Telenet en Belgacom toch beetje schandalig

[laserfreak]

Hallo,

Vandaag heb ik iets vastgesteld waar ik het toch een beetje koud van krijg. Ik heb een telenet business internet abonnement waar ik vrij tevreden van ben. Zeker nu ze poort 80 inkomend opengesteld hebben.

Ik wou vandaag echter voor een test een mail versturen naar een externe SMTP server die op de standaard poort 25 luistert. Ik maak dus vanuit mijn bedrijfsnetwerk verbinding naar buiten op poort 25.

Tot mijn grote verbazing wordt de verbindng gedropped door een firewall. Telenet nog niet verdenkende heb ik mijn pfSense instellingen goed bekeken, in de logs zag ik dat de verbinding niet werd gedropped door pfSense.

Ik heb dan maar proberen telnetten om softwareproblemen uit te sluiten. Dus gewoon met putty eens naar de google smtp server proberen connecteren, dit lukt niet. Dan heb ik eens naar de telenet smtp 'smtp.telenet.be' proberen connecteren. Je raadt het al, dit werkt wel.

Daarnet eens op een belgacom internet lijn geprobeert, net het zelfde.

Ik heb 45 minuuten aan de telefoon gehangen met de heel onvriendelijke telenet klantendienst. Ik zei hen dat ik voor internet betaal en dan toch alle 65536 wil kunnen gebruiken. Ik vind het al erg genoeg dat ze inkomende poorten blokkeren. Ze zeiden doodleuk dat ze hier geen ondersteuning voor konden geven, ze wilden dus zelfs niet kwijt dat het 'company policy' is.

Ik vind het dus toch wat schandalig dat ik al mijn email die via poort 25 moet persé door hun mailserver moet sturen. Waar kan dat nu goed voor zijn.

Is dit een gangbare praktijk?

Mvg,
Daan

[RGAT]

Op je vraag 'is dit een gangbare praktijk': Ja.
(Met een kleine search op het forum had je talloze posts gevonden hierover )
Vrijwel iedere goede provider blokkeert poort 25, simpelweg veel te veel spam als ze die open laten en, en 99,9% weet niet wat smtp is en gebruikt gmail enz
Je kan bijv. Gmail's open SMTP relay gebruiken (poort 465 of 587 ben even kwijt welke van die twee) enige probleem daarvan is dat de afzender van je mail altijd je gmail adres is.

[Fish]

Niet echt een schande .. net zoals de netbios poorten vaak dicht staan.

idd poort 25 dichtzetten is "gewoon"om spam te voorkomen en dus ook de spamreputatie van het netwerk hoog te houden. a

De meeste mailserver ondersteunen vaak ook wel ssl/tls. vaak gewoon niet gedocumenteerd. maar wel aangezet.


maak je verbinding op poort 25 van een eigen server of direct met de mx van de ontvanger ?

[Compizfox]

laserfreak schreef op dinsdag 31 maart 2015 @ 22:49:
Hallo,

Vandaag heb ik iets vastgesteld waar ik het toch een beetje koud van krijg. Ik heb een telenet business internet abonnement waar ik vrij tevreden van ben. Zeker nu ze poort 80 inkomend opengesteld hebben.

Wut? Want dat staat normaal gesproken dicht?

Ik wou vandaag echter voor een test een mail versturen naar een externe SMTP server die op de standaard poort 25 luistert. Ik maak dus vanuit mijn bedrijfsnetwerk verbinding naar buiten op poort 25.

Tot mijn grote verbazing wordt de verbindng gedropped door een firewall. Telenet nog niet verdenkende heb ik mijn pfSense instellingen goed bekeken, in de logs zag ik dat de verbinding niet werd gedropped door pfSense.

Ik heb dan maar proberen telnetten om softwareproblemen uit te sluiten. Dus gewoon met putty eens naar de google smtp server proberen connecteren, dit lukt niet. Dan heb ik eens naar de telenet smtp 'smtp.telenet.be' proberen connecteren. Je raadt het al, dit werkt wel.

Daarnet eens op een belgacom internet lijn geprobeert, net het zelfde.

