Limits, oder wo kann ich Beschränkungen setzen ?

Diese Seite beschäftigt sich mit den Möglichkeiten, einen ungehemmten Mailverkehr zu steuern. Dies betrifft sowohl Größenbeschränkungen als auch Beschränkungen bezüglich der Empfänger, Sender, Domänen etc.

Die Beschreibung wir bei Exchange 2007 die verschiedenen Grenzwerte zu setzen sind, finden Sie in der BPOS Hilfe unter:
Limit Managing Message Size Limits http://technet.microsoft.com/en-us/library/bb124345.aspx
Kritisch ist hier vielleicht der Standardwert von 10 Megabyte auf den Receive Connectoren, die auch innerhalb der Organisation Mails blockieren können.
Details: Grenzwerte 2007

Exchange 2007 - Mailbox Size Limits Are Not Enforced in a Reasonable Period of Time
http://technet.microsoft.com/en-us/library/bb684892.aspx

327378 Exchange 2000 and Exchange 2003 mailbox size limits are not enforced in a reasonable period of time

Tage für Tag kommen neue Nachrichten auf ihrem Exchange Server an, täglich nimmt die Datenmenge zu und Sie sind für den Betrieb und die Sicherung zuständig. Da kommt schon der Wunsch auf, den Benutzern gewisse Grenzen zu ziehen. Grenzen dienen zum einen dazu, Missbrauch oder Fehlbedienungen zu begrenzen (Wer hat noch nicht eine komplette Festplatte per Drag'n Drop an eine Mail angefügt) oder eine Überlastung durch einen Anwender oder einen Virus zu begrenzen. Sie schützen damit auch die anderen Anwender vor einem Verlust, wenn Sie die Verfügbarkeit ihres Servers erhalten.

Aber auf der anderen Seite haben Grenzen auch das Risiko, dass Benutzer, die daran stoßen, sich andere Wege vorbei an ihrem System suchen. Da beginnt damit, dass Anwender sehr große Anlagen über ein Webinterface an gmx.de, web.de oder andere Systeme versenden und erhalten und damit ihre ausgeklügelten Protokollfunktionen und Schutzeinrichtungen gegen Viren umgehen oder betriebswichtige Daten in lokale PST-Dateien auslagern. Dies kann genauso wenig im Interesse der Firma und Ihnen sein. Daher gilt es, ein vernünftiges Maß zwischen Einschränkung und Wildwuchs zu finden.

Exchange bietet ihnen hier mehrere Stellen an, an denen Sie Grenzen setzen können. Wenn wir den Verlauf einer Mail verfolgen, dann stellen wir in der Regel drei Durchlaufstationen fest, die mehrfach auftreten können.

Manchmal gibt es auf dem Weg zwischen zwei Endpunkten mehrere Connectoren, MTAs, Relay und teilweise auch Postfächer mit Weiterleitungen. Weil das alles recht unübersichtlich sein kann, habe ich alle relevanten Stellen auf einem großen Bild zusammen gefasst. Viel Spaß beim Ausdrucken und Anschauen:

Hier können Sie das Bild im "Großformat" herunterladen

limit-poster.mdi 800 kByte Office Dokument Imaging
limit-poster.jpg 450 kByte JPEG

Das Bild zeigt alle Stellen, an denen Sie Grenzen bezüglich der Größe eines Postfachs oder der zu übertragenden Nachrichten einstellen können. Allerdings sehen Sie nicht direkt die Zwischenstationen und Prüfpunkte. Die beiden folgenden Bilder zeigen ihnen, welche Stationen eine Mail vom Internet zum Postfach und zurück durchläuft.

Beim Empfang einer Mail kann ihnen natürlich zuerst ein vor gelagertes System die Mail blockieren, ehe dann der erste virtuelle SMTP-Server die Mail überhaupt annimmt. Die Routingengine beachtet dann die Einstellungen der des Nachrichtenroutings der Organisation, ehe es die Mail direkt an den Postfachspeicher oder den nächsten Connector übergibt

Der nächste Connector kann natürlich ebenfalls die Größe steuern genauso wie der virtuelle SMTP-Servers des nächsten Servers. Zuletzt können die Mailgrößenlimits beim Benutzer oder dem Store zuschlagen.

Dieses Bild ist stark vereinfacht, da z.B. jeder Exchange Server die Grenzwerte der Organisation überprüft und Connectoren zu anderen Diensten und der X.400 MTA nicht berücksichtigt sind.

