Seminar Postfix TLS, Zertifikate und sichere Zustellung

Inhaltsverzeichnis

• Seminarprofil
• Zielgruppe
• Voraussetzungen
• Seminarziele
• Seminarinhalte
• Praxisübungen

Seminarprofil

Eingehende und ausgehende Transportverschlüsselung mit Zertifikatsketten, SNI, zielbezogenen TLS-Policies, DANE, MTA-STS-Resolver, TLS-RPT, REQUIRETLS, Rotation und Diagnose.

Die Themen werden in einer zusammenhängenden Laborumgebung schrittweise aufgebaut. Jede Konfigurationsstufe wird mit Positiv- und Negativtests, Protokollauswertung sowie einer nachvollziehbaren Rückfallmöglichkeit abgesichert. Der Umfang ist auf die fachlich notwendige Dauer abgestimmt und vermeidet sowohl oberflächliche Schnellverfahren als auch unnötige Wiederholungen.

Zielgruppe

Postfix-, PKI-, DNS- und Security-Administratoren

Voraussetzungen

Gute Postfix-Kenntnisse sowie TLS-, Zertifikats- und DNS-Grundlagen

Seminarziele

• Postfix als SMTP-Server und SMTP-Client mit getrennten TLS-Parametern betrachten.
• Protokollversionen, Cipher-Policy und Sicherheitsniveau an den Einsatzzweck anpassen.
• Opportunistische, erzwungene und authentisierte TLS-Sicherheitsstufen unterscheiden.
• DANE-TLSA mit DNSSEC-Abhängigkeit und passenden Postfix-Stufen konfigurieren.
• TLS-RPT-Statusinformationen für ausgehende Handshakes aktivieren und auswerten.
• Verhalten bei nicht erfüllbarer TLS-Anforderung und Fehlerkommunikation festlegen.

Seminarinhalte

Tag 1: Eingehendes TLS und Zertifikatsbetrieb

1. Schritt 1: Postfix als SMTP-Server und SMTP-Client mit getrennten TLS-Parametern betrachten.
2. Schritt 2: Zertifikat, privaten Schlüssel, Zwischenzertifikate und Vertrauenskette prüfen.
3. Schritt 3: Opportunistisches STARTTLS für Port 25 und TLS-Pflicht für Submission konfigurieren.
4. Schritt 4: Protokollversionen, Cipher-Policy und Sicherheitsniveau an den Einsatzzweck anpassen.
5. Schritt 5: Mehrere Zertifikatsidentitäten über SNI-Zuordnung planen und testen.
6. Schritt 6: Dateirechte, Schlüsselwechsel und atomare Aktivierung neuer Zertifikate umsetzen.
7. Schritt 7: Handshake, Zertifikatskette und Serverfähigkeiten reproduzierbar prüfen.

Tag 2: Ausgehende TLS-Policies, DANE und MTA-STS

1. Schritt 1: Opportunistische, erzwungene und authentisierte TLS-Sicherheitsstufen unterscheiden.
2. Schritt 2: smtp_tls_policy_maps für domainspezifische Anforderungen und Ausnahmen aufbauen.
3. Schritt 3: Namensprüfung, Vertrauensanker und MX-Zielauswahl nachvollziehen.
4. Schritt 4: DANE-TLSA mit DNSSEC-Abhängigkeit und passenden Postfix-Stufen konfigurieren.
5. Schritt 5: MTA-STS über einen externen Policy-Resolver in zielbezogene Richtlinien überführen.
6. Schritt 6: Downgrade-, Zertifikats- und DNS-Fehler auf geeignete Zustellreaktionen abbilden.
7. Schritt 7: Policy-Änderungen mit Testdomains, Logging und Rollback absichern.

Tag 3: TLS-RPT, REQUIRETLS und Diagnose

1. Schritt 1: TLS-RPT-Statusinformationen für ausgehende Handshakes aktivieren und auswerten.
2. Schritt 2: Berichte nach Ziel, Fehlerklasse, Policy und zeitlicher Häufung strukturieren.
3. Schritt 3: REQUIRETLS-Kennzeichnung und Weitergabe entlang unterstützender SMTP-Pfade testen.
4. Schritt 4: Verhalten bei nicht erfüllbarer TLS-Anforderung und Fehlerkommunikation festlegen.
5. Schritt 5: Handshake-Fehler aus Logs, Zertifikaten, DNS, Systemzeit und Gegenstelle ableiten.
6. Schritt 6: Temporäre Sonderregeln mit Ablaufdatum und dokumentiertem Risiko einsetzen.
7. Schritt 7: Betriebsplan für Ablauf, Rotation, Policy-Änderung, Reports und Incidents erstellen.

Praxisübungen

• Laboraufgabe zu Eingehendes TLS und Zertifikatsbetrieb: Handshake, Zertifikatskette und Serverfähigkeiten reproduzierbar prüfen.
• Laboraufgabe zu Ausgehende TLS-Policies, DANE und MTA-STS: Policy-Änderungen mit Testdomains, Logging und Rollback absichern.
• Laboraufgabe zu TLS-RPT, REQUIRETLS und Diagnose: Betriebsplan für Ablauf, Rotation, Policy-Änderung, Reports und Incidents erstellen.
• Kontrollierte Fehlersimulation mit dokumentierter Ursache, Korrektur und Rückfall.
• Abnahme des vollständigen Mailflusses anhand von Queue-ID, SMTP-Antwort und Protokollkette.
• Erstellung einer kompakten Betriebscheckliste für wiederkehrende Prüfungen und Änderungen.