Kopfzeilenfirewall

Gilt für: Exchange Server 2013

In Microsoft Exchange Server 2013 ist die Headerfirewall ein Mechanismus, der bestimmte Headerfelder aus ein- und ausgehenden Nachrichten entfernt. Es gibt zwei Typen von Kopfzeilenfeldern, die von der Kopfzeilenfirewall betroffen sind:

• X-Header: Ein X-Header ist ein benutzerdefiniertes, inoffizielles Headerfeld. X-Header werden in RFC 2822 nicht ausdrücklich erwähnt, doch die Verwendung eines nicht definierten Kopfzeilenfelds, das mit X- beginnt, hat sich zu einer akzeptierten Methode entwickelt, um einer Nachricht inoffizielle Kopfzeilenfelder hinzuzufügen. Messaginganwendungen, wie z. B. Antispam-, Antivirus- oder Messagingserver, können einer Nachricht eigene X-Header hinzufügen. In Exchange enthalten die Felder für X-Header Details zu den Aktionen, die vom Transportdienst für die Nachricht ausgeführt werden, z. B. die Spam-Konfidenzstufe (SCL), die Ergebnisse der Inhaltsfilterung und den Verarbeitungsstatus der Regeln. Die Offenlegung solcher Informationen gegenüber nicht autorisierten Quellen kann ein potenzielles Sicherheitsrisiko darstellen.

• Routingheader: Routingheader sind SMTP-Standardheaderfelder, die in RFC 2821 und RFC 2822 definiert sind. Routingkopfzeilen stempeln eine Nachricht mithilfe von Informationen zu den verschiedenen Messagingservern, die für die Zustellung der Nachricht an den Empfänger verwendet wurden. Von böswilligen Benutzern in Nachrichten eingefügte Routingkopfzeilen können verwendet werden, um eine falsche Darstellung des Routingpfads zu geben, den eine Nachricht bis zum Eingang beim Empfänger durchlaufen hat.

Die Kopfzeilenfirewall verhindert das Spoofing dieser Exchange-bezogenen X-Header, indem diese aus eingehenden Nachrichten entfernt werden, die aus nicht vertrauenswürdigen Quellen in die Exchange-Organisation gelangen. Die Kopfzeilenfirewall verhindert die Preisgabe dieser Exchange-bezogenen X-Header, indem diese aus ausgehenden Nachrichten entfernt werden, die an nicht vertrauenswürdige Ziele außerhalb der Exchange-Organisation gesendet werden. Die Kopfzeilenfirewall verhindert auch das Spoofing standardmäßiger Routingkopfzeilen, die zum Nachverfolgen des Routingverlaufs einer Nachricht verwendet werden.

Von der Kopfzeilenfirewall in Exchange betroffene Nachrichtenkopffelder

Die folgenden Typen von X-Headern und Routingkopfzeilen sind von der Kopfzeilenfirewall betroffen:

• Organisations-X-Header: Diese X-Header-Felder beginnen mit X-MS-Exchange-Organization-.

• Gesamtstruktur-X-Header: Diese X-Headerfelder beginnen mit X-MS-Exchange-Forest-.

  Beispiele von Organisations- und Gesamtstruktur-X-Headern finden Sie im Abschnitt Organization X-headers and forest X-headers in Exchange am Ende dieses Themas.

• Empfangen: Routingheader: Eine andere Instanz dieses Headerfelds wird dem Nachrichtenheader von jedem Messagingserver hinzugefügt, der die Nachricht akzeptiert und an den Empfänger weitergeleitet hat. Die Received: -Kopfzeile enthält normalerweise den Namen des Messagingservers und einen Datums-/Uhrzeitstempel.

• Resent-*: Routingheader: Headerfelder erneut senden sind Informationsheaderfelder, die verwendet werden können, um zu bestimmen, ob eine Nachricht von einem Benutzer weitergeleitet wurde. Die folgenden "Resent"-Kopfzeilenfelder sind verfügbar: Resent-Date:, Resent-From:, Resent-Sender:, Resent-To:, Resent-Cc:, Resent-Bcc: und Resent-Message-ID:. Die Resent- Felder werden verwendet, damit die Nachricht dem Empfänger so erscheint, als wäre sie direkt vom ursprünglichen Absender gesendet worden. Der Empfänger kann den Nachrichtenkopf anzeigen und ermitteln, wer die Nachricht weitergeleitet hat.

