Exchange SBS2003 i.c.m. KPN

[Verwijderd]

OK, ik kom er niet uit en wil een beroep doen op jullie expertise.

Situatie:
Beginnend bedrijf legt domain naam flexmodal.nl vast bij XS4ALL
www is ook gehost bij XS4ALL
Bedrijf vraagt zakelijk internet aan voor bedrijfspand bij KPN ipv XS4ALL

Probleem is dat de KPN een eigen mailserver niet ondersteunt (uitgebreid hier te vinden op GOT) maar je verplicht te routen via smarthost.direct-adsl.nl en inkomend komt via mailrelay.direct-adsl.nl
De MX records zijn door XS4ALL gezet volgens opgaaf van de KPN in document http://www.kpnadsl.com/su...directadsl(mailrelay).pdf

Als ik de entries check op http://www.mxtoolbox.com zie ik netjes:
10 smtp.flexmodal.nl 92.70.75.233
20 mailrelay.direct-adsl.nl 195.121.6.12

De default smtp server in Exchange gebruikt smarthost.direct-adsl.nl en de recipient policy en de smtp entries voor de users zijn ingesteld om behalve flexmodal.local ook flexmodal.nl te accepteren, waarbij die laatste default is. So far so good zou je denken.

Heb mijzelf als test user aangemaakt ([e-mail])
Ik kan hiermee mail versturen naar mijn eigen bedrijf, maar een reply terug komt nooit aan.

Ik kan hiermee geen email versturen naar mijn prive XS4ALL account, want dan krijg ik:
"De organisatie waarnaar dit bericht is verzonden, heeft aangegeven dat de e-mailaccount niet bestaat. Controleer het e-mailadres of neem rechtstreeks contact op met de geadresseerde om na te gaan hoe het e-mailadres luidt. <flexmodal.nl #5.1.1 smtp;550 5.1.1 <[e-mail]>... No such user> "
.
Vanuit m'n prive XS4ALL account mailen naar bovenstaand adres werkt niet want dan krijg ik ook een [Gevraagde actie niet uitgevoerd: maibox niet beschikbaar 550 5.1.1 <[e-mail]>... No such user]

Ik kan telnetten met als resultaat:

MBP-Sander:~ sander$ telnet smtp.flexmodal.nl 25
Trying 92.70.75.233...
Connected to smtp.flexmodal.nl.
Escape character is '^]'.
220 smtp.flexmodal.nl Microsoft ESMTP MAIL Service, Version: 6.0.3790.3959 ready at Sat, 4 Jul 2009 02:21:34 +0200
helo xs4all.nl
250 smtp.flexmodal.nl Hello [82.95.131.71]
mail from:<[mijn email adres]@xs4all.nl>
250 2.1.0 [mijn email adres]@xs4all.nl....Sender OK
rcpt to:<[e-mail]>
550 5.7.1 Unable to relay for [e-mail]
rcpt to:<[e-mail]>
250 2.1.5 [e-mail]
mail naar .local sturen komt dan aan.

Wat valt me nog meer op: bij default SMTP server in exchange wordt bij fully qualified domain name "flexmodal.nl" als niet-valid beschouwd. mail.flexmodal.nl en smtp.flexmodal.nl verwijzen overigens wel correct naar de ip van de SBS server. www.flexmodal.nl verwijst naar de webserver van XS4ALL.

Awel ik ben een beetje door mijn opties heen. Mail naar buiten sturen kan dus wel maar niet aan iedereen en terug naar binnen komt nooit aan Voor zover ik kan bedenken een DNS probleem, maar ik kan m'n vinger er niet opleggen.

Iemand een suggestie ?

[alt-92]

Is je exchange ook Authoritative voor het maildomain flexmodal.nl gemaakt?
Desnoods stel je die zelfs als default mail address in.

[Oid]

Zakelijk ADSL van KPN ondersteund gewoon SMTP (poort 25) verkeer. De relay is voor direct-adsl dat geloof ik niet meer onder die naam bestaat.

Wij hebben zelf zakelijk adsl van kpn en ook een paar klanten die ook exchange hebben op zakelijk kpn van adsl.