In die Senderichtung sind zuerst die Grenzen des Benutzers ausschlaggebend und dann die Grenzen der Organisation, ehe die Mail  über einen Connector und virtuelle SMTP-Server an einen anderen Server übergeben werden oder direkt über den virtuellen SMTP-Server und einem SMTP-Connector (sofern konfiguriert) die Exchange Organisation verlassen.

Auch hier ist oft in der Senderichtung ein Smarthost eingebunden, welcher die Übertragung auch noch begrenzen kann.

Größe des Postfachlimits

Das erste und direkt wirkende Limit ist ein Grenzwert auf Postfächer von Anwendern. Der Administrator kann hierbei drei Stufen nutzen.

Diese Einstellung kann pro Benutzer eingestellt werden. Sind hier keine Vorgaben eingestellt, dann gilt der Standard des Postfachspeichers, in dem das Postfach angelegt wurde. Denken Sie immer daran, dass ein kleines Limit den Anwender quasi zwingt, notwendige Nachrichten in öffentliche Ordner oder private PST-Dateien abzulegen. Damit verlagern sich die Lasten nur. PST-Dateien auf Dateiservern sind sogar größer und damit gleich mehrfach ungünstig.

Weisen Sie daher ihre Anwender besser auf die Grenzen und den Sinn der Limitierungen hin, aber geben Sie den Anwendern den Platz, den Sie vorgeben zu benötigen. Aber zeigen Sie Kostenbewusstsein und kümmern Sie sich rechtzeitig um die Erweiterung der Kapazitäten. Oft verhilft ein Hinweis auf die Kosten übertriebener Datenhalten zur Einsicht einiger Benutzer. Prüfen Sie trotzdem, ob Dateien mit der Endung PST existieren. Als Exchange Administrator sollten Sie die Nutzung von PST-Dateien unterbinden. Grenzwerte auf Ordner innerhalb eines Postfachs sind nicht möglich.

Achten Sie darauf, welche Objekte Sie so beschränken. So nutzt auch der Exchange SRS ein Postfach zum Austausch der Meldungen zur Verzeichnisreplikation. Eine Beschränkung dieses Systempostfach verhindert eine erfolgreiche Replikation!

Postfachlimits können auch bei externen Empfängern zum tragen kommen. Oft haben freie Mailserver (gmx.de, Web.de etc.) ein Limit von 2 Megabyte je Nachricht und einigen Megabyte je Mailbox.

Diese Werte können auch per Script gesetzt werden. Es ist leider nicht möglich, solche Grenzwerte basierend auf einer OU oder einer Sicherheitsgruppe zu vergeben. Allerdings können Sie mit eigenen Skripten dies selbst setzen. Diese Grenzwerte sind im Active Directory hinterlegt und nicht im Store. Der Zugriff auf den Store ist aber erforderlich, um die aktuelle Belegung auszulesen (Siehe WSH - MBSIZE)

Die Felder heißen:

Über die MMC-Gui kann maximal 2097151 (2GB) eingetragen werden Über ADSIEDIT ist bis zu 2147483647 (Terabyte) möglich. Sie können Sie werte auch mit ADSIEDIT, LDIFDE oder anderen Programmen verändern.

Ich kann nicht sagen, welche Werte für den Informationsspeicher "plausibel" gelten. Die Beschränkung der MMC auf 2 Gigabyte ist sicher zu klein.

Meldung von Exchange anpassen

Gerade die Postfachbeschränkungen erzeugen eine Meldung an die Anwender, die der ein oder andere Administrator gerne verändert hätte. Sie schön sieht die Meldung mit Exchange 2007 aus.

E2K7 Mailbox Quota Message

Wann dies passiert, können Sie auf dem Mailbox Speicher einstellen.

Sie können diese Meldungen hier auch deaktivieren und dann mit eigenen Routinen selbst die Limits prüfen und melden. Der Exchange Quota Message Service basiert darauf, dass Sie Exchange erst einmal verbieten, eine Quota-Mail zu senden. Exchange wird natürlich weiterhin die Postfächer überwachen und den Zugriff entsprechend verhindert. Aber für die Erstellung der Nachrichten ist nun der Exchange Quota Message Service zuständig. Er ist nun das Programm, welches eine Mail an die Anwender sendet.

Sie müssen natürlich dafür sorgen, dass das Programm regelmäßig läuft.

