Quelltext der Seite Mail Station mit eigener Domain

----


<big>'''Achtung! Diese Seite befindet sich noch im Aufbau! Bitte erstmal nicht miteditieren!'''</big>


----


==Einleitung==
Diese Anleitung umfasst die Schritte und Einstellungen, die nötig sind, um die Mail Station mit einer eigenen Domain zu betreiben.
Hier wird nicht beschrieben, wie die Mail Station selbst einzurichten ist, da es dafür neben der Synology Anleitung ([http://download.synology.com/download/packages/UserGuide/MailStation_enu.pdf EN], [[Mailstation-de-anleitung|DE]]) bereits genügend weitere Wiki- und Forum-Beiträge ([[Nutzung_der_Mail_Station|Nutzung der Mail Station]], [http://www.synology-forum.de/forumdisplay.html?f=90 Synology-Forum]) gibt.
Stattdessen liegt der Fokus hier auf alle Schritte und möglichen Stolpersteine auf dem Weg dahin, dass die Mail Station einwandfrei Mails mit anderen Mail-Servern im Internet austauscht.


==Vorwort==
Diese Anleitung erhebt kein Recht auf Vollständigkeit und absolute Richtigkeit.
Sie resultiert aus den Recherchen und eigenen Erfahrungen des Autors.
Der Autor lädt alle berufenen Leser ein, Fehler zu korrigieren und sich hier am Zusammentragen nützlicher Hinweise und Tipps zu beteiligen.


==Ausgangssituation==
Angenommen über die eigene Domain (hier beispielhaft my-domain.de genannt) sollen E-Mails (z.B. user@my-domain.de) empfangen und versendet werden, wofür das Mail Station Paket zum Einsatz kommen soll.
Die Disk Station hängt am lokalen Netz (Intranet) und ein (DSL-)Router trennt und vermittelt (routet) zwischen dem Intranet und dem Internet.
Der Router besitzt aus Sicht des Internet wahlweise ein statische oder, wie meist üblich, eine dynamische IP-Adresse.
Es versteht sich, dass die Internet-Verbindung (z.B. per DSL) ständig aufgebaut sein muss, da ja sonst die Mail Station nicht ständig empfangsbereit für eingehende Mails wäre.

==Schritte==
Die folgende Liste zeigt die Schritte bis zur vollständigen Einrichtung.
Jeder Schritt baut auf die vorhergehenden Schritt auf, womit die Reihenfolge eingehalten werden sollte.
Bei (fast) jedem Schritt wird beschrieben, wie die jeweilige Einstellung auch ausgetestet werden kann.

#[[Mail_Station_mit_eigener_Domain#Domain & Subdomains|Domain & Subdomains]]
#[[Mail_Station_mit_eigener_Domain#Statische und Dynamische DNS (A-record)|Statische und Dynamische DNS (A-record)]]
#[[Mail_Station_mit_eigener_Domain#Router- bzw. Firewall-Einstellungen|Router- bzw. Firewall-Einstellungen]]
#[[Mail_Station_mit_eigener_Domain#MX-record Einstellungen|MX-record Einstellungen]]
#[[Mail_Station_mit_eigener_Domain#Sicherheit, Verschlüsselung und SSL-Zertifikat|Sicherheit, Verschlüsselung und SSL-Zertifikat]]


==Domain & Subdomains==
Zum Betrieb der Mail Station empfiehlt es sich eine eigene Domain (my-domain.de) bei einem geeigneten Anbieter ([http://de.wikipedia.org/wiki/Domain-Registrar Registrar]) registrieren zu lassen, über die man frei verfügen kann.
Theoretisch ist es auch möglich, eine Subdomain unterhalb einer fremden Domain für die Mail Station zu nutzen, wie sie z.B. bei den kostenlosen [http://de.wikipedia.org/wiki/Dyndns DYNDNS]-Anbietern üblich ist (z.B. my-subdomain.anbieter-domain.de).
Aber davon ist abzuraten, weil man dann keine Rechte an der Subdomain hat und weil die nötigen [http://de.wikipedia.org/wiki/Domain_Name_System DNS]-Einstellungen nicht bei allen Anbietern möglich sind. Zudem wollen manche Anbieter einfach aus rechtlichen Gründen nicht, dass Mails über deren Domain quasi in deren Namen versendet werden.

Bei der Auswahl des Registrars ist weiterhin darauf zu achten, dass dieser die volle Einstellbarkeit der DNS-Daten (A-record, MX-record, Subdomains) ermöglicht. Domain-Angebote, die nur eingeschränkte Funktionalität (nur Weiterleitung oder nur Webspace) bieten, sind unzureichend. Ebenso muss der Registrar den dynamische DNS-Dienst anbieten, wenn man mit einer [[Mail_Station_mit_eigener_Domain#Statische und Dynamische DNS (A-record)|dynamischen IP]] arbeitet. Ggf. sollte auf den Hilfe-Seiten bzw. in den FAQs des Registrars nach Begriffen wie DNS und MX gesucht werden um da Klarheit zu bekommen.

