[WS2012R2] Lokale SMTP relay naar Office365 werkt niet.

[LodanMax]

Mijn vraag

Beste tweakers,

Ik ben op een kleine thuisserver een simpele virtuele SMTP server aan het opzetten die voor een wordpress website een email moet kunnen versturen via Office 365. Ik heb dit al geprobeerd via plugins, maar loop steeds tegen problemen aan dat deze in geheel nooit werken.

Hij heeft moeite met de TLS verbinding met smtp.office365.com en authenticatie waardoor dit nooit werkt.

Nu ben ik maar begonnen om dit op te lossen via een interne SMTP server. Hier heb ik echter ook problemen. Dit keer kan ik de authenticatie error niet zien, maar blijft deze in de mail queue (C:\inetpub\mailroot\Queue) staan nadat die in de pickup file gedropt is.

---

Ik gebruik

Ik maak gebruik van Windows Server 2012 R2, hierop is de IIS role en SMTP functie geïnstalleerd.
Authenticatie via Office365 is ingesteld om dit via een Certificate te doen. Hiervoor is een wildcard SSL certificaat gebruikt.

Let op: De gebruiker waarmee ik probeer te versturen is een gebruiker met een account op Office365 en kan ook op de OWA inloggen. Deze heeft wel een licentie (Exchange abo 1) toegevoegd aan zijn gebruikersaccount.

---

Ik heb ingesteld/geprobeerd

Exchange (365) emailstroom

Hierop staat de connector (lokale SMTP naar O-365) die moet authenticeren via een certificaat.

Server (IIS) certificaat

Hierop staat de SSL certificaat die ik heb geïnstalleerd via IIS.

Server (MMC) certificaat

Hierop staat de SSL certificaat die ik heb geïnstalleerd in het MMC van certificaten (precies hetzelfde certificaat).

SMTP server

Dit zijn de domains die ik heb toegevoegd, deze staan identiek ingesteld, eenmaal met wildcard en eenmaal zonder.

domain instellingen

Ik heb hier gekozen voor de Basic authenticatie (n.a.v. https://support.office.co...59-4e79-b721-2ed1f0f579c9)

Forward Smarthost

Voor de smarthost varieer ik tussen de smtp.office365.com en MX van Exchange Online teamtechsupport-nl.mail.protection.outlook.com.

SMTP General

Als IP adres heb ik enkel de keuze uit de externe IP adres, het interne IP adres is hier niet beschikbaar. Hier heb ik Port 25 en 587 beide geprobeerd.

SMTP Access

Hier ziet hij het certificaat wel (maar heeft er 1 dag vanaf gehaald?)

SMTP Access - Access control

Bij deze heb ik Anonymous access en Basic Authentication (en met+zonder TLS requirement gekozen)

SMTP Access - Connection control

Hier heb ik toestemming gegeven voor het interne IP adres van mijn server alsook het externe.

SMTP Access - Relay restrictions

Ook hier weer toestemming gegeven voor het interne IP adres van mijn server alsook het externe.

SMTP Delivery - Outbound security

Bij security probeer ik aan te melden met een useraccount die een login heeft op O-365 weer, ook hier heb ik anonymous geprobeert, zowel met als zonder TLS encryption.

SMTP Delivery - Outbound connections

Hier heb ik zowel poort 25 als poort 587 geprobeerd. De laatste poging is bij 587 gebleven.

Mocht je nog meer info nodig willen hebben, laat dit graag even weten, dan zoek ik deze voor je uit en zet ik deze er bij.

[Rolfie]

Ik kan er nu even niet naar kijken. Maar ik wil je wel complimenteren met je uitgebreide start topic.

[wagenveld]

Wellicht niet relevant, maar heb je wel de Comodo intermediate en root certificaten in de juiste folders in de Certificates MMC geplaatst?
Kun je een SMTP TLS test doen van buitenaf, bijv: https://www.checktls.com/

[Trommelrem]

Heb je ook alternatieven geprobeerd? Zoals Office 365 Direct Send? Begin bij de basis, en werk dan naar TLS toe. Direct Send vereist geen authenticatie of TLS en werkt zelfs gewoon via TCP/25.

[ Voor 59% gewijzigd door Trommelrem op 09-02-2017 09:08 ]

[Dirtyrockers]

laat je provider het wel toe?

sommige providers laten smtp niet toe anders dan hun eigen smtp.

