entfernt leer Zeichen und fügt am ende jeder Zeile den SMTP Error Code 550 ein, damit werden die beim versuch der Zustellung nicht erwünschten E-Mails der Sperrliste Blockierte Absender zurückgewiesen.
Die Postfix lookup tables erstellen und aktualisieren.
1
2
3
postmap/etc/postfix/junkbl_access
postmap/etc/postfix/trusted_access
In der Postfix Hauptkonfiguration werden die restriction checks hinzugefügt.
Nach einem postfix reload wird die Outlook Sperrliste von Postfix angewandt.
Per cronjob soll die Sperrliste laufend aktualisiert werden, zu jeder Stunde +5 min.
1
2
5****root/usr/bin/junkbl.sh>/dev/null2>&1
Anmerkung
Bei CentOS 7 ist es erforderlich den user zur Group sftp_users hinzuzufügen, mit usermod -G sftp_users {username}, in der sshd_config muss die direktive Match Group sftp_users angewandt werden.
Bei Outlook 2016 funktioniert die Suche von Kontakte und Kalender nach Update nicht mehr. Die Ursache liegt bei der Windows Indizierung und der Indizierung von Outlook 2016.
Lösung
Die Indizierung der Outlook Suche abschalten. Die deaktivierung der Windows Indizierung für Outlook kann über die Indizierungsoptionen mit +R=control /name Microsoft.IndexingOptions vorgenommen werden.
Indizierungsoptionen Ausführen
Zu den Indizierungsoptionen kommt man auch über Datei -> Optionen -> Suche
Im Fenster Indizierungsoptionen auf Ändern klicken.
Outlook Indizierungsoptionen
Im Fenster Indizierte Orte den Hacken bei Outlook entfernen
Indizierte Orte
Die Suche im Kontakt und Termine Ordner sollte nun wieder möglich sein.
Möchte man Outlook 2010/2013 mit der AutoErmittlung (Outlook Anywhere) automatisch konfigurieren, und das Postfach auf einem Exchange 2010/2013 liegt, wird man nach der Installation folgenden Sicherheitshinweis erhalten.
Dies liegt oft daran das kein Zertifikat vorliegt, welches von Microsoft Active Directory Certificate Services (AD CS) ausgestellt wurde.
Problembeschreibung
Nachdem ein neues Zertifikat von einer root CA Zertifizierungsstelle beim Exchange-Server importiert wurde, kann es zu Fehlermeldungen beim Start bei den Outlook Clients kommen.
Im Sicherheitshinweis Fenster sehen wir in der ersten Zeile, dass sich unser Exchange-Server mit seinem internen FQDN “exchsrv.domain.local” meldet. Ebenfalls gibt uns die Meldung die Information, dass das Zertifikat ungültig ist oder die Namen nicht übereinstimmen.
Symptome
Outlook oder das Mobiltelefon können nicht konfiguriert werden.
Outlook hat die Suche nach den URLs für die Autodiscover-Informationen Hardcodet und wird in folgender abfolge durchlaufen:
Autodiscover Lookup Reihenfolge
Wenn nun die nötigen DNS-Records fehlen oder keine der definierten URLs aus dem Internet erreichbar sind, kann Autodiscover nicht abgefragt werden.
Der Name „autodiscover.domain.com“ ist auch im Zertifikat vorhanden, aber die Warnung tritt stattdessen für den Namen „exchsrv.domain.local“ auf.
Zertifikat Details
Ursache
Nicht wie die Vorgänger, verwendet Outlook 2013 intern nicht nur den SCP (Service Connection Point) zur Suche nach Autodiscover, sondern macht gleichzeitig eine DNS-Auflösung gemäss oben dargestellten Reihenfolge. Wenn jetzt die DNS-Auflösung von exchsrv.domain.com auf einen Webserver mit HTTPS Binding zeigt, erscheint der oben gezeigte Sicherheitshinweis.
Lösung
Neues Exchange-Zertifikat erstellen
Neues Zertifikat erstellen
Der EMC-2010 Assistent erstellt abschliessend die Anforderung welche in einer Datei(.req) gespeichert wird, dieser private Schlüssel wird benötigt um bei der CA Zertifizierung (z.B. CAcert.org) mittels Copy & Paste dann über das Formular den Public Key zu erzeugen. Anschliessend wird der ausgestellte Schlüssel mit „Anstehende Anforderung abschliessen“ der wiederum mit Copy & Paste von der Zertifizierungsstelle eingefügte Schlüssel erzeugt. Zuletzt noch dem Zertifikat die Dienste zuordnen.
Die von CA Cert Signing Authority ausgestellten X.509-Zertifikate enthalten nur im Internet auflösbare FQDN, daher müssen die Internen URLs per Exchange Management Shell angepasst werden.