Ein negativer Effekt in Zusammenhang mit einer eigenen Domain ist noch, dass sämtliche persönlichen Daten (Name, Anschrift, Mail-Adresse und Telefonnummern) per [http://de.wikipedia.org/wiki/Whois Whois] abfragbar sind. Z.B. ist diese Abfrage für .de-domains bei der [http://www.denic.de/ DENIC] möglich. Wer es gerne anonym haben will, der kann die Domain bei manchen Registrars auch treuhänderisch unter deren Namen registrieren lassen, womit auch diese Lücke geschlossen wäre.

Ist nun die eigene Domain registriert, so sollte als nächstes überlegt werden, ob und wie Subdomains genutzt werden sollten.
Speziell dann, wenn die Domain nur für den Mail-Dienst genutzt werden soll oder die Disk Station mit ihren Webdiensten (File Station, Photo Station, etc.) nicht einfach auch über das Internet sichtbar sein soll, dann empfiehlt es sich für die Disk Station eine eigene Subdomain (z.B. diskstation.my-domain.de) anzulegen.
Somit ist man frei darin für my-domain.de, www.my-domain.de, ftp.my-domain.de usw. andere Ziele (IP-Adressen, Weiterleitungen oder Webspace) als die Disk Station einzutragen.
Und ein unbedarfter Angreifer kann den Domain-Namen my-domain.de (herausgelesen aus der E-Mail-Adresse user@my-domain.de) nicht einfach in seinen Browser eintippen und damit auf der Disk Station landen.

Bei der Namenswahl der Subdomain für die Mail Station ist man frei. Eine spätere Änderung ist zwar leicht möglich, aber ggf. mit Kosten verbunden, wenn in Folge der Änderung auch ein neues [[Mail_Station_mit_eigener_Domain#Sicherheit, Verschlüsselung und SSL-Zertifikat|SSL-Zertifikat]] braucht.


==Statische und Dynamische DNS (A-record)==
Jeder Rechner im Internet hat eine eigene einmalige IP-Adresse, unter der er von überall im Internet ansprechbar ist.
Diese IP-Adresse kann konstant (statisch) sein, jedoch ist diese bei privaten Internet-Zugängen (auch bei DSL-Flatrates) in der Regel dynamisch.
D.h. der lokale Router bekommt üblicherweise täglich eine neue IP-Adresse vom Internet-Provider zugewiesen (sprich: dynamische IP).
Somit ist auch die IP-Adresse, unter der die nachgeordnete Disk Station mit ihrer Mail Station aus dem Internet heraus erreichbar wäre, ständig wechselnd.
Damit nun über den DNS-Nameserver des Registrars immer der richtige Bezug von der Subdomain diskstation.my-domain.de zu der aktuellen eigenen IP-Adresse herstellt wird, muss der DNS-Nameserver immer wieder neu die aktuelle IP-Adresse vom Router mitgeteilt bekommen. Diesen Eintrag in der Datenbank der DNS-Nameservers nennt man übrigens [http://de.wikipedia.org/wiki/A_Resource_Record A-record].

Es sind hierfür zwei Einstellungen zu machen:
# Beim Registrar muss die gewählte Subdomain (hier beispielhaft diskstation.my-domain.de) angelegt und mit einer dynamischen IP vorgemerkt werden. Wie das genau geht, ist leider wieder bei jedem Registrar unterschiedlich und sollte dort auf den Hilfe- bzw. FAQ-Seiten nachgelesen werden. Als TTL-Wert sollte ein möglichst kleiner Wert (z.B. 20) eingestellt werden.
# Beim Router zu Hause sind dann die entsprechenden Einstellungen wie vom Registrar vorgegeben zu übernehmen. Auch hier muss auf die Bedienungsanleitung des Router verwiesen werden.

Der Erfolg dieser DYNDNS-Einstellungen kann folgendermaßen geprüft werden:
# Die aktuelle eigene IP-Adresse des Routers muss herausgefunden und gemerkt werden z.B. mit Hilfe von der Website [http://www.ip-adress.com http://www.ip-adress.com]
# Mit Hilfe von z.B. [http://www.dnswatch.info http://www.dnswatch.info] lässt sich herausfinden, ob der A-record auf die zuvor ermittelte aktuelle IP-Adresse zeigt.

Wenn beide Abfragen die gleiche IP-Adresse liefern, dann ist soweit alles gut gelaufen und es kann mit dem nächsten Schritt fortgefahren werden.