Exchange hat zwei Möglichkeiten, eine Kopfzeilenfirewall auf Organisations-X-Header, Gesamtstruktur-X-Header und Routingkopfzeilen anzuwenden, die in Nachrichten vorhanden sind:

• Sende- oder Empfangsconnectors werden Berechtigungen zugewiesen, die zum Beibehalten oder Entfernen bestimmter Typen von Kopfzeilen in Nachrichten verwendet werden können, wenn die Nachricht den Connector durchläuft.

• Die Kopfzeilenfirewall wird automatisch für bestimmte Typen von Kopfzeilen in Nachrichten während anderer Nachrichtenübermittlungsarten implementiert.

Anwenden der Kopfzeilenfirewall auf Empfangs- und Sendeconnectors

Die Kopfzeilenfirewall wird auch auf Nachrichten angewendet, die Sende- und Empfangsconnectors basierend auf bestimmten Berechtigungen durchlaufen, die den Connectors zugewiesen sind.

Wenn die Berechtigung dem Empfangs- oder Sendeconnector zugewiesen ist, wird die Kopfzeilenfirewall nicht auf Nachrichten angewendet, die den Connector durchlaufen. Die betroffenen Kopfzeilenfelder bleiben in den Nachrichten erhalten.

Wenn die Berechtigung nicht dem Empfangs- oder Sendeconnector zugewiesen ist, wird die Kopfzeilenfirewall auf Nachrichten angewendet, die den Connector durchlaufen. Die betroffenen Kopfzeilenfelder werden aus den Nachrichten entfernt.

In der folgenden Tabelle werden die Berechtigungen für Sende- und Empfangsconnectors beschrieben, die zum Anwenden der Kopfzeilenfirewall verwendet werden, und die betroffenen Kopfzeilenfelder beschrieben.

Kopfzeilenfirewall für eingehende Nachrichten für Empfangsconnectors

In der folgenden Tabelle wird das standardmäßige Anwenden der Kopfzeilenfirewall-Berechtigungen für Empfangsconnectors beschrieben.

Kopfzeilenfirewall für benutzerdefinierte Empfangsconnectors

Wenn Sie die Kopfzeilenfirewall auf Nachrichten in einem benutzerdefinierten Empfangsconnectorszenario anwenden möchten, verwenden Sie eine der folgenden Methoden:

• Erstellen Sie den Empfangsconnector mit einem Verwendungstyp, der die Kopfzeilenfirewall automatisch auf Nachrichten anwendet. Den Verwendungstyp können Sie allerdings nur beim Erstellen des Empfangsconnectors festlegen.

  • Um die X-Header der Organisation oder die Gesamtstruktur-X-Header aus Nachrichten zu entfernen, erstellen Sie einen Empfangsconnector, und wählen Sie einen anderen Verwendungstyp als Internalaus.

  • Führen Sie zum Entfernen von Routingkopfzeilen aus Nachrichten eine der folgenden Aktionen aus:

    • Erstellen Sie einen Empfangsconnector, und wählen Sie den Verwendungstyp aus Custom. Weisen Sie dem Empfangsconnector keine Berechtigungsgruppen zu.

    • Ändern Sie einen vorhandenen Empfangsconnector, und legen Sie den Parameter PermissionGroups auf den Wert Nonefest.

      Wenn Sie über einen Empfangsconnector verfügen, dem keine Berechtigungsgruppen zugewiesen sind, müssen Sie dem Empfangsconnector Sicherheitsprinzipale hinzufügen (siehe die Beschreibung im letzten Schritt).

• Verwenden Sie das Cmdlet Remove-ADPermission, um die Berechtigungen Ms-Exch-Accept-Headers-Organization, Ms-Exch-Accept-Headers-Forest und Ms-Exch-Accept-Headers-Routing von einem Sicherheitsprinzipal zu entfernen, der für den Empfangsconnector konfiguriert ist. Diese Methode funktioniert nicht, wenn die Berechtigung dem Sicherheitsprinzipal über eine Berechtigungsgruppe für den Empfangsconnector zugewiesen wurde, da Sie die Berechtigungszuweisungen oder Gruppenmitgliedschaft einer Berechtigungsgruppe nicht ändern können.

