edgeMax en mailserver

[kroegtijger]

Ik probeer al enige tijd om mijn mail-server, die achter de EdgeMax ER-8 staat, op SMTP te kunnen benaderen via poort 25. Elke andere poort via portforwarding instellen is geen enkel probleem, en ook als ik port 26 naar port 25 laat forwarden werkt het als een zonnetje, maar zodra ik op de WAN-interface op port 25 laat luisteren gaat het mis.

Gebruikt de edgeMax zelf soms ergens port 25? en hoe pas ik dat dan aan?

Ik ben zelf vrij onhandig hierin, dus mocht er meer informatie nodig zijn, dan hoor ik dat graag

[8088]

Waarschijnlijk blokkeert je ISP die poort.

[vanaalten]

Wat 8088 zegt kan kloppen.
Welke provider heb je? En hoe test je?

[kroegtijger]

gaat om Ziggo in voormalig UPC gebied. Voor zover ik weet zou die dit niet blokkeren. overigens werkt 587 wel weer netjes

[ Voor 17% gewijzigd door kroegtijger op 03-10-2015 16:09 ]

[chickpoint]

Ik heb ook een mailserver op poort 25 draaien en werkt prima hier. Deze word niet door de EdgeRouter zelf gebruikt. Hoewel in de bepalingen van Ziggo staat wel dat poort 25 geblokkeerd word.

https://static.ziggo.nl/i...nInternet_tcm14-28045.pdf

[Croga]

kroegtijger schreef op zaterdag 03 oktober 2015 @ 16:09:
gaat om Ziggo in voormalig UPC gebied. Voor zover ik weet zou die dit niet blokkeren. overigens werkt 587 wel weer netjes

Als je een niet-zakelijk abonnement hebt wordt poort 25 standaard geblokkeerd. Wil je een eigen mailserver opzetten dan zul je een zakelijk abonnement moeten afsluiten.

[kroegtijger]

Ik heb zelf ook meerdere servers op Ziggo-verbindingen draaien en nooit problemen gehad. Dat was alleen niet in voormalig UPC-gebied en geen een met een EdgeMax ertussen. Of direct achter het modem, of achter een fortigate...

[Compizfox]

Zover ik weet wordt poort 25 incoming over het algemeen niet geblokkeerd door Nederlandse ISPs. Dat zou ook mooi kut zijn, want dat zou het onmogelijk maken om thuis een mailserver te draaien.

Vaak is het wel zo dat je poort 25 outgoing dicht staat, wegens spampreventie. Om je mailserver toch mail te laten versturen moet je het via een smarthost sturen, die meestal hetzelfde is als de normale mailserver van je ISP.

[kroegtijger]

Compizfox schreef op zaterdag 03 oktober 2015 @ 16:15:
Zover ik weet wordt poort 25 incoming over het algemeen niet geblokkeerd door Nederlandse ISPs. Dat zou ook mooi kut zijn, want dat zou het onmogelijk maken om thuis een mailserver te draaien.

Vaak is het wel zo dat je poort 25 outgoing dicht staat, wegens spampreventie. Om je mailserver toch mail te laten versturen moet je het via een smarthost sturen, wat meestal hetzelfde is als de normale mailserver van je ISP.

Outbound mail werkt inderdaad wel (via de smarthost inderdaad), maar inbound krijg ik nog met geen stok aan de gang

[Compizfox]

Croga schreef op zaterdag 03 oktober 2015 @ 16:15:
[...]

Als je een niet-zakelijk abonnement hebt wordt poort 25 standaard geblokkeerd. Wil je een eigen mailserver opzetten dan zul je een zakelijk abonnement moeten afsluiten.

Heb je daar een bron van? Dat zou erg smerig zijn, en bovendien juridisch gezien dubieus (netneutraliteit en zo )

Ik heb vroeger (ondertussen al wel weer een paar jaar geleden) ook Ziggo gehad en poort 25 incoming stond gewoon open. Ik heb ook KPN gehad, waar dit ook het geval is. Nu heb ik Tweak, en weer precies hetzelfde verhaal (incoming staat open, outgoing moet via smarthost). Ik ga er dus vanuit dat alle Nederlandse ISPs hier hetzelfde beleid in voeren.

[ Voor 30% gewijzigd door Compizfox op 03-10-2015 16:19 ]

[chickpoint]

Zie het PDFje wat ik gelinkt heb daar staat het in, dit is namelijk vrij normaal bij ISPs in nederland. Ik ken er maar weinig die het ondersteunen.

[kroegtijger]

Croga schreef op zaterdag 03 oktober 2015 @ 16:15:
[...]

Als je een niet-zakelijk abonnement hebt wordt poort 25 standaard geblokkeerd. Wil je een eigen mailserver opzetten dan zul je een zakelijk abonnement moeten afsluiten.

