[Exchange 2003] Incoming mail bounced: Spam Site

[DarkHelmet]

Gistermiddag ben ik richting een klant gegaan voor wat à la minute assistentie.

Probleem: ze ontvangen mail van sommige verzenders niet, zb. gmail.com, hotmail.com en chello.nl

Situatie: gaat om domein rmh.nl
Ze hebben een eigen Exchange 2k3 server draaien achter een PIX vuurmuur.
Volgens dns MX record gaat de mail naar mail.rmh.nl -> 80.217.96.234
Is een IP adres van een 2Mbit xs4all verbinding, van rml.nl.
Goeroes achter deze opzet zijn beide op vakantie.

Wat heb ik reeds gedaan: Ik heb nagezocht op de server of er enige (smart/intelligent) filtering aanstaat op Exchange -> niks gevonden.
Symantec System Manager stond er ook op, met mogelijkheid voor afvangen van spam. Deze staat ook niet aan.

mail.rml.nl/80.127.96.234 staat niet geregistreerd op welke spamlist dan ook, ivm problemen van verzenden náár spambron.

Mail van buitenaf wordt niet gerelayed, dit is getest door een collega.

Indien men mailt naar @rml.nl krijgt men mail gebounced:

Step 1: Try connecting to the following mailserver:
mail.rml.nl. - 80.127.96.234

Step 2: If unsuccessful in step 1, try connecting to the following mailserver:
mail.cyso.nl. - 217.170.2.40

Step 3: If still unsuccessful, queue the E-mail for later delivery.
--------------------------------------------------------------------------------
Trying to connect to all mailservers:

mail.rml.nl. - 80.127.96.234 [Could not connect: Got an unknown RCPT TO response: 550 5.2.1 Mail from 66.36.241.109 refused: spam site.
]
mail.cyso.nl. - 217.170.2.40 [Successful connect: Got a good response [250 2.1.5 ... Recipient ok]]

Conclusie: mail wordt wel gebounced vanaf 80.127.96.234, maar voorzover ik kan zien is er geen spamfilter actief
Wordt de mail dan stiekem toch gerelayed via een andere server buiten het domein?
PIX zou het niet kunnen zijn toch?
Wat kan ik nog checken, waar kan ik nog zoeken?

Tsja, inmiddels twijfel ik zelfs of Martin Luther King wel zwart was....

M.a.w. PLEH!!!!!

[ Voor 3% gewijzigd door DarkHelmet op 19-05-2005 11:27 ]

[Rolfie]

IP 66.36.241.109 staat wel op een spam lijst zie link

[DarkHelmet]

Ja, maar door wie wordt dat mailtje dan geblocked?

Door de verzendende mailserver of de ontvangende (mail.rml.nl dus)?

Want ik kan dus geen spamfilter vinden op de mailserver

[Rolfie]

Ik heb een vermoeden dat jouw IP 66.36.241.109 is. Deze staat op een zwarte lijst.

rml gebruikt dus een spam filter, wie waarschijnlijk te strick is, en daarom jouw Email niet doorlaat.

[DarkHelmet]

Dat voorbeeld is gestuurd mbv dnsstuff.com die allerlei tools online hebben staan.
IP adres is van mail.dnsstuff.com...

Verder heb ik binnen Exchange géén spamfiltersettings kunnen vinden (staat dan toch onder Global Settings -> Message Delivery als ik het goed heb) en IMF is niet geinstalleerd.
Symantec MS staat ook geinstalleerd, maar ook daar staat Spam checking niet aan....

Hoe check ik die machine op spamfilter?

[Verwijderd]

* opmerking * Wel mooi dat je ff de ip adressen post van je klant *

[ Voor 40% gewijzigd door Verwijderd op 19-05-2005 13:31 ]

[Rolfie]

Verwijderd schreef op donderdag 19 mei 2005 @ 13:31:
* opmerking * Wel mooi dat je ff de ip adressen post van je klant *

maakt het zoeken van het probleem wel een stuk gemakkelijker voor ons

[DarkHelmet]

Opgelost!

Symantec bleek toch aangezet te zijn door een beheerder afgelopen week, echter nog niet gecommuniceerd...

[Maarten @klet.st]

DarkHelmet schreef op donderdag 19 mei 2005 @ 14:49:
Opgelost!

Symantec bleek toch aangezet te zijn door een beheerder afgelopen week, echter nog niet gecommuniceerd...

Voor de volgende keer: ik zou met de hand geprobeerd hebben een mailtje af te leveren op die server zelf, merk je snel genoeg of hij de 550 geeft. Tijdens de sessie kun je dan wel zien met wie je van doen hebt, de exchange server zelf of een of andere proxy doos.

[StevenK]

Maarten.O schreef op donderdag 19 mei 2005 @ 19:34:
[...]


Voor de volgende keer: ik zou met de hand geprobeerd hebben een mailtje af te leveren op die server zelf, merk je snel genoeg of hij de 550 geeft. Tijdens de sessie kun je dan wel zien met wie je van doen hebt, de exchange server zelf of een of andere proxy doos.

Niet noodzakelijk; ik heb hier o.a. een antispamproxy draaien en die doet net alsof 'ie gewoon Exchange is.

[Maarten @klet.st]

StevenK schreef op zondag 22 mei 2005 @ 08:38:
[...]
Niet noodzakelijk; ik heb hier o.a. een antispamproxy draaien en die doet net alsof 'ie gewoon Exchange is.

Klinkt bekend, maar ik hoop toch voor je dat die spamproxy achter de "220" zijn eigen servernaam geeft en niet die van de server waarvoor die proxy speelt. Dan ben je namelijk non-compliant bezig en zou je wel eens een mailloop kunnen creeren