Ik heb 45 minuuten aan de telefoon gehangen met de heel onvriendelijke telenet klantendienst. Ik zei hen dat ik voor internet betaal en dan toch alle 65536 wil kunnen gebruiken. Ik vind het al erg genoeg dat ze inkomende poorten blokkeren. Ze zeiden doodleuk dat ze hier geen ondersteuning voor konden geven, ze wilden dus zelfs niet kwijt dat het 'company policy' is.

Ik vind het dus toch wat schandalig dat ik al mijn email die via poort 25 moet persé door hun mailserver moet sturen. Waar kan dat nu goed voor zijn.

Is dit een gangbare praktijk?

Mvg,
Daan

Dat is voor consumentenverbindingen redelijk gebruikelijk. Je kunt niet zomaar poort 25 uitgaand openzetten want dan gaat iedereen spam lopen versturen. De constructie die jij beschrijft heet een smarthost. Je kunt nog steeds gewoon zelf thuis een mailserver draaien, alleen moet al jouw uitgaande mail langs hun server zodat ze kunnen controleren op spam e.d.

Overigens heb je er nog steeds niks aan als ze die poort wel open zetten, want alle IP space bedoeld voor consumenten staat in een blocklist van Spamhaus: de PBL. Dus zelfs als je wel via poort 25 zonder de smarthost mail kon verzenden had je er nog niks aangehad omdat geen enkele mailserver jouw mail zou aannemen.

Hoe het voor "Business"-verbindingen zit weet ik niet.

[laserfreak]

Ik wou eigenlijk een test LAMP server opzetten en dus ook een mailtje kunnen sturen. Ik heb nu de telenet relay gebruikt, maar ik vind het een beetje flauw dat ik niet de vrijheid krijg om zelf een andere mailserver te contacteren.

@Compizfox: poort 80 staat sinds kort open.

Ik heb een business abbo. Toch raar dat je als bedrijf nog steeds langs de telenet mailserver moet als je het op poort 25 wil doen.

Mvg,
Daan

[ Voor 30% gewijzigd door laserfreak op 31-03-2015 23:20 ]

[RGAT]

laserfreak schreef op dinsdag 31 maart 2015 @ 23:18:
Ik wou eigenlijk een test LAMP server opzetten en dus ook een mailtje kunnen sturen. Ik heb nu de telenet relay gebruikt, maar ik vind het een beetje flauw dat ik niet de vrijheid krijg om zelf een andere mailserver te contacteren.

Enige optie is dan email hosting (of hele VPS) te nemen, daar heb je dit soort opties wel.
(Of via telenet of Gmail relay sturen)

[ Voor 4% gewijzigd door RGAT op 31-03-2015 23:20 ]

[Compizfox]

Het maakt anders niet echt veel uit. Een heel groot deel van de mailservers filtert inkomende mail op de PBL, dus als jij wel direct mail had kunnen versturen zouden al deze mailservers jouw email lekker droppen omdat het van een IP afkomstig is wat geen mail hoort te versturen.

The Spamhaus PBL is a DNSBL database of end-user IP address ranges which should not be delivering unauthenticated SMTP email to any Internet mail server except those provided for specifically by an ISP for that customer's use. The PBL helps networks enforce their Acceptable Use Policy for dynamic and non-MTA customer IP ranges.

[ Voor 49% gewijzigd door Compizfox op 31-03-2015 23:21 ]

[laserfreak]

@Compizfox: dat wist ik niet van die private address space, dat is interessant om weten.

Ik was alleen een beetje verbaast, was nieuw voor mij dat ook niet alle uitgaande poorten beschikbaar zijn.

(Of via telenet of Gmail relay sturen)

Dat bedoel ik net, je kan geen andere relay dan telenet kiezen want je kan op poort 25 enkel naar de telenet relay gaan.

[ Voor 31% gewijzigd door laserfreak op 31-03-2015 23:24 ]

[CyBeR]

laserfreak schreef op dinsdag 31 maart 2015 @ 22:49:
Hallo,

Vandaag heb ik iets vastgesteld waar ik het toch een beetje koud van krijg. Ik heb een telenet business internet abonnement waar ik vrij tevreden van ben. Zeker nu ze poort 80 inkomend opengesteld hebben.