[Dysmael]

Zakelijke ADSL van KPN kan gewoon poort 25 aan zoals alt-92 al zegt.
Enige wat je dus moet doen is een MX record aanmaken wat verwijst naar het vaste IP van de DSL lijn.
Je zegt dat ze verwijzen naar het IP van de SBS server, ik hoop dat je daarmee het IP van de firewall bedoelt en dat je portforwarding goed staat?
Je weet dat je bij KPN zakelijk 5 IP adressen hebt (8 - 3 gereserveerde) ?

edit:

550 5.7.1 Unable to relay for [e-mail]

Hoe staat je recipient policy en SMTP ingesteld?

[ Voor 12% gewijzigd door Dysmael op 05-07-2009 08:39 ]

[Xiliath]

Connecting To 92.70.75.233...Could not open connection to the host, on port 25:
Connect failed

ping lukt wel.

zet anders de 20 mailrelay.direct-adsl.nl 195.121.6.12 op prio 10. dan komt de mail daar binnen en zetten zij m door.
Nu wordt eerst je 10 smtp.flexmodal.nl 92.70.75.233 geprobeerd en daarna pas de mailrelay.
Zolang ik poort 25 niet rechtstreeks kan benaderen mx record via de mailrelay doen.

[sanfranjake]

wappie1980 schreef op zondag 05 juli 2009 @ 08:51:
Connecting To 92.70.75.233...Could not open connection to the host, on port 25:
Connect failed

ping lukt wel.

zet anders de 20 mailrelay.direct-adsl.nl 195.121.6.12 op prio 10. dan komt de mail daar binnen en zetten zij m door.
Nu wordt eerst je 10 smtp.flexmodal.nl 92.70.75.233 geprobeerd en daarna pas de mailrelay.
Zolang ik poort 25 niet rechtstreeks kan benaderen mx record via de mailrelay doen.

FOUT!
Het is juist de bedoeling van de constructie zo, met je eigen MX prio 1 en planet/directadsl prio 2. Want de mail wordt weer doorgetrapt naar de host met de laagste prio, die voor de planet-server wel te bereiken is.

[Verwijderd]

Bedankt tot zover! Om wat anwoorden te geven:

De server staat uiteraard achter een firewall; de rule voor poort 25 werkte niet (meer) ondanks dat ik eerder zelf had getelnet (zie boven). Staat nu weer open.
Exchange is authorative voor flexmodal.nl

Thijmen heeft overigens gelijk, smtp werkt gewoon. Ik had op de KPN site alleen verwijzingen gevonden over de blokkade van de poort en hoe de mailrelay te gebruiken, lekker is dat, mooi op het verkeerde been gezet!
De mailrelay werkt in ieder geval niet i.c.m. zakelijk adsl kan ik concluderen.

Inmiddels kan ik mailen vanaf mijn eigen bedrijf naar sns@flexmodal maar nog niet vanaf mijn prive account van xs4all. Dan krijg ik nog steeds een: Gevraagde actie niet uitgevoerd: maibox niet beschikbaar
550 5.1.1 <[e-mail]>... No such user

Probeer me maar te spammen en kijk of je er door komt

[Dysmael]

220 flexmodal.nl Microsoft ESMTP MAIL Service, Version: 6.0.3790.3959 ready at Sun, 5 Jul 2009 14:16:21 +0200
helo server.tld
250 flexmodal.nl Hello [XX.XX.XX.XX]
mail from:<[e-mail]>
250 2.1.0 [e-mail]....Sender OK
rcpt to:<[e-mail]>
250 2.1.5 [e-mail]
data
354 Start mail input; end with <CRLF>.<CRLF>
HALLO SNS, bij deze je spam!
.
250 2.6.0 <[e-mail]> Queued mail for delivery

Edit: als je nog problemen hebt >> dat ligt niet aan je server! Die accepteerd de mail gewoon.