Wenn nicht, dann muss das noch nichts schlimmes heißen und es wird folgende weitere Vorgehensweise empfohlen:
# Die bei diesem Schritt gemachten Einstellungen nochmal zu prüfen. Manche Router und manche Registrars zeigen in ihren Statusmeldungen bzw. ihren Logs entsprechende Zustände und Fehler an. Meldet der Router, dass er die IP-Adresse an den DNS-Nameserver gesendet hat? Ist die neue IP-Adresse auf den Status-Seiten des Registrars sichtbar? Üblicherweise dauert die Meldung der IP-Adresse vom Router an den DNS-Nameserver sehr flott, dass man bei korrekten Einstellungen sofort die IP-Adresse auf den Status-Seiten des Registrars sehen müsste.
# Den Router neu starten lassen (im Zweifelsfall kurz Strom aus). Dann genügend Zeit (mehrere Minuten) warten, bis der Router sich komplett initialisiert, die Verbindung zum Provider aufgebaut und die neue IP-Adresse an den DNS-Nameserver gemeldet hat. Dann den Test wiederholen.
# Einige Minuten (oder Stunden oder einen Tag) warten, und dann den Test wiederholen. Gerade bei Änderungen an den Subdomain-Einstellungen (speziell bei einem zuvor großen TTL-Wert), dauert die Übernahme der neuen IP-Adresse bei allen zwischengeschalteten DNS-Nameservern schon mal etwas länger...


==Router- bzw. Firewall-Einstellungen==
Nachdem nun die Domain inklusive Subdomains richtig eingestellt ist und sämtliche Anfragen an diskstation.my-domain.de über die aktuelle IP-Adresse beim eigenen Router auflaufen, geht es nun daran den Router mit seiner Firewall so einzustellen, dass dieser die richtigen und nur die richtigen IP-Datenpakete der verschiedenen Mail-Protokolle an die Disk Station weiterleitet.
Jedes der Mail-Protokolle bzw. -Dienste (SMTP, POP3, IMAP) wird dabei mittels [http://de.wikipedia.org/wiki/Transmission_Control_Protocol TCP] durch ganz bestimmte [http://de.wikipedia.org/wiki/Port_%28Protokoll%29 Ports] über das Internet übertragen.
Im Router müssen nun die benötigten Ports freigegeben und zur Disk Station geroutet werden.

Hier muss leider wieder auf die Bedienungsanleitung des Routers verwiesen werden bezüglich der Beschreibung, wie die Port-Freigaben konkret im Router vorgenommen werden.
Wie die Einstellungen bei der weit verbreiteten Fritz!Box durchgeführt werden, zeigt z.B. der Artikel [[Zugriff_auf_die_Synology-Dienste_%C3%BCber_Internet|Zugriff auf die Synology-Dienste über Internet]].

Neben den freizugebenen Ports ist üblicherweise im Router auch anzugeben, wohin die Datenpakete (also hier die Disk Station als Ziel) weitergeleitet werden sollen. Damit dieses Routing sicher funktioniert, empfiehlt es sich, dass der Disk Station eine feste IP-Adresse im Intranet bekommt, damit auch beim Router diese feste IP-Adresse als Routing-Ziel eingestellt werden kann. Dazu ist bei den Netzwerk Einstellungen der Disk Station das DHCP zu deaktivieren und die feste IP-Adresse vorzugeben.

Jetzt zur Frage, welche Ports mit welchen Mail-Protokollen nun konkret freigegeben werden müssen.
Die Antwort hängt davon ab, auf welcher Art und Weise Mails über die Mail Station empfangen und versendet sollen.
Es stehen zur Auswahl:
# Webmail Oberfläche der Disk Station:
Hierzu muss auf dem/den zugreifenden Rechner(n) keine spezielle Mail-Software installiert sein.
Ein beliebiger Rechner mit einem Internet Browser reicht aus.
# Mail-Client-Software (z.B. Outlook, Thunderbird, ...) und [http://de.wikipedia.org/wiki/Imap IMAP]-Protokoll:
Bei Nutzung des IMAP-Protokolls verbleiben die Mails üblicherweise auf dem Mail-Server und werden nicht auf dem jeweiligen Rechner mit dem Mail-Client gespeichert.
Vorteil von IMAP ist, dass von beliebigen Rechnern auf das Mail-Postfach der Mail Station zugegriffen werden kann und man dabei Zugriff auf gesamte Mail-Archiv hat.
Nachteil von IMAP ist, dass bei Ordnern mit vielen Mails bzw. langsamer Verbindung merkliche Verzögerungen beim Zugriff entstehen können.
Gerade hier wirkt sich die üblicherweise deutlich langsamere [http://de.wikipedia.org/wiki/DSL#Bandbreite.2C_Daten.C3.BCbertragungsrate_und_D.C3.A4mpfung Upstream-Geschwindigkeit] der DSL-Zugänge negativ aus, wenn man vom Internet heraus per IMAP auf die Mail Station zugreifen möchte.
# Mail-Client-Software und [http://de.wikipedia.org/wiki/Pop3 POP3]-Protokoll:
Bei Nutzung des POP3-Protokolls werden die Mails vom Mail-Client von der Mail Station auf den Rechner herunter geladen und dort gespeichert.
Auf die lokal gespeicherten Mails kann dann zwar schnell und auch offline zugegriffen werden, aber die Mails sind dann auch nur auf dem einen Rechner vorhanden und lesbar.

