Dateien nach "/" hochladen

2026-08-13 22:25:52 +02:00
parent 4b4d2b7f64
commit b5c994d970
4 changed files with 1090 additions and 0 deletions
@@ -0,0 +1,247 @@
+# SMTPGraphRelay V1
+
+Ein kleiner nativer Windows-/PowerShell-Relay:
+
+```text
+Drucker / NAS / Server / Monitoring
+            |
+            | SMTP (lokal)
+            v
+      SMTPGraphRelay
+            |
+            | HTTPS / OAuth2 / Microsoft Graph
+            v
+       Microsoft 365
+```
+
+## Was V1 kann
+
+- SMTP-Listener auf konfigurierbarer IP / Port
+- `EHLO`, `HELO`, `MAIL FROM`, mehrere `RCPT TO`, `DATA`, `RSET`, `NOOP`, `QUIT`
+- IPv4-Allowlist per CIDR
+- maximale Mailgröße
+- lokale Store-and-Forward Queue
+- Retry bei Graph-/Netzwerkfehlern
+- Failed-Queue nach Max-Retries
+- Microsoft Graph `sendMail`
+- MIME-Mail wird als MIME an Graph weitergegeben
+- App-only OAuth mit Zertifikat
+- First-Run erzeugt:
+  - selbstsigniertes Zertifikat in `LocalMachine\My`
+  - Entra ID App Registration
+  - Service Principal
+  - Microsoft Graph `Mail.Send` Application Permission
+  - Admin Consent
+  - `config.json`
+  - Windows-Firewallregel
+  - Scheduled Task als `SYSTEM`
+
+## Voraussetzungen
+
+- Windows 10/11 oder Windows Server
+- Windows PowerShell 5.1
+- PowerShell als Administrator
+- Internetzugang zu Microsoft Graph / Entra
+- M365-/Entra-Admin, der App-Registrierungen und App Permissions vergeben darf
+- bestehendes Exchange-Online-Postfach für den konfigurierten Absender
+
+## Installation
+
+1. ZIP entpacken, z. B.:
+
+```powershell
+C:\Program Files\SMTPGraphRelay
+```
+
+2. Windows PowerShell **als Administrator** öffnen.
+
+3. Setup starten:
+
+```powershell
+Set-ExecutionPolicy -Scope Process Bypass
+cd "C:\Program Files\SMTPGraphRelay"
+.\Setup-SMTPGraphRelay.ps1
+```
+
+Das Setup fragt u. a.:
+
+- App-Name
+- M365-Absenderpostfach
+- Listen-IP
+- SMTP-Port
+- erlaubte Quellnetze
+
+Danach wird die Entra-App automatisch erstellt.
+
+## Standard
+
+Port:
+
+```text
+2525/TCP
+```
+
+Default-Allowlist:
+
+```text
+127.0.0.1/32
+10.0.0.0/8
+172.16.0.0/12
+192.168.0.0/16
+```
+
+Der Absender wird standardmäßig immer auf das konfigurierte M365-Postfach umgeschrieben:
+
+```json
+"ForceSender": true
+```
+
+Das verhindert, dass ein internes Gerät beliebige `From:`-Adressen durchreichen kann.
+
+## Start / Stop
+
+Start:
+
+```powershell
+Start-ScheduledTask -TaskName "SMTPGraphRelay"
+```
+
+Stop:
+
+```powershell
+Stop-ScheduledTask -TaskName "SMTPGraphRelay"
+```
+
+Status:
+
+```powershell
+Get-ScheduledTask -TaskName "SMTPGraphRelay" | Get-ScheduledTaskInfo
+```
+
+## Test vom Relay-PC
+
+Wenn `Send-MailMessage` noch vorhanden ist:
+
+```powershell
+Send-MailMessage `
+  -SmtpServer 127.0.0.1 `
+  -Port 2525 `
+  -From "test@local.invalid" `
+  -To "dein.name@example.com" `
+  -Subject "SMTPGraphRelay Test" `
+  -Body "Hallo aus SMTPGraphRelay"
+```
+
+Alternativ kann jedes SMTP-Testtool verwendet werden.
