Seminar Postfix DNS, SPF, DKIM und DMARC

Inhaltsverzeichnis

• Seminarprofil
• Zielgruppe
• Voraussetzungen
• Seminarziele
• Seminarinhalte
• Praxisübungen

Seminarprofil

Vollständige Mail-DNS- und Domainauthentifizierungsarchitektur mit MX, PTR, SPF, DKIM, DMARC, Alignment, Schlüsselrotation, Reporting und stufenweiser Policy-Einführung.

Die Themen werden in einer zusammenhängenden Laborumgebung schrittweise aufgebaut. Jede Konfigurationsstufe wird mit Positiv- und Negativtests, Protokollauswertung sowie einer nachvollziehbaren Rückfallmöglichkeit abgesichert. Der Umfang ist auf die fachlich notwendige Dauer abgestimmt und vermeidet sowohl oberflächliche Schnellverfahren als auch unnötige Wiederholungen.

Zielgruppe

Postfix-, DNS- und Security-Administratoren sowie Messaging-Teams

Voraussetzungen

Postfix-Grundkenntnisse, sichere DNS-Basiskenntnisse und SMTP-Headerverständnis

Seminarziele

• Host-, Envelope-, Header- und Signaturdomänen im Mailfluss voneinander abgrenzen.
• TTL, Redundanz und Reihenfolge mehrerer MX-Ziele für Wartung und Ausfall bewerten.
• Legitime Versandquellen je Domain inventarisieren und direkte von weitergeleiteten Pfaden trennen.
• DKIM-Schlüsselpaar, Selector und DNS-Veröffentlichung mit geeigneter Schlüssellänge planen.
• SPF- und DKIM-Ergebnisse auf Alignment mit der sichtbaren Absenderdomäne prüfen.
• Weiterleitungen, Mailinglisten und Drittversand auf typische Alignment-Brüche untersuchen.

Seminarinhalte

Tag 1: Mail-DNS und technische Identitäten

1. Schritt 1: Host-, Envelope-, Header- und Signaturdomänen im Mailfluss voneinander abgrenzen.
2. Schritt 2: A-, AAAA-, MX- und PTR-Einträge für eingehende und ausgehende Zustellung planen.
3. Schritt 3: HELO-Name, myhostname und Reverse DNS konsistent aufeinander abstimmen.
4. Schritt 4: TTL, Redundanz und Reihenfolge mehrerer MX-Ziele für Wartung und Ausfall bewerten.
5. Schritt 5: Split-DNS- und NAT-Szenarien auf unterschiedliche interne und externe Ergebnisse prüfen.
6. Schritt 6: DNS-Antworten über autoritative Abfragen, Resolververgleich und Negativtests verifizieren.
7. Schritt 7: Zustellfehler durch fehlenden PTR, inkonsistente Namen und veraltete Caches analysieren.

Tag 2: SPF und DKIM im produktiven Mailfluss

1. Schritt 1: Legitime Versandquellen je Domain inventarisieren und direkte von weitergeleiteten Pfaden trennen.
2. Schritt 2: SPF-Mechanismen, Qualifier, Include-Ketten und Lookup-Grenzen in eine wartbare Richtlinie überführen.
3. Schritt 3: Envelope-Absender und Bounce-Domänen für aussagekräftige SPF-Prüfungen gestalten.
4. Schritt 4: DKIM-Schlüsselpaar, Selector und DNS-Veröffentlichung mit geeigneter Schlüssellänge planen.
5. Schritt 5: Signaturdienst über eine Milter-Schnittstelle in Postfix einbinden.
6. Schritt 6: Headerauswahl, Canonicalization, Mehrfachsignaturen und verändernde Zwischenstationen prüfen.
7. Schritt 7: Schlüsselrotation mit überlappender Veröffentlichung und Rückfallverfahren durchführen.

Tag 3: DMARC, Alignment und kontrollierte Einführung

1. Schritt 1: SPF- und DKIM-Ergebnisse auf Alignment mit der sichtbaren Absenderdomäne prüfen.
2. Schritt 2: DMARC-Richtlinie mit Berichtmodus, Prozentsteuerung und Subdomain-Verhalten entwerfen.
3. Schritt 3: Aggregierte Reports normalisieren und unbekannte Versandquellen von Fehlkonfigurationen unterscheiden.
4. Schritt 4: Weiterleitungen, Mailinglisten und Drittversand auf typische Alignment-Brüche untersuchen.
5. Schritt 5: Richtlinie stufenweise von Beobachtung über Quarantäne bis Ablehnung anheben.
6. Schritt 6: Fehler anhand von Authentication-Results, Received-Kette und Signaturdaten analysieren.
7. Schritt 7: Betriebsprozess für neue Versanddienste, Schlüsselrotation und Policy-Änderungen festlegen.

Praxisübungen

• Laboraufgabe zu Mail-DNS und technische Identitäten: Zustellfehler durch fehlenden PTR, inkonsistente Namen und veraltete Caches analysieren.
• Laboraufgabe zu SPF und DKIM im produktiven Mailfluss: Schlüsselrotation mit überlappender Veröffentlichung und Rückfallverfahren durchführen.
• Laboraufgabe zu DMARC, Alignment und kontrollierte Einführung: Betriebsprozess für neue Versanddienste, Schlüsselrotation und Policy-Änderungen festlegen.
• Kontrollierte Fehlersimulation mit dokumentierter Ursache, Korrektur und Rückfall.
• Abnahme des vollständigen Mailflusses anhand von Queue-ID, SMTP-Antwort und Protokollkette.
• Erstellung einer kompakten Betriebscheckliste für wiederkehrende Prüfungen und Änderungen.