Even nagekeken via myip.nl en die geeft aan hostname.static.chello.nl
Dat is volgens mij dus wel een zakelijk abonnement

[Croga]

Compizfox schreef op zaterdag 03 oktober 2015 @ 16:17:
[...]

Heb je daar een bron van? Dat zou erg smerig zijn, en bovendien juridisch gezien dubieus (netneutraliteit en zo )

Ik heb vroeger (ondertussen al wel weer een paar jaar geleden) ook Ziggo gehad en poort 25 incoming stond gewoon open.

Staat gewoon in de post boven mij. En nee, dit staat verder los van netneutraliteit aangezien het een beveiligings maatregel betreft. Nagenoeg alle grote providers doen dit.

[CyBeR]

kroegtijger schreef op zaterdag 03 oktober 2015 @ 16:19:
[...]

Even nagekeken via myip.nl en die geeft aan hostname.static.chello.nl
Dat is volgens mij dus wel een zakelijk abonnement

Dat is zakelijk inderdaad. Daarop zou 't geen probleem mogen zijn.

[Compizfox]

Croga schreef op zaterdag 03 oktober 2015 @ 16:19:
[...]
Staat gewoon in de post boven mij. En nee, dit staat verder los van netneutraliteit aangezien het een beveiligings maatregel betreft.

Leg me dat eens uit? Waarom is het security-wise gevaarlijk dat een klant mail kan ontvangen over SMTP?

chickpoint schreef op zaterdag 03 oktober 2015 @ 16:18:
Zie het PDFje wat ik gelinkt heb daar staat het in, dit is namelijk vrij normaal bij ISPs in nederland. Ik ken er maar weinig die het ondersteunen.

En nee, dat staat niet in dat PDFje. Ik quote:

Daarnaast blokkeert Ziggo rechtstreekse
SMTP toegang vanaf klanten naar de
mailservers van derden.
[...]
Technisch bestaat de beperking
uit het blokkeren van uitgaand verkeer naar
TCP poort 25, tenzij het mailservers van Ziggo
betreft.

Met andere woorden: poort 25 uitgaand staat dicht, zoals ik in mijn post hierboven al beschreef. Dat is inderdaad een logische maatregel om spam te voorkomen. Dat is echter iets anders dan poort 25 incoming te blokkeren, wat een enorme naaistreek is en je het onmogelijk maakt om een mailserver te draaien.

Nagenoeg alle grote providers doen dit.

Mijn ervaring is precies tegenovergesteld.

[ Voor 52% gewijzigd door Compizfox op 03-10-2015 16:23 ]

[kroegtijger]

CyBeR schreef op zaterdag 03 oktober 2015 @ 16:19:
[...]


Dat is zakelijk inderdaad. Daarop zou 't geen probleem mogen zijn.

In dat geval lijkt de oorzaak me toch steeds meer in de router te zitten...

[chickpoint]

Dan hebben we wat meer informatie nodig. Maak eens een visualisatie van hoe het nu aangesloten zit.
En hoe ziet de configuratie van je router er uit? (config.boot file)

[ Voor 26% gewijzigd door chickpoint op 03-10-2015 16:21 ]

[Croga]

Compizfox schreef op zaterdag 03 oktober 2015 @ 16:20:Leg me dat eens uit? Waarom is het security-wise gevaarlijk dat een klant mail kan ontvangen over SMTP?

Omdat er veel teveel verkeerd geconfigureerde mailservers in het privé domein zijn waardoor je open relays krijgt waarmee spam verstuurd wordt. Gevolg is dat de provider op de blacklist komt te staan omdat er een open relay in het domein van de provider staat. Vandaar: Blok.

Mijn ervaring is precies tegenovergesteld.

KPN blokkeert het. XS4all blokkeert het (maar kan op verzoek deblokkeren). UPC blokkeert het.....

[Compizfox]

Croga schreef op zaterdag 03 oktober 2015 @ 16:23:
[...]

Omdat er veel teveel verkeerd geconfigureerde mailservers in het privé domein zijn waardoor je open relays krijgt waarmee spam verstuurd wordt. Gevolg is dat de provider op de blacklist komt te staan omdat er een open relay in het domein van de provider staat. Vandaar: Blok.

Misschien dat je mijn edit niet gelezen hebt?

Dat is het gevaar van dat een klant email kan versturen. Het spamprobleem wordt aangepakt door poort 25 uitgaand dicht te zetten en dat is inderdaad een logische maatregel. Maar dat betekent niet dat poort 25 incoming ook dicht moet, en dat wordt dan (gelukkig) ook niet gedaan.

[...]

KPN blokkeert het. XS4all blokkeert het (maar kan op verzoek deblokkeren). UPC blokkeert het.....

Ja uitgaand ja, ingaand niet. Enneh, UPC bestaat niet meer.