[..]

Ik vind het dus toch wat schandalig dat ik al mijn email die via poort 25 moet persé door hun mailserver moet sturen. Waar kan dat nu goed voor zijn.

Is dit een gangbare praktijk?

Absoluut niet. Bij consumentenverbindingen: ja. Maar jij hebt een zakelijke internetverbinding en daar betaal je meer voor. Daarbij horen dat soort zaken inderdaad niet gedaan te worden. 80 had daarbij ook nooit dicht moeten zitten.

[ Voor 3% gewijzigd door CyBeR op 31-03-2015 23:24 ]

[M2M]

Maar gelden die regels voor consumenten dan ook voor een Telenet business abbo?

edit: Spuit11:D

[ Voor 10% gewijzigd door M2M op 31-03-2015 23:24 ]

[RGAT]

Overigens, als toch al elke mailserver die PBL van Spamhaus gebruikt, kan de provider dan niet net zo goed die poort open gooien? Elk beetje goed ingestelde mailserver negeert die mail dus echt kwaad kan het niet lijkt me?...

Zie nu pas dat je een Business abo hebt, op zakelijke verbindingen zouden dit soort poorten niet dicht moeten zitten

[CyBeR]

"Elke mailserver" is ook nogal een overdrijving. Laten we 't in plaats daarvan "een klein gedeelte van de mail servers" noemen want zo wijdverspreid is dat gebruik niet.

[Compizfox]

CyBeR schreef op dinsdag 31 maart 2015 @ 23:23:
[...]


Absoluut niet. Bij consumentenverbindingen: ja. Maar jij hebt een zakelijke internetverbinding en daar betaal je meer voor. Daarbij horen dat soort zaken inderdaad niet gedaan te worden. 80 had daarbij ook nooit dicht moeten zitten.

Dat poort 80 dichtzit klinkt inderdaad puur als pesterij. Maar dat poort 25 dichtzit is vrij standaard en ook logisch gezien hoe email werkt.

Ik weet het niet zeker, maar ik vermoed dat ook zakelijke verbindingen gewoon onder die "end-user IP address ranges" vallen waar Spamhaus over praat. Met andere woorden, die IPs staan gewoon in de PBL en een gebruiker schiet er dus niets mee op als de ISP poort 25 uitgaand wel open zou zetten.

TS kan dit overigens makkelijk checken of dit zo is door zijn IP in te vullen op http://www.spamhaus.org/lookup/

CyBeR schreef op dinsdag 31 maart 2015 @ 23:25:
"Elke mailserver" is ook nogal een overdrijving. Laten we 't in plaats daarvan "een klein gedeelte van de mail servers" noemen want zo wijdverspreid is dat gebruik niet.

Tuurlijk gebruikt niet elke mailserver die list, maar wel een groot genoeg deel om ervoor te zorgen datje niet kunt garanderen dat mail die je verstuurt vanaf end-user IP-space aankomt op de meeste mailservers.

[ Voor 21% gewijzigd door Compizfox op 31-03-2015 23:30 ]

[RGAT]

@CyBeR: Da's dan weer jammer... (Had even hoop om thuis m'n mail server weer aan te zetten )

Zit een beetje naar die Telenet Business abo's te kijken en echt zakelijk lijken ze niet, behalve dat Telenet zegt dat het zakelijk is...
Zo zie ik 'variabel ip adres' en een niet echt spectaculaire upload snelheid, lijkt me meer een consumenten abo vermomd als zakelijk...

[CyBeR]

Compizfox schreef op dinsdag 31 maart 2015 @ 23:28:
[...]

Dat poort 80 dichtzit klinkt inderdaad puur als pesterij. Maar dat poort 25 dichtzit is vrij standaard en ook logisch gezien hoe email werkt.

Dat is standaard voor consumenten ja. TS heeft een zakelijke lijn en daar is dat echt absoluut een uitzondering.

