Fuerza de intercambio TLS | Solución de problemas y verificación del flujo de correo seguro |Parte 12#12
En el artículo actual, revisaremos tres temas relacionados con el escenario de flujo de correo basado en la comunicación TLS.
- Verificar la configuración TLS del servidor de correo
En un escenario en el que creamos todas las configuraciones TLS requeridas, pero por algún motivo, la comunicación por correo falló. Necesitamos poder comprender cuál es la causa del problema, por ejemplo: la configuración de nuestro servidor de correo o algo relacionado con la configuración TLS del servidor de correo de destino.
Para poder verificar la configuración TLS específica, podemos utilizar para verificar la útil herramienta web llamada CheckTLS.com.
- Lectura y análisis de encabezados de correo usando ExRCA
En el caso de que queramos verificar que la comunicación por correo se implementó mediante TLS, podemos verificar la información que se oculta en los encabezados de cada mensaje de correo.
En esta sección, revisaremos cómo copiar la información del encabezado del correo y cómo analizar la información utilizando la herramienta web de Microsoft - ExRCA (analizador de conectividad remota de Exchange).
- Prueba de la configuración Force TLS del servidor de correo
En la última parte, revisaremos cómo podemos probar la comunicación TLS utilizando un buen cliente de correo llamado JBMail Plus.
Verifique la configuración TLS del servidor de correo utilizando la herramienta de prueba web CheckTLS.com
Técnicamente hablando, cuando se utiliza la opción de Forzar TLS, la implementación no tiene que incluir un Requisito obligatorio en el que el servidor de correo de destino deberá acreditar su identidad mediante la presentación de un certificado de servidor.
En caso de que configuremos nuestro conector de correo para "exigir" al servidor de destino que pruebe su identidad proporcionando un certificado de servidor o en caso de que solicitemos un tipo particular de certificado de servidor como "certificado público de servidor" que fue proporcionado por un proveedor de confianza. California
Si experimentamos un fallo de comunicación, es difícil encontrar la causa concreta del fallo.
En caso de que el servidor de correo (nuestro servidor de correo y el servidor de correo de destino) incluya la opción de proporcionar un archivo de registro que contenga información sobre la posible causa del fallo de comunicación, podemos intentar leer este archivo de registro para comprenderlo mejor, pero en En realidad, la tarea de leer este archivo de registro no es demasiado fácil ni directa.
La buena noticia es que tenemos la opción de utilizar una herramienta web gratuita llamada CheckTLS.com.
Para poder demostrar el uso de la herramienta web CheckTLS.com, usemos el siguiente escenario:
Dos organizaciones diferentes que son socios comerciales, configuran la opción de Forzar TLC para el correo enviado por sus pareja.
Cuando un destinatario de la organización representada por el nombre de dominio thankyouforsharing.org envía un correo electrónico a o365pilot.com, el < El servidor de correo span class="highlight1i">o365pilot.com requerirá que la sesión de correo se implemente mediante TLS y, además, el servidor de correo del "destinatario de origen" (el servidor de correo de thankyouforsharing.org) deberá identificarse proporcionando un certificado válido.
La misma lógica se aplicará en la dirección opuesta: cuando el correo t sea enviado por el destinatario o365pilot.com (a través de o365pilot.com servidor de correo) al destinatario de thankyouforsharing.org, el servidor de correo que representa thankyouforsharing.org exigirá usar Forzar TLS e identificar el servidor de correo de origen (el servidor de correo que representa
o365pilot.com).
La organización de o365pilot.com aloja su infraestructura de correo en Exchange Online. Más adelante veremos el resultado de la prueba a partir de la información sobre el certificado público de Exchange Online.
Para poder verificar que la infraestructura fue configurada correctamente, utilizaremos la herramienta web CheckTLS.com para verificar la configuración TLS del servidor de correo que representa el dominio o365pilot.com y el servidor de correo que representa thankyouforsharing.org.
Verificar la infraestructura de o365pilot.com
Accederemos al sitio web CheckTLS.com e intentaremos enviar un mensaje de correo electrónico a un destinatario llamado: Bobm@o365pilot.com
En el cuadro de dirección, ingresaremos la dirección de correo electrónico requerida que deseamos verificar (para ser más precisos, queremos probar el servidor de correo que representa el nombre de dominio).
Haga clic en Pruébelo
En la siguiente captura de pantalla podemos ver los resultados:
En la pantalla superior podemos ver una tabla resumen que muestra todos los parámetros verificados respecto al “servidor de correo de destino”. "
Podemos ver que todas las pruebas se completan con éxito. Por ejemplo, el certificado del servidor (Cert OK) está "OK", TLS Neg (Negociación) está bien. etcétera.