[ Voor 4% gewijzigd door Compizfox op 03-10-2015 16:32 ]

[chickpoint]

Laten we deze discussie maar eventjes stop zetten want daar gaan we de TS niet mee helpen
Eventjes afwachten hoe zijn netwerk en configuratie er uit ziet en dan kijken of we hem verder kunnen helpen. Dat poort 25 dicht staat is de meest common practice maar het kan ook een configuratie fout zijn.

[kroegtijger]

chickpoint schreef op zaterdag 03 oktober 2015 @ 16:20:
Dan hebben we wat meer informatie nodig. Maak eens een visualisatie van hoe het nu aangesloten zit

Wat wil je precies weten? Het is een beetje een grote omgeving om alles tot in detail te beschrijven.
Het staat nu zo:

Veel meer dan dat is er eigenlijk niet... Geen andere rules of iets dergelijks, en alle andere forwards die in het lijstje staan werken wel netjes....

[kroegtijger]

chickpoint schreef op zaterdag 03 oktober 2015 @ 16:20:
Dan hebben we wat meer informatie nodig. Maak eens een visualisatie van hoe het nu aangesloten zit.
En hoe ziet de configuratie van je router er uit? (config.boot file)

Waar kan ik die config.boot file vinden? (zoals gezegd, ik ben nog niet zo handig hiermee )
--edit-- ah, gevonden

code:

