Kritisch defect in Domino gedetecteerd op 13-12-2024

Zoals u waarschijnlijk al gelezen of gehoord heeft, heeft het ontwikkelingsteam van HCL Domino een probleem geïdentificeerd dat vanaf 13 december 2024 van invloed zal zijn op ALLE Domino-serverversies.

(Bron: https://support.hcl-software.com/csm?id=kb_article&sysparm_article=KB0118192)

Klanten met HCL Domino versies 14.x,12.x en 11.x:

Meer informatie vindt u via de bovenstaande link, inclusief hoe u toegang krijgt tot de oplossing voor klanten met actieve ondersteuning met HCL Domino-versies 14.x,12.x en 11.x. op Mijn HCL-softwareportaal.
Domino-klanten zonder actieve ondersteuning Klanten moeten opnieuw opstarten met behulp van de Domino CCB Term-licentie. Neem hiervoor contact op met uw partner of HCL-verkoopvertegenwoordiger.
Alleen klanten met een geldig recht en actieve ondersteuning (en uitgebreide ondersteuning voor v9 en/of v10) kunnen de oplossing ontvangen en toepassen.

Alle fixes of patches van HCL Domino zijn het intellectuele eigendom van HCLSoftware.
Elk ongeoorloofd gebruik, reproductie of distributie is ten strengste verboden en zou een inbreuk vormen op de IE-rechten van HCLSoftware.

(Opmerking: Fixes zullen niet beschikbaar zijn voor alle tussentijdse versies van IBM Domino v9 en v10)

Wat is er aan de hand?

Volgens HCL zal als u uw server opnieuw opstart, er een routerfout optreden die resulteert in leveringsfouten als gevolg van een routeringslus. Ook zullen de e-mailregels beginnen te falen.
Bovendien gebruikt Domino slechts één enkele mail.box, ongeacht waar het configuratiedocument om vraagt.
Dit is een datum/tijd-probleem in de Domino router code. Het gebied waar het defect is gevonden, wordt gebruikt om te bepalen of de configuratie moet worden bijgewerkt.
Sinds 13 december mislukt deze controle en laadt de router uw configuratie niet.

Dit probleem treedt alleen op als Domino op of na 13 december 2024 opnieuw wordt opgestart. HCL heeft op 13 december een waarschuwing afgegeven om de impact te beperken.
Er werd binnen 24 uur een tussentijdse oplossing geleverd. Zie tabel in de link voor downloaddetails.

Dit probleem wordt niet veroorzaakt door een recente codewijziging en heeft geen invloed op de beveiliging. Deze bug bestaat al meer dan 30 jaar en lijkt van invloed te zijn op alle versies van Domino.
Hij werd niet eerder door IBM of Lotus ontdekt.

In de praktijk

Wij hebben inderdaad ook geconstateerd dat bij een herstart de mailrouter postbussen zijn beperkt tot een enkele (nieuwe) postbus, de mail regels niet meer werken en Notes mail routering niet meer werkt. SMPT mail verkeer, ook tussen de servers (indien geconfigureerd) blijft wel werken, waardoor mailverkeer via deze methode wel mogelijk lijkt te zijn.

In enkele gevallen werkt de mailroutering ook nog steeds, maar doordat het configuratie document mogelijk niet goed uitgelezen wordt is het maar zeer de vraag of de instellingen allemaal worden gebruikt, met alle gevolgen van dien. Onderschat het probleem dus niet, ook als er weinig aan de hand lijkt te zijn in uw situatie.

HCL kan op aanvraag ondersteuning bieden: Critical Alert: Resolve Domino Server Issues Before December 2024

Zie ook: HCL Notes/Domino – CRITICAL ALERT: Mail not routing after Domino restarts beginning December 13, 2024 – Community

Failover in Foreign SMTP Connection Document of Relay Host

Omdat het naar mijn mening niet echt heel helder staat beschreven in de IBM Domino documentatie een tip hoe je een SMTP failover/load balancing kunt realiseren met IBM Domino vanaf versie 6.

IBM geeft in de normale Domino Administrator Help het volgende aan:
For the field Relay host for messages leaving the local Internet domain enter the host name, domain name, or IP address of the server being used as a relay host keeping the following guidelines in mind:
A domain name is a valid entry only if the internal DNS contains an MX record for that domain and can resolve it to a host name.
When entering an IP address, enclose it within brackets; for example, [127.0.0.1].