+
+## Verzeichnisse
+
+```text
+SMTPGraphRelay\
+├── SMTPGraphRelay.ps1
+├── Setup-SMTPGraphRelay.ps1
+├── config.json
+├── config.example.json
+├── queue\
+├── failed\
+└── logs\
+    └── SMTPGraphRelay.log
+```
+
+## Queue
+
+Nach vollständigem SMTP-`DATA` wird die Nachricht zunächst lokal gespeichert.
+
+Erst **danach** bekommt der SMTP-Client:
+
+```text
+250 2.0.0 Queued
+```
+
+Der Queue-Worker sendet die Nachricht anschließend über Microsoft Graph.
+
+Standard-Retry:
+
+```text
+1 min
+5 min
+15 min
+30 min
+60 min
+120 min
+240 min
+480 min
+```
+
+Nach acht Fehlern wandert die Mail nach `failed`.
+
+## Sicherheit
+
+### Kein offenes Relay
+
+Die SMTP-Seite besitzt eine IP-Allowlist. Bitte die Standard-RFC1918-Netze auf die tatsächlich benötigten Subnetze reduzieren.
+
+Beispiel:
+
+```json
+"AllowedNetworks": [
+  "10.60.10.0/24",
+  "10.20.30.15"
+]
+```
+
+### Kein Client Secret
+
+Das Setup erzeugt ein nicht exportierbares RSA-Zertifikat in:
+
+```text
+Cert:\LocalMachine\My
+```
+
+Der Scheduled Task läuft als `SYSTEM` und lädt dieses Zertifikat direkt aus dem Maschinen-Zertifikatsspeicher.
+
+### Graph-Berechtigung
+
+Die V1 vergibt ausschließlich:
+
+```text
+Microsoft Graph
+Application
+Mail.Send
+```
+
+Keine `Mail.ReadWrite`, `Directory.Read.All`, SMTP-/IMAP- oder Exchange-Full-Access-Permission ist für den Relaybetrieb nötig.
+
+**Wichtig:** `Mail.Send` als Application Permission ist grundsätzlich eine weitreichende Berechtigung. Die V1 erzwingt zwar lokal das konfigurierte Senderpostfach, beschränkt die Entra-/Exchange-Berechtigung aber noch nicht serverseitig auf genau dieses Postfach.
+
+Für eine nächste Version sollte zusätzlich **Exchange Online Application RBAC** bzw. die jeweils aktuelle Microsoft-Methode zur Ressourcenscope-Begrenzung integriert werden.
+
+## Bekannte Grenzen von V1
+
+- SMTP-Verbindungen werden seriell verarbeitet
+- kein SMTP AUTH
+- kein STARTTLS auf der internen SMTP-Seite
+- IPv4-Allowlist; IPv6 wird nicht freigegeben
+- kein Web-/GUI-Frontend
+- keine DSN/Bounce-Erzeugung
+- Envelope-Empfänger werden protokolliert; Graph erhält primär die Empfänger aus den MIME-Headern
+- kein serverseitiges Exchange-Mailbox-Scoping im Setup
+
+Für typische Drucker, Scanner, NAS, Monitoring- und Server-Alerts sollte diese V1 als Test-/Pilotversion ausreichen.
+
+## Deinstallation
+
+Task stoppen/löschen:
+
+```powershell
+Stop-ScheduledTask -TaskName "SMTPGraphRelay" -ErrorAction SilentlyContinue
+Unregister-ScheduledTask -TaskName "SMTPGraphRelay" -Confirm:$false
+```
+
+Firewallregel entfernen (Port ggf. anpassen):
+
+```powershell
+Remove-NetFirewallRule -DisplayName "SMTPGraphRelay TCP 2525"
+```
+
+Die Entra-App und das Zertifikat werden absichtlich **nicht automatisch gelöscht**, damit bei einer Deinstallation keine Cloud-Credentials versehentlich entfernt werden.