Es ist natürlich auch möglich, hier seine eigene Routine zu schreiben.  Es gibt mehrere Beispiele, wie die Mailboxgröße von Postfächern per CDOEXM oder MAPI aber auch WebDav (siehe www.leederbyshire.com - MBSize ) ermittelt werden kann.

Größe der übertragenen Nachrichten

Zudem kann ich pro Benutzer auch einstellen, wer überhaupt dieses Postfach erreichen darf. per Default sind alle Exchange Empfänger auch aus dem Internet erreichbar. Das ist natürlich besonders übel, wenn es sich um Funktionspostfächer oder besonders zu schützende Personen oder Konten handelt. (z.B. BlackBerry Benutzer). Unter Active Directory Benutzer und Computer sind die entsprechenden Einstellungen beim Anwender zu finden:

Sie können je Anwender die Größe der zu übertragenen Nachrichten als auch die erlaubten Absender beschränken. Um die Erreichbarkeit aus dem Internet zu verhindern reicht es aus, die Checkbox bei "Nur von authentifizierten Benutzern" zu setzen. Damit sind "anonyme Absender" ausgeschlossen. Leider ist der Exchange SMTP-Server nur in der Lage, Nachrichten an unbekannte Benutzer abzulehnen. Er kann leider nicht gleich prüfen, ob die Mail auch zugestellt werden kann.

Es ist in Exchange 5.5 und Exchange 2000/2003 leider keine gute Idee, die SMTP-Adresse des Kontos zu entfernen. Was in Exchange 5.5 noch funktioniert ist bei Exchange 2000/2003 aufgrund der Bedeutung der SMTP-Adresse beim Nachrichtenrouting unbrauchbar. Sie könnten zwar eine andere nicht erreichbare SMTP-Adresse wie username@exchange.system eintragen, aber das ist kein Schutz, da auch diese Adresse aus dem Internet erreichbar wäre. Vielleicht haben Sie ja schon Adressen in der Form IMCEA---xxxxxx--@firma.tld gesehen. Das sind als SMTP-Adresse getarnte X.400 Adressen.

Exchange 2007
Hier gibt es nicht mehr die entsprechende Karteikarte bei dem Benutzer, so dass man die Einträge z.b. per ADSIEDIT direkt im AD durchführen kann. Es sind die Attribute:
delivContLength, submissionContLength und msExchRecipLimit

Erreichbarkeit von Verteilern

Diese Funktion ist natürlich auf Verteilern um so wichtiger. Es wäre fatal, wenn ein interner Verteiler mit allen Personen im Internet bekannt und erreichbar wären. Das wäre für Spammer und Werber sehr interessant aber für Sie als Firma sehr unangenehm. Leider können Sie als Administrator nicht verhindern, dass ein Mitarbeiter die Mailadresse eines Verteilers abschreiben und veröffentlichen.

Daher gilt auch hier: Verbergen ist kein Schutz; nur eine effektive Kontrolle und Blockade ist wirkungsvoll. Hier kann auch Exchange wieder mit den Empfangsbeschränkungen genutzt werden.

Mit der MMC für Active Directory Benutzer und Computer können Sie in den Eigenschaften des Verteilers nicht nur die Größe der Nachrichten, sondern auch die erlaubten Absender definieren. Es lohnt sich, hier mit Gruppen/Verteilern zu arbeiten, so dass später eine einfache Delegierung stattfinden kann.

Größen und Erreichbarkeit von Öffentlichen Ordnern

Ein weiteres Ziel von Nachrichten sind öffentliche Ordner. Auch diese können schnell große Datenmengen erreichen. Exchange 5.5. erlaubt hier nur die Definition einer Warnschwelle. Erst mit Exchange 2000 können auch öffentliche Ordner mit einem festen Limit belegt werden, d.h. dass Ordner eine bestimmte Größe nicht überschreiten dürfen. Dabei ist aber genau darauf zu achten, dass auch Replikationen dadurch empfindlich gestört werden können.

Diese Definition kann auf dem Informationsspeicher global definiert werden. Zusätzlich kann je Ordner eine abweichende Grenze gelten. Die Warnungen gehen als Mail immer an den Ordnerbesitzer.