Im Detail gibt es noch einige weitere Vor- und Nachteile eines jeden Verfahrens, aber eine weitere Ausführung würde den Rahmen dieses Artikels sprengen und es sei da auf vielen einschlägigen [http://www.google.de/search?q=vergleich+imap+pop Vergleiche im Internet] verwiesen.
Theoretisch ist es auch möglich, alle Möglichkeiten parallel zu nutzen.
Dieses macht dann Sinn, wenn man auf Reisen ist und schnell mal per Webmail ins Postfach schauen möchte, während man zu Hause vom Rechner aus per POP3 auf sein Postfach zugreift.
Man muss nur halt aufpassen, dass man nicht durcheinander kommt, wo gerade welche Mails rumschwirren.


Weiterhin ist entscheidend, ob und über welche Dienste (Webmail, POP3 und/oder IMAP) man auch vom Internet heraus Zugriff auf die Mail Station haben möchte. Oder ob man auschließlich im eigenen Intranet Zugriff auf sein Postfach haben möchte.
Je nach gewünschten Diensten sind dann eben mehr oder weniger Ports freigeben.
Und hinsichtlich der Sicherheit gilt auch hier: Weniger ist mehr.
Die unten stehende Tabelle gibt Aufschluss welche Ports für welche Dienste freizugeben sind.

Zum Empfangen von Mails durch die Mail Station ist jedoch unumgänglich, dass der Port für das SMTP-Protokoll freigeschaltet ist.
Per [http://de.wikipedia.org/wiki/SMTP SMTP]-Protokoll werden Mails im Internet verschickt, egal wie dann der Mail-Client die Mails aus dem Posteingang abfragt.

Und zu guter Letzt stellt sich die Frage der Verschlüsselung der Protokolle. Jedes dieser Protokolle (http-Webmail, POP3, IMAP, SMTP) gibt es inzwischen auch in der jeweils verschlüsselten Variante (https-Webmail, POP3S, IMAPS, SMTPS), wo die Mails auf dem Weg durchs Internet verschlüsselt übertragen werden. Weitere Erläuterungen siehe [[Mail_Station_mit_eigener_Domain#Sicherheit, Verschlüsselung und SSL-Zertifikat|Sicherheit, Verschlüsselung und SSL-Zertifikat]].

Also nun hier die Tabelle mit den Ports:

{| border="1" cellpadding="10" cellspacing="0" style="text-align:center"
! Protokoll
! Benötigt für
! Port ohne Verschlüsselung
! Port mit Verschlüsselung
! Anmerkung
|-
|SMTP(S)
|Mail-Versand
|25/TCP
|25/TCP (SSL/TLS)<br />465/TCP (SSL)
|Mail Station verwendet SMTP mit SSL/TLS über Port 25<br />SSL/TLS über Port 25 ist auch beim Mail-Client vorzuziehen
|-
|POP3(S)
|Mail-Abruf
|110/TCP
|995/TCP
|
|-
|IMAP(S)
|Mail lesen und mehr
|143/TCP
|993/TCP
|
|-
|HTTP(S)
|Webmail
|80/TCP
|443/TCP
|damit sind auch die anderen Webdienste der Disk Station sichtbar!
|}


Um nun zu testen, ob die Ports im Router freigegeben und Datenpakete bei der Mail Station ankommen, empfiehlt sich der [http://www.heise.de/security/dienste/portscan/test/go.shtml?scanart=9http://www.heise.de/security/dienste/portscan/test/go.shtml?scanart=9&ports=25%2C465%2C80%2C443%2C110%2C995%2C143%2C993 c't-Netzwerkcheck].
Dort sind am besten gleich alle die Mail-Protokolle betreffenden Ports zu testen.
Es versteht sich, dass vorher auch die zu verwendenen Protokolle der Mail Station in den Disk Station Management Einstellungen aktiviert wurden.

Alle ungenutzten und nicht freigegebenen Ports werden dort dunkelgrün als "gefiltert" angezeigt.
Rot und mit Status "offen" werden alle freigegeben und von der Mail Station bedienten Ports angezeigt.
Hellgrün und "geschlossen" werden Ports angezeigt, die zwar der Router zur Mail Station hin geöffnet hat, aber von der Mail Station nicht bedient werden.
Hier wurde entweder das Protokoll in den Mail Station Einstellungen der Disk Station noch nicht aktiviert oder beim Router wurden zu viele Ports freigegeben.
Letztendlich dürfen nur die Ports als offen gemeldet werden, über die die zu nutzenden Mail-Protokolle laufen.