firewall {
    all-ping enable
    broadcast-ping disable
    ipv6-receive-redirects disable
    ipv6-src-route disable
    ip-src-route disable
    log-martians enable
    name VPN {
        default-action accept
        description ""
        rule 2 {
            action accept
            description "ESP Protocol"
            destination {
                address 192.168.3.0/24
            }
            log disable
            protocol esp
        }
        rule 3 {
            action accept
            description "Allow IKE for VPN"
            destination {
                port 500
            }
            log disable
            protocol udp
        }
        rule 4 {
            action accept
            description "Allow L2TP for VPN"
            destination {
                port 1701
            }
            log disable
            protocol udp
        }
        rule 5 {
            action accept
            description "Allow ESP for VPN"
            log disable
            protocol 50
        }
        rule 6 {
            action accept
            description "Allow NAT-T for VPN"
            destination {
                port 4500
            }
            log disable
            protocol udp
        }
        rule 7 {
            action accept
            description Kassa
            destination {
                port 50173
            }
            log disable
            protocol udp
        }
    }
    receive-redirects disable
    send-redirects enable
    source-validation disable
    syn-cookies enable
}
interfaces {
    bridge br0 {
        address 192.168.3.1/24
        aging 300
        bridged-conntrack disable
        description "Local Bridge"
        hello-time 2
        max-age 20
        priority 32768
        promiscuous enable
        stp false
    }
    ethernet eth0 {
        address 192.168.1.1/24
        description Internet
        duplex auto
        speed auto
    }
    ethernet eth1 {
        bridge-group {
            bridge br0
        }
        description "Local Bridge"
        duplex auto
        speed auto
    }
    ethernet eth2 {
        bridge-group {
            bridge br0
        }
        description "Local Bridge"
        duplex auto
        speed auto
        vif 10 {
            address 192.168.10.1/24
            description Sonos1
        }
        vif 20 {
            address 192.168.20.1/24
            description Sonos2
        }
        vif 30 {
            address 192.168.30.1/24
            description Sonos3
        }
        vif 40 {
            address 192.168.40.1/24
            description VoIP
        }
        vif 50 {
            address 192.168.5.254/24
            description Kassa-systeem
        }
        vif 60 {
            address 192.168.60.1/24
        }
        vif 70 {
            address 192.168.178.1/24
            mtu 1500
        }
    }
    ethernet eth3 {
        duplex auto
        speed auto
    }
    ethernet eth4 {
        duplex auto
        speed auto
    }
    ethernet eth5 {
        duplex auto
        speed auto
    }
    ethernet eth6 {
        duplex auto
        speed auto
    }
    ethernet eth7 {
        duplex auto
        speed auto
    }
    loopback lo {
    }
}
port-forward {
    auto-firewall enable
    hairpin-nat enable
    lan-interface eth2
    lan-interface eth2.50
    lan-interface eth2.10
    lan-interface eth2.20
    lan-interface eth2.30
    lan-interface eth2.40
    lan-interface eth2.60
    lan-interface eth2.70
    rule 1 {
        description "switch1 beneden 24"
        forward-to {
            address 192.168.3.10
            port 80
        }
        original-port 999
        protocol tcp_udp
    }
    rule 2 {
        description "switch2 boven 48"
        forward-to {
            address 192.168.3.11
            port 80
        }
        original-port 888
        protocol tcp_udp
    }
    rule 3 {
        description "switch3 boven 24"
        forward-to {
            address 192.168.3.12
            port 80
        }
        original-port 777
        protocol tcp_udp
    }
    rule 4 {
        description Kassa-systeem
        forward-to {
            address 192.168.5.1
            port 50173
        }
        original-port 50173
        protocol udp
    }
    rule 5 {
        description "Switch4 boven 48"
        forward-to {
            address 192.168.3.13
            port 80
        }
        original-port 666
        protocol tcp_udp
    }
    rule 6 {
        description mailserver
        forward-to {
            address 192.168.178.23
            port 443
        }
        original-port 443
        protocol tcp_udp
    }
    rule 7 {
        description rdp
        forward-to {
            address 192.168.178.23
            port 3389
        }
        original-port 3389
        protocol tcp_udp
    }
    rule 8 {
        description mail
        forward-to {
            address 192.168.178.23
            port 25
        }
        original-port 25
        protocol tcp_udp
    }
    rule 9 {
        description smtp
        forward-to {
            address 192.168.178.23
            port 587
        }
        original-port 587
        protocol tcp_udp
    }
    wan-interface eth0
}
protocols {
    static {
        route 0.0.0.0/0 {
            next-hop 192.168.1.2 {
                distance 1
            }
        }
    }
}
service {
    dhcp-server {
        disabled false
        hostfile-update disable
        shared-network-name LAN_BR {
            authoritative disable
            subnet 192.168.3.0/24 {
                default-router 192.168.3.1
                dns-server 8.8.8.8
                lease 86400
                start 192.168.3.38 {
                    stop 192.168.3.243
                }
            }
        }
        shared-network-name kassa {
            authoritative disable
            subnet 192.168.5.0/24 {
                default-router 192.168.5.254
                dns-server 8.8.8.8
                domain-name c.amserdam
                lease 86400
                start 192.168.5.51 {
                    stop 192.168.5.100
                }
            }
        }
        shared-network-name server {
            authoritative disable
            subnet 192.168.178.0/24 {
                default-router 192.168.178.1
                dns-server 8.8.8.8
                lease 86400
                start 192.168.178.20 {
                    stop 192.168.178.100
                }
            }
        }
    }
    dns {
        forwarding {
            cache-size 150
            listen-on br0
        }
    }
    gui {
        https-port 4443
    }
    nat {
        rule 5010 {
            description "masquerade for WAN"
            log enable
            outbound-interface eth0
            protocol all
            type masquerade
        }
    }
    ssh {
        port 22
        protocol-version v2
    }
}
system {
    host-name ubnt-EdgeRouter
    login {
        user admin {
            authentication {
                encrypted-password $6$mz79miOCV$IVr8V6AxvKXVa9Gqpl9E.x04KC/gr2hVudIxxp4tvDtm7XvVhxCI4e1hWWq1waKqLT6lcEGzAq1Yq4Y9ZvEc//
                plaintext-password ""
            }
            full-name admin
            level admin
        }
        user ubnt {
            authentication {
                encrypted-password $1$zKNoUbAo$gomzUbYvgyUMcD436Wo66.
            }
            level admin
        }
    }
    ntp {
        server 0.ubnt.pool.ntp.org {
        }
        server 1.ubnt.pool.ntp.org {
        }
        server 2.ubnt.pool.ntp.org {
        }
        server 3.ubnt.pool.ntp.org {
        }
    }
    syslog {
        global {
            facility all {
                level notice
            }
            facility protocols {
                level debug
            }
        }
    }
    time-zone UTC
    traffic-analysis {
        dpi disable
        export disable
    }
}
vpn {
    ipsec {
        auto-firewall-nat-exclude disable
        ipsec-interfaces {
            interface eth0
        }
        nat-networks {
            allowed-network 0.0.0.0/0 {
            }
        }
        nat-traversal enable
    }
    l2tp {
        remote-access {
            authentication {
                local-users {
                    username paul {
                        password ******
                    }
                }
                mode local
            }
            client-ip-pool {
                start 192.168.3.250
                stop 192.168.3.253
            }
            description VPN
            dns-servers {
                server-1 8.8.8.8
                server-2 8.8.4.4
            }
            ipsec-settings {
                authentication {
                    mode pre-shared-secret
                    pre-shared-secret ******
                }
                ike-lifetime 3600
            }
            mtu 1492
            outside-address 192.168.1.1
            outside-nexthop 192.168.1.2
        }
    }
}


/* Warning: Do not remove the following line. */
/* === vyatta-config-version: "config-management@1:conntrack@1:cron@1:dhcp-relay@1:dhcp-server@4:firewall@5:ipsec@4:nat@3:qos@1:quagga@2:system@4:ubnt-pptp@1:ubnt-util@1:vrrp@1:webgui@1:webproxy@1:zone-policy@1" === */
/* Release version: v1.7.0.4783374.150622.1540 */

[ Voor 92% gewijzigd door kroegtijger op 03-10-2015 16:45 ]

[Crazymonkey]

Staan je firewall policies wel goed?

