Advies Exchange 2007

[Verwijderd]

Bij deze even een vraagje over een exchange 2007 omgeving:

bij een klant van ons draait een exchange 2007 omgeving met een domeinnaam: mail.<bedrijfsnaam>.nl
echter als iemand een mail verstuurd en ik kijk in de header zie ik een message-id staan met de interne hostname van de mailserver. Weet iemand hoe ik dit kan aanpassen?

ik wil dus graag een message-id meesturen met de domeinnaam erin en niet de interne hostname.
dit i.v.m. problemen die je krijgt als je mail verstuurd naar exchange omgevingen waar sender id filtering aanstaat. (de interne hostnaam is natuurlijk op internet niet bekend en zal dus worden ge-bounced door de filter)

alle mogelijke hulp/tips zijn welkom!

groeten,

Gijs van Beek

[PenguinPower]

Ik denk dat je een verkeerd beeld hebt over hoe Sender ID werkt. De Message ID header wordt naar mijn weten niet gebruikt in Sender ID of SPF.

Bij sender ID wordt alleen gecontrolleerd op het domein dat is invult bij het MAIL FROM: smtp commando en mogelijk ook REPLY TO:

Message ID is alleen ter identificatie van een email bericht, en mailservers kunnen duplicaten hiermee ondekken.

[KoeKk]

Voor de volledigheid de plek waar je dit kan aanpassen:

In de Exchange Management Console kan je onder Organization Configuration -> Hub Transport -> Send Connectors de FQDN instellen waarmee je send connector 'de telefoon opneemt'.

Voor een Recieve connector kan dit onder Server configuration -> Hub Transport -> Recieve Connectors.

Sucses

[ Voor 8% gewijzigd door KoeKk op 11-02-2010 11:23 ]

[Verwijderd]

ik dacht in eerste instantie ook dat hij alleen naar de FQDN kijkt van de send connector.
echter als ik een mail vanaf die omgeving stuur naar mijn eigen mailadres (op onze eigen exchange omgeving waar sender id filtering aanstaat, word het bericht direct ge-bounced.

en krijg ik de volgende e-mail terug:

Uw bericht kan niet worden bezorgd bij de volgende personen of distributielijsten:

[e-mail]
Uw bericht is vanwege het beveiligingsbeleid niet bezorgd. Microsoft Exchange probeert dit bericht niet opnieuw te verzenden. Geef de volgende diagnosetekst door aan uw systeembeheerder.

De volgende organisatie heeft uw bericht geweigerd: [<ip adres van ons maildomein>].


Diagnostische gegevens voor beheerders:

Bronserver: mailrelay2.kpn.net

<ip adres>] #<[<ip adres>] #5.7.1 SMTP; 550 5.7.1 Sender ID (PRA) Not Permitted> #SMTP#

[Verwijderd]

en daar komt bij, dat ik het getest heb.
als ik sender id filtering bij ons uitschakel, komt diezelfde mail binnen.
als ik hem weer inschakel, krijg ik direct weer bounce berichten als ik verstuur vanaf de exchange 2007 omgeving.

terwijl wij verder geen ontvangstproblemen lijken te hebben (ontvangen rond de 3000 e-mails per dag)

[GraveR]

Verwijderd schreef op donderdag 11 februari 2010 @ 12:00:
en daar komt bij, dat ik het getest heb.
als ik sender id filtering bij ons uitschakel, komt diezelfde mail binnen.
als ik hem weer inschakel, krijg ik direct weer bounce berichten als ik verstuur vanaf de exchange 2007 omgeving.

terwijl wij verder geen ontvangstproblemen lijken te hebben (ontvangen rond de 3000 e-mails per dag)

Het probleem is in deze dat blijkbaar mail.domeinnaam.nl (of de eventuele smarthost) niet gemachtigd staat in het SPF (alias SenderID)-record van het betreffende domein. Ontvangende mailservers controleren dit record en matchen de verzendende server (of smarthost/relay) tegen dit record. Indien dit record eindig met -all in plaats van ~all of +all en de zender staat niet als toegestaan, krijg je deze melding.

Kun je het SPF-record van het domein eens plaatsen hier? Is onder andere op te vragen via nslookup op Windows machines.

Start -> run -> nslookup <enter>

> set q=txt <enter>
> domeinnaam.nl. <enter> (die laatste punt is optioneel)

Je krijgt dan iets als (voorbeeld van een domein dat ik beheer):

> set q=txt
> radiotwenterand.nl.
Server:  gw.lan
Address:  192.168.1.254

Non-authoritative answer:
radiotwenterand.nl      text =

        "v=spf1 a mx -all"

radiotwenterand.nl      nameserver = ns3.radiotwenterand.nl
radiotwenterand.nl      nameserver = ns1.radiotwenterand.nl
>

Het gaat om die "v=spf1 a mx -all". Deze geeft aan dat het adres van het domein mag zenden, de mailserver en voor de rest niemand.