Gesperrte IMAP- und POP-Ports führen dazu, dass man mit einen Mail-Client vom Internet aus keine Mails lesen kann, weil der Router den Zugriff von außen blockiert.
Ein gesperrter SMTP-Port führt zu dem berühmten Fehlerbild, dass dann die Mail Station zwar Mails verschicken, aber nicht von anderen Mail-Servern im Internet empfangen kann, weil der Router von außen kommende Mails abblockt.

Das umgekehrte Fehlerbild (Mail Station empfängt zwar Mails aus dem Internet, aber verschickt keine Mails zu Mail-Servern im Internet) gibt es übrigens auch.
Siehe [[Mail_Station_mit_eigener_Domain#Probleme mit dyn. DNS|Probleme mit dyn. DNS und Blacklists]].

Wenn nun alle benötigten Ports freigegeben und zur Mail Station hin geroutet sind, kann mit dem nächsten Schritt weitergemacht werden.


==MX-record Einstellungen==
Neben dem bereits angesprochenen A-record können zu einer Domain weitere sogenannte [http://de.wikipedia.org/wiki/Mail_Exchange_Resource_Record MX-records] in der Datenbank der DNS-Nameservers abgelegt werden.
Die MX-records enthalten notwendige Informationen über den Mail-Server (hier die Mail Station) und werden von Mail-Servern im Internet abfragt, wenn diese eine Mail zur Mail Station senden wollen.
Konkret enthalten die MX-records Informationen über den bzw. die Mail-Server, die für den Mailverkehr per SMTP der zugehörenden Domain zuständig sind.
In unserem Beispiel würde der MX-record sinngemäß die Information enthalten, dass Mails an Empfänger der domain my-domain.de bei den SMTP-Server diskstation.my-domain.de (also bei der Mail Station) abzuliefern sind.

Eine Besonderheit der MX-records ist, dass eine Domain davon mehrere haben kann.
Dieses wird dazu verwendet, dass man neben dem primären Mail-Server noch weitere sekundäre Mail-Server angeben kann, die dann einspringen und die Mails empfangen sollen, wenn der primäre Mail-Server ausgefallen ist.
Siehe weitere Betrachtungen dazu im Abschnitt [[Mail_Station_mit_eigener_Domain#Zuverlässigkeitsbetrachtungen und Backup-Server|Zuverlässigkeitsbetrachtungen und Backup-Server]].
Sekundäre Mail-Server müssen nicht mittels MX-Records eingetragen und vorgehalten werden, aber sie können.

Um die Reihenfolge bei mehreren MX-Records mit den Mail-Servern festzulegen, enthält jedes MX-Records eine Priorität (Preference-Wert).
Der MX-Record mit der höchsten Priorität enthält dann den primären Mail-Server, die MX-Records mit den niedrigeren Prioritäten entsprechend der Reihenfolge der sekundären Mail-Server.
Beim Prefernce-Wert gilt: Je kleiner der Wert, desto höher die Priorität.

Und auch der MX-Record hat wie der A-Record einen TTL-Wert.
Da sich dieser Eintrag im allgemeinen nicht ständig ändert, kann hier ein recht großer Wert eingetragen werden.
Gängig ist da z.B. ein TTL-Wert von 86400 (Sekunden), was umgerechnet der Zeit von einem Tag entspricht.
Nur während der Experimentierphase empfiehlt es sich vorerst einen ganz kleinen TTL-Wert zu nehmen, wenn man die MX-Records noch mehrfach ändern möchte.
Auch würde es ansonsten entsprechend lange dauern, bis sich alle DNS-Anfrager im Internet (Mail-Server) wieder den neuen aktuellen MX-Record-Eintrag beim DNS-Nameserver des Registrars abgeholt haben.

Wie nun die MX-Records bei jedem Registrar eingestellt werden, ist wieder unterschiedlich und sollte dort auf den Hilfe- bzw. FAQ-Seiten nachgelesen werden.

Zum Testen der MX-Record Einstellungen wird die [http://www.mxtoolbox.com MXToolBox] empfohlen.
Man kann dort im ersten Schritt die MX-Records der eigenen Domain my-domain.de abfragen und auf Richtigkeit prüfen.
Im zweiten Schritt lässt sich durch Klicken auf "SMTP Test" der SMTP-Dienst des Mail-Servers testen.
Die dortige Warnmeldung "Warning - Reverse DNS does not match SMTP Banner" ist übrigens normal, wenn man eine dynamische IP besitzt.