• Verwenden Sie das Cmdlet Add-ADPermission zum Hinzufügen der entsprechenden Sicherheitsprinzipale, die für den Empfangsconnector für einen ordnungsgemäßen Nachrichtenfluss erforderlich sind. Vergewissern Sie sich, dass Sicherheitsprinzipalen nicht die Berechtigungen Ms-Exch-Accept-Headers-Organization, Ms-Exch-Accept-Headers-Forest und Ms-Exch-Accept-Headers-Routing zugewiesen sind. Verwenden Sie nötigenfalls das Cmdlet Add-ADPermission, um den Sicherheitsprinzipalen, die für den Empfangsconnector konfiguriert sind, die Berechtigungen Ms-Exch-Accept-Headers-Organization, Ms-Exch-Accept-Headers-Forest und Ms-Exch-Accept-Headers-Routing zu verweigern.

Weitere Informationen hierzu finden Sie in den folgenden Themen:

• Empfangsconnectors
• Add-ADPermission
• Remove-ADPermission

Kopfzeilenfirewall für ausgehende Nachrichten für Sendeconnectors

In der folgenden Tabelle wird das standardmäßige Anwenden der Kopfzeilenfirewall-Berechtigungen für Sendeconnectors beschrieben.

Kopfzeilenfirewall für benutzerdefinierte Sendeconnectors

Wenn Sie die Kopfzeilenfirewall auf Nachrichten in einem benutzerdefinierten Sendeconnectorszenario anwenden möchten, verwenden Sie eine der folgenden Methoden:

• Erstellen Sie den Sendeconnector mit einem Verwendungstyp, der die Kopfzeilenfirewall automatisch auf Nachrichten anwendet. Den Verwendungstyp können Sie allerdings nur beim Erstellen des Sendeconnectors festlegen.

  • Um die X-Header der Organisation oder die Gesamtstruktur-X-Header aus Nachrichten zu entfernen, erstellen Sie einen Sendeconnector, und wählen Sie einen anderen Verwendungstyp als Internal oder Partneraus.

  • Um die Routingheader aus Nachrichten zu entfernen, erstellen Sie einen Sendeconnector, und wählen Sie den Verwendungstyp aus Custom. Die Ms-Exch-Send-Headers-Routing-Berechtigung wird allen Verwendungstypen des Sendeconnectors mit Ausnahme Customzugewiesen.

• Entfernen Sie einen Sicherheitsprinzipal, der die Berechtigungen Ms-Exch-Send-Headers-Organization, Ms-Exch-Send-Headers-Forest und Ms-Exch-Send-Headers-Routing dem Connector zuweist.

• Verwenden Sie das Cmdlet Remove-ADPermission, um die Berechtigungen Ms-Exch-Send-Headers-Organization, Ms-Exch-Send-Headers-Forest und Ms-Exch-Send-Headers-Routing von einem der Sicherheitsprinzipale zu entfernen, die für den Sendeconnector konfiguriert sind.

• Verwenden Sie das Cmdlet Add-ADPermission, um die Berechtigungen Ms-Exch-Send-Headers-Organization, Ms-Exch-Send-Headers-Forest und Ms-Exch-Send-Headers-Routing einem der Sicherheitsprinzipale zu verweigern, die für den Sendeconnector konfiguriert sind.

Weitere Informationen hierzu finden Sie in den folgenden Themen:

• Sendeconnectors
• Add-ADPermission
• Remove-ADPermission

Kopfzeilenfirewall für andere Nachrichtenquellen

Nachrichten können in die Transportpipeline auf einem Postfach- oder Edge-Transport-Server eingehen, ohne dass Sendeconnectors oder Empfangsconnectors verwendet werden. Die Kopfzeilenfirewall wird auf diese anderen Nachrichtenquellen wie der folgenden Liste beschrieben angewendet:

• Pickup-Verzeichnis und Replay-Verzeichnis: Das Pickup-Verzeichnis wird von Administratoren oder Anwendungen verwendet, um Nachrichtendateien zu übermitteln. Das Wiedergabeverzeichnis wird zum erneuten Übermitteln von Nachrichten verwendet, die aus Exchange-Nachrichtenwarteschlangen exportiert wurden. Weitere Informationen zum PICKUP- und Wiedergabeverzeichnis finden Sie unter PICKUP-Verzeichnis und Wiedergabeverzeichnis.