RGAT schreef op dinsdag 31 maart 2015 @ 23:29:
@CyBeR: Da's dan weer jammer... (Had even hoop om thuis m'n mail server weer aan te zetten )

Zit een beetje naar die Telenet Business abo's te kijken en echt zakelijk lijken ze niet, behalve dat Telenet zegt dat het zakelijk is...
Zo zie ik 'variabel ip adres' en een niet echt spectaculaire upload snelheid, lijkt me meer een consumenten abo vermomd als zakelijk...

Ja je vraagt je af waarom ze dat product dan nog aanbieden… Edit: ah. Hogere datalimiet. Ook zoiets wat normale zakelijke abo's niet hebben.

[ Voor 46% gewijzigd door CyBeR op 31-03-2015 23:34 ]

[Compizfox]

RGAT schreef op dinsdag 31 maart 2015 @ 23:29:
@CyBeR: Da's dan weer jammer... (Had even hoop om thuis m'n mail server weer aan te zetten )

Dit belemmert je helemaal niet om thuis een mailserver te draaien hoor. Ik doe het ook. Poort 25 inkomend staat gewoon open, dus dat gaat prima.

Het enige addertje onder het gras is dat je niet 'zo maar' mail naar buiten kunt sturen: je moet je mailserver configureren dat ie dat langs de smarthost van je ISP stuurt.

[RGAT]

Compizfox schreef op dinsdag 31 maart 2015 @ 23:31:
[...]

Dit belemmert je helemaal niet om thuis een mailserver te draaien hoor. Ik doe het ook. Poort 25 inkomend staat gewoon open, dus dat gaat prima.

Het enige addertje onder het gras is dat je niet 'zo maar' mail naar buiten kunt sturen: je moet je mailserver configureren dat ie dat langs de smarthost van je ISP stuurt.

Dat klopt, heb hier hMail draaien en die ontvangt prima, verzenden gaat helaas alleen via Gmail's relay...
En Gmail is nogal picky over wat die wel en niet door laat...

[ Voor 5% gewijzigd door RGAT op 31-03-2015 23:36 ]

[Fish]

Compizfox schreef op dinsdag 31 maart 2015 @ 23:28:
[...]

Dat poort 80 dichtzit klinkt inderdaad puur als pesterij. Maar dat poort 25 dichtzit is vrij standaard en ook logisch gezien hoe email werkt.

Ik weet het niet zeker, maar ik vermoed dat ook zakelijke verbindingen gewoon onder die "end-user IP address ranges" vallen waar Spamhaus over praat. Met andere woorden, die IPs staan gewoon in de PBL en een gebruiker schiet er dus niets mee op als de ISP poort 25 uitgaand wel open zou zetten.

TS kan dit overigens makkelijk checken of dit zo is door zijn IP in te vullen op http://www.spamhaus.org/lookup/


[...]

Tuurlijk gebruikt niet elke mailserver die list, maar wel een groot genoeg deel om ervoor te zorgen datje niet kunt garanderen dat mail die je verstuurt vanaf end-user IP-space aankomt op de meeste mailservers.

En dat hangt ook weer af van wat voor score aan gegeven word. zowiezo moet je niet op 1 lijst vertrouwen (vind ik) zo heb ik er een tiental dnsbl's die ik querie, helo en rdns. het totale gewicht bepaalt wat er gebeurt.

Luie isp vertrouwen op ook wel 1 lijst. ziggo bijv.

[laserfreak]

De IP range waarin ik zit, zit inderdaad in de PBL: 178.116.0.0/14

Maar toch jammer dat de poort 25 dicht zit. Want nu kunnen legacy clients zoals copiers/printers niet anders dan hun mail door de telenet relay sturen. Ookal heeft het bedrijf een eigen server (die trouwens wel mooi overal mail naartoe kan sturen, dus niet geblacklist). En tussen die scans zitten soms best gevoelige documenten.