Wenn die Abfrage der MX-Records nicht die erwarteten Werte liefert, dann empfiehlt sich die folgende weitere Vorgehensweise:
# Die bei diesem Schritt gemachten Einstellungen beim Registrar nochmal prüfen.
# Einige Minuten (oder Stunden oder einen Tag) warten, und dann den Test wiederholen.
Wie bereits geschrieben benötigen auch Änderungen an den MX-Records (speziell bei einem zuvor großen TTL-Wert) lange, bis alle Stellen im Internet (DNS- und Mail-Server) wieder die aktuellen Werte abgefragt haben.
Manchmal ergibt sich da auch das Fehlerbild, dass während der TTL-Zeit neue Abfrager schon mit dem aktualisierten MX-Record arbeiten, während andere Abfrager noch mit dem alten Wert arbeiten.
Also einfach die TTL-Zeit abwarten und Tee trinken...


==Sicherheit, Verschlüsselung und SSL-Zertifikat==
Wie schon im Abschnitt [[Mail_Station_mit_eigener_Domain#Router- bzw. Firewall-Einstellungen|Router- bzw. Firewall-Einstellungen]] erläutert, können die Mail-Daten auch verschlüsselt über SMTPS, IMAPS und POP3S von bzw. zur Mail Station übertragen werden.
Es versteht sich von alleine, dass es ratsam ist die Verschlüsselung auch zu verwenden.

Damit die Daten verschlüsselt werden, ist ein sogenanntes [http://de.wikipedia.org/wiki/Transport_Layer_Security SSL/TLS]-Zertifikat nötig, dass auf der Disk Station abgelegt wird.
Herausgegeben werden Zertifikate von sogenannten [http://de.wikipedia.org/wiki/Zertifizierungsstelle Zertifizierungsstellen], bei denen die Zertifikate käuflich erworben werden können.
Es gibt verschiedene Arten von Zertifikaten, je nachdem, was zertifiziert werden soll (Personen, E-Mail-Adressen, Domains, ...).
Der geplante [http://de.wikipedia.org/wiki/Personalausweis_%28Deutschland%29#Einf.C3.BChrung_des_elektronischen_Personalausweises_.28ePA.29 elektronische Personalausweis] soll wohl später auch ein persönliches Zertifikat besitzen.

In diesem Fall wird ein Zertifikat benötigt, dass auf die Domain my-domain.de oder gar nur auf die Subdomain diskstation.my-domain.de ausgestellt ist.
Jeder beliebige Anfrager aus dem Internet kann sich das Zertifikat der Disk Station herunterladen und ansehen um sicherzustellen, dass die sich meldende Disk Station authorisiert (zertifiziert) ist für die jeweilige Domain bzw. Subdomain ihre Dienste anzubieten.

Da die Disk Station im Neuzustand nur ein Zertifikat von Synology vorweisen kann, kommt regelmäßig die bekannte Sicherheits-Warnmeldung beim Browser oder Mail-Client, wenn man auf eine der HTTPS-Webseiten der Disk Station bzw. über IMAPS, POP3S oder SMTPS auf die Mail Station der Disk Station zugreift.
Man kann zwar üblicherweise beim Browser oder Mail-Client sogenannte Ausnahmen zulassen und trotzdem Verbindung mit der Disk Station aufnehmen.
Aber es ist davon auszugehen, dass andere Mail-Server, die bei der Mail Station per SMTPS Mails abliefern wollen, über das falsche Synology-Zertifikat stolpern und den Vorgang abbrechen (Anmerkung Autor: noch zu verifizieren).

Also wird für den Betrieb der Mail Station ein SSL-Zertifikat benötigt, das auf die eigene Domain bzw. Subdomain ausgestellt ist.
Praktischerweise wird das gleiche Zertifikat auch für die HTTPS-Seiten der Disk Station verwendet, womit auch alle Webseiten der Disk Station verschlüsselt werden und z.B. die Betrachter des Photo Albums ebenfalls keine Warnmeldung mehr bekommen.

Neben der Angabe der Domain bzw. Subdomain enthält das Zertifikat einen der Schlüssel, womit die Daten zwischen der Disk Station und dem Gegenpart verschlüsselt werden.

Auf dem Markt gibt es verschiedenste Zertifizierungsstellen, die verschiedenste Typen und Sicherheitsstufen von Zertifikaten anbieten.
Sie unterscheiden sich z.B. darin, ob das Zertifikat für die Domain inklusive aller Subdomains ausgestellt ist (teuer), oder nur auf eine Subdomain (günstig).
Ebenso wird unterschieden, ob vor Ausstellung der Zertifikats die Identität des Domain-Inhabers mit hohen Aufwand z.B. per Personalausweis-Kopie oder [http://de.wikipedia.org/wiki/Postident Postident-Verfahren] geprüft wird (teuer) oder mit einfacheren unsicheren Mechanismen (günstig).

