SMTP poort 465/587 (Gmail en Hotmail)

[EverLast2002]

Mijn vraag
klopt het dat Gmail is gestopt (of heeft geblokkeerd) met poort 465 SSL voor uitgaande mail?
Want in mijn iPhone en in Thunderbird op m'n pc staat poort 465 SSL ingesteld. En ik kan probleemloos mail versturen.
Ik las op internet tegenstrijdige berichten hierover, de een beweert dat je voortaan poort 587 TLS moet gebruiken. En in Gmail Help staat doodleuk een uitleg met poort 465 SSL voor uitgaande mail.


Relevante software en hardware die ik gebruik
Thunderbird
Windows 10
iPhone SE

Wat ik al gevonden of geprobeerd heb
Google
poort 465 EN 587 (werken allebei)

[begintmeta]

Volgens mij doen de smtp-servers van Google nog steeds SSL/tls op 465 en tls/starttls op 587. Dat is ook wat vrijwel overal wordt aangegeven. Dat strookt ook met wat je zelf opmerkt, dus ik ben benieuwd waar je vraag 'klopt het dat Gmail is gestopt (of heeft geblokkeerd) met poort 465 SSL voor uitgaande mail?' vandaan komt, is er een reden aan te nemen dat het antwoord op die vraag ja is? De enige aanwijzing is dat ik ergens op een google-webpagina heb gezien dat op 465 tls is (en men is dus wellicht met SSL gestopt)

[ Voor 15% gewijzigd door begintmeta op 06-05-2019 22:05 ]

[EverLast2002]

De vraag komt van een probleem waar ik tegenaan loop m.b.t. het verzenden van een email.
Het gaat om een NVR Hikvision die is geconfigureerd met een gmail account (465 SSL) maar die vervolgens geen mail kan versturen.
De NVR draait op firmware die enkel 465 SSL ondersteunt. En een nieuwere firmware is er niet voor dat model.

[ Voor 20% gewijzigd door EverLast2002 op 06-05-2019 22:13 ]

[begintmeta]

Ik heb net even getest, smtp.gmail.com doet inderdaad wel TLS 1/1.1/1.2 en geen SSL 3. Op zich ook wel begrijpelijk. De meeste moderne clients kunnen toch wel TLS.

[ Voor 47% gewijzigd door begintmeta op 06-05-2019 22:16 ]

[EverLast2002]

Het valt me op dat mn iPhone en Windows pc met Thunderbird staan ingesteld met Gmail poort 465 SSL. En geen probleem om te mailen..

[ Voor 12% gewijzigd door EverLast2002 op 06-05-2019 22:15 ]

[EverLast2002]

begintmeta schreef op maandag 6 mei 2019 @ 22:11:
Ik heb net even getest, smtp.gmail.com doet inderdaad wel tls 1/1.1/1.2 en geen ssl 3.

Hoe test je dat?

[begintmeta]

EverLast2002 schreef op maandag 6 mei 2019 @ 22:14:
Het valt me op dat mn iPhone en Windows pc met Thunderbird staan ingesteld met Gmail poort 465 SSL. En geen probleem om te mailen..

Die gebruiken vermoedelijk TLS en niet SSL, zoals de meeste modernere clients. Men is niet altijd even nauwkeurig met het onderscheid tussen TLS en SSL in de UI.

EverLast2002 schreef op maandag 6 mei 2019 @ 22:16:
[...]

Hoe test je dat?

Je kan bijvoorbeeld openssl gebruiken om verbinding te maken op die poort met TLS en SSL3. In dit geval faalt SSL3 en slaagt TLS. Het commando voor openssl is dan 'openssl s_client -connect smtp.gmail.com:465 -ssl3' of 'openssl s_client -connect smtp.gmail.com:465 -tls1_2'

Wellicht is er een setting of een update waardoor het betreffende apparaat TLS gebruikt in plaats van SSL. Niet dus...

[ Voor 25% gewijzigd door begintmeta op 06-05-2019 22:23 ]

[Jazzy]

Dit hoort niet in Privacy & Beveiliging, bij deze even een schopje naar Client Software Algemeen Zou je hier de volgende keer zelf even op willen letten?

[Hero of Time]

En ik snap niet helemaal wat de reden is voor het topic. Je hebt een of ander antiek stuk software of appliance dat niet meer te updaten is en geen ondersteuning heeft voor hedendaagse veiligheidstechnieken. Wegdoen en een nieuwe oplossing zoeken.

[EverLast2002]

Hero of Time schreef op maandag 6 mei 2019 @ 22:50:
En ik snap niet helemaal wat de reden is voor het topic. Je hebt een of ander antiek stuk software of appliance dat niet meer te updaten is en geen ondersteuning heeft voor hedendaagse veiligheidstechnieken. Wegdoen en een nieuwe oplossing zoeken.

Inderdaad, een oudere NVR. Ik heb er zo +30 staan "in het veld" voor een project bij een klant.
Wegdoen/vervangen/upgraden is geen optie.

[Hero of Time]

Tja, tenzij je zelf een (onveilige) mailserver gaat draaien, is er geen oplossing. SSLv3 is gewoon oud en onveilig en praktisch overal uitgefaseerd of wordt dat binnenkort gedaan.

[EverLast2002]

Hoe zit het met Hotmail? Kan ik een hotmail adres gebruiken met port 465 SSL om te verzenden?
Het apparaat hoeft alleen maar mail te verzenden, niet ontvangen.
(ik zie dat Yahoo.com nog 465 en SSL hanteert)

[ Voor 13% gewijzigd door EverLast2002 op 07-05-2019 14:40 ]

[Jester-NL]

Nope... je probleem is die ouwe hardware die met verouderde (en in wezen uitgefaseerde) protocollen wil praten, terwijl juist de grote jongens als Google en Microsoft die protocollen niet meer willen ondersteunen.

Je opties zijn (nog steeds) zoals @Hero of Time ze heeft aangegeven: Vervangen of een eigen server draaien... of inderdaad ergens een meer of minder obscure club vinden die het nu (nog) deze oude protocollen ondersteund; en dan vooral hopen dat die aanbieder niet naar een up-to-date systeem overgaat, of onverhoopt op allerlei