[Fish]

Klein schakeltje maar. je vind het wel acceptabel dat je unencrypted verkeer mogelijk door alle andere hops/gateways/relay's/taps/isp's met bewaarplicht en andere servers onderschept wordt.

beetje raar van je ..


als je het veilig wil zorg dan voor een (veilige) vpn met het endpoint of tls/ssl

[ Voor 16% gewijzigd door Fish op 31-03-2015 23:46 ]

[laserfreak]

@Fish daar heb je gelijk in, ik gebruik mijn voorgestelde use case ook niet meteen, maar ik ben wel al setups tegengekomen waar het zo wordt gebruikt. En elke schakel minder is dan toch beter.

[Compizfox]

Fish schreef op dinsdag 31 maart 2015 @ 23:37:
[...]

En dat hangt ook weer af van wat voor score aan gegeven word. zowiezo moet je niet op 1 lijst vertrouwen (vind ik) zo heb ik er een tiental dnsbl's die ik querie, helo en rdns. het totale gewicht bepaalt wat er gebeurt.

Luie isp vertrouwen op ook wel 1 lijst. ziggo bijv.

Mag ik vragen welk systeem je daarvoor gebruikt? Zit dat geïntegreerd in je spamfilter? Zelf check ik alleen op zen.spamhaus.com, en dan direct al in de restrictions van Postfix.

Fish schreef op dinsdag 31 maart 2015 @ 23:44:
Klein schakeltje maar. je vind het wel acceptabel dat je unencrypted verkeer mogelijk door alle andere hops/gateways/relay's/taps/isp's met bewaarplicht en andere servers onderschept wordt.

beetje raar van je ..

Klopt. Het is eigenlijk vreemd dat encryptie van email (via PGP) zo weinig gebruikt wordt. En gemiddeld mailtje gaat toch wel langs een hoop verschillende mailservers van begin tot eind...

[Fish]

ik gebruik hier gewoon hmail (kan je ook als relay tussen je bestaande email server zetten maar elke fatsoenlijke server zou dat toch zelf moeten kunnnen)

een beetje rondgekeken naar dnsbl's en een greep gemaakt. ook moet je ze wel af en toe checken. zommigen genereren opzettelijk false positives nadat ze zijn opgeheven (onverplicht registreren helpt dan wel)

code:

