Exchange 2013 Semi-Open-Relay

[DarkMagician]

Beste Mede-tweakers,

Na lang zoeken en veel haren uitgetrokken te hebben probeer ik hier naar de oplossing van mijn probleem te zoeken…

Om mijzelf alvast wat te laten wennen met Exchange 2013 heb ik een test omgeving opgezet op vSphere 5 bestaande uit een Domain Controller (Windows 2012 R2), Exchange Server (Windows 2012 R2, Exchange 2013 CU6) en een Backup/Manager PC (Windows 2012 R2, SCCM 2012 R2 en Xeams). Xeams is momenteel inactief om uit te sluiten dat dit het probleem is. Als FireWall gebruik ik de laatste build van pfSense. Mijn ervaring stopt momenteel bij Exchange 2003/2007 dus ik moet nog even de werking doorgronden.
Uiteraard zijn alle servers voorzien van de nieuwste updates, anti-virus en anti-spyware.

Nu mijn probleem:

Ik zie een groot aantal NDR’s voorbij komen die via mijn server verzonden worden naar onbekende adressen. Oftewel mijn server is een Open-Relay. Even verifiëren bij mxtoolbox.com en mailradar.com welke tot mijn verbazing beide aangeven dat de server geen Open-Relay is.

Zelf even outlook op een andere locatie opgestart en als gegevens nep info bij een POP en SMTP account ingevuld. Ik POP en IMAP helemaal niet dus die falen sowieso omdat de port-forwardings hiervoor er niet zijn.“Test-e-mailbericht verzenden: De reactie van de server was: 550 5.7.1 Unable to relay”” Geweldig dus [e-mail] met een nep wachtwoord en gebruikersnaam kan dus niet relayen. Echter met dezelfde foute credentials maar met als email adres [e-mail] lukt het verzenden.....

Op mijn Exchange 2007 geeft dezelfde test“Test-e-mailbericht verzenden: De reactie van de server was: 550 5.1.1 User unknown”” Dit is dus wat moet gebeuren.

Ik heb geprobeerd om Anonymous uit te zetten op de Default Frontend en dit lost het probleem op maar dan kan ik (begrijpelijk) ook geen email meer ontvangen van het internet.

Om te testen of ik het wel werkend kan krijgen met authenticatie heb ik een nieuwe Connector gemaakt met TLS, Basic Authentication en Offer basic authentication. Daarnaast heb ik Exchange Users geselecteerd. Deze connector heb ik een andere port gegeven en deze opengezet op de firewall. Daarnaast het volgende commando via Exchange Powershell gedaan Get-ReceiveConnector "Authenticated SMTP" | Add-ADPermission -User "NT AUTHORITY\Authenticated Users" -ExtendedRights "ms-Exch-SMTP-Accept-Any-Sender" (Authenticated SMTP is de nieuwe connector)

Als ik nu een mail stuur via smtp op de nieuwe port met TLS werkt het prima, zonder credentials niet! Zoals gewenst dus. Echter op port 25 kan ik nog steeds van alles doen mits het email adres maar voorzien is van @mijneigendomein.nl….

Misschien zoek ik het te moeilijk maar ik zie het even niet meer… Ik moet een aparte connector hebben die alleen mail ontvangt op 25 maar niet verzend maar in de Exchange 2013 ECP vind ik het gewoon niet… Elke wijziging tot nu toe blokkeert ook inkomende mail van “vreemde domeinen”...

Hoe krijg ik hetzelfde effect als op mijn Exchange 2007 omgeving namelijk de 550 5.1.1 User unknown i.p.v. dat de mails gewoon gestuurd worden?

[wagenveld]

Exchange 2013 heeft idd ander gedrag op de receive connector, zie oa
http://social.technet.mic...g?forum=exchangesvrdeploy
http://serverfault.com/qu...ring-reject-after-rcpt-to

Doe eens een output van get-receiveconnector | fl en get-sendconnector | fl?

[JJ Le Funk]

DarkMagician schreef op vrijdag 12 september 2014 @ 10:16:
[...]
Als ik nu een mail stuur via smtp op de nieuwe port met TLS werkt het prima, zonder credentials niet! Zoals gewenst dus. Echter op port 25 kan ik nog steeds van alles doen mits het email adres maar voorzien is van @mijneigendomein.nl….
[...]

testen met Outlook kan verwarrend zijn. als de connectie succesvol is voor een bepaalde poort dan is deze voor een x periode ook succesvol op een andere poort. Zo heb ik eens een paar uur verspild aan het testen van een SSL certificaat.

[DarkMagician]

wagenveld schreef op vrijdag 12 september 2014 @ 10:25:
Exchange 2013 heeft idd ander gedrag op de receive connector, zie oa
http://social.technet.mic...g?forum=exchangesvrdeploy
http://serverfault.com/qu...ring-reject-after-rcpt-to

Doe eens een output van get-receiveconnector | fl en get-sendconnector | fl?

De tweede link gaf de verklaring: Yes, that appears to be the default behavior of the CAS relay agent. The CAS (which listens on port 25)does not verify addresses and simply accepts all of themm until after the DATA phase, then looks up the correct MailBox Server and does all the verification then. Oftewel ik moet een SPAM appliance gaan draaien voor mijn Exchange ;-)

Bedankt wagenveld! Dit verklaard waarom het "Vroegah" wel ging. Nu heb ik weer een richting

EDIT:
Krijg nu een Remote Server returned '550 5.1.1 RESOLVER.ADR.RecipNotFound; not found' dankzij wat tweaks (Die alleen via PS kunnen trouwens.....) aan de Reciepent Policy http://technet.microsoft.com/en-us/library/bb125187%28v=exchg.150%29.aspx dit was mijn "hulplijntje" oftewel mijn doel is bereikt :-) Wederom bedankt!

[ Voor 17% gewijzigd door DarkMagician op 12-09-2014 10:50 . Reden: Opgelost ]

[wagenveld]

Even nog terzijde, als je een spam appliance voor recipient verification op Exchange moet configureren (of vergelijkbaar) dan kun je die het beste op 2525 zetten aangezien die receive connector wel op dezelfde manier als 2007/2010 reageert. Mail gaat natuurlijk wel gewoon via 25.