Ob ein öffentlicher Ordner per Mail erreichbar ist oder nicht, definieren Sie einfach über die Rechte im öffentlichen Ordner. (Siehe Berechtigungen)

Globales Limit

Eine weitere Möglichkeit ist die Limitierung der maximalen Nachrichtengröße auf dem MTA. Damit wird eingestellt, ob eine Nachricht zu "groß" ist und daher nicht geroutet wird. Der Absender erhält eine Information, dass die Nachricht aufgrund einer Systembeschränkung nicht weitergeleitet wird. Die Nachricht wird gelöscht. Der Zielempfänger erhält keine Information. Diese Limits gelten für jede Nachricht, d.h. auch für Systemnachrichten, Nachrichten der Verzeichnisreplikation und Synchronisationsnachrichten von öffentlichen Ordnern.

Zu enge Limits auf MTAs können auch die Exchange 5.5 eigene Replikation des Verzeichnisdienstes empfindlich stören. Denken sie daher daran die Größe der Replikationsnachrichten zu ermitteln.

In Exchange 2000 werden die Einstellungen auf der Organisation eingestellt.

Diese Einstellungen gelten für die gesamte Organisation. Ab Exchange 2003 ist hier ein Limit von 10 Megabyte pro Mail als Default eingestellt. Exchange 2000 und 5.x hatte kein Default-Limit.

Achten Sie darauf, dass diese globale Limit für alle Nachrichten gilt und damit größere Individuelle Limits pro Postfach außer Kraft gesetzt werden. Sie müssen daher diese Limit mindestens so hoch setzen, wie die maximale Nachrichtengröße bei den Empfängern. Wenn Sie für alle anderen Empfänger kleinere Grenzen haben müssen, dann müssen Sie dies pro Benutzer entsprechend einstellen. Wohl dem, der das per VBScript oder ADModify.NET tun kann.

Grenzwerte bei Connectoren

Auch auf der Ebene der Connectoren können Nachrichten aufgrund der Größe abgelehnt werden. Hierbei gibt es meist zwei Größen. Eine wirkt für den Weg aus Exchange nach draußen, z.B. das Internet. Bei einigen Connectoren kann auch die Größe von eingehenden Nachrichten beschränkt werden. Sofern das Protokoll dies unterstützt, kann damit eine Nachricht auch von extern schon vor dem eigentlichen Empfang abgelehnt werden.

Zu enge Limits können auch hier die Exchange 5.5 eigene Replikation des Verzeichnisdienstes stören. Denken Sie daran, dass Nachrichten über SMTP aufgrund der Codierung (MIME, UUNECODE) etwas größer werden, ( ca. 10-20 %)

Zudem kann auch hier über die Empfangsbeschränkungen kontrolliert werden, wer eine Mail über diesen Connector versenden darf.

Da sie auch mehrere Connectoren einrichten können, können Sie so über Berechtigungen, Adressräume und weitere Kriterien unterschiedliche Leitwege und Blockaden einrichten.

Achtung: Diese Einstellungen werden erst aktiv, wenn Sie einen Registrierungsschlüssel setzen. Details siehe Internet Mail Connector 200x

Seit Exchange 2003 können unter "Delivery Restrictions" auch eine abfragebasierte Gruppe QBDG Verteiler) eingetragen werden. Wenn man diese dann so aufbaut, dass z.B.: alle Azubis alle ein eindeutiges Merkmal haben (z.B. Extension Attribute 1), dann benötigen Sie dazu keine Sicherheitsgruppe.

Dazu habe ich folgende Information per Mail erhalten (Auszug):
"Wir haben das auch für eine größere Gruppe von Anwendern versucht. Mit ca. 5000 Usern scheiterten unsere Bemühungen. Im ersten Ansatz versuchten wir es mit geschachtelten Gruppen. Jede SMTP-Mail führte zur Auflösung der Gruppen und bescherte unserer 2-Prozessor-Maschine 100%- Last mit zugehörigem verzögertem Mailtransport.
Auch die zweite Maschine, wurde 100% ausgelastet, sobald eine SMTP-Mail verarbeitet wurde.
Im zweiten Wurf wurden die User einzeln per Skript eingetragen. Leider zeigte sich eine Grenze, die bei ca. 1000 Usern liegt. Alle User konnten zwar eingetragen und ausgelesen werden, die Software interpretierte leider nur ca.1000 der mehr als 5000 User.

Allerdings stelle ich mir schon die Frage, was Beschränkungen auf Connectoren generell bewirken. Natürlich kann ich so einen Weg für jemand sperren aber die meisten unerwünschten Mails kommen doch aus dem Internet. Interne Nachrichten kann ich ja dank Nachrichtentracking jederzeit auf den Absender zurück verfolgen und dagegen vorgehen. Mails in das Internet kann ich dann immer noch mit einem SMTP-Eventsink oder auf einem Gateway gezielter filtern oder auch verändern (Siehe auch FromModify und VBS:Disclaimer)

Virtueller SMTP-Server

Eine weitere Grenze ist beim virtuellen SMTP-Server einstellbar:

Diese Einstellungen wirken aber sehr tief am einzelnen Server und werden über die in RFC 1870 genannte SIZE-Erweiterung realisiert.