[Trommelrem]

Dan werkt de provider als relay en dien je de provider aan de SPF toe te voegen. Tijdelijk, want je neemt hiermee wel een security risk groter dan de vorige.

Zijn er dan nog wel providers die TCP/25 dichtzetten? Dat mag toch helemaal niet i.v.m. netneutraliteit? Ik ben al jarenlang geen provider meer tegengekomen die TCP/25 dicht zet. Als je provider dit nog doet, dan zou ik even een ticket inschieten.

[Brahiewahiewa]

Trommelrem schreef op donderdag 9 februari 2017 @ 10:03:
...
Zijn er dan nog wel providers die TCP/25 dichtzetten? Dat mag toch helemaal niet i.v.m. netneutraliteit? Ik ben al jarenlang geen provider meer tegengekomen die TCP/25 dicht zet. Als je provider dit nog doet, dan zou ik even een ticket inschieten.

Ja hoor. Ziggo doet dat nog steeds. Uitgaande tcp:25 wordt geblokkeerd; binnenkomende worden wel doorgelaten. Dat mag van netneutraliteit omdat het hun netwerkinfrastructuur beschermt tegen misbruik

Dus @TS: tcp:25 kun je wel vergeten

Maar je kunt natuurlijk wel je eigen smtp server ertussenuit halen en je wordpresss naar smtp.ziggo.nl laten verbinden

[ Voor 9% gewijzigd door Brahiewahiewa op 09-02-2017 10:56 ]

[Trommelrem]

Brahiewahiewa schreef op donderdag 9 februari 2017 @ 10:53:
[...]

Ja hoor. Ziggo doet dat nog steeds. Uitgaande tcp:25 wordt geblokkeerd; binnenkomende worden wel doorgelaten. Dat mag van netneutraliteit omdat het hun netwerkinfrastructuur beschermt tegen misbruik

Dus @TS: tcp:25 kun je wel vergeten

Maar je kunt natuurlijk wel je eigen smtp server ertussenuit halen en je wordpresss naar smtp.ziggo.nl laten verbinden

Dan zul je de smtp van ziggo aan de spf moeten toevoegen. Dat lijkt mij redelijk ongewenst.
TCP/25 werkt overigens gewoon bij Ziggo. Dat moet ook wel, anders kan een LOB device nooit mail sturen.

[Question Mark]

Trommelrem schreef op donderdag 9 februari 2017 @ 12:08:
[...]
TCP/25 werkt overigens gewoon bij Ziggo. Dat moet ook wel, anders kan een LOB device nooit mail sturen.

TCP 25 is op een consumentenlijn geblokkeerd, voor Ziggo zakelijk kan dit anders liggen...

[F_J_K]

offtopic:
Ik zie sowieso niet hoe sluiten van poort 25 tegen netneutraliteit is - zolang het de poort dicht zet voor alle partijen, is er geen sprake van discriminatie. Er is i.h.k.v. spambestrijding inderdaad wat voor te zeggen om het te sluiten, maar ik heb ook al een tijd geen uitgaande blokkade meer meegemaakt - op zakelijke lijnen.

Al gaat het om poort 587. Kan je met een client testen of 25 en 587 open staan?

[Trommelrem]

Question Mark schreef op donderdag 9 februari 2017 @ 12:55:
[...]

TCP 25 is op een consumentenlijn geblokkeerd, voor Ziggo zakelijk kan dit anders liggen...

Dat zou heel vreemd zijn. Want dan moet je de Ziggo smtp aan de SPF toevoegen, waardoor het versturen van spam ineens heel makkelijk wordt, omdat ineens iedereen bij Ziggo gebruik mag maken van jouw domeinnaam. Een security risk zo groot is echt niet goed.

[LodanMax]

Trommelrem schreef op donderdag 9 februari 2017 @ 16:00:
[...]

Dat zou heel vreemd zijn. Want dan moet je de Ziggo smtp aan de SPF toevoegen, waardoor het versturen van spam ineens heel makkelijk wordt, omdat ineens iedereen bij Ziggo gebruik mag maken van jouw domeinnaam. Een security risk zo groot is echt niet goed.

Blijft dit met de SPF ook als je als connector een verificatie met SSL server instelt, of passeert hij na een SPF record deze verificatie?