Mit folgendem cmdlet wird die aktuelle URI abgefragt.
Exchange Management Shell
Die AutoDiscoverServiceInternalUri wird nun auf den Externen FQDN geändert, damit es dem ausgestellten Zertifikat entspricht.
Set-AutoDiscoverVirtualDirectory-Identity"exchsrv.domain.local\Autodiscover (Default Web Site)"-InternalUrl"https://exchsrv.domain.com/Autodiscover/Autodiscover.xml"-ExternalUrl"https://exchsrv.domain.com/Autodiscover/Autodiscover.xml"
und die folgenden VirtualDirectory noch ändern.
1
2
3
Set-AutoDiscoverVirtualDirectory-Identity"exchsrv.domain.local\Autodiscover (Default Web Site)"-InternalUrl"https://exchsrv.domain.com/Autodiscover/Autodiscover.xml"-ExternalUrl"https://exchsrv.domain.com/Autodiscover/Autodiscover.xml"
Set-WebServicesVirtualDirectory-Identity"exchsrv.domain.local\EWS (Default Web Site)"-InternalUrl"https://exchsrv.domain.com/EWS/Exchange.asmx"-ExternalUrl"https://exchsrv.domain.com/EWS/Exchange.asmx"
Ohne DNS geht nichts, deshalb erstellen wir eine neue Forward-Lookupzone, wir öffnen dnsmgmt und erstellen eine neue Zone für unser exchsrv.domain.com
dnsmgmt Neue Forward-Lookupzone
Rechts im Fenster wieder mit Rechtsklick ein neuen Host als Type A erstellen, das Name Feld leer lassen und die IP Adresse von exchsrv.domain.com eintragen.
Neuer Host A
Nun sollten die Exchange-Dienste neu gestartet werden, den IIS mit iisreset /noforce aktualisieren. Ist der Nameserver als BIND auf einem Linux/Unix Host, steht folgende Zone für unsere Mail Domain für Autodiscovery.
DNS Zone
Für Windows wird im DNS-Manger im Kontextmenu unter weitere Einträge der Eintrag „Dienstidentifizierung SRV“ erstellt.
Windows DNS Manager
Zu guter letzt soll unser Zertifikat auf die Clients ausgerollt werden, hierzu bieten sich die Gruppenrichtlinien an.
Mit Rechtsklick auf Importieren gehen, mittels des Assistenten die zuvor exportierte Zertifikatsdatei (.cer) importieren.
Beim Client wird mit gpupdate /force die Policy aktualisiert.
Alternativ kann das Zertifikat auf den Clients auch mittels des cmd-Tool certutil importiert werden, beispielsweise aus einer Batch Datei.
Troubleshooting
Am einfachsten geht’s mit dem Browser um herauszufinden wohin die URL https://exchsrv.domain.com zeigt. Alternativ kann auch nslookup oder host aufgerufen werden.
Browser SSL Zertifikat
Ebenso bietet sich hier das cmd-Tool certutil zur Überprüfung an.
1
2
certutil-f–urlfetch-verify exchsrv.crt
Ob das Zertifikat an der richtigen stelle im Zertifikatsspeicher ist, lässt sich anhand der mmc-Konsole überprüfen.
Hinweis!
Das hier verwendete Zertifikat wird mit dem öffentlichen Schlüssel der kostenfreien Zertifizierungsstelle CAcert (cacert.org) ausgestellt, dies erfordert dass das Stammzertifikat von CAcert als Klasse 1 PKI Schlüssel im PEM oder DER Format zum Zertifikatsspeicher „Vertrauenswürdige Stammzertifizierungsstellen“ importiert werden muss.
Das Zertifikat ist für die dauer von einem Jahr gültig, danach muss es erneuert werden, wer dies mit „Exchange Zertifikat erneuern“ versucht, wird feststellen das dies nicht geht, Exchange 2010 möchte nur neue Zertifikate erstellen, deshalb die Methode mittels certutil.
1
2
Certutil-repairstore my Seriennummer
Die Seriennummer findet man in den Zertifikat Details, danach das Exchange-Zertifikat importieren.
Cookies ermöglichen eine bestmögliche Bereitstellung unserer Dienste. Mit der Nutzung der Don's Think Tank-Seiten und Services erklärst Du dich damit einverstanden, dass wir Cookies verwenden.OKMehr Infos
Dieses Standard Verhalten von Outlook macht es für Mitarbeiter nur schwer nachvollziehbar, was von wem auf welche E-Mail geantwortet wurde.
Nun sollte Outlook in der Lage sein, die gesendeten E-Mails in den Ordnern des freigegebenen Postfach zu speichern.