Er is echter een technote die aangeeft dat vanaf versie 6 ook meerdere machinenamen/ip-adressen ingevoerd mogen worden:
http://www.ibm.com/support/docview.wss?uid=swg21217089
Using the Configuration Document to implement outbound SMTP failover

Question:
You must configure the Lotus Domino® server for outbound SMTP failover. In the Configuration Document –> Router/SMTP panel –> Basics panel, can the field, “Relay host for messages leaving the local internet domain,” contain multiple hostnames/IP addresses?

Answer:
This feature is available beginning with Domino 6 releases. Use a semi-colon to separate hostname entries or IP addresses to achieve failover.

Example: host1.acme.com;host2.acme.com

Result:
The router will attempt an SMTP transfer to host1.acme.com. If host1.acme.com is down or not responding, the router will failover to host2.acme.com as observed below:

09/13/2006 11:01:46 AM Router: No messages transferred to host1.acme.com;host2.acme.com (host host1.acme.com) via SMTP: The server is not responding. The server may be down or you may be experiencing network problems. Contact your system administrator if this problem persists.
09/13/2006 11:01:46 AM SMTPClient: Attempting to Connect: Host host2.acme.com, Port 25, SSL Port 0, Connecting Domain vec.lotus.com
09/13/2006 11:01:46 AM SMTPClient: Connection successful

Nu kreeg ik direct een foutmelding dat de remote server niet gevonden kon worden.
Vandaar een zoektocht naar meer informatie.

Op Slideshare vond ik de volgende IBM presentatie:

How to make Domino relay server to route mail to mutiple SMTP hosts
Within the Domino “Relay host” field, two list delimiters are allowed – comma( , ) and semicolon( 😉
● Method 1: Load balancing mode : host1, host2
In this example, the router will take the group of hosts at the
same preference level (host1 and host2) and try to connect to
these hosts in a random order.
● Method 2: Fail over mode : host1; host2
In this example, the router will take preference of first host
(host1) to route emails. If host1 stops responding, then the
Domino router will move on to the next host (host2) i.e the next
preference level.

Zie ook:
https://www.ibm.com/support/knowledgecenter/SSKTMJ_8.0.1/com.ibm.help.domino.admin.doc/DOC/H_EXAMPLE_OF_USING_TWO_SERVERS_TO_BALANCE_INTERNET_MAIL_LOAD_EX.html

The internal mail servers can route Internet mail to the server with SMTP enabled for external mail either via IBM® Lotus® Notes® routing, with a Foreign SMTP Domain document and SMTP Connection document linking to the SMTP server, or via SMTP routing, with the SMTP server configured as the relay host.

Configuring these servers requires:

  • Enabling “SMTP used when sending messages outside of the local Internet domain” for Mail1 and Mail3.
  • Enabling the SMTP listener task for Mail1 and Mail3.
  • Setting up DNS correctly to include MX records for Mail1 and Mail3, indicating to external SMTP systems that these are the hosts that receive inbound mail for the acme.com domain.
  • Either enabling “SMTP allowed outside of the local Internet domain” for the internal mail servers, Mail2 and Mail4, and listing Mail1 or Mail3 as the relay host, or creating a Foreign SMTP Domain document and SMTP Connection document that define the route to Mail1 or Mail3.

Het leek mij logisch dat als je 1 IP-adres moet noteren in blokhaken, je twee IP-adressen gescheiden door een comma of puntcomma dan als volgt zou invoeren: [10.10.1.4],[10.10.1.6]
Dit werkte echter niet.

Na weer wat zoekwerk op internet vond ik een ouder document uit 2011:
http://www.ibm.com/support/docview.wss?uid=swg21502757

Question:
Can we configure multiple IP to Domino outbound SMTP server ?

e.g.- 10 IP to send out the mails so that mail transfer will be faster by 10 times.

Answer:
You can configure multiple IP addresses in the relay host field in the Configuration Document for the Lotus Domino® server. (Configuration Document –> Router/SMTP panel –> Basics –> Relay host for messages leaving the local internet domain ).

You can use multiple IPs by separating with a comma or a semi-colon as the separator between IP addresses in the relay host field in the Configuration Document, or if using brackets then add a second bracket to the first IP address as given example below.