Weitere Ausführungen darüber, welche Zertifikate es gibt und wie sie beschafft werden, würde den Rahmen dieses Artikels sprengen.
Hinsichtlich der Zertifizierungsstellen sei eine [http://www.google.de/search?q=ssl+zertifikat Google]-Recherche empfohlen.
Hinsichtlich der Frage, wie das Zertifikat erstellt und auf die Disk Station installiert wird, sei auf das Manual der Disk Station, als auch auf die vielen Wiki- und Forums-Beiträge verwiesen.


==Probleme mit dyn. DNS und Blacklists==
Wie bereits ausgeführt, besitzt der Router aus Sicht des Internet entweder eine statische oder eine dynamische IP-Adresse.
Üblich bei privaten Internetzugängen sind sogenannte Dial-UP-Verbinungen per ISDN/DSL mit dynamischen IP-Adressen.
Das heisst, dass bei jeder Einwahl ins Internet der Router eine neue IP-Adresse vom [http://de.wikipedia.org/wiki/Internetdienstanbieter Internet-Provider] zugewiesen bekommt.
Auch bei DSL-Flatrates wird vom Internet-Provider regelmäßig (täglich) die Verbindung kurz unterbrochen.
Statische Adressen müssen im Allgemeinen auch extra (gegen geringes Aufgeld) beim Internet-Provider extra bestellt werden.

Falls man nun (leider) eine dynamische IP-Adresse hat, so ergeben sich im praktischen Betrieb einer Mail Station mehrere Probleme und Nachteile:
#Manche Internet-Provider verbieten in ihren [http://de.wikipedia.org/wiki/Allgemeine_Gesch%C3%A4ftsbedingungen AGB] den Betrieb von Servern über privaten Internet-Zugängen
#Einige Mail-Server nehmen Mails von Mail-Server mit dynamischen IP-Adressen nicht an. Bekannt dafür ist z.B. [http://faq.gmx.de/messages/email/optionen/antispam/1.html GMX], die sich dadurch gegen Spam-Mails schützen wollen. Spam-Mail-Versender missbrauchen auch gerne gekaperte Privat-Rechner (ins Internet eingewählt mit dynamischer IP-Adresse) zum Versenden der Spam- oder Massen-Mails. Professionell betriebene Mail-Server besitzen im Allgemeinen auch eine statische IP-Adresse.
#Während der Wiedereinwahl (Reconnect) nach der täglichen Unterbrechung der Internet-Verbindung entsteht ein kleines zeitliches Loch, in der die Mail Station nicht erreichbar ist. Diese Zeitspanne reicht von der Unterbrechung, über die Einwahl, die Zuweisung der neuen IP-Adresse, der Mitteilung der neuen IP-Adresse an den DNS-Nasewerver, bis hin zum Ablauf der TTL-Zeit und Neuabfrage der IP-Adresse durch alle Abfrager im Internet. Theoretisch können während dieser Zeit Mails verloren gehen oder an falsche Mail-Server gehen, wenn die alte IP-Adresse gerade an ein anderen Internet-Anschluss zugewiesen wird. Die Zeitspanne ist zwar mit rund einer Minute recht klein, aber nicht null.

Diese Nachteile besitzen dynamische IP-Adressen grundsätzlich und müssen dabei in Kauf genommen werden.
Abhilfe schafft nur die Verwendung einer statischen IP-Adresse und die Garantie des Internet-Providers keine täglichen Unterbrechungen vorzunehmen.
Nähere Informationen sind hier bei dem eigenen Internet-Provider einzuholen bezüglich statischer IP-Adressen.
Es steht jedem selbst frei zu entscheiden, ob für ihm dieser Makel der dynamischen IP-Adressen ein Problem darstellt oder nicht.

Es gibt zumindest Möglichkeiten das Problem der dynamischen Adressen abzumildern:
#Manche Router (z.B. Fritz!Box) bieten in ihren Einstellungen die Möglichkeit an, dass sie von sich aus zu einer wählbaren täglichen Uhrzeit die Wiedereinwahl vornehmen.
Wenn man diese Uhrzeit auf z.B. 3:27 Uhr nachts schiebt, so ist die Wahrscheinlichkeit ziemlich gering, dass gerade dann eine Mail bei der Mail Station eintreffen will, sofern man nicht gerade viele Bekanntschaften in Australien hat ;-) Höchstens automatisch verschickte Mails dürften zu der Schlafenszeit noch eintreffen.
#Bei Verwendung eines Backup-Mail-Servers kann dieser bei Nicht-Erreichbarkeit der Mail Station einspringen und die Mail annehmen. Siehe [[Mail_Station_mit_eigener_Domain#Zuverlässigkeitsbetrachtungen und Backup-Server|Zuverlässigkeitsbetrachtungen und Backup-Mail-Server]]