  Organisations- und Gesamtstruktur-X-Header sowie Routingkopfzeilen werden im PICKUP-Verzeichnis aus den Nachrichtendateien entfernt.

  Routingkopfzeilen werden in Nachrichten beibehalten, die vom Wiedergabeverzeichnis übermittelt werden.

  Das Entfernen oder Beibehalten von Organisations- und Gesamtstruktur-X-Headern in Nachrichten im Wiedergabeverzeichnis wird vom Kopfzeilenfeld X-CreatedBy: in der Nachrichtendatei gesteuert:

  • Wenn der Wert von X-CreatedBy: ist MSExchange15, werden Organisations-X-Header und Gesamtstruktur-X-Header in Nachrichten beibehalten.
  • Wenn der Wert von X-CreatedBy: nicht MSExchange15ist, werden Organisations-X-Header und Gesamtstruktur-X-Header aus Nachrichten entfernt.
  • Wenn das Kopfzeilenfeld X-CreatedBy: nicht in der Nachrichtendatei vorhanden ist, werden Organisations- und Gesamtstruktur-X-Header aus Nachrichten entfernt.

• Verzeichnis löschen: Das Drop-Verzeichnis wird von ausländischen Connectors auf Postfachservern verwendet, um Nachrichten an Messagingserver zu senden, die smtp zum Übertragen von Nachrichten nicht verwenden. Weitere Informationen zu fremden Connectors finden Sie unter Fremde Connectors.

  Organisations- und Gesamtstruktur-X-Header werden aus den Nachrichtendateien entfernt, bevor sie im Dropverzeichnis abgelegt werden.

  Routingkopfzeilen bleiben in Nachrichten erhalten, die vom Dropverzeichnis übermittelt werden.

• Postfachtransport: Der Postfachtransportdienst ist auf Postfachservern vorhanden, um Nachrichten an und aus Postfächern auf Postfachservern zu übertragen. Weitere Informationen zum Postfachtransportdienst finden Sie unter Nachrichtenübermittlung.

  Organisations- und Gesamtstruktur-X-Header sowie Routingkopfzeilen werden aus ausgehenden Nachrichten entfernt, die vom Postfachtransport-Zustellungsdienst aus Postfächern gesendet werden.

  Routingkopfzeilen werden vom Postfachtransport-Zustellungsdienst für eingehende Nachrichten an Postfachempfänger beibehalten. Die folgenden Organisations-X-Header werden vom Postfachtransport-Zustellungsdienst für eingehende Nachrichten an Postfachempfänger beibehalten:

  • X-MS-Exchange-Organization-SCL
  • X-MS-Exchange-Organization-AuthDomain
  • X-MS-Exchange-Organization-AuthMechanism
  • X-MS-Exchange-Organization-AuthSource
  • X-MS-Exchange-Organization-AuthAs
  • X-MS-Exchange-Organization-OriginalArrivalTime
  • X-MS-Exchange-Organization-OriginalSize

• DSN-Nachrichten: Organisations-X-Header, Gesamtstruktur-X-Header und Routingheader werden aus der ursprünglichen Nachricht oder dem ursprünglichen Nachrichtenheader entfernt, der an die DSN-Nachricht angefügt ist. Weitere Informationen zu DSN-Nachrichten finden Sie unter DSNs und NDRs in Exchange 2013.

• Übermittlung des Transport-Agents: Organisations-X-Header, Gesamtstruktur-X-Header und Routingheader werden in Nachrichten beibehalten, die von Transport-Agents übermittelt werden.

Organisations- und Gesamtstruktur-X-Header in Exchange

Der Transportdienst auf Postfach- oder Edge-Transport-Servern fügt benutzerdefinierte X-Headerfelder im Nachrichtenkopf ein.

Organisations-X-Header beginnen mit X-MS-Exchange-Organization-. Gesamtstruktur-X-Header beginnen mit X-MS-Exchange-Forest-. In der folgenden Tabelle werden einige der Organisations- und Gesamtstruktur-X-Header beschrieben, die in Nachrichten in einer Exchange-Organisation verwendet werden.