DMARC Prüfung schlägt fehl bei Mails die per SMTP Auth über NSP Cloud an EXO gehen.

[AnMad]

Hallo,
ich habe ein Problem bei der Zustellung von "internen Mails" die per SMTP Auth über unsere NSP Cloud an EXO gesendet werden und hoffe ihr könnt mir weiter helfen.
Problem:
Die Mailbenachrichtigung aus unserem externen Portal (In Azure gehostet und IP kann wechseln), mit einer internen E-Mail Adresse, die über SMTP Auth in der NSP Cloud an EXO (EOP) zugestellt wird, wird mit mit folgender Fehlermeldung in EXO abgelehnt:

11/28/2024, 4:00 AM | Fail | Reason: [{LED=550 5.7.509 Access denied, sending domain domain.tld does not pass DMARC verification and has a DMARC policy of reject.};{MSG=};{FQDN=};{IP=};{LRT=}]

"Status: Office 365 hat die von Ihnen angegebene Nachricht empfangen, konnte sie aber aufgrund des folgenden Fehlers nicht an den Empfänger "vorname.nachname@domain.tld‎" zustellen:<br /><br /><b>Fehler: ‎550 5.7.509 Access denied, sending domain domain.tld does not pass DMARC verification and has a DMARC policy of reject‎</b><br /><br />Eine Nachricht mit einem Unzustellbarkeitsbericht wurde an "‎portal@domain.tld‎" gesendet. Der Unzustellbarkeitsbericht enthält möglicherweise weitere Details zum Grund, warum die E-Mail nicht zugestellt wurde, und dazu, wie das Problem behoben werden kann."

Mein Problem besteht nun darin, dass die Mail aus dem Portal als interne Mail zugestellt wird, ohne DKIM und nur die IP der NoSpamProxy Cloud (die im SPF enthalten ist) für EOP für die DMARC Prüfung zur Verfügung steht, diese IP aber im Enhanced Filtering entfernt wird, damit der SPF Record von externen Mails geprüft werden kann. Daher schlägt die DMARC Prüfung fehl.

Ich habe daher einen Konnektor (Partnerdomäne an O365) für eingehende Mail von unserer Domäne an EXO erstellt, der, wenn die Mail vom NSP Cloud kommt und per Zertifikat verifiziert wird, an EXO übermittelt wird ohne den erweiterten Filter anzuwenden.
Dies hat anfangs gut funktioniert, doch jetzt wird die Mail wieder mit DMARC Fehler abgelehnt.
Ich möchte den SPF eintrag für die IP des externen Portals vermeiden.

Was kann ich noch tun?
Besteht die Möglichkeit den DKIM auf die per SMTP Auth angenommenen Mails anzuwenden?


Gruß
Andre

 

[Fabian]

Hallo Andre,

ich hatte ein ähnliches Problem und auch via Enhanced Filtering in EoP den letzten Hop übersprungen. Die IP-Adresse welche dann als Quelle erkannt wurde war nicht im SPF-Eintrag noch konnte sie einen validen DKIM-Header aufweisen ... DMARC: reject.

Wie von dir bereits vermutet wird hier die DKIM-Aktion bei den ausgehenden E-Mails von NSP an EXO Abhilfe schaffen!

LG
Fabian

 

[AnMad]

Hallo Fabian,
hast du dieses Problem gelöst? Und wenn wie?

Die Konnektor Lösung schien bei mir zu funktionieren, der Header der Mail hat dies betätigt, warum bei Microsoft nach 3 Tagen dieser Konnektor nicht mehr benutzt wird ist mir ein Rätsel!

 

[Fabian]

Hallo Andre,

wie bereits geschrieben:

[...] Wie von dir bereits vermutet wird hier die DKIM-Aktion bei den ausgehenden E-Mails von NSP an EXO Abhilfe schaffen! [...]
einfach DKIM für ausgehende E-Mails aktivieren

LG
Fabian

 

[JanJäschke]

Guten Morgen =)

interessante Problematik die im NSP prinzipiell auf verschiedene Wege zu lösen sein könnten.
Da du aber eine Intern zu Intern E-Mails hast (ich gehe zumindest davon aus, dass diese so eingestuft wird) wird hier kein DKIM angewandt und auch keine internen Header entfernt. (Unsere Aktion dafür würde das Problem nämlich seit v15.1 auch lösen)

Wenn du das externe Portal nicht in den SPF mit aufnehmen möchtest, bleibt dir eigentlich nur noch eine manuelle Enhanced Filter Regel im Defender:

Enhanced filtering for connectors in Exchange Online

Learn how to use Enhanced Filtering for Connectors (also known as skip listing) in Exchange Online if your organization sends mail to a third-party service or device before Microsoft 365 or Office 365.

learn.microsoft.com

Mit manuell meine ich in diesem Fall das selbstständige auflisten den zu überspringenden IP Adressen.
Wie an allen Stellen kann ich davon nur abraten, da sich unsere IPs natürlich auch jeder Zeit ändern/erweitern können.

Final gelöst werden wird das ganze mit einem von uns aufgetragenen ARC Siegel, hierfür musst du aber noch etwas geduldig sein. Die manuelle Filter Regel ist aber ggf. solange ein brauchbarer Kompromiss.


LG
Jan