Edit 2: LOS DIT SNEL OP:

220 flexmodal.nl Microsoft ESMTP MAIL Service, Version: 6.0.3790.3959 ready at Sun, 5 Jul 2009 14:21:39 +0200
helo domein.tld
250 flexmodal.nl Hello [xxx.xxx.xxx.xxx]
mail from:<VALSE AFZENDER>
250 2.1.0 VALSE AFZENDER....Sender OK
rcpt to:<MIJN EIGEN GMAIL ADRES>
250 2.1.5 MIJN EIGEN GMAIL ADRES
data
354 Start mail input; end with <CRLF>.<CRLF>
SPAM MAAR RAAK! OPEN RELAY FTW!!!
250 2.6.0 <[e-mail]> Queued mail for delivery

Edit: hier lees je hoe je de relay restrictions aan moet passen
> alleen je mailserver zelf mag relayen! <

Stel in je firewall ook in dat je mailserver alleen toegang heeft naar buiten via poort 25. Vanaf een werkstation moet het niet mogelijk zijn bv. een telnet sessie naar een externe mailserver te openen. Liever ook niet naar de server zelf.

Edit zoveel:

Laat KPN een PTR instellen voor 92.70.75.233 (mail naar [e-mail] met het verzoek voor 92.70.75.233 een rDNS in te stellen naar flexmodal.nl)

En stel je firewall eens goed in. Hij reageert op ICMP !

Reply from 92.70.75.233: bytes=32 time=23ms TTL=54
Reply from 92.70.75.233: bytes=32 time=22ms TTL=54

Laatste edit, het lijkt er namelijk op dat je hebt gejokt over je firewall (Ik kan full connect TCP scans doen zonder geblokkeerd te worden. Dus of je hebt geen firewall, of hij is niet tot nauwelijks geconfigureerd (geen IDS ??))

Waarom staat port 80 open voor de buitenwereld?

HTTP/1.1 200 OK
Content-Length: 6360
Content-Type: text/html
Content-Location: http://./Default.htm
Last-Modified: Tue, 24 May 2005 23:08:11 GMT
Accept-Ranges: bytes
ETag: "80bf8274b560c51:5898"
Server: Microsoft-IIS/6.0
MicrosoftOfficeWebServer: 5.0_Pub
X-Powered-By: ASP.NET
Date: Sun, 05 Jul 2009 12:43:40 GMT
Connection: close

Je hebt er toch alleen maar de default SBS site op staan.

[ Voor 93% gewijzigd door Dysmael op 05-07-2009 14:46 ]

[alt-92]

Waarom zou een firewall ICMP type 8 moeten droppen?

[Dysmael]

Je hebt helemaal gelijk... waarom zou je er uberhaupt een firewall tussen zetten
Lang leve de lol, laat de hele wereld maar binnen (waarbij de eerste stap als is: kijken of een host alive is)

Als je wil weten of je internetverbinding werkt kan je ook het modem (de gateway) pingen.
Stel de vraag eens andersom zou ik zeggen: waarom zou je wel reageren op echo requests?

Edit: maar hij mag hem van mij aan laten staan hoor, zolang hij de rest maar oplost zoals de open relay.

[ Voor 43% gewijzigd door Dysmael op 05-07-2009 14:55 ]

[alt-92]

Enigszins offtopic, maar daarom niet minder interessant:
Ik kan ook gewoon op black holes scannen - de afwezigheid van respons.

[Verwijderd]

RolfLobker schreef op zondag 05 juli 2009 @ 14:17:

Edit: als je nog problemen hebt >> dat ligt niet aan je server! Die accepteerd de mail gewoon.

Edit 2: LOS DIT SNEL OP:

Edit zoveel: Laat KPN een PTR instellen voor 92.70.75.233 (mail naar [e-mail] met het verzoek voor 92.70.75.233 een rDNS in te stellen naar flexmodal.nl)

En stel je firewall eens goed in. Hij reageert op ICMP !

Reply from 92.70.75.233: bytes=32 time=23ms TTL=54
Reply from 92.70.75.233: bytes=32 time=22ms TTL=54

Laatste edit, het lijkt er namelijk op dat je hebt gejokt over je firewall (Ik kan full connect TCP scans doen zonder geblokkeerd te worden. Dus of je hebt geen firewall, of hij is niet tot nauwelijks geconfigureerd (geen IDS ??))

Waarom staat port 80 open voor de buitenwereld?
Je hebt er toch alleen maar de default SBS site op staan.