<BlockedAttachments>
        <BlockedAttachment Name="*.bat" Description="Batch processing file" />
        <BlockedAttachment Name="*.cmd" Description="Command file for Windows NT" />
        <BlockedAttachment Name="*.com" Description="Command" />
        <BlockedAttachment Name="*.cpl" Description="Windows Control Panel extension" />
        <BlockedAttachment Name="*.csh" Description="CSH script" />
        <BlockedAttachment Name="*.exe" Description="Executable file" />
        <BlockedAttachment Name="*.inf" Description="Setup file" />
        <BlockedAttachment Name="*.lnk" Description="Windows link file" />
        <BlockedAttachment Name="*.msi" Description="Windows Installer file" />
        <BlockedAttachment Name="*.msp" Description="Windows Installer patch" />
        <BlockedAttachment Name="*.reg" Description="Registration key" />
        <BlockedAttachment Name="*.scf" Description="Windows Explorer command" />
        <BlockedAttachment Name="*.scr" Description="Windows Screen saver" />
    </BlockedAttachments>
    <SURBLServers>
        <SURBLServer Name="multi.surbl.org" Active="1" RejectMessage="Rejected by SURBL." Score="5" />
    </SURBLServers>
    <DNSBlackLists>
        <DNSBlackList Name="zen.spamhaus.org" Active="1" RejectMessage="Rejected by Spamhaus. (ok)" ExpectedResult="127.0.0.2-8|127.0.0.10-11" Score="10" />
        <DNSBlackList Name="bl.spamcop.net" Active="1" RejectMessage="Rejected by SpamCop. (experimental" ExpectedResult="127.0.0.2" Score="5" />
        <DNSBlackList Name="dnsbl.kempt.net" Active="1" RejectMessage="rejected by dnsbl.kempt.net" ExpectedResult="127.0.0.2" Score="5" />
        <DNSBlackList Name="dnsbl.karmasphere.com" Active="1" RejectMessage="rejected by dnsbl.karmasphere.com" ExpectedResult="127.0.0.2-8|127.0.0.10-11" Score="5" />
        <DNSBlackList Name="psbl.surriel.com" Active="1" RejectMessage="rejected by psbl.surriel.com (lijkt ok)" ExpectedResult="127.0.0.2-8|127.0.0.10-11" Score="5" />
        <DNSBlackList Name="db.wpbl.info" Active="1" RejectMessage="rejected by wpbl" ExpectedResult="127.0.0.2-8|127.0.0.10-11" Score="5" />
        <DNSBlackList Name="dnsbl-1.uceprotect.net" Active="1" RejectMessage="rejected dnsbl-1" ExpectedResult="127.0.0.2-8|127.0.0.10-11" Score="3" />
        <DNSBlackList Name="dnsbl-2.uceprotect.net" Active="1" RejectMessage="rejected dnsbl-2" ExpectedResult="127.0.0.2-8|127.0.0.10-11" Score="3" />
        <DNSBlackList Name="dnsbl-3.uceprotect.net" Active="1" RejectMessage="rejected dnsbl-3" ExpectedResult="127.0.0.2-8|127.0.0.10-11" Score="3" />
        <DNSBlackList Name="b.barracudacentral.org" Active="1" RejectMessage="rejected by b.barracudacentral.org" ExpectedResult="127.0.0.2" Score="5" />
        <DNSBlackList Name="dyna.spamrats.com" Active="1" RejectMessage="rejected by spamrats" ExpectedResult="127.0.0.2-8|127.0.0.10-100" Score="5" />
        <DNSBlackList Name="bl.mailspike.net" Active="1" RejectMessage="blockes by mailspike" ExpectedResult="127.0.0.2 | 127.0.0.10-12" Score="5" />
        <DNSBlackList Name="dnsbl.justspam.org" Active="1" RejectMessage="rejected by justspam" ExpectedResult="127.0.0.2-8|127.0.0.10-11" Score="5" />
        <DNSBlackList Name="bl.blocklist.de" Active="1" RejectMessage="rejected by http://www.blocklist.de/en/api.html#dns" ExpectedResult="127.0.0.2-8|127.0.0.10-11" Score="5" />
    </DNSBlackLists>

[ Voor 81% gewijzigd door Fish op 01-04-2015 00:01 ]

[Compizfox]

Ah, OK. hmail kende ik nog niet (MTA voor Windows blijkbaar?). Ik dacht dat je die blocklist-checks had geïntegreerd in je spamfilter of zo, en dat je spamfilter de resultaten daarvan meenam in de beoordeling.

Zelf heb ik dat dus anders draaien: bij het binnenkomen van een mailtje voert Postfix een hele hoop checks uit: http://pastebin.com/19Yu82bW

Hij dropt dus sowieso al clients met een invalide HELO hostname, of een niet-bestaand sender-adres bijvoorbeeld. Dan checkt ie ook domeinen op de DBL en het IP op Zen. Dat werkt op zich heel leuk, maar het nadeel hiervan is dat een 'hit' er meteen voor zorgt dat het wordt afgewezen ipv dat ik meerdere blocklists kan laten meetellen in een score oid.

Daarna pas gaat het langs DSPAM (spamfilter).

[Fish]

Ik ben wat vergevelijker neuh hmail hier thuis is zat (25 outbound werkt hier wel )

Zen weegt idd ook best zwaar bij mij. (daar hoeft nog maar 1 trigger bij te komen )
dan wordt het als spam gemarkeerd bij (score 11), bij 15 tieft hij het vanzelf weg.

De mailtjes die dan ook echt binnenkomen met een score van 11-15 zijn ook daadwerkelijk spam (c.a. 2p/m)

mail clients verbinden met ssl met de server, server stuurt alles met ssl door mer de provider (onsbrabant) en dan ja, toedeledie dokie.

signed en/of encrypted mail hoeft niet thuis
Op vakantie gaat het verkeer via een tunnel eerst naar huis, of een vpn provider nou goed zat dunkt me

[ Voor 28% gewijzigd door Fish op 01-04-2015 00:34 ]