UTM9 SMTP Transparent Mode?

Question

Moin zusammen, 
 ich brauche mal bitte Hilfe dabei den SMTP Transparent Modus technisch zu verstehen. 
 Es gibt diverse Infos im Netz allerdings kriege ich da lediglich zwei Infos raus: 
 1. Erspart einem die Einrichtung diverse Firewall-Regeln 
 2. Blo&szlig; nicht einschalten. 
 
 Aber ich kann keinen Eintrag finden indem das, was dieser Modus macht, im Detail erkl&auml;rt wird und was es f&uuml;r Auswirkungen es hat, wenn man es ein/aus schaltet. 
 Vllt. hat auch jemand einen Link der detailierte Infos biete, ich aber nicht finden konnte. :-) 
 
 Derzeit sieht die Config bei uns so aus: 
 - Exchange Server in Webserver Protection eingepflegt 
 - SMTP Profile Modus aktiviert 
 
 - Host Based Relay: 
 Exchange Server und ERP Server eingetragen 
 
 - Advanced - Transparent Mode: 
 Port 25 angehakt 
 Skip Transparent (ERP Server, Scan2Mail Ger&auml;te, Telefonanlagen usw.) 
 Allow SMTP for... angehakt 
 
 Danke im Voraus f&uuml;r alle hilfreichen Tipps und Infos, um mein Verst&auml;ndnis f&uuml;r die Funktion zu verbessern. 
 
 LG, 
 Flo

jprusch · Accepted Answer

Hallo Florian, 
 ich versuche es einmal anders: 
 Zitat: "When using transparent mode, the system will intercept traffic on selected ports, and re-route it to the proxy. Host and Networks listed in the Skip transparent mode hosts/nets box will not be subject to the transparent interception of SMTP traffic. If you want to allow unproxied SMTP traffic for the listed hosts or networks, make sure that the appropriate checkbox is checked." 
 Ich &uuml;bersetze das mal in normale Sprache: "intercept" bedeutet, der betreffende Port ist offen, es ist keine weitere Firewallregel notwendig UND der Traffic wird an den PROXY-D&auml;mon f&uuml;r den SMTP weitergeleitet. Das heisst, die Sophos UTM k&uuml;mmert sich um den Verbindungsaufbau mit dem externen Kommunikationspartner, der sich aus der Ziel-IP ergibt. Man erh&auml;lt also eine Trennung zwischen "innen" und "au&szlig;en", weil der interne Client nur mit dem Proxy "spricht". Dennoch bleibt die Bewertung Pflicht, ob man das &uuml;berhaupt zulassen m&ouml;chte. 
 F&uuml;r den internen Exchangeserver, der die Sophos UTM als "smarthost" nutzen m&ouml;chte, spielt das "Proxying" &uuml;berhaupt keine Rolle, da hier Relaying betrieben wird. Weder ist hier unter "Transparent Mode" ein Port n&ouml;tig, noch muss man einen Eintrag bei SKIP einf&uuml;gen 
 Ich mache das ausschliesslich so - fertig. 
 .

DouglasFoster · Answer

Internal vs. External traffic 
 UTM has no concept of Internal vs. External, (except in IPS where it is explicitly configured.) Instead it has a set of proxies (packet filters) which are mutually exclusive. "Firewall Rules" is the proxy of last resort. 
 Many of the proxies use an "Allowed Networks" list, which determines which Source IPs are allowed to use the packet filter. If this configuration option exists, the packet filter is typically used for outbound traffic, and the Allowed Networks list is presumed to be internal addresses. However, this is not required because UTM does not have the concept of security zones. 
 Standard vs Transparent Mode 
 For all of the proxies, Standard Mode means the proxy listens on a specific UTM-controlled IP address and port. Traffic to irrelevent ports will be ignroed. Traffic from Source IPs that are not on the "Allowed Networks", or destined to a different destination port, will be handled by a different Standard Mode proxy or discarded. 
 Transparent Mode means that the packet is destined for an IP address not controlled by UTM, but UTM inspects traffic for specific destination ports as it passes through the device. 
 