@1 bedankt voor je spam
@2 OOOPPPSSS een keertje misgeklikt ? staat nu weer op niet-relay zoals standaard hoort.
@3 rDNS klopt nu inderdaad niet, je kunt bij KPN niet zelf je hostnaam veranderen en dat verzoek moet ik nog sturen.
@4/5 firewall, yup er is een "firewall" maar in de o zo fijne speedtouch (moet het daarmee doen helaas) heb daarin alleen de betreffende poorten geforward en de rest staat dicht
@6 poort 80 en 443 zijn nodig voor RWW die ook gebruikt (gaat) worden

Bedankt voor de relaycheck

[Dysmael]

Dat wat in de speedtouch zit mag je geen firewall noemen
Hoe wil je verkeer van binnenuit blokkeren met de speedtouch? Je zal toch poort 25 outgoing moeten uitschakelen voor alles behalve je mailserver (anders kunnen we gaan aftellen tot het moment waarop je mailserver geblacklist is wegens het versturen van spam vanaf je IP)

[sanfranjake]

Verwijderd schreef op zondag 05 juli 2009 @ 15:02:
@6 poort 80 en 443 zijn nodig voor RWW die ook gebruikt (gaat) worden

80 is zeer zeker niet nodig Voor RWW moet je wel TCP poort 4125 ook forwarden, en natuurlijk 443 voor ssl. Op SBS2003 wil je dan ook nog poort 444 doormappen zodat je companyweb-site via internet bereikbaar wordt

[Xiliath]

sanfranjake schreef op zondag 05 juli 2009 @ 09:35:
[...]

FOUT!
Het is juist de bedoeling van de constructie zo, met je eigen MX prio 1 en planet/directadsl prio 2. Want de mail wordt weer doorgetrapt naar de host met de laagste prio, die voor de planet-server wel te bereiken is.

Ik ging er van uit dat de mail doorgestuurd moest worden door de ISP, dan zet je de mx record naar je isp en zetten zij m door naar je eigen ip. Wordt ook veel gebruikt en erg handig als je een wijziging wilt doorvoeren. 1 mail/telefoontje naar je ISP en t werkt zonder dns sync op t internet.

Als je de mail, zoals in dit geval blijkt, rechtstreeks naar je eigen server wilt sturen dan zet je uiteraard die mx record op de hoogste prio.

[Turdie]

Beveilig je server zo snel mogelijk, ik kan alles scannen (dus ook met exploits aanvallen, ik ga het niet doen, maar je bent gewaarschuwd). Eventueel kun je mij inhuren je server te beveiligen .

Zie hier voor de ouput van een Nmap Scan
Host static.kpn.net (92.70.75.233) is up (0.027s latency).
Interesting ports on static.kpn.net (92.70.75.233):
Not shown: 996 filtered ports
PORT STATE SERVICE VERSION
25/tcp open smtp?
80/tcp open http Microsoft IIS webserver 6.0
| robots.txt: has 1 disallowed entry
|_ /
|_ html-title: Windows Small Business Server 2003
443/tcp open ssl/http Microsoft IIS webserver 6.0
|_ sslv2: server still supports SSLv2
| robots.txt: has 1 disallowed entry
|_ /
|_ html-title: Windows Small Business Server 2003
4125/tcp closed rww
Device type: general purpose
Running (JUST GUESSING) : Microsoft Windows XP|2003|2000 (93%)
Aggressive OS guesses: Microsoft Windows XP SP2 or Server 2003 SP2 (93%), Microsoft Windows Server 2003 SP2 (93%), Microsoft Windows Server 2003 SP1 or SP2 (88%), Microsoft Windows XP SP2 or SP3 (87%), Microsoft Windows 2000 SP4 or Windows XP SP2 or SP3 (86%), Microsoft Windows XP SP2 (86%), Microsoft Windows XP SP2 (firewall disabled) (86%), Microsoft Windows XP SP3 (85%), Microsoft Windows Server 2003 SP1 (85%)
No exact OS matches for host (test conditions non-ideal).
TCP Sequence Prediction: Difficulty=254 (Good luck!)
IP ID Sequence Generation: Randomized
Service Info: OS: Windows