Si continuamos desplazándonos hacia abajo, podremos ver información más detallada sobre la sesión TLS. En la parte superior podemos ver que el servidor de correo CheckTLS.com logra encontrar el registro MX del dominio o365pilot.com y logra completar la sesión TLS con el servidor de correo que representa este dominio (servidor de correo de Exchange Online en nuestro escenario).
Podemos ver que el servidor de correo de destino “informa” que soporta TLS mostrando el comando: 250- STARTTLS
Además, podemos ver que el servidor de correo de CheckTLS.com logra obtener el certificado del servidor de correo de destino. Podemos ver que el certificado "pertenece" a Microsoft y el certificado incluye el nombre del host: mail.protection.outlook.com
En el caso de que queramos obtener información más detallada, podemos hacer clic en la opción - Más Detalles.
En la siguiente captura de pantalla, podemos ver detalles adicionales como: el algoritmo de firma digital que se utilizó en el certificado del servidor, el valor de la clave pública y más.
Implementar prueba de remitente
En un escenario en el que el destinatario de origen envía un mensaje de correo electrónico al destinatario de destino y experimentamos algún problema de flujo de correo; No es fácil entender cuál de las partes tiene el problema.
Una opción adicional que ofrece la herramienta CheckTLS.com es implementar una prueba de remitente.
Para poder utilizar la prueba del remitente, en la sección del remitente, haga clic en Ejecutarlo
Haga clic en Iniciar prueba
En la siguiente pantalla, podemos ver que se generó un código único (contraseña) para nosotros.
Necesitaremos copiar la dirección de correo electrónico que aparece test@TestSender.CheckTls.com y la contraseña.
Necesitaremos pasar el código de acceso en el correo electrónico enviado por el destinatario, a quien queremos verificar su infraestructura de correo.
En nuestro escenario, queremos verificar la infraestructura de correo de la organización:thankyouforsharing.org.
El destinatario que enviará el mensaje de correo electrónico es: Ayelet@thankyouforsharing.org
Iniciaremos sesión en el buzón de Ayelet y crearemos un nuevo mensaje de correo.
En la línea de asunto, pegaremos el código que obtenemos del paso anterior y el "destinatario de destino" será: test@TestSender.CheckTls.com
En la siguiente captura de pantalla podemos ver los resultados.
Se envió una repetición por correo a Ayelet@thankyouforsharing.org
El correo de reproducción contiene un registro detallado, que incluye información sobre la sesión TLS.
Análisis de información de encabezados de correo utilizando el analizador de correo ExRCA
En la siguiente sección, demostraremos cómo solucionar problemas del flujo de correo TLS.
En nuestro escenario, hemos configurado nuestro servidor de correo para "exigir" al servidor de destino que pruebe su identidad proporcionando un certificado público.
En nuestro caso, el servidor de correo de destino no tiene un certificado público sino un certificado autofirmado.
Por este motivo, la comunicación TLS fallará.
Para poder comprender la causa del problema, utilizaremos la herramienta CheckTLS.com para verificar la configuración TLS del servidor de correo de destino.
En la siguiente captura de pantalla podemos ver el resultado de la prueba.
Podemos ver que el servidor de correo de destino admite TLS (250-STARTTLS) pero luego podemos ver el siguiente error:
Certificado NO VALIDADO: certificado autofirmado
[001.255] Entonces el correo electrónico está cifrado, pero el dominio no está verificado
Una opción adicional que podemos utilizar es el correo de prueba de Exchange Online.
En la siguiente captura de pantalla podemos ver el resultado del correo de prueba que se envió al servidor de correo de detención.
Aparece el siguiente error:
Razón: 450 4.4.101 La configuración de la sesión de proxy falló en el frontend con la dirección IP de destino principal '451.4.4.0 y respondió con un error de validación del certificado 454.4.7.5. Motivo: raíz sin contraste. ”
Se intentó realizar una conmutación por error a un host alternativo, pero no se logró. O no hay hosts alternativos o la entrega falló a los hosts alternativos.
El significado de este error es que el certificado del servidor de correo de destino con el que intentamos comunicar no es válido.
Leer y analizar encabezados de correo.
La información sobre el flujo de correo entre el servidor de correo de origen y de destino está "oculta" en los encabezados de correo que están "adjuntos" a cada uno de los mensajes de correo electrónico que se envían a un destinatario específico.
En un escenario en el que usamos la opción de Forzar TLS, es crucial que podamos para verificar la “existencia” de un canal de comunicación seguro implementado por el protocolo TLS.
Usando la información que se incluye en el encabezado del correo, podemos tener la opción de verificar "entre bastidores" sobre el flujo de correo y verificar si el flujo de correo se implementó mediante TLS.