 SMTP Traffic 
 SMTP has two modes: 
 
 Inbound traffic from the remote mail systems will arrive from arbitrary sources. The mail server or gateway only accepts traffic for configured destination domains. 
 Outbound traffic from mail client to mail server can use SMTP, but this is typically an authenticated connection. As long as the session is authenticated (or the source IP is whitelisted), the mail server will accept traffic from the client for any destination domain, and forward the message as needed. 
 
 SMTP Proxy 
 The SMTP Proxy is intended for filtering mail between mail servers, not for filtering traffic between mail clients and mail servers. 
 Could it be used for SMTP client to server? 
 I expect that the SMTP proxy will interfere with any client authentication mechanism, causing the connection to fall, but I do not use SMTP Standard Mode so I am not certain. Mail clients can connect to mail servers using mulitple protocolos (MAPI, ActiveSync, EWS, SMTP, web), so if you want to protect yourself from bad client submissions, the protection needs to be done by the mail server, not by an SMTP filter. What is clear is that the SMTP proxy is only going to listen for traffic to specific destination domains, so it does not make sense for client-to-server traffic. 
 Should I use SMTP in Transparent Mode? 
 The big advantage of Transparent Mode is that you can insert it into an existing configuration without any changes. Assuming that there is not translation at your network boundary, the changes are minimal so this advantage seems small. 
 It also means that UTM does not add a Received: header, so the UTM is invisible in your mail headers, which I view as a disadvantage but there may be a situation where this is preferred. 
 Transparent Mode also means that source-destination pairs are limited by your NAT configuration, not by an access control policy. This occurs because the SMTP proxy does not have an Allowed Networks list, and traffic entering the SMTP proxy will bypass any Firewall Rules you may have configured. For example, an infected internal PC can begin sending SMTP traffic to the internet. If the SMTP Proxy does not block traffic based on content, the spam will be allowed. 
 In summary, I do not recommend transparent mode for SMTP.

jprusch · Answer

Hallo Florian, 
 der transparente Modus f&uuml;r den SMTP-Proxy erm&ouml;glicht es ALLEN internen Clients (PCs, Laptops, Smartphones im WLAN, Tablets im WLAN usw...) ungehindert "raus zu gehen" ins Internet , um dort einen beliebigen Mailserver zu nutzen. Der verwendete Mailclient bekommt davon dann nichts mit, deshalb "transparent". 
 Genau das w&uuml;rde ich aber als einen Hauptzweck eines SMTP-(Sicherheits-) Gateways ansehen, das zu verhindern. Das wird der Grund sein, warum einige empfehlen "Blo&szlig; nicht einschalten"! Legitime Versender vom Mails k&ouml;nnen den internen Mailserver nutzen (und dessen Authentifizierungsmethoden), anstatt selbst direkt per SMTP an den Empf&auml;nger zu versenden. 
 Im Prinzip hast du es ja intuitiv richtig gemacht; die internen Server, die erlaubt werden sollem, von der Regel auszunehmen. Hier w&uuml;rde ich jedoch nochmal hinterfragen, warum du f&uuml;r die Scan2Mail Ger&auml;te nicht einen Empfangsconnector im Exchangeserver konfigurierst, warum der ERP Server den Exchange nicht nutzt und warum die Telefonalage "direkt gehen" muss. 
 Einen Link als Empfehlung zur weiteren Info: https://www.frankysweb.de/sophos-utm-konfiguration-der-email-protection-fuer-exchange/ 
 Ich pers&ouml;nlich w&uuml;rde SMTP und POP3/IMAP nur in einem Gastnetz zulassen, wenn &uuml;berhaupt. 
 (2x editiert wegen Typos und Link herausgesucht)