STARTTLS 拡張を使用して SMTP セッションを保護する

標準 TCP/IP チャネルで実行される SMTP セッションは、盗聴の被害を受けやすくなります。これは、エンコードされていない送信は簡単に捕捉できるためです。SMTP 通信を保護するために、サーバーは TLS 暗号化とも呼ばれるトランスポート層セキュリティ (TLS) を使用し、通信のプライバシーと認証を提供します。

一部のサーバーは、TLS ポート (デフォルトではポート 465) だけで SMTP トラフィックを送受信することにより、SMTP 通信の TLS をサポートします。ただし、この方法では、送信側サーバーと受信側サーバーの両方が TLS を使用する SMTP をサポートしている必要があるため、常に役に立つとは限りません。

TCP/IP を使用した SMTP 転送に TLS セキュリティーを提供するため、Domino® はセッションで決定する TLS をサポートしています。セッションで決定する TLS スキームの場合、送信側と受信側の両方のホストが、RFC 2487 で定義された SMTP STARTTLS 拡張を使用して、TLS 接続をネゴシエートする準備ができたことを知らせます。受信側サーバーは、送信側サーバーの EHLO コマンドの送信に応答して STARTTLS キーワードを表示します。送信側サーバーは、STARTTLS コマンドを発行し、セキュリティで保護された接続の作成を要求します。最初の TLS ハンドシェークが正常に完了したら、2 つのホスト間での TLS チャネルの設定が行われます。送信側と受信側の両方のサーバーが TLS 証明書を所有している必要があります。

アウトバウンド SMTP セッションの STARTTLS をサポートする

アウトバウンド・メールに対してセッションで決定する TLS を使用するように設定された Domino® サーバーは、受信側サーバーの SMTP TCP/IP ポート (デフォルトではポート 25) に接続します。受信側サーバーからの最初の SMTP 応答が STARTTLS 拡張をサポートすることを示す場合は、Domino® が STARTTLS コマンドを発行して TLS の使用を要求し、セッションの残りの部分を暗号化します。

Domino® サーバーの EHLO コマンドに対して受信側サーバーが STARTTLS をサポートしていることを通知しない場合、送信側 Domino® サーバーは、暗号化されていない SMTP TCP/IP セッションを続行します。

アウトバウンド STARTTLS サポートを有効にするには、SMTP アウトバウンドの TCP/IP ポートステータスを次のように設定します。ネゴシエートされた TLS。

インバウンド SMTP セッションの STARTTLS をサポートする

インバウンド SMTP トランザクションに対して STARTTLS コマンドをサポートするように Domino® を設定できます。Domino® SMTP サーバーを、インバウンド・セッションに対してセッションで決定する TLS を使用するように設定すると、サーバーは、TCP/IP ポートが接続ホストから受信する EHLO コマンドに対して STARTTLS のサポートを通知します。その後、接続ホストは STARTTLS コマンドを発行し、暗号化されたセッションを要求できます。

Domino® が TCP/IP を使用する SMTP セッションに STARTTLS を必要とするように設定されていて、接続ホストがこの要求を満たせない場合、その接続でメールは送信されません。

インバウンド STARTTLS サポートを有効にするには、次の操作を実行します。

SMTP listener タスクを有効にします。
SMTP インバウンド TCP/IP ポートを有効にします。
STARTTLS ESMTP 拡張を有効にします。これにより、Domino® が ESMTP EHLO グリーティング応答でサポートされる拡張の 1 つとして STARTTLS を通知します。
(オプション) TLS ポートに対して名前とパスワードによる認証を使用可能にします。セッションで決定する TLS を使用する SMTP セッションが、Domino® TCP/IP ポートを使用して行われていても、Domino® はサーバーの TLS ポートに対して設定した認証オプションを使用して、名前とパスワードの引数を処理する方法を決定します。

SMTP STARTTLS セッションに対して名前とパスワード認証を必須にする

セッションで決定する TLS に対する ESMTP サポートを有効にすると、匿名で接続するリモートサーバーからの TCP/IP を介して TLS を使用する要求を受け入れることができます。ただし、インバウンド接続がすべて匿名のわけではありません。Domino® に ESMTP AUTH コマンドを使用して名前とパスワードを送信するように接続 SMTP サーバーを設定できます。

セッションで決定する TLS セッション中に名前とパスワードを送信する SMTP クライアントからの接続をサポートするには、SMTP インバウンド TLS ポートの [名前とパスワード] フィールドを [はい] に設定します。TLS ポートを有効にする必要はありません。TLS ポートが名前とパスワードによる認証をサポートしていない場合、Domino® SMTP サーバーは、リモートサーバーからの AUTH コマンドを拒否し、コマンドを使用できないことを示すエラーを返します。

Domino® が TCP/IP ポートを介して AUTH コマンドを受信しても、Domino® は TLS の名前とパスワードによる認証設定を使用して、AUTH 要求を受け入れるかどうかを決定します。これは、コマンドを TLS セッションで受信するためです。TCP/IP ポートの [名前とパスワード] 認証設定は無視されます。