Zum Schutz gegen Spam benutzen die großen Mail-Dienstleiter (GMX, Web.de, Freenet usw.) noch weitere Mechanismen.
Dazu gehören sogenannte [http://de.wikipedia.org/wiki/Blacklist#Schwarze_Listen_im_Kommunikationsbereich Blacklists], die von verschiedenen Betreibern geführt werden.
Auf der Blacklists landen z.B. IP-Adressen (gerade die dynamischen), Domains oder E-Mail-Adressen, die bislang negativ durch Spam- oder Phishing-Mail-Versand aufgefallen sind.
Auch andere Tests werden noch vorgenommen (z.B. Prüfung der [http://de.wikipedia.org/wiki/RDNS reverse DNS]).
Mails von Absendern auf den Blacklists werden dann nicht angenommen.

Auch hier ist die [http://www.mxtoolbox.com MXToolBox] wieder recht hilfreich, weil man dort nach der Abfrage der MX-Records gleich noch über klicken von "BLACKLIST" prüfen kann, ob sich die eigene IP (vom Router und der Mail Station) auf einer Blacklist befindet.


==Zuverlässigkeitsbetrachtungen, Backup-Mail-Server und Daten-Backup==


==SPF==


==Mail-Client Einstellungen==
Dieser Abschnitt beschreibt welche Einstellungen bei der Mail-Client-Software vorgenommen werden müssen.
Die entscheidende Frage dabei, ob man mit dem Mail-Client auch vom im Internet aus (wenn man mit dem Notebook auf Reisen ist) auf die Mail Station zugreifen möchte oder nur von zu Hause aus.

Wenn der Zugriff ausschließlich von zu Hause über das Intranet erfolgt, so sind als IMAP-, POP3 und SMTP-Server der Netzwerk-Name oder die lokale IP-Adresse der Disk Station einzutragen.

Erfolgt der Zugriff auch nur gelegentlich aus dem Internet heraus, dann muss als IMAP-, POP3 und SMTP-Server der Domain der Disk Station diskstation.my-domain.de eingetragen werden.
Dieser Weg hat aber zum Nachteil, dass der Datenstrom immer über den Router (und das Internet?) geht, auch wenn man zu Hause am Intranet hängt, was mit geringerer Geschwindigkeit einhergeht.

SSL


==Schlussbetrachtungen und Vor-/Nachteile eines eigenen Mail-Servers zu Hause==
Anhand dieser Beschreibung ist wohl ersichtlich geworden, dass das Betreiben eines eigenen Mail-Servers zu Hause nicht gerade eine einfache Angelegenheit ist.
Wie einfach sind da im Vergleich dazu die Dienste der etablierten Mail-Anbieter wie z.B. GMX, Freenet, Web.de, Arcor, MSN, etc.
Diese bieten das komplette Paket mit eigener Domain ohne viel administrativen Aufwand an.
Aber diese Angebote haben ihre auch ihre Beschränkungen.
Im Folgenden werden die Vorteile und Nachteile eines eigenes Mail-Servers gegenüber gestellt.

'''Vorteile'''
*Eingehende Mails werden nirgendwo anders gespeichert als auf dem eigenen Mail-Server (außer im Ausnahmefall auf dem Backup-Mail-Server). Die Übertragung erfolgt direkt und verschlüsselt vom absendenden zum eigenen Mail-Server. Das bedeutet für Mails einen höheren Datenschutz als wenn ein Dritter (der Mail-Dienstleister) mit einbezogen wäre.
*Es gibt keine Beschränkungen hinsichtlich Anzahl der User, Anzahl der Postfächer und Größe der Daten, außer den Begrenzungen der Disk Station bzw. Mail Station. Bei komplexeren Mail-Systemen (genutzt von der ganzen Verwandtschaft oder der WG) ergibt sich dadurch ein Kostenvorteil.

'''Nachteile'''
*Hoher administrativer Aufwand mit vielen Stolperfallen
*Höhere Kosten (für SSL-Zertifikat, Backup-Mail-Server und/oder statische IP-Adresse), wenn nur ein einfaches Mail-System mit wenigen Nutzern und wenig Datenaufkommen benötigt wird
*Geringere Zuverlässigkeit, wenn auf Backup-Mail-Server und statische IP-Adresse verzichtet wird
*Trotz aller Maßnahmen wird kaum die Zuverlässigkeit eines professionellen Mail-Dienstleisters erreicht
*Geringerer Datenschutz, wenn auf SSL-Zertifikat verzichtet wird
*Eigenaufwand für Daten-Backup
*Disk Station geht nicht mehr in den Stromsparmodus (kein Anhalten der Festplatte), weil die Mail Station ständig aktiv ist


==Siehe auch==


==Weblinks==