En términos generales, podemos analizar la información en el encabezado del correo copiándola en un archivo de texto simple, pero en realidad, la tarea de comprender el contenido y la información que se incluye en el encabezado del correo no es tan simple.
La buena noticia es que existen un par de herramientas web gratuitas que pueden ayudarnos a analizar la información del encabezado del correo.
En nuestro escenario, demostraremos esta herramienta utilizando el analizador de mensajes de Microsoft (parte de la herramienta Exchange ExRCA).
1. Cómo leer encabezados de correo cuando se utiliza el cliente de correo OWA
Para poder acceder a los encabezados de correo cuando utilizamos el cliente de correo OWA, necesitaremos seguir los siguientes pasos:
- Abra el mensaje de correo electrónico en el que desea ver sus encabezados de correo.
- Haga clic en el pequeño signo de flecha
- Elija el menú - Ver detalles del mensaje
En la siguiente captura de pantalla podemos ver el contenido del encabezado del correo.
2. Cómo leer encabezados de correo cuando se utiliza el cliente de correo Outlook.
Para poder acceder a los encabezados de correo cuando utilizamos el cliente de correo Outlook, necesitaremos seguir los siguientes pasos:
- Abra el mensaje de correo electrónico en el que desea ver sus encabezados de correo.
- Elija el menú Archivo
- Elija el ícono propiedades
En la siguiente captura de pantalla podemos ver el contenido del encabezado del correo.
Análisis de información de encabezados de correo utilizando el analizador de correo ExRCA
En la siguiente sección, demostraremos cómo utilizar el analizador de mensajes de Microsoft.
Nuestra tarea es verificar si un correo enviado desde un destinatario de origen a un destinatario de destino se envió a través de un canal de comunicación seguro, es decir, TLS.
En nuestro escenario, cada correo que se envía desde el destinatario o365pilot.com a thankyouforsharing.org debe cifrarse mediante TLS.
Un destinatario llamado Bobb@o365pilot.com envía un mensaje de correo electrónico a un destinatario de destino llamado - Ayelet@thankyouforsharing.org
Analizaremos el encabezado de un mensaje de correo electrónico enviado a Ayelet@thankyouforsharing.org accediendo al correo electrónico y copiaremos el contenido del encabezado del correo electrónico.
Para poder analizar la cabecera del correo accederemos a la herramienta web ExRCA
Elegiremos la pestaña Analizador de mensajes y pegaremos el contenido del encabezado del correo que copiamos en el paso anterior.
Haremos clic en el encabezado de análisis
En la siguiente captura de pantalla, podemos ver los resultados.
En Enviar host y Recibir host , podemos ver el servidor de correo que estuvo involucrado en el flujo de correo.
En la fila Tipo, podemos ver que el flujo de correo se implementó mediante TLS.
Prueba de la configuración Force TLS del servidor de correo
Después de tener la opción de Forzar TLS, queremos asegurarnos de que el servidor de correo no " aceptar” para hablar con un anfitrión que no admite TLS.
Para verificar este escenario, necesitaremos utilizar algún cliente que ayude a simular la interacción entre el servidor de correo y otro servidor de correo (o cliente).
Mi herramienta favorita para implementar esta prueba es una herramienta de cliente de correo gratuita llamada JBMail Plus.
En la siguiente sección, demostraremos un escenario en el que simulamos un cliente/servidor de correo que se dirige a un servidor de correo específico (el servidor de correo que representa el dominio o365pilot.com) que debería configurarse usando Forzar TLS.
Intentamos deliberadamente utilizar una sesión sin TLS (SMTP) e intentamos verificar cuál será la respuesta del servidor.
Elegiremos la pestaña Configuración de envío y agregaremos los siguientes detalles.
Su dirección: esta es la dirección de correo electrónico del destinatario que intenta enviar el correo electrónico.
Host SMTP: el nombre de host del servidor de correo al que queremos dirigirnos. En nuestro escenario específico, el nombre de host del servidor de correo que representa el dominio o365pilot.com es
o365pilot-com.mail .protection.outlook.com
Protocolo: dejaremos la opción por defecto de “Cleartext” porque queremos probar un correo no seguro canal de comunicación y verificar cuál será la respuesta del servidor de correo.
Elegiremos la pestaña Cuenta y luego haremos clic en el botón Redactar.
En el campo TO:, agregaremos la dirección de correo electrónico del destinatario de destino. En nuestro escenario, queremos intentar enviar el mensaje de correo electrónico a un destinatario del dominio o365pilot.com.
En la siguiente captura de pantalla podemos ver el resultado. El servidor de correo que representa el dominio o365pilot.com, “se niega” a aceptar el correo y nos informa que:
No hay ningún conector de socio configurado que coincida con el dominio del destinatario del mensaje
