Zertifikatsmismatch bei MX-Server (Netcup Reseller Webhosting) - Falscher Wiki Eintrag?

Hallo zusammen,

ich möchte mich an diejenigen wenden, die ebenfalls einen Webhosting Reseller-Tarif von Netcup nutzen, um herauszufinden, ob Ihr das folgende Problem ebenfalls beobachten konntet oder ob ich möglicherweise eine Fehlkonfiguration vorgenommen habe.

Problemstellung:

Nach meiner Erfahrung tritt dieses Problem auf, wenn man sich exakt an die Netcup-Wiki-Anleitung zum Reseller-Tarif hält.

Ich habe die DNS-Einträge entsprechend den Vorgaben aus dem Netcup-Wiki und dem Support eingerichtet, insbesondere den MX-Eintrag auf mail.meine-domain.tld. Bei einer Überprüfung mittels checktls.com wird jedoch ein Fehler angezeigt: Das Zertifikat des MX-Servers stimmt nicht mit dem angegebenen Hostnamen überein.

(Wer auch mal prüfen möchte: https://www.checktls.com/TestReceiver)

Mir ist zudem aufgefallen, dass dieses Problem nicht nur bei Netcup, sondern auch bei vielen anderen Plesk-basierten (Reseller-)Webhosting-Angeboten auftritt.

cert_error.png

Relevanz des Problems:

Dieses Verhalten besteht offenbar schon seit längerer Zeit, gewinnt aber nach meiner Ansicht zunehmend an Bedeutung. Immer mehr E-Mail-Server bzw. SMTP-Server prüfen nicht nur, ob eine TLS-Verbindung zur Gegenstelle besteht, sondern validieren auch die Gültigkeit des Zertifikats.
Ist das Zertifikat ungültig oder entspricht es nicht dem angegebenen Hostnamen, etc., wird der Versand der E-Mail verweigert.

Mir ist das Problem heute beispielsweise erst bewusst geworden, weil E-Mails nicht an uns zugestellt werden konnten. Der Mailserver des Absenders ist durch Sophos Email Protection geschützt, und in dessen Richtlinien gibt es eine Option, die aktiviert ist. Diese verweigert den Mailversand, wenn die TLS-Zertifikatsprüfung beim Empfänger fehlschlägt.

Meine aktuelle Lösung:

Um das Problem zu umgehen, habe ich den MX-Eintrag im DNS von mail.meine-domain.tld auf den korrekten MX-Server (welcher über das Wildcard Zertifikat abgedeckt ist) umgestellt - in meinem Fall rw0b89.webhosting.systems. Seitdem gibt es keinen Zertifikatsfehler mehr.

no_chert_error.png

Hat jemand ähnliche Erfahrungen gemacht oder eine andere Lösung gefunden? Oder habe ich irgendwas komplett übersehen? Sollte an dieser Stelle evtl. das Wiki angepasst werden?

Ich freue mich auf eure Rückmeldungen!

Viele Grüße

Marc

Nachtrag:

Das gleiche Problem tritt auch beim regulären Netcup-Webhosting auf. Zu Testzwecken habe ich diesmal eine Webserver-Inklusiv-Domain genutzt, die auch DNS-seitig vollständig von Netcup verwaltet wird.

Dort sind standardmäßig zwei MX-Einträge vorhanden: einer verweist auf mail.meine-domain.tld, der andere direkt auf den MX-Server von Netcup. Auch hier: Eine Prüfung wird als erfolgreich gewertet, während die andere fehlschlägt.

uebersicht_cert.png

Wie sich das Verhalten gestaltet, wenn ein MX-Eintrag mit dem Zertifikat valide ist und der andere nicht, kann ich noch nicht abschließend sagen. Da jedoch mail.meine-domain.tld eine niedrigere Priorität hat, vermute ich, dass die E-Mails auch hier nicht versendet werden. Ich werde dies später testen und entsprechend berichten.

Vielen Dank für die ausführliche und detaillierte Antwort!

Tatsächlich macht es bei checktls keinen Unterschied, ob ich mail.domain.tld oder nur domain.tld verwende.

Sobald ich Send SNI aktiviere, verläuft der Test in beiden Fällen erfolgreich. (Ist ja nicht so, dass in meinem eigenen Screenshot das als Tipp hinterlegt ist.. Habe ich wohl übersehen....)

Warum E-Mails dennoch mit der Begründung "Zertifikat stimmt nicht überein" abgelehnt wurden, bleibt mir weiterhin ein Rätsel.

Dennoch war deine Erklärung äußerst aufschlussreich und hat mir bereits erheblich weitergeholfen.

Nochmals vielen Dank!