[ Voor 0% gewijzigd door GraveR op 11-02-2010 12:26 . Reden: > vergeten ]

[Verwijderd]

H:\>nslookup
*** Can't find server name for address <ip adres>: Non-existent domain
Default Server: UnKnown
Ik krijg het volgende terug (lijkt me niet echt goed):

Address: <ip adres>

> set q=txt
> domeinnaam.nl
Server: UnKnown
Address: <ip adres>

domeinnaam.nl
primary name server = hostname.domein.lan
responsible mail addr = hostmaster.domein.lan
serial = 26
refresh = 900 (15 mins)
retry = 600 (10 mins)
expire = 86400 (1 day)
default TTL = 3600 (1 hour)

[Verwijderd]

excuus ik heb lopen klooien met de reverse lookup

dit is wat ik terug krijg:

> set q=txt
> domeinnaam.nl
Server: hostname.domein.lan
Address: 192.168.2.11

vanderveenrijssen.nl
primary name server = hostname.domein.lan
responsible mail addr = hostmaster.domein.lan
serial = 26
refresh = 900 (15 mins)
retry = 600 (10 mins)
expire = 86400 (1 day)
default TTL = 3600 (1 hour)

[GraveR]

Verwijderd schreef op donderdag 11 februari 2010 @ 13:29:
excuus ik heb lopen klooien met de reverse lookup

dit is wat ik terug krijg:

> set q=txt
> domeinnaam.nl
Server: hostname.domein.lan
Address: 192.168.2.11

vanderveenrijssen.nl
primary name server = hostname.domein.lan
responsible mail addr = hostmaster.domein.lan
serial = 26
refresh = 900 (15 mins)
retry = 600 (10 mins)
expire = 86400 (1 day)
default TTL = 3600 (1 hour)

Da's van de interne DNS-server ja... Die denkt authorative te zijn voor het domein.

Het is goed dat je het domein vergeten bent te censureren:

host -t txt vanderveenrijssen.nl
vanderveenrijssen.nl descriptive text "v=spf1 +a +mx -all"

En daar ga je.

Je zou denken dat MX ook mail.vanderveenrijssen.nl omvat, echter klopt de reverse ervan niet:

mail.vanderveenrijssen.nl has address 87.195.138.14
14.138.195.87.in-addr.arpa domain name pointer dsl-087-195-138-014.solcon.nl.

2 oplossingen:

1) zorg dat Solcon (of dat je dat zelf kunt) dsl-087-195-138-014.solcon.nl omzet naar mail.vanderveenrijssen.nl
2) neem het adres 87.195.138.14 op in het SPF-record van de provider, dit wordt dan:
v=spf1 a mx ip4:87.195.138.14 -all

Let wel dat de laatste wijziging minimaal 86400 seconden (= 24uur) in beslag neemt.

[Caeruleus]

GraveR schreef op donderdag 11 februari 2010 @ 14:42:
[...]

Da's van de interne DNS-server ja... Die denkt authorative te zijn voor het domein.

Het is goed dat je het domein vergeten bent te censureren:

host -t txt vanderveenrijssen.nl
vanderveenrijssen.nl descriptive text "v=spf1 +a +mx -all"

En daar ga je.

Je zou denken dat MX ook mail.vanderveenrijssen.nl omvat, echter klopt de reverse ervan niet:

mail.vanderveenrijssen.nl has address 87.195.138.14
14.138.195.87.in-addr.arpa domain name pointer dsl-087-195-138-014.solcon.nl.

2 oplossingen:

1) zorg dat Solcon (of dat je dat zelf kunt) dsl-087-195-138-014.solcon.nl omzet naar mail.vanderveenrijssen.nl
2) neem het adres 87.195.138.14 op in het SPF-record van de provider, dit wordt dan:
v=spf1 a mx ip4:87.195.138.14 -all

Let wel dat de laatste wijziging minimaal 86400 seconden (= 24uur) in beslag neemt.

Volgens mij hoef je niet zo moeilijk te doen, MX staat in het SPF record, dat is dus mail.vanderveenrijssen.nl oftewel 87.195.138.14 dat is volgens mij de enige check. Komt het daarvandaan dan is het prima. Vraag is dan of de mail ook vanaf dat ip adres wordt verzonden of vanaf een andere server. Dat vind ik zo ff niet terug in het topic.

[Verwijderd]

heren,

dank voor de antwoorden!
dit klinkt aan alle kanten logisch,
ik ga even kijken of ik dat geregeld krijg bij solcon.

[alt-92]

Caeruleus schreef op donderdag 11 februari 2010 @ 14:58:
[...]

Volgens mij hoef je niet zo moeilijk te doen, MX staat in het SPF record, dat is dus mail.vanderveenrijssen.nl oftewel 87.195.138.14 dat is volgens mij de enige check.

Tenzij er op dat IP vervolgens weer wordt gekeken of die ook een reverse DNS entry genaamd mail.vanderveenrijssen.nl heeft - wat hier niet het geval is.

[Predator]

Het is zoiezo very bad practise als jouw MX record resolved naar een IP adres dat niet geen PTR record heeft die terug naar dezelfde DNS naam wijst.
Zorg dus voor een correcte reverse DNS.

[Wimo.]

Predator schreef op zondag 14 februari 2010 @ 15:33:
Het is zoiezo very bad practise als jouw MX record resolved naar een IP adres dat niet geen PTR record heeft die terug naar dezelfde DNS naam wijst.
Zorg dus voor een correcte reverse DNS.

Correct, anders krijg je een deel van je mail terug

[Verwijderd]

Nou.. Solcon heeft (als het goed is) het spf record aangepast door mail.vanderveenrijssen.nl toe te voegen.
dit geeft echter nog geen oplossing, ik krijg de mail net zo hard weer terug (door onze sender id filtering)

jullie hebben het over de reverse lookup van de interne dns server?
die staat goed, heeft een ptr record die verwijst naar mail.vanderveenrijssen.nl

iemand nog een idee?

[Verwijderd]

Net pas het pb'tje gelezen van GraveR,

Solcon heeft een R vergeten in het ptr record dat ze gewijzigd hebben
dus even kijken of het na die aanpassing weer beter gaat..

[Verwijderd]

Update:

Solcon heeft wijziging opnieuw doorgevoerd, als ik nu trace naar het externe ip krijg ik de naam correct te zien.
probleem blijft echt bestaan!
ik krijg direct een mail retour met de al eerder aangegeven melding.

iemand nog een idee?

[Danicom]

Heb je via MXToolbox.com al een SMTP check gedaan, kan je zo zien of je Reverse DNS goed staat.