Mail Server Fehlermeldung : 'Recipient address rejected' oder 'Relay access denied' e-mail-Server

[Fusion]

Wenn du in der DS nach der Generierung des Zertifikats auf Export gehst, was wird dir denn da zum Speichern ausgespuckt?

 

[Ralfi]

eine Archive.zp mit zwei Dateien

 

[Fusion]

Und die wären?

 

[Ralfi]

Server.csr und Server.key

 

[Fusion]

Das klingt aber eher danach, als ob du einen Certificate-Signing-Request durchgeführt hast anstatt ein Selbst-Signiertes Zertifikat zu erstellen.
Also auf Deutsch, du hast einen privaten Schlüssel erstellt (server.key) und die Unterzeichnungsanfrage (server.csr).
Damit könnte man jetzt z.B. bei StartSSL vorbeigehen und die würden einem dann ein signiertes Zertifikat (server.crt) zurückliefern.

Ich habe jetzt leider spontan keine bebilderte Anleitung zur Hand

 

[Fusion]

Hast du mal ein Screenshot von Systemsteuerung, Sicherheit, Zertifikat?

 

[Ralfi]

du hast recht. Die beiden Dateien habe aus dem zweiten Versuch heraus. Die Dateien, um die es hier geht, nennen sich ca.crt ca.key Server.crt Server.key

 

[Fusion]

Und beim Import von .crt Dateien fragt dich Thunderbird nach einem Passwort?

Will er vielleicht das Master-Security-Passwort mit dem Thunderbird seine lokale Passwort-Datenbank verschlüsselt, wenn dies aktiviert ist?

 

[Ralfi]

Ich vermute, ich habe bei meinen vielen Versuchen irgendwann einmal die Dateien vertauscht. Jetzt habe ich eben bei Comodo für ein Jahr ein Zertifikat bestellt, welches ich mittels DS412+ generiert (Server.csr) habe. Wenn ich diese Datei mal zum Testen in Thunderbird importieren möchte, dann werde ich auch nach einem Passwort gefragt.

 

[Fusion]

Redest du immer noch von .csr? Die sind nix für Thunderbird.

 

[Ralfi]

Ach so, welche denn dann ?

 

[Fusion]

.crt - Zertifikat
.csr - Zertifikats-Signierungs-Anforderung (certificate signing request)
.key - privater Schlüssel (der sollte tunlichst nicht die Runde machen)

server... bezieht sich auf eine Maschine, z.B. die Diskstation
ca .. ist die Certificate Authority. Also die Vertrauensinstanz. Diese signiert alle von ihr ausgegebenen Zertifikate, nach mehr oder weniger intensiven Identitätsprüfungen, je nach Anforderung an das Level des Zertifikats.

Für den Fall eines von der DS ausgestellten Zertifikats (nicht eines CSR), muß dem Thunderbird auf jeden Fall mal das ca.crt nahe gebracht werden. Weil Synology nicht in den Kreis der bei TB mit ausgelieferten CAs gehört.

 

[Ralfi]

Dann lese ich den .key in Thunderbird, iPhone etc. ein, oder ?
und das Zertifikat .crt in die DiskStation ?
Die Certificate Authoroty schrieb mir, daß Sie mir in Kürze ein Text-File zukommen lassen werden. Ich nehme an, das soll dann das Zertifikat werden. Hast du eine Ahnung, wie ich aus dem Text, den ich per E-Mail bekommen soll, eine Zertifikat *.crt Datei erzeugen kann ?

 

[Ralfi]

jetzt wollte ich eben die key Datei in Thunderbird einlesen, doch da brauche ich schon wieder ein Passwort und verlangt will Thunderbird eigentlich nach einer *.p12 oder einer *.pfx Datei.

 

[Ralfi]

 

[Ralfi]

Sorry, in der folgenden mail siehst du, daß ich deinen Text mit
Für den Fall eines von der DS ausgestellten Zertifikats (nicht eines CSR), muß dem Thunderbird auf jeden Fall mal das ca.crt nahe gebracht werden.
überlesen habe. Vergiss den Beitrag von 18:44 deshalb einfach.
Wie erzeuge ich denn eigentlich eine *crt Datei
Ich soll ja von der Certificate Authoroty nur ne mail mit Textinhalt bekommen, so wurde es mir zumindest in der Hotline verbal versprochen.

 

[Fusion]

Ich gehe jetzt mal von aus, dass du das .csr mit deiner öffentlichen Domain gemacht hast.

Wenn du das textfile bekommst kannst du es entweder von .txt nach .crt umbenennen, oder du packst es z.B. in Notepad++ und speicherst es als .crt ab. je nachdem in welcher Form das in der email kommt.

Die Diskstation sagt dir beim Import eigentlich was sie haben will. Dabei sein wird sicher das Zertifikat selbst (.crt) und der private Schlüssel (.key) (der hat übrigens nicht zwangsläufig ein Passwort, nur gibt man ihm normal beim Export zum Schutz eines mit, damit den nicht jeder verwenden kann). Eventuell ist noch ein Intermediate (Zwischenzertifikat) oder root-CA (also das Zertifikat der CA selbst, also Comodo in dem Fall) fällig. Das sehen wir dann.

Ob man im Falle von Comodo in Thunderbird etc. überhaupt noch etwas importieren muß für den verschlüsselten SSL Zugriff auf die DS, weiß ich gerade nicht auswenig.

Referenz - Punkt 4 unter (bezieht sich auf DSM 4): https://www.synology.com/de-de/support/tutorials/464

 

[Ralfi]

Danke Fusion, sehr freundlich von Dir, daß du mir geholfen hast.
Mal sehen, ob das alles klappt, wenn ich die E-Mail von comodo bekommen werde. Da insgesamt viele Geräte vorhanden sind (Zahnarztpraxis, iPhones, private Laptops, Computers, iPads und Tablets) denke ich, eines der Geräte wird sicherlich Schwierigkeiten beim Import eines Zertifikats machen.

Viele Grüße,

Ralf

 

[Matthieu]

Wenn du jetzt ein Zertifikat von Comodo hast, musst du nichts mehr weiter machen als das Zertifikat, welches du von Comodo erhältst, in die DS hochzuladen. Das ganze Theater mit Zertifikat im Mail-Programm einbinden entfällt komplett.
Mit der Wirksamkeit der Verschlüsselung hat das ganze nämlich nichts zu tun - es geht rein darum, ob der Client (PC, Tablet, ...) auch verifizieren kann, dass das Zertifikat wirklich echt ist. Jeder kann dir ein Zertifikat unterschieben, aber anhand der darin befindlichen Unterschrift kann das Gerät nachsehen ob es auch wirklich bekommen hat was es will. Bei einem selbst signierten Zertifikat fehlt diese vertrauenswürdige Unterschrift aber. Erst der Import der ca.crt in das jeweilige Programm kann man das beheben. Da Comodo in den Programmen aber schon hinterlegt sein sollte, treten keine Fehlermeldungen mehr auf.
Apropo: Stelle sicher dass du wirklich überall dann auch die verschlüsselten Ports in den Clients konfigurierst! Mit den bisher funktionierenden Einstellungen wird ja nichts verschlüsselt.

MfG Matthieu

 

[Fusion]

Danke Matthieu für die Zusammenfassung. Schöne Überraschung nachdem ich jetzt endlich zu Hause bin.