TRACEROUTE (using port 80/tcp)
HOP RTT ADDRESS
1 0.00 192.168.1.1
2 7.00 ict.18.254.concepts.nl (213.197.18.254)
3 8.00 ict.18.25.concepts.nl (213.197.18.25)
4 7.00 ip-87-82-50-237.easynet.co.uk (87.82.50.237)
5 11.00 rt-dc2-ias-csg01.nl.kpn.net (195.69.144.89)
6 21.00 rt-dc2-ipc-br01.nl.kpn.net (195.190.227.199)
7 12.00 195.190.233.98
8 10.00 nl-asd-dc2-ias-ard28.kpn.net (195.190.227.80)
9 ...
10 23.00 static.kpn.net (92.70.75.233)

Read data files from: C:\Program Files\Nmap
OS and Service detection performed.
Nmap done: 1 IP address (1 host up) scanned in 42.88 seconds
Raw packets sent: 2093 (96.172KB) | Rcvd: 140 (13.945KB)

[Verwijderd]

LOL @ Shadowman12 ALWEER!

[ Voor 12% gewijzigd door Verwijderd op 05-07-2009 23:29 ]

[Turdie]

Verwijderd schreef op zondag 05 juli 2009 @ 23:27:
LOL @ Shadowman12 ALWEER!

Stomme helpdesk slet , hou je niks toevoegende commentaren voor je

[ Voor 6% gewijzigd door Turdie op 05-07-2009 23:48 ]

[Verwijderd]

shadowman12 schreef op zondag 05 juli 2009 @ 23:46:
[...]


Stomme helpdesk slet , hou je niks toevoegende commentaren voor je

LOL N00b!..Get your facts straight!!!..lmao. Mensen die je mogen inhuren zoals je beschrijft kunnen beter gelijk over hun geld heen pissen met je crap talk.!.Vond het server forum altijd wel redelijk hoogwaardig totdat jij je mond begon open te trekken, krijg nogal jeukende vingers van je....wanker!

handelen we in PM wel ff af.

[ Voor 29% gewijzigd door Verwijderd op 06-07-2009 07:57 ]

[Verwijderd]

Bedankt voor alle tips

Poort 80 is nu dicht en rDNS is aangevraagd, hopelijk dat ik dan geen [Gevraagde actie niet uitgevoerd: maibox niet beschikbaar 550 5.1.1 <[e-mail]>... No such user] krijg!

[Turdie]

Verwijderd schreef op maandag 06 juli 2009 @ 07:37:
[...]


LOL N00b!..Get your facts straight!!!..lmao. Mensen die je mogen inhuren zoals je beschrijft kunnen beter gelijk over hun geld heen pissen met je crap talk.!.Vond het server forum altijd wel redelijk hoogwaardig totdat jij je mond begon open te trekken, krijg nogal jeukende vingers van je....wanker!

handelen we in PM wel ff af.

Sorry, dit was een flauwe niet-leuke rot-grap van me.

[Verwijderd]

RolfLobker schreef op zondag 05 juli 2009 @ 14:17:
Edit zoveel:

Laat KPN een PTR instellen voor 92.70.75.233 (mail naar [e-mail] met het verzoek voor 92.70.75.233 een rDNS in te stellen naar flexmodal.nl)

Ehn ik had een PTR laten instellen voor 92.70.75.233 naar smtp.flexmodal.nl .. had dit flexmodal.nl moeten zijn (zonder smtp er voor)?

Sommige mail komt namelijk nog steeds mail terug met 5.1.1 no such user

[alt-92]

Wat is de afkomst (ISP, hosting) van die mails?
Trek desnoods de headers er eens uit als je wilt.

Ik ken genoeg horrorstories met domains die eerst bij een niet nader te noemen hosting tak van dat mooie bedrijf zaten en verhuisd zijn waar vrolijk een alias table nooit opgeschoond werd.

[Verwijderd]

Als ik vanaf mijn [e-mail] verstuur komt ruwweg 80% aan. Een gedeelte hiervan kan dan niet replyen want krijgt een 5.1.1 Bij anderen lukt dit gewoon weer wel. Die 20% die niet aankomt geeft de volgende NDR:

---

Your message did not reach some or all of the intended recipients.