[Question Mark]

Dat weet ik, maar dat is nu eenmaal een verschil tussen een consumenten- en een zakelijke verbinding.

Het aantal consumenten wat met eigen domeinnaam en mailserver mail gaat versturen is nu eenmaal niet zo heel groot. Overigens blokkeert praktisch elke consumentenverbinding uitgaand poort 25. En gezien de grote hoeveelheiden virussen of andere fouten bij consumenten vaak is dat gewoon terecht...

van de ziggo pagina:

Eigen mailserver?
Als je een eigen e-mailserver of e-maildomein gebruikt dan kun je de SMTP-server van Ziggo instellen om e-mail te verzenden. Je hebt wel de inloggegevens van een e-mailadres van Ziggo nodig voor de gebruikersnaam en wachtwoord bij het aanmelden bij de SMTP-server. Voor de inkomende servergegevens gebruik je dan de gegevens van je eigen e-mailserver.

[ Voor 33% gewijzigd door Question Mark op 09-02-2017 16:16 ]

[ralpje]

Lees je eens in wat SPF exact doet, dan zie je dat het niets met de SSL-verificatie te maken heeft

[ralpje]

Trommelrem schreef op donderdag 9 februari 2017 @ 16:00:
[...]

Dat zou heel vreemd zijn. Want dan moet je de Ziggo smtp aan de SPF toevoegen, waardoor het versturen van spam ineens heel makkelijk wordt, omdat ineens iedereen bij Ziggo gebruik mag maken van jouw domeinnaam. Een security risk zo groot is echt niet goed.

We hebben het hier echter wel over consumentenlijnen. Die gebruiken vaak het emailadres wat ze bij de provider krijgen (en dan is die SPF dus geen issue), of een Hotmail- of Gmail-achtig adres, waar ze via web gebruik van maken (en dan hebben ze dus geen poort 25 nodig).

[Trommelrem]

Question Mark schreef op donderdag 9 februari 2017 @ 16:15:
Dat weet ik, maar dat is nu eenmaal een verschil tussen een consumenten- en een zakelijke verbinding.

Het aantal consumenten wat met eigen domeinnaam en mailserver mail gaat versturen is nu eenmaal niet zo heel groot. Overigens blokkeert praktisch elke consumentenverbinding uitgaand poort 25. En gezien de grote hoeveelheiden virussen of andere fouten bij consumenten vaak is dat gewoon terecht...

van de ziggo pagina:

[...]

We hebben in het veld nog een onbeheerde particuliere XS4ALL verbinding. Zojuist getest: TCP/25 staat gewoon open. Ik kan gewoon de Office 365 mailservers bereiken over TCP/25.

Wellicht is Ziggo een uitzondering en betreft het een oude firewall in het oud-A2000 gebied?

ralpje schreef op donderdag 9 februari 2017 @ 16:15:
Lees je eens in wat SPF exact doet, dan zie je dat het niets met de SSL-verificatie te maken heeft

SPF heeft er wel degelijk mee te maken. Om een LOB-device te laten versturen via de Office 365 servers, moet het IP adres van de LOB-device in de SPF staan, anders wordt de email niet geaccepteerd over TCP/25.

[ralpje]

Maar het heeft dus nets met dat SSL cert te maken
SPF is een antispam techniek, de SSL-certs zijn voor encryptie.

[LodanMax]

ralpje schreef op donderdag 9 februari 2017 @ 19:36:
Maar het heeft dus nets met dat SSL cert te maken
SPF is een antispam techniek, de SSL-certs zijn voor encryptie.

de SSL cert is niet voor encryptie, maar voor authenticatie (je hebt de keuze tussen IP whitelistening en Certification whitelistening)

[Question Mark]

Trommelrem schreef op donderdag 9 februari 2017 @ 19:30:
[...]

We hebben in het veld nog een onbeheerde particuliere XS4ALL verbinding. Zojuist getest: TCP/25 staat gewoon open. Ik kan gewoon de Office 365 mailservers bereiken over TCP/25.

Bij Xs4all kun je het zelf instellen,voordeel van een iets betere provider
https://www.xs4all.nl/ser...-poortbeveiliging-aan.htm

[Trommelrem]

Question Mark schreef op donderdag 9 februari 2017 @ 21:13:
[...]

