Mail Server Mailserver als Backup/Archiv für GMX und Co.: SSL/TLS geht nicht

[F0x123]

Hallo,

ich möchte gerne den Mailserver (habe noch das alte Paket installiert, da der Mailserver nicht direkt am Netz hängt) als Backup/Archiv für mein GMX nutzen, da das Postfach fast voll ist, also
--> Account auf Mailserver einrichten. Es gibt keine Domain, sondern nur die lokale IP.
--> IMAP Account in Thunderbird einrichten (geht nur manuell, Ordner werden nicht erkannt)
--> Alte Mails über IMAP aus IMAP GMX in IMAP Archiv schieben
--> GMX hat wieder Platz frei
--> Bei Bedarf per VPN auf NAS verbinden und in K9 Mail trotzdem die alten Mails sehen, wenn man eine alte Mail sucht.

So weit so gut. Das klappt lokal auch bisher, aber sobald ich SSL/TLS aktiviere lässt sich keine Verbindung mehr zum Mailserver aufbauen. Ich habe als auf meinem PC über Thunderbird versucht.

Ich weiß lokal braucht mein diese nicht zwingend, aber ich würde sie gerne trotzdem aktivieren, damit nicht bei jedem Verbindungsversuch der Clients PW und Co unverschlüsselt übertragen werden.

Habt ihr Tipps wie ich eventuell die Einrichtung optimiere, da es ja keine Domain gibt und wie ich eine Transportverschlüsselung aktiviere?

Danke !

 

[plang.pl]

Dann brauchst du auf der DS zwingend ein gültiges SSL-Zertifikat für den MailServer
Das geht am Einfachsten, wenn du
-DDNS aktivierst (synology.me Adresse oder andere Synology Domain), dabei Zertifikat mit anfordern lassen
-in den DDNS Einstellungen die Auflösung auf die lokale IP änderst
-dann in Thunderbird mit der DDNS statt der IP zugreifst
Denn: https / SSL ohne gültiges Zertifikat funktioniert zwar technisch. Aber aus Sicherheitsgründen ist das in sensiblen Bereichen (wie Mailverkehr) blockiert bzw. wird von Apps nicht unterstützt. Ähnlich ist es z.B. auch bei den meisten Passwortmanagern

 

[F0x123]

danke, ich habe ein Let's Encrypt Zertifikat für meine selfhost DynDNS Adresse, was ich für andere Services nutze, aber ich wollte ja nicht über den loopback des Routers auf den Mailserver zugreifen, weil ich dazu zusätzliche Ports auf dem Router öffnen müsste.

 

[plang.pl]

Deshalb sage ich ja du musst den DDNS auf die interne IP zeigen lassen. Wenn du nicht den Synology DDNS nutzt, geht das nur mit eigenem DNS-Server

 

[F0x123]

Ok, kann ich ein selbstsigniertes Zertifikat für eine lokale Adresse nutzen zB mailserver.local und den DNS im Router umbiegen?

Das andere wäre aber einfacher. :-/

 

[plang.pl]

Nein, dürfte nicht gehen. Außer eventuell du hast eine local CA, mit der du das Zertifikat signierst und dann in den Windows Zertifikatsspeicher importierst. Dann muss man ggfs. noch die Thunderbird-Einstellungen anpassen. Firefox nutzt z.B. per default nicht den Windows Zertifikatsspeicher. Das mit dem DDNS umbiegen auf die lokale IP ist einfacher. Sonst musst du an jedem Gerät manuell das Zertifikat importieren

 

[F0x123]

Mhm also zweite DDNS Adresse einrichten und dann wo die IP umbiegen? Im NAS DDNS?

Ich erinnere mich dunkel mit einer alten Synology per SSH mal über mkcert ein Zertifikat für die Owncloudnutzung erstellt zu haben.

 

[plang.pl]

Du musst dafür sorgen, dass im Heimnetz die DDNS Adresse auf die lokale IP vom NAS aufgelöst wird. Dafür brauchst du einen eigenen DNS-Server, der das für dich macht. ICH würde wenn ich eh schon dabei bin an deiner Stelle mir überlegen, gleich AdGuard Home dafür einzurichten. Damit hast du einen eigenen DNS-Server, der automatisch Anfragen an Domains blockiert, die für Werbung, Malware, Phishing usw. bekannt sind. Hierzu hatte ich mal eine Anleitung erstellt: https://www.synology-forum.de/threa...e-unbound-um-domain-lokal-aufzuloesen.127925/
Wenn du noch nie mit Docker gearbeitet hast und keine Lust hast, dich ein wenig einzuarbeiten, ist das vergleichsweise viel Aufwand. Man kann das auch einfacher mit deM Synology DNS-Server lösen. Dann halt ohne Werbeblocker / Filter.

Von extern wird die Adresse weiterhin korrekt auf deinen Anschluss aufgelöst, weil du da ja nicht deinen internen DNS-Server fragst. Außer, du bist im VPN. Aber dann ist das ja wieder gewollt. Stichwort ist hier: Split-DNS

EDIT: AdGuard und unbound geht nur, wenn du eine Docker-fähige DS hast. Stand jetzt hast du nicht geschrieben, was du für eine DS hast

 

[plang.pl]

Noch ein Nachtrag: Du könntest auch für den Mailserver zusätzlich kostenfrei einen Synology DDNS anlegen mit Zertifikat und den nur dafür nutzen. Vorteil: Den kannst du direkt mit ein paar Klicks im DSM auf die interne IP zeigen lassen: https://www.synology-forum.de/threads/ddns-intern-nutzen.127599/

 

[F0x123]

Ist nicht auch möglich für den Synology DDNS auch Subdomains anzulegen? Dann könnte man das je nach Service machen und nur Mane lokal umbiegen?

 

[plang.pl]

Ja, das geht. Da bekommst du auch ein Wildcard Zertfikat dafür mit Boardmitteln.