Subject:
Sent: 7/8/2009 1:25 PM

The following recipient(s) could not be reached:

[mijn privé mail]@xs4all.nl on 7/8/2009 1:25 PM
De organisatie waarnaar dit bericht is verzonden, heeft aangegeven dat de e-mailaccount niet bestaat. Controleer het e-mailadres of neem rechtstreeks contact op met de geadresseerde om na te gaan hoe het e-mailadres luidt.
<smtp.flexmodal.nl #5.1.1 smtp;550 5.1.1 <[e-mail]>... No such user>

HEADER:
Microsoft Mail Internet Headers Version 2.0
From: [e-mail]
To: [e-mail]
Date: Wed, 8 Jul 2009 20:26:11 +0200
MIME-Version: 1.0
Content-Type: multipart/report; report-type=delivery-status;
boundary="9B095B5ADSN=_01C9FC996586F17F00000070smtp.flexmodal.n"
X-DSNContext: 7ce717b1 - 1194 - 00000002 - 00000000
Message-ID: <[e-mail]>
Subject: Delivery Status Notification (Failure)

--9B095B5ADSN=_01C9FC996586F17F00000070smtp.flexmodal.n
Content-Type: text/plain; charset=unicode-1-1-utf-7

--9B095B5ADSN=_01C9FC996586F17F00000070smtp.flexmodal.n
Content-Type: message/delivery-status

--9B095B5ADSN=_01C9FC996586F17F00000070smtp.flexmodal.n
Content-Type: message/rfc822

Subject: test
Date: Wed, 8 Jul 2009 20:26:08 +0200
MIME-Version: 1.0
Message-ID: <[e-mail]>
Content-Type: multipart/alternative;
boundary="----_=_NextPart_001_01C9FFF9.90C850D3"
X-MS-Has-Attach:
X-MS-TNEF-Correlator:
Content-class: urn:content-classes:message
Thread-Topic: test
X-MimeOLE: Produced By Microsoft Exchange V6.5
Thread-Index: Acn/+ZAy6uNSK4rxS9+GBFhayy6FVg==
From: "Sander Nieuwenhuis" <[e-mail]>
To: <[MIJN PRVE EMAIL]@xs4all.nl>

------_=_NextPart_001_01C9FFF9.90C850D3
Content-Type: text/plain;
charset="us-ascii"
Content-Transfer-Encoding: quoted-printable

------_=_NextPart_001_01C9FFF9.90C850D3
Content-Type: text/html;
charset="us-ascii"
Content-Transfer-Encoding: quoted-printable

------_=_NextPart_001_01C9FFF9.90C850D3--

--9B095B5ADSN=_01C9FC996586F17F00000070smtp.flexmodal.n--

---

Als ik náár [e-mail] verstuur vanaf mijn xs4all privé account verstuurt hij het geeneens:
FOUT: Message not sent. Server reageerde: Gevraagde actie niet uitgevoerd: maibox niet beschikbaar 550 5.1.1 <[e-mail]>... No such user

Deze melding geeft mijn webmail, vanuit m'n client weigert hij te versturen en vraagt om de goede smtp server (apple mail)

Wat betreft XS4ALL kan ik dus niet hlemaal niet mailen inkomend of uitgaand.

[Verwijderd]

Ik ben er uit. Het is inderdaad de PTR. Server opnieuw geconfigureerd zodat het [e-mail] wordt en dan werkt het vlekkeloos. Dat wordt dus een nieuw verzoek indienen om e.e.a. recht te laten zetten.

Bij XS4ALL die het domein beheert wordt het dan:

MX 10 flexmodal.nl
flexmodal.nl A 92.70.75.233

En bij KPN voor 92.70.75.233 een rDNS in laten stellen naar flexmodal.nl

Als het goed is zal www.flexmodal.nl gewoon blijven resolven naar de xs4all webserver waar de homepage is gehost.

[ Voor 41% gewijzigd door Verwijderd op 08-07-2009 22:52 ]

[alt-92]

Verwijderd schreef op woensdag 08 juli 2009 @ 22:40:
Ik ben er uit. Het is inderdaad de PTR. Server opnieuw geconfigureerd zodat het [e-mail] wordt en dan werkt het vlekkeloos. Dat wordt dus een nieuw verzoek indienen om e.e.a. recht te laten zetten.

Niet vergeten straks wéér je address space terug te zetten na de aanpassing

[Verwijderd]

alt-92 schreef op donderdag 09 juli 2009 @ 11:47:
[...]Niet vergeten straks wéér je address space terug te zetten na de aanpassing

Bedankt voor je hulp