Bij Xs4all kun je het zelf instellen,voordeel van een iets betere provider
https://www.xs4all.nl/ser...-poortbeveiliging-aan.htm

Noem dan één provider die TCP/25 blokkeert, want tot nu toe zie ik alleen providers voorbij komen die TCP/25 gewoon open laten staan, conform netneutraliteit.

Anyway, terug ontopic: De SPF van TS staat verkeerd (op de defaultwaarde "v=spf1 include:spf.protection.outlook.com -all"). TS zal de SPF moeten aanpassen zodat z'n eigen servers er ook tussen staan. Pas dan accepteert Office 365 Direct Send, maar je zou ook gewoon direct vanaf de server kunnen mailen naar de destination, zonder Office 365 ertussen.

[ Voor 11% gewijzigd door Trommelrem op 10-02-2017 09:59 ]

[Question Mark]

Trommelrem schreef op vrijdag 10 februari 2017 @ 09:57:
[...]

Noem dan één provider die TCP/25 blokkeert, want tot nu toe zie ik alleen providers voorbij komen die TCP/25 gewoon open laten staan, conform netneutraliteit.

Welke provider blokkeert welke poort(en)
nieuws: Ziggo blokkeert alternatieve smtp-servers op poort 25
https://www.123-webhost.nl/kennisbank/index.php?article=62
Etc.

Overigens ligt het niet zozeer aan de provider, maar aan het soort abonnement. Er zit een groot verschil tussen zakelijk en een consumentenverbinding.

Zie hieronder de verklaring van Lijnbrandt en hun blokkade van poort 25 in combinatie met netneutraliteit:

http://www.lijbrandt-tele...aring_Netneutraliteit.pdf

Blokkade poort 25
Poort 25 (SMTP) wordt gebruikt door e-mailprogramma’s als Outlook om e-mailberichten te versturen. Deze poort wordt ook gebruikt door malware om spam te versturen. Om te voorkomen dat andere partijen Lijbrandt Telecom op een blacklist zetten vanwege spam afkomstig van haar klanten, blokkeren wij een deel van het uitgaande verkeer op poort 25. Poort 25 kunt u daarom alleen gebruiken om connectie te maken met onze mailservers. Klanten met een eigen mailserver kunnen de mailservers van Lijbrandt Telecom gebruiken als mail relay server. Op deze manier kunt u met uw eigen mailserver toch via poort 25 e-mail versturen.

Kortom, het wordt nog steeds door praktisch elke consumentenverbinding geblokkeerd.

[biertjuh?]

Question Mark schreef op vrijdag 10 februari 2017 @ 10:47:
[...]

Welke provider blokkeert welke poort(en)
nieuws: Ziggo blokkeert alternatieve smtp-servers op poort 25
https://www.123-webhost.nl/kennisbank/index.php?article=62
Etc.

Overigens ligt het niet zozeer aan de provider, maar aan het soort abonnement. Er zit een groot verschil tussen zakelijk en een consumentenverbinding.

Zie hieronder de verklaring van Lijnbrandt en hun blokkade van poort 25 in combinatie met netneutraliteit:

http://www.lijbrandt-tele...aring_Netneutraliteit.pdf


[...]

Kortom, het wordt nog steeds door praktisch elke consumentenverbinding geblokkeerd.

Hier iemand met een ziggo consumentenverbinding met thuis een mailserver:
Zowel 25 inkomend als uitgaand staan open op de ziggo verbinding (fUPC gebied). Het enige nadeel wat wel speelt op deze verbinding (en alle overige dynamische ip's van ziggo) is dat ze standaard op de blacklist van spamhaus staan waardoor je verzonden email als spam gemarkeerd wordt.

Wat ik zelf heb gedaan is mijn IP laten delisten en ik kan nu gewoon rechtstreeks zonder gebruik te maken van een smarthost mailen met mijn eigen mailserver naar bijv. tweakers over poort 25.

[Question Mark]

Dan heb je waarschijnlijk geluk. Ik heb ook een ziggo consumentenlijn en kan het niet. Zie ook het ziggo forum:

https://community.ziggo.nl/search?q=poort+25&forum=102

Volgens de officiele site van ziggo moet je ook hun smtp-relay gebruiken.

[ Voor 20% gewijzigd door Question Mark op 10-02-2017 13:00 ]