Access Office 365 mailserver

[dotacom]

Beste Tweakers,

Wegens personeelsgebrek is hier een probleem bij mij komen te staan dat ik niet geschikt kan troubleshooten.
Vanop een (PHP) webserver worden worden mails verstuurd dmv Office 365 account.
Die trafiek loopt langs een Layer2-Cisco switch waarop bepaalde access listen draaien.

code:

 permit tcp host 157.56.248.6 eq 587 host 172.18.5.15
 permit tcp host 157.56.248.134 eq 587 host 172.18.5.15
 permit tcp host 157.56.252.6 eq 587 host 172.18.5.15
 permit tcp host 157.56.252.134 eq 587 host 172.18.5.15
 permit tcp host 132.245.229.114 eq 587 host 172.18.5.15
 permit tcp host 132.245.229.130 eq 587 host 172.18.5.15
 permit tcp host 132.245.225.98 eq 587 host 172.18.5.15
 permit tcp host 132.245.226.18 eq 587 host 172.18.5.15
permit tcp host 132.245.229.146 eq 587 host 172.18.5.15
permit tcp host 132.245.228.194 eq 587 host 172.18.5.15
permit tcp host 132.245.226.50 eq 587 host 172.18.5.15
permit tcp host 132.245.211.242 eq 587 host 172.18.5.15
permit tcp host 132.245.229.146 eq 587 host 172.18.5.15

172.18.5.15 is het interne IP adres van de webserver.
De publieke IP's zijn statische IP's die verwijzen naar mail.office365.com.
Nu veranderd mail.office365.com steeds van IP waardoor dit eigenlijk geen goede oplossing is.
Als het mailen niet lijkt te lukken wordt er steeds een statisch IP in de access-list geplaatst.

Als test heb ik eerst een telnet over poort 587 vanop de webserver naar mail.office365.com, wat niet lukte.
Hierna voerde ik een telnet uit naar een IP dat in de access list reeds zit.

telnet 157.56.248.6 587 -> lukte
Echter sommige IP's geven een connection refused. Hetzelfde commando telnet naar 132.245.229.146 en 132.245.228.194 lukken bvb niet. Als ik het nieuwe ingevoerde ip probeerde via telnet ging dit ook niet.
Iemand die dit kan verklaren?

[Brahiewahiewa]

Office365.com is gewoon een hele grote omgeving met een paar dozijn mail servers.
Sommige daarvan zullen down zijn voor onderhoud of een andere reden hebben om connecties te weigeren.

Ga eens met de netwerk jongens praten over waarom er zonodig een access list moet worden toegepast voor legitieme uitgaande verbindingen

[dotacom]

Brahiewahiewa schreef op woensdag 25 februari 2015 @ 23:14:
Office365.com is gewoon een hele grote omgeving met een paar dozijn mail servers.
Sommige daarvan zullen down zijn voor onderhoud of een andere reden hebben om connecties te weigeren.

Ga eens met de netwerk jongens praten over waarom er zonodig een access list moet worden toegepast voor legitieme uitgaande verbindingen

Zodanig dat niet iedereen hier in het netwerk alles naar buiten kan sturen over poort 587 veronderstel ik?
Het vreemde is, indien ik als test instelde "permit tcp any any eq 587", kon ik met geen enkele O365 server meer connecteren.

[Brahiewahiewa]

Niet gehinderd door enige kennis van de cisco syntax zou ik zeggen

permit tcp any eq 587 host 172.18.5.15

[ehvc]

Als de noodzaak er is om bepaalde IP adressen alleen toegang te geven dan zou je alle adressen van office 365 toe kunnen voegen.
https://technet.microsoft.com/en-us/library/hh373144.aspx
staat een lijst: Office 356 Portal and identity open klikken en dan de ipv4 /ipv6 adressen toevoegen aan de acceslist.

[Rolfie]

dotacom schreef op woensdag 25 februari 2015 @ 14:40:
De publieke IP's zijn statische IP's die verwijzen naar mail.office365.com.
Nu veranderd mail.office365.com steeds van IP waardoor dit eigenlijk geen goede oplossing is.

Maw, het zijn dus niet statische IP's, want ze wisselen. Sterker nog, ze zijn zelfs locatie afhankelijk. Als ik nu checks uit voer via servers in de VS, krijg ik andere IP adressen terug dan als ik het vanuit Nederland uit voer.