Da diese Grenze wirklich JEDE über diesen virtuellen SMTP-Server übertragene Nachricht beschränkt, und damit sowohl Verzeichnisreplikation als auch öffentliche Ordner Replikation empfindlich stören kann, rate ich von dem Einsatz dieser Limitierung ab.
Zudem kann das Exchange Routing Modul diese Grenzen nicht erkennen und die Mails sind dann einfach nicht zustellbar. In der Folge wird der Connector als "DOWN" gekennzeichnet.

Nutzen Sie diese Einstellung nur auf einem Relayserver oder einem eigenen virtuellen Server, der nicht für die Kommunikation innerhalb einer Exchange Organisation genutzt wird.

Limits unterwegs im Internet

Gerade im Internet sind aber auch zwischen dem Absender und dem Empfänger weitere Stationen. So werden ausgehende Nachrichten oft über ein Relay in einer Firewall Umgebung gesendet. Dieses Relay sendet die Mail dann an den Empfänger. Ist das Zielsystem kurzfristig nicht erreichbar, kennt SMTP die Möglichkeit einen Ersatzserver zu nutzen (MX-Eintrag) und die Mail damit schon sehr nahe an das Ziel zu bringen (Meist zum Provider des Zielempfängers). Auch diese Systeme haben Obergrenzen.

Oftmals sind Mailrelays zwischen SMTP-Systemen begrenzt. Dies können Sie einfach mit einem TELNET mailserver 25 in Erfahrung bringen und dann "EHLO firma.de"  eintippen. (Siehe auch SMTP - Wie geht das). Der andere Mailserver sendet ihnen dann auch die maximale Größe als SIZE-Befehl zurück. Gute Mailserver prüfen vor dem Versand der Mail, ob der Empfänger die Nachricht annimmt. Outlook Express z.B. tut dies aber nicht (es ist ja kein Server, sondern ein Client), so dass Nachrichten von einem Client entweder trotzdem akzeptiert werden oder erst beim Überschreiten der Grenze die Verbindung unterbrochen wird.

Auslöser erkennen

Nachrichten über fehlerhafte Zustellungen auf Grund von Grenzwerten kommen immer von dem Mailserver, welcher die Überschreitung erkannt hat. Als erstes sollten Sie daher den Absender der Informationsnachricht ansehen, um die Stelle zu ermitteln, an der die Nachricht gelöscht worden ist.

Manchmal ist dies aber nicht gerade einfach, da bei verbundenen Exchange Servern der Absender "Systemaufsicht" heißt. In diesem und anderen Fällen wird aber im Nachrichtenkörper eine genauere Information zu finden sein. Innerhalb von Exchange hilft auch die Nachrichtenverfolgung und die Ereignisanzeige der Server weiter, wenn es darum geht die Hürde zu finden.

Bei der Suche nach der letzten Station eines Mailservers im Internet helfen die Kopfzeilen einer Nachricht, welche Sie sich gesondert anzeigen lassen können. Hier ist bei externen Nachrichten das Absendersystem zu erkennen.

Beispiel 1

Eingestellte Parameter

Was passiert ?

Beispiel 2

Eingestellte Parameter

Was passiert ?

Sie sehen, dass es nicht allzu einfach ist, diese Werte alle in eine sinnvolles Konzept zu pressen. Aus meiner Erfahrung rate ich ihnen zu folgendem

Betrieb ohne Limits ?

Wenn Sie immer noch überlegen, ob sie Grenzwerte einführen oder nicht, dann kann ich nur sagen. TUN SIE ES. ansonsten passieren solche Dinge, wie diese im Exchange Team Blog aufgeführt werden:

Aber auch andere Werte sind imposant:

Quelle: How does your Exchange garden grow? http://msexchangeteam.com/archive/2005/06/02/405722.aspx

Limits und Move

Exchange 2010 prüft vor dem Verschieben einer Mailbox ebenfalls, ob die Grenzen überschritten werden. Hier ein Beispiel beim Move nach Exchange 2010

Weitere Links

Keywords: Postfachlimit Grenzwerte Empfangsbeschränkungen Größe Limit