Note:
Don’t use brackets around or spaces within the IP address configuration.

Use:
10.10.1.4,10.10.1.6
or
10.10.1.4;10.10.1.6
or
[[10.10.1.4],[10.10.1.6]

In ons geval moest er dus een extra blokhaak voor het eerste IP-adres!

Deze load balancing methode werkt overigens op meer plaatsen volgens de laatste link:

Question:
I am using 3 gateways for out going mails is it possible that i can configure load balancing?

Answer:
You can use a comma to separate the IP addresses of your gateways. Comma will give you load balancing while semicolon will give you failover. Specify the IP addresses like this x.x.x.x, y.y.y.y, z.z.z.z .

(Weer een andere notatie, of toch met [] of [[]?)

Server details niet meesturen in de SMTP headers

Uit beveiligingsoogpunt kan het wenselijk zijn om zo min mogelijk gegevens over de servers mee te sturen met een bericht. Hoe minder details hoe minder kwetsbaar.
Met de notes.ini regel SMTPNoVersionInRcvdHdr=1 voorkom je dat Domino server product informatie wordt meegestuurd in de SMTP Received headers.

Mogelijke waardes:

0  (of niet aanwezig ) – de door Domino  gegenereerde SMTP Received header bevat Domino server product informatie, inclusief de server versie.
1 – de door Domino  gegenereerde SMTP Received header bevat geen Domino server product informatie.

Meer controle over het Internet mail adres

Een Domino-beheerder kan afdwingen dat het internet adres van een gebruiker dat is ingevuld in het persoonsdocument op de server wordt gebruikt in plaats van het Internet adres wat gevuld is in het locatie document op de werkplek.

Dit kan worden geregeld met de regel RouterTranslateSpecial = 1 in de notes.ini op de server.
Normaal als een gebruiker een vermelding in het Internet Mail adres veld van het locatie document maakt, wordt dit adres gebruikt in het “from” veld van het e-mail bericht.
Het toevoegen van RouterTranslateSpecial = 1 zal de waarde in het locatie document negeren en een zoekopdracht naar het internet adresveld in het persoon document uitvoeren.

De beheerder kan ook uitgaande berichten op de Domino server blokkeren als ze overeenkomen met de Outbound SMTP restricties in het Configuratie document.

De beheerder kan de instelling “Sta alleen berichten toe van de volgende internetadressen om verzonden te worden naar het Internet”, om e-mails te blokkeren, het genereren van een niet aflever rapport (NDR) als de cliënt een ongeldige of onbevoegde Internet-adres gebruikt in hun Locatie document.
Let op dat deze instelling alleen het volledige internetadres accepteert (dat wil zeggen jdoe@country.company.com) en niet wildcards en domeinen (dat wil zeggen * .country.company.com of country.company.com).

Vanaf Domino 6.0.2, zijn er verschillende NOTES.INI parameters om Domino beheerders te helpen het uitgaande internetadres juist op te maken:

SMTPTranslateAddresses = 2

Deze instelling zal het vertalen van inkomende SMTP e-mail adressen naar Notes-adressen mogelijk maken.

SMTPTranslateSpecial = 1

Deze nieuwe instelling zal een aantal speciale verwerking mogelijk te maken tijdens “inbound address translation”, inclusief vertaling naar de eerste gebruikersnaam zelfs als een Forwarding e-mailadres is opgegeven (het standaard gedrag, zonder deze instelling zou zijn om een ​​binnenkomend adres te vervangen door het Forwarding adres, hetgeen niet gewenst is in sommige gevallen).

RouterTranslateSpecial = 1

Deze nieuwe instelling zal een aantal speciale verwerking mogelijk te maken tijdens uitgaande address translation, met inbegrip van het negeren van alle bestaande INET * items, zodat alle uitgaande internet-adressen komen uit het internet adresveld in het Domino adresboek.
Daarnaast maakt het ook mogelijk dat de router personen waarbij geen maildomein is ingevuld (het standaard gedrag zonder deze instelling zou zijn om alleen mail te versturen voor personen met het zelfde maildomein als de server).

RouterUseFromAsSMTPOriginator = 1

Met deze instelling wordt het (RFC821) SMTPOriginator veld gebruikt als afzender in Van adres (MAIL FROM: parameter).