Konsole meldet nach Einrichtung DKIM: DNS-Eintrag fehlt

[ZZB]

hallo allerseits,

ist sicher nur ein anfängerfehler, aber ich komme einfach nicht drauf.

habe gerade nach dem nsp-video auf youtube von 2019 DKIM im NSP (aktuell v15.0.0) eingerichtet.
bei domainfactory habe ich auch die txt-einträge mit den keye._domainkey.<TLD> sowie keyr._domainkey.<TLD> nebst den angaben aus NSP zum schlüssel entsprechend videoanleitung angelegt.

verifikation bei mxtoolbox für die SPF- und DKIM-einträge (und später auch für DMARC) erfolgreich - alles grün.

ich habe auch eine testmail an ping@mxtoolbox.com gesandt - dort stand dann aber zu lesen, daß mit den beiden DKIM Signatures (e und r) etwas nicht stimme:

bei der ellyptical (e) dkim signature wäre der wert des tags "a" nicht korrekt: "Must contain one of these values:rsa-sha1" im tag "a" steht: "ed25519-sha256"
für mich aufs konto von mxtoolbox leicht verwunderlich, denn für ellyptical sollte nicht "rsa-sha1" dort stehen, oder?

bei der rsa dkim signature gibt es keine direkte errormessage; das feld ist einfach rötlich unterlegt.
die inhalte des dort angezeigten tags sehen (gekürzt und geschwärzt (kursiv)) so aus:

v=1; c=relaxed/relaxed; d=<TLD> ; s=keyr; t=1758217080; bh=xcafXB4vXGSi+obTc8KRbHg3zuZN+b8dzM1vHA5Vjd0=; h= Subject:Subject:From:Fromateate:ReplyTo:ReplyTo:Cc:Cc:Message-Id:Message-Id; a=rsa-sha256; b= OA+7OxRet3i2amqy9At0Pt9jM36/8zXfOlFwC[...]CBJVaP7SXpdl342pJKajosc6AKuSHRttuIaJ1HdIJOxu2/VczGCWyqxKCnlOfPgkl/K8UZaVXOJRbBw4HI/B7zaOgwi0Ro=

all in all ist für den mxtoolbox-prüfschritt "DKIM Signature Verified" das result "Signature Did Not Verify".

zudem fällt auf, daß die intranetrolle des NSP nun bereits auf der startseite die meldungen anzeigt, daß der DNS-Eintrag keye._domainkey.<TLD> sowie keyr._domainkey.<TLD> fehlen würde - "Bitte erstellen Sie diesen DNS-Eintrag, um den Vorfall zu lösen. [...]"

vielleicht noch erwähnenswert ist, daß unsere installation des NSP alle rollen auf einer VM vereint, welche in unserer DMZ steht. alle laut hilfetexten freizugebenden ports sind in der firewall (eine Palo Alto) freigegeben. der NSP liefert alle ausgehenden emails an unseren provider domainfactory unter zuhilfenahme eines authorisierten sendekontos. abruf aller emails erfolgt per NSP-pop-konnektor von den emailkonten von domainfactory.

da die von mxtoolbox bekrittelten DKIM-signaturen anscheinend vom NSP erzeugt wurden, wende ich mich hiermit an euch und bin wirklich sehr gespannt, ob sich das phänomen auflösen lässt.

dankeschön für die hilfe und
beste grüße,
richard rönitz

 

[ffischer]

Guten Morgen,
habt ihr intern das AD mit der selben Domain wie Extern? Also euredomain.de
Wenn der NSP den eigenen AD Server als DNS Server nimmt, frägt er automatisch diesen ab wenn hier die Einträge dann nicht vorhanden sind für DKIM Einträge kommt es zu diesem fehler.

Das kann getestet werden wenn du bsp. den NSP anweißt mal kurz den anderen DNS Server zu verwenden vll. die Firewall, wenn die nach Extern verweißt.

 

[ZZB]

guten morgen frank,

schlaue frage - treffer, versenkt! ja, wir haben intern=extern.
ich kann die einträge natürlich auch gern im internen AD nachholen - aber bekämpfe ich damit nicht nur ein symptom?

ist es denn generell sinnvoller, den NSP eher mit der firewall-IP als DNS-server zu betreiben, anstatt den internen DNS zu nehmen?

und: siehst du einen zusammenhang mit den von MSTOOLBOX angekreideten DKIM-signaturen?

danke und beste grüße,
richard

 

[ffischer]

Hallo Richard,
welchen Test hast du bei mxtoolbox gemacht ich schau mir den mal an ob dieser bei mir das gleiche verhalten an den Tag legt.
Bei mir fand ich bisher keinen Nachteil, ob Interner DNS oder Externer,

Du kannst ja Windows Netzwerk DNS auf den Internen DNS legen
und NSP ja unter Konfiguration - Verbundene Systeme => oben auf DNS Server gehenen. und dann einen Externen angeben oder die Firewall. Firewall würde ich empfehlen, wenn die DNS Abfragen prüft.

 

[StefanCink]

Hallo zusammen,

MXToolbox ist für diesen Test lieder nicht geeignet, da sie keine EdDSA-basierten Signaturen verstehen. :-( Immer noch nicht. :-(

 

[ZZB]

hallo frank,

ich hatte eine mail an ping@tools.mxtoolbox.com gesandt. im reply gibt es dann einen link zur auswertung. bin ich auch sehr gespannt, ob bei deinem test auch die DKIM-signatur angezählt wird.

deine idee mit der verlegung des NSP-DNS auf extern werde ich mal austesten! komme heute allderdings nicht mehr dazu - verlängertes WE ;o)

-richard

 

[ZZB]

Hallo zusammen,

MXToolbox ist für diesen Test lieder nicht geeignet, da sie keine EdDSA-basierten Signaturen verstehen. :-( Immer noch nicht. :-(

hallo stefan,

danke, interessanter hinweis!
dann ist die auswertung von mxtoolbox eventuell nur einen sturm im wasserglas wert? gibts eine andere möglichkeit zur verifikation?

also mein ultimativer test wird sein, endlich eine email an eine patientin mit icloud-emailadresse zur zustellung zu bringen ;o) das war auch der auslöser meines DKIM-DMARC-abenteuers.

-richard

 

[ffischer]

probier doch mal: https://www.appmaildev.com/de/dkim