[W2k3] Default SMTP Virtual Server, hoe spamaanval tegengaan

[Rotty]

In onze DMZ staat een windows server met o.a. iis 6 en ISA. Deze ontvangt de externe mail en routeerd deze naar een front end aan de binnenzijde van het netwerk, deze verspreid de mail vervolgens over de 4 exchange servers. alles functioneerd prima. Probleem is alleen dat er regelmatig spam aanvallen zijn. Het aantal connections op IIS default SMTP server loopt dan enorm op en de mail vertraagd. Op iis staat reverse dns lookup aan (draait overigens ook Antigen op die server). Ik heb wel eens gelezen dat dit zoiezo al behoorlijk vertragend kan werken maar vraag me eigenlijk af wat die RDNS nou precies doet. En dan bedoel ik niet dat ie de domeinnaam in de (h)elo checkt tegen het IP adres want dat snap ik. Nee ik bedoel meer heeft het uberhaupt wel zin om dit aan te zetten als countermeasure tegen spam ? Wat doet ie bij een mismatch tussen domain en IP frut ie dan alleen wat in de header of dropt ie de connectie ??

Sommige connecties blijven wel een paar honderd seconden actief, ondanks dat de time-out ingesteld staat op 5 minuten (10 is default meen ik). Dit gaat alleen op voor idle connections dus de active connecties laat ie ongemoeid. Waarom staan sommige connecties dan toch zo lang open ? Ik neem aan dat die connectie dan lekker bezig is met span berichten te spugen. Het is de eeuwige strijd tegen spam en waarschijnlijk vrij lastig te takkelen maar ben benieuwd of er hier nog mensen zijn die interessante tips hebben.

[Question Mark]

Enabling Reverse DNS Lookup (IIS 6.0)

If you select this option, the SMTP service will attempt to verify that the client’s IP address matches the host/domain submitted by the client in the EHLO/HELO command. If the reverse DNS lookup is successful, the RECEIVED header will remain intact. If the verification is unsuccessful, "unverified" appears after the IP address in the RECEIVED header of the message. If the reverse DNS lookup fails, "RDNS failed" will appear in the RECEIVED header of the message.

Rotty schreef op woensdag 14 oktober 2009 @ 09:05:Sommige connecties blijven wel een paar honderd seconden actief, ondanks dat de time-out ingesteld staat op 5 minuten (10 is default meen ik).

5 minuten is 300 seconden, dat klopt dan toch?

[Anoniem: 120725]

Even je titel wat duidelijker gemaakt

[Rotty]

Ok dit had ik inderdaad ook gevonden maar mijn vraag is kan ik de connectie niet meteen laten droppen als RDN niet matched ? Of anders gezegt wat kan ik ermee dat de header wordt gemarked ? Ik heb niet heel veel ervaring met Exchange... De connectie blijft overigens veel langer actief dan 300 seconden zie regelmatig >500 sec. ?

[elevator]

De connectie meteen laten droppen als RDNS niet matched met het IP zou ik zeker niet doen, dat gaat veel mail tegenhouden die je misschien toch wel wilt ontvangen.

Connectie die langer actief is dan 500 seconden kan natuurlijk allerlei oorzaken hebben - bijvoorbeeld een erg grote mail die binnen komt (ik weet niet wat je upload capaciteit is en hoe je limieten staan) oid?

[Anoniem: 67663]

Beetje onderzoek zelf doen, en je had diverse sites, zoals MSDN, Isaserver.org, en exchangeexperts.com wel gevonden denk ik.

Op o.a. MSDN staat ook gelijk uitgelegd, hoe je sender policy framework kunt instellen voor je server.
(SPF). Dan heb je in elk geval een beetje de mogelijkheid om je spam-attacks af te wenden.

Een andere goed alternatief is MailEssentials, van GFI. Die houdt werkelijk wel wat zaken tegen.
Of een linux bak met Spam Assessin...wil ook e.e.a. wel fixen, voor het de exchange(of smpt) ingaat.

[Rolfie]

Wat eigenlijk zou willen is op je SMTP server al willen kijken of het naar bestaande of niet bestaande Email addressen wordt verstuurd.
Dit zal je al een hoop NDRs schelen.
Een goedkoop maar zeer goed werkend product is ORF. Kan ook meteen DNS Blacklists gebruiken. Nog voordat de Email binnen is. Scheelt je een hoop SPAM Emails op je server.
Dit product ondersteund ook meteen graylisting. Kan ook een hoop SPAM Emails schelen