[chickpoint]

Je kunt dit heel makkelijk vinden in de CLI of via SSH

Log in
configure
show

en plak de resultaten even in een pastebin of iets dergelijk. Let er wel op dat je eventjes de gevoelige info als wachtwoorden e.d. er uit haalt

[kroegtijger]

Crazymonkey schreef op zaterdag 03 oktober 2015 @ 16:41:
Staan je firewall policies wel goed?

Er staan amper nog policies in op het moment. Moet allemaal nog gedaan worden.

[Crazymonkey]

kroegtijger schreef op zaterdag 03 oktober 2015 @ 16:45:
[...]

Er staan amper nog policies in op het moment. Moet allemaal nog gedaan worden.

Als het goed is heb je een WAN_IN policy, daarin moet je nog een keer toestemming geven voor smtp naar je mailserver.

[kroegtijger]

Crazymonkey schreef op zaterdag 03 oktober 2015 @ 16:49:
[...]


Als het goed is heb je een WAN_IN policy, daarin moet je nog een keer toestemming geven voor smtp naar je mailserver.

Nee, er is geen WAN_IN policy. Die krijg je wel als je de wizard gebruikt, maar dat is hier dus niet het geval. Maar voor zover ik kan zien wordt er dan ook niets geblokkeerd, dus een rule om het toe te staan is daarmee dan ook niet nodig. Zodra de WAN_IN wordt gemaakt (maken we handmatig), zullen de rules hiervoor wel weer moeten worden toegevoegd, maar dat wordt volgende week of zo pas.

[chickpoint]

Ehm ik raad je even aan om het wachtwoord van je router te gaan wijzigen omdat je die er in hebt laten staan.

Voor zo ver ik kan zien staan je forwards goed dus de router zou het gewoon moeten doen. Wat vertelt http://canyouseeme.org je? Of doe even een telnet naar poort 25 (wel van buiten af).

Edit: Wat me wel opvalt is dat je uplink verbinding zoekt met een bogon netwerk, hangt er voor de EdgeRouter nog een router? En hoe is die geconfigureerd? Het kan namelijk zijn dat je last hebt van dubbel NAT dan.

[ Voor 37% gewijzigd door chickpoint op 03-10-2015 17:03 ]

[kroegtijger]

chickpoint schreef op zaterdag 03 oktober 2015 @ 17:00:
Ehm ik raad je even aan om het wachtwoord van je router te gaan wijzigen omdat je die er in hebt laten staan.

Ai, da's lelijk... Dacht dat ik ze er allemaal nu uit had gehaald... Ga ik meteen even doen, thanks

Voor zo ver ik kan zien staan je forwards goed dus de router zou het gewoon moeten doen. Wat vertelt http://canyouseeme.org je? Of doe even een telnet naar poort 25 (wel van buiten af).

Op poort 25 kan ik geen telnet doen. Wel netjes als ik op de server zelf naar localhost connect, ook als ik vanuit het LAN connect, maar niet vanuit buiten. Als ik de externe poort naar 26 verander en die dus op 25 op de smtp-service laat afleveren gaat dat ook prima. Alsof poort 25 al in gebruik is, of dat UPC deze tegen houdt of iets dergelijks lijkt het wel....

Even gecontroleerd op canyouseeme.org: Success: I can see your service on xxx.xxx.xxx.xxx on port (25)

Hij ziet dan meer dan ik, want ik kan er niet naartoe telnetten

Edit: Wat me wel opvalt is dat je uplink verbinding zoekt met een bogon netwerk, hangt er voor de EdgeRouter nog een router? En hoe is die geconfigureerd? Het kan namelijk zijn dat je last hebt van dubbel NAT dan.

Voor de router hangt het modem van UPC. Die kunnen niet meer in bridgemode dus staat de router in de DMZ van het modem.

[chickpoint]

kroegtijger schreef op zaterdag 03 oktober 2015 @ 17:11:

[...]

Voor de router hangt het modem van UPC. Die kunnen niet meer in bridgemode dus staat de router in de DMZ van het modem.

Ai dat is heel erg vervelend want dan heb je er 2 keer NAT in zitten, dan heb je nog wel eens kans dat je router het niet heel grappig vind. misschien kan je het oplossen met een static route?

[kroegtijger]

chickpoint schreef op zaterdag 03 oktober 2015 @ 17:16:
[...]


Ai dat is heel erg vervelend want dan heb je er 2 keer NAT in zitten, dan heb je nog wel eens kans dat je router het niet heel grappig vind. misschien kan je het oplossen met een static route?

Daar heb ik ook al wel even aan gedacht, maar dat verklaart volgens mij dan niet waarom het dan wel werkt als ik prt 26 aan de buitenkant neem, of op prt 587 waar het ook netjes op werkt. Dan zou dat het dan toch ook niet moeten doen lijkt me....

[chickpoint]

kroegtijger schreef op zaterdag 03 oktober 2015 @ 17:18:
[...]

Daar heb ik ook al wel even aan gedacht, maar dat verklaart volgens mij dan niet waarom het dan wel werkt als ik prt 26 aan de buitenkant neem, of op prt 587 waar het ook netjes op werkt. Dan zou dat het dan toch ook niet moeten doen lijkt me....

technologische wegen zijn ondoorgrondelijk

Nee, het is inderdaad een beetje appart. Ik kan je in ieder geval verzekeren dat poort 25 niet door de EdgeRouter zelf gebruikt word. Ik heb namelijk ook een mailserver draaien maar die hangt wel direct op de WAN zonder een router er voor (KPN Glasvezel). Misschien is het toch ziggo die iets blokkeert. Is het een zakelijk abbonement?

[kroegtijger]

chickpoint schreef op zaterdag 03 oktober 2015 @ 17:24:
[...]


technologische wegen zijn ondoorgrondelijk

Nee, het is inderdaad een beetje appart. Ik kan je in ieder geval verzekeren dat poort 25 niet door de EdgeRouter zelf gebruikt word. Ik heb namelijk ook een mailserver draaien maar die hangt wel direct op de WAN zonder een router er voor (KPN Glasvezel). Misschien is het toch ziggo die iets blokkeert. Is het een zakelijk abbonement?

Ja het is een zakelijk lijntje. Ik zal nog eens met Ziggo gaan bellen en navraag doen, maar ben bang dat ik van diensten van derden gebruik moet gaan maken om de boel op poort 26 afgeleverd te gaan krijgen.

[Jeroen_ae92]

Intern werkt het dus niet maar extern wel? Begrijp ik dat nou goed?

Geef br0 ook even op als interface bij je portforward. Nu kom je vanuit br0 naar VLAN70 en dan werkt het niet. Iets met loopback NAT ;-)

[kroegtijger]

Jeroen_ae92 schreef op zaterdag 03 oktober 2015 @ 17:50:
Intern werkt het dus niet maar extern wel? Begrijp ik dat nou goed?

Geef br0 ook even op als interface bij je portforward. Nu kom je vanuit br0 naar VLAN70 en dan werkt het niet. Iets met loopback NAT ;-)

Nee, extern werkt het niet, maar intern wel. Zowel op localhost als op het lan, dus de server is goed geconfigureerd.

[Jeroen_ae92]

En wat geeft je logging weer als je wilt connecten?

code:

tail -f /var/log/messages | grep 192.168.178.23

[kroegtijger]

Jeroen_ae92 schreef op zaterdag 03 oktober 2015 @ 18:03:
En wat geeft je logging weer als je wilt connecten?

code:

tail -f /var/log/messages | grep 192.168.178.23

Helemaal niets... komt nooit bij de router aan dus lijkt wel.... Test ik het op poort 587 dan zie ik direct in de logging de verbinding voorbij komen. Het begint steeds meer erop te lijken dat het bij Ziggo ligt...

[Jeroen_ae92]

Naast het feit dat de Edgerouter in de DMZ staat, kun je ook een port forward aanmaken voor poort 25 op de UPC/Ziggo router. Dus echt een nieuwe rule naar de DMZ. En dan nogmaals bezien of het werkt.

[DeBolle]

Tot aan het Ziggo modem werkt het begrijp ik, dus op 192.168.178.23 is port 25 aanwezig. Is het IP vast of uitgedeeld door DHCP? Deze range, 192.168.178.0/24 wordt door het Ziggo modem uitgedeeld? Dan is 192.168.178.1 ook de default gateway voor deze range?
Op een andere port werkt het: kan het zijn dat je port 25 dus niet kan forwarden omdat het in de DMZ al op een IP aanwezig is, dus feitelijk op dezelfde interface wordt gerouteerd?
Gedachtenexperiment: zet de mailserver op een andere port, bijv. 199. Forward nu 25 naar die 199. Werkt het nu wel?

[Jeroen_ae92]

Normaliter wordt door Ziggo inderdaad de 178 gebruikt maar in het geval van oud UPC niet. Dan is het nog de 192.168.1.0/24 waaruit uitgedeeld wordt.

[kroegtijger]

DeBolle schreef op zaterdag 03 oktober 2015 @ 18:37:
Tot aan het Ziggo modem werkt het begrijp ik,

Nee, dat weet ik niet. Net even via Nmap een scan gedaan, en die geeft poort 25 als filtered aan. Ik begin steeds meer Ziggo te verdenken daarvan, maar kan nog niet bepalen op welk punt het mis loopt. Op de router, het modem, of zodra het op het ziggo-netwerk / UPC-netwerk komt...

Net dus maar eens een tijd in de wacht mogen hangen bij Ziggo en het daar eens nagevraagd. Geen zinnig antwoord kwam daar tevoorschijn. Ze kwamen niet verder dan "vanwege veiligheidsredenen is poort 25 geblokkeerd", maar ze konden me niet vertellen waarom inbound traffic op poort 25 wordt geblokkeerd, en al helemaal niet waarom het dan wel kan op een consumenten ziggo-lijn in een ander gebied... knap waardeloos dus weer. Morgen maar een nieuwe poging wagen en dan hopen dat ik iemand mag spreken met iets meer technische kennis...
Het meest bizarre is nog wel dat ik wel m'n eigen mailafhandeling mag doen en niet verplicht ben om via de smarthost van ze te mailen. Uitgaand is dus wel toegestaan, maar mail ontvangen is een risico

dus op 192.168.178.23 is port 25 aanwezig. Is het IP vast of uitgedeeld door DHCP?

Uiteraard is het een fixed ip

Deze range, 192.168.178.0/24 wordt door het Ziggo modem uitgedeeld? Dan is 192.168.178.1 ook de default gateway voor deze range?

Nee, het modem deelt geen IP's meer uit. De edgemax staat in de DMZ van het modem, en op de EdgeMax zijn weer diverse VLAN's gedefinieerd, die afhankelijk van welk netwerk het betreft wel weer een DHCP draaien, maar dat staat er in principe volledig los van. De route klopt namelijk prima, want andere poorten naar dezelfde host functioneren zonder problemen. Het is dus iets wat specifiek voor poort 25 geldt. De configuratie van de Edgemax lijkt goed te zijn, het modem zou hier niets mee moeten doen en dus is de conclusie dan al vrij snel dat het ergens bij Ziggo wordt tegen gehouden.

Op een andere port werkt het: kan het zijn dat je port 25 dus niet kan forwarden omdat het in de DMZ al op een IP aanwezig is, dus feitelijk op dezelfde interface wordt gerouteerd?
Gedachtenexperiment: zet de mailserver op een andere port, bijv. 199. Forward nu 25 naar die 199. Werkt het nu wel?

De port wil ik dan ook vanaf de router en niet vanaf het modem forwarden. Het is dus ook de bedoeling dat het in het DMZ wordt afgeleverd op de WAN interface van de router. Doe ik dat op poort 26 dan gaat het wel, doe ik het op poort 25 dan gaat het niet. 587 werkt dan weer wel....

[DeBolle]

Ik zal mij nu helaas moeten aansluiten bij wat chickpoint al vroeg: er is meer informatie nodig over de config, sorry.
De route is als volgt voor zover ik het nu begrijp:

code:

ziggo modem -> DMZ -> Edge -> Mailserver

waarbij de Edge staat te NATten naar de mailserver en op zijn linkerkant een WAN IP heeft. er zitten nog wat vlans met andere netwerken op, maar die zijn hier als het goed is niet van invloed.

De mailserver heeft een normaal, fixed IP en kan normaal het WAN op. De mailserver is van buitenaf op elke andere port dan 25 ook te bereiken.
Ik zou graag weten welk modem en IP er zijn gebruikt en hoe de DMZ is ingesteld (de Edge heeft een IP op de WAN kant waar de DMZ host op het modem naar verwijst of zo? Eigenlijk is de vraag , hoe regelt het modem de DMZ?)
Hoe "weet" het modem dat 'ie naar de DMZ gaat met 25 en niet naar de private kant? Of zie ik dat verkeerd?

[kroegtijger]

Inmiddels lijkt mail-verkeer netjes te verlopen, maar hoe dat nu precies functioneert is me nog een klein beetje een raadsel. Nadat ik de mx-records vast had aangemaakt met het idee dat mail-verkeer dan wel op het 2e MX-record zou worden gaan afgeleverd kwam plots de mail-flow op gang. Telnet op poort 25 is nog steeds niet mogelijk, maar het lijkt er op dat alle mails toch netjes binnen komen. Mogelijk dat Ziggo het zelf al naar 587 omzet en een telnet-package niet de juiste headers daarvoor bevat?

DeBolle schreef op zaterdag 03 oktober 2015 @ 22:12:
Ik zal mij nu helaas moeten aansluiten bij wat chickpoint al vroeg: er is meer informatie nodig over de config, sorry.
De route is als volgt voor zover ik het nu begrijp:

code:

ziggo modem -> DMZ -> Edge -> Mailserver

waarbij de Edge staat te NATten naar de mailserver en op zijn linkerkant een WAN IP heeft. er zitten nog wat vlans met andere netwerken op, maar die zijn hier als het goed is niet van invloed.

De mailserver heeft een normaal, fixed IP en kan normaal het WAN op. De mailserver is van buitenaf op elke andere port dan 25 ook te bereiken.

Klopt helemaal inderdaad

Ik zou graag weten welk modem en IP er zijn gebruikt en hoe de DMZ is ingesteld (de Edge heeft een IP op de WAN kant waar de DMZ host op het modem naar verwijst of zo? Eigenlijk is de vraag , hoe regelt het modem de DMZ?)

Modem LAN IP is 192.168.1.2 en daarop staat 1 host in DMZ geconfigureerd op 192.168.1.1 wat het WAN IP van de Edge is.

Het betreft een Hitron cgnv4-eu modem (had ik nog nooit van gehoord, maar dat is wat ze leveren) die zoals gezegd niet meer in bridge modus kan functioneren.

Hoe "weet" het modem dat 'ie naar de DMZ gaat met 25 en niet naar de private kant? Of zie ik dat verkeerd?

Alle inbound traffic gaat naar het DMZ, dus ook poort 25. Daar is het de DMZ voor natuurlijk

Maar goed, het probleem lijkt dus niet meer te spelen. Ik hou het nog even in de gaten om te zien of alles inderdaad goed functioneert, maar ik ben nog steeds nieuwsgierig naar de uiteindelijke oorzaak die erachter zit

[DeBolle]

Er wordt dubbel geNAT omdat het modem geen bridge functie kent, duidelijk. Het modem zal dan alle ports een-op-een door moeten forwarden naar dat DMZ IP - is dat nog een aparte functie ergens in de DMZ wellicht? Enfin, als de mail binnen komt maar telnet op 25 niet werkt lijkt mij daar nog ergens een kink in de kabel te zitten, retour ports misschien?

[kroegtijger]

DeBolle schreef op zondag 04 oktober 2015 @ 00:21:
Er wordt dubbel geNAT omdat het modem geen bridge functie kent, duidelijk. Het modem zal dan alle ports een-op-een door moeten forwarden naar dat DMZ IP - is dat nog een aparte functie ergens in de DMZ wellicht?

Als dat het geval zou zijn, dan zou het toch ook niet op poort 587 moeten werken? Of op poort 26? En dat gaat allemaal vlekkeloos.

Enfin, als de mail binnen komt maar telnet op 25 niet werkt lijkt mij daar nog ergens een kink in de kabel te zitten, retour ports misschien?

Dat het niet helemaal klopt lijkt mij ook inderdaad, maar voor nu vind ik het wel even goed. Morgen kijk ik er wel weer naar Retourports zou kunnen ja, maar ook daar is het dan weer raar dat het uitsluitend op 25 mis loopt.

[CyBeR]

Blokkeert het netwerk waarvandaan je test niet gewoon poort 25?

[kroegtijger]

CyBeR schreef op zondag 04 oktober 2015 @ 00:42:
Blokkeert het netwerk waarvandaan je test niet gewoon poort 25?

Vanuit diverse netwerken getest. Als ik via mxtoolbox een portscan doe, dan geeft deze aan dat poort 25 open is... Het wordt steeds merkwaardiger nu...

[Compizfox]

Wat is de hostname / het IP-adres van de server? Dan kunnen wij er even naartoe telnetten, kijken of dat wel gaat.

[johnkeates]

Heb je nou nog steeds een DMZ i.p.v. bridge?

[Croga]

Als je een zakelijke UPC verbinding hebt dan ligt het inderdaad niet daar. Ik heb grofweg hetzelfde draaien alleen maak ik geen gebruik van DMZ maar heb in de UPC router gewoon alle poorten geforward naar mijn eigen router.

In mijn geval dus:
UPC router (192.168.1.1) -- Draytek router (WAN: 192.168.1.2, LAN: 10.0.0.1) -- Mailserver (10.0.0.100)
UPC router forward alle poorten naar 192.168.1.2
Draytek forward poort 25 (en nog een paar ) naar 10.0.0.100

Dit alles op een kleinzakelijke UPC verbinding met vast IP. Vanaf dag 1 nooit problemen mee gehad.
Daar moet wel bij vermeld worden dat ik een Cisco router van UPC heb (de EPC3925). En dat is best een mooi apparaatje. Ik weet niet hoe dit Hitron zich daar tegen verhoudt.

[kroegtijger]

Kennelijk is UPC/Ziggo toch ergens in actie geschoten, want sinds vanmorgen blijkt het nu plots mogelijk te zijn om m'n server netjes op poort 25 te benaderen. Aan "onze" kant is er niets verandert, dus ik vermoedt dat Ziggo naar aanleiding van m'n telefoontje toch wel inzag dat het niet helemaal klopte wat ze hadden gedaan. Probleem is in ieder geval nu weer verholpen en het mailverkeer loopt netjes zoals je zou mogen verwachten

[chickpoint]

Het kan dus goed zijn dat Ziggo op jou navraag de poort heeft open gegooid. Op een klantenservice kom je meestal op 1e lijn support uit en die doen niet veel meer dan het script volgen. Vraag maar eens bij KPN aan de klantenservice om het PTR record aan te laten passen

Maar goed om te horen dat het nu opgelost is!!