TLS oportunista frente a TLS forzado en un entorno basado en Exchange |Parte 2#12
En el artículo actual, revisaremos los dos "sabores" de TLS en el entorno basado en Exchange. Las dos opciones para implementar TLS son TLS oportunista y Forzado.
Los servidores basados en Exchange (Exchange local y Exchange Online) están configurados de forma predeterminada para utilizar la opción de TLS oportunista.
El significado es que dado que el “otro lado” también admite TLS, el protocolo de comunicación de correo que se utilizará es TLS.
La opción de TLS oportunista no es adecuada para un escenario en el que queremos establecer una necesidad obligatoria de utilizando TLS. Por ejemplo, en caso de que la otra parte no admita TLS, no estamos dispuestos a continuar el flujo de correo a través de una línea de comunicación no segura.
Un escenario adicional en el que la opción TLS oportunista no es adecuada es: un escenario en el que queremos definir una regla específica para el proceso de identificación, como por ejemplo: el requisito del “otro lado” de identificarse proporcionando un certificado público o un certificado que incluya un nombre de host/dominio específico.
Nota: Hasta donde yo sé, la opción de TLS oportunista sirve sólo para cifrar el canal de comunicación pero, no para implementar un proceso de identificación. la identidad del otro servidor de correo.
Los dos tipos de TLS en el entorno Exchange
El uso de TLS para cifrar el canal de comunicación entre dos servidores de correo se puede implementar de dos formas:
1. TLS oportunista
Un método que puede describirse como “mejor esfuerzo”.
Cuando configuramos nuestro servidor de correo para usar la opción de TLS oportunista<, cada vez que el servidor de correo intente enviar un mensaje de correo electrónico a otro servidor de correo (flujo de correo saliente), nuestro servidor de correo intentará verificar si el otro lado admite TLS.
Si el servidor de correo de destino admite TLS, nuestro servidor de correo enviará el correo a través de un canal de comunicación seguro utilizando el protocolo TLS.
Si el servidor de correo de destino no admite el protocolo TLS, nuestro servidor de correo "aceptará" utilizar un canal de comunicación no cifrado utilizando el protocolo SMTP.
La misma lógica se implementa con respecto a un escenario de correo entrante: cuando otro servidor de correo intenta comunicarse con nuestro servidor de correo (flujo de correo entrante), nuestro servidor de correo intentará ofrecer el uso de TLS.
2. Forzar TLS: una necesidad obligatoria para usar TLS.
Cuando configuramos nuestro servidor de correo para utilizar la opción deFforce TLS, definimos una necesidad obligatoria del uso de TLS para la comunicación por correo.
Cada vez que el servidor de correo intente enviar un mensaje de correo electrónico a otro servidor de correo (flujo de correo saliente), nuestro servidor de correo intentará verificar si el otro lado admite TLS.
Si el servidor de correo de destino admite TLS, el correo electrónico se enviará a través de un canal de comunicación seguro (utilizando el protocolo TLS para cifrar el canal).
En el caso de que el servidor de correo de destino no admita TLS, la comunicación por correo no continuará.
Para poder comprender mejor la lógica de TLS oportunista y FForce TLS, usemos una descripción más detallada sobre cada uno de los escenarios opcionales y los pasos específicos que se incluyen en cada uno de los escenarios. .
1.TLS oportunista
Un método en el que el servidor de correo preferirá implementar un canal de comunicación seguro con otro servidor de correo, pero en caso de que el "servidor de correo de destino" no admita el protocolo TLS, el servidor de correo de origen está dispuesto a "comprometerse" y acepta utilizarlo. Canal de comunicación no seguro que utiliza el protocolo SMTP.
El método de TLS oportunista se implementa mediante la negociación entre el servidor de correo de origen y de destino.
Nota: Los siguientes diagramas describen los diferentes escenarios de flujo de correo que implementan la opción de TLS oportunista y TLS forzado.
Nos referimos al servidor de correo de Exchange Online como "el servidor de correo de la organización", pero es importante enfatizar que los conceptos de TLS son relevantes para cualquier servidor de correo, como el servidor local de Exchange o cualquier tipo de servidor de correo.
El método de TLS oportunista implementado en dos “direcciones” de flujo de correo:
1. Flujo de correo saliente
Cuando el servidor de correo de origen se dirige al servidor de correo de destino, el servidor de correo de origen comenzará con una "propuesta" para utilizar la comunicación de correo cifrada mediante TLS.
Caso 1: en caso de que el servidor de destino acepte utilizar TLS, el enlace de comunicación entre los servidores de correo se implementará mediante el protocolo TLS.
Caso 2: en caso de que el servidor de destino no acepte usar TLS (no es compatible con el protocolo TLS o tiene algún problema como un problema con el certificado del servidor, etc.), la fuente El servidor de correo está dispuesto a "degradar" el protocolo de comunicación de correo a un protocolo de comunicación no seguro, es decir, protocolo SMTP.
2. Flujo de correo entrante
Cuando un servidor de correo que admite TLS oportunista es “direccionado” por otros servidores de correo, el protocolo de comunicación que se implementará, dependiendo del “servidor de correo fuente” que inicialice la comunicación.
Caso 1: en caso de que el servidor de correo de origen "declare" que quiere utilizar el protocolo TLS. El servidor de correo de destino informará al servidor de correo de origen que admite el protocolo TLS.
El resultado es que el protocolo de correo que se utilizará para la comunicación por correo será el protocolo TLS.
Caso 2: en caso de que el servidor de correo de origen no "mencione" la necesidad de utilizar el protocolo TLS, el servidor de correo de destino (Exchange Online en nuestro escenario) intentará negociar y ofrecer el uso de el protocolo TLS.
En nuestro escenario particular, los servidores de correo de origen no son compatibles con TLS.
El servidor de correo de destino que admita TLS oportunista, no “insistirá” en utilizar el protocolo TLS y aceptará “degradar” el canal de comunicación a un protocolo sin cifrado.
El resultado es que el protocolo de correo que se utilizará para la comunicación por correo será el protocolo SMTP.
Forzar (obligatorio) TLS
El término “Forzar TLS ”, se relaciona con una configuración TLS específica, en la que el servidor de correo de origen o el servidor de correo de destino está dispuesto a iniciar un canal de comunicación con otro servidor de correo solo si el canal de comunicación lo considera un enlace de comunicación seguro, es decir, utilizando el protocolo TLS.
Cuando el servidor de correo de origen se dirige al servidor de correo de destino, el servidor de correo de origen comenzará ofreciendo utilizar una comunicación de correo cifrada mediante TLS.
Escenario 1 | El servidor de origen utiliza Force TLS | El servidor de destino no admite TLS
En caso de que el servidor de destino no acepte usar TLS (no admite el protocolo TLS o tiene algún problema como un problema con el certificado del servidor, etc.), el servidor de correo de origen no continuará la sesión de correo y desconectará la sesión con el servidor de correo de destino.
Escenario 2 | El servidor de origen utiliza Force TLS | El servidor de destino admite TLS oportunista
En el caso de que el servidor de correo de destino admita la opción de TLS oportunista, el enlace de comunicación entre el Los servidores de correo se implementarán utilizando el protocolo TLS.
Escenario 3 | El servidor de origen utiliza Force TLS | Soporte del servidor de destino Force TLS
En este escenario, el servidor de correo de destino admite la opción de Forzar TLS. El enlace de comunicación entre los servidores de correo se implementará mediante el protocolo TLS.
Uso de una combinación de protocolos de comunicación de correo: SMTP, TLS oportunista + TLS forzado
De forma predeterminada, cada servidor Exchange que tenga un certificado admitirá la opción de TLS oportunista.
Para poder implementar la opción de Forzar TLS, necesitaremos crear un conector de correo dedicado (o actualizar el conector de correo existente) que “impondrá” el uso de TLS.
La mayoría de las veces, la opción de Forzar TLS no se implementará para todos los tipos de comunicación con cualquier servidor de correo, sino que se aplicará a un dominio de correo específico.
En el siguiente diagrama, podemos ver el concepto de utilizar una combinación de protocolos de comunicación de correo: SMTP, TLS oportunista + Forzar TLS
- El servidor de correo Exchange siempre intentará ofrecer la opción de usar TLS (TLS oportunista). En caso de que el servidor de correo de destino no admita TLS, el servidor de correo de Exchange utilizará comunicación de correo SMTP estándar con servidores de correo que no admitan TLS (dominio-A.com)
- El servidor de correo Exchange siempre intentará ofrecer la opción de usar TLS (TLS oportunista). En caso de que el servidor de correo de destino admita TLS, el canal de comunicación de correo se implementará mediante TLS (dominio-B.com)
- En cuanto a la relación con el dominio-C.com, Exchange utiliza un conector de correo dedicado que configura al usuario la opción de Forzar TLS. El intercambio aceptará enviar un mensaje de correo electrónico a un destinatario de dominio-C.com, sólo en el caso de que el servidor de correo que represente dominio-C.com también admite TLS.
Artículo siguiente
El próximo artículo: Arquitectura de Exchange y configuración TLS oportunista predeterminada | La parte 3#12 está dedicada a revisar la opción predeterminada de TLS oportunista en Exchange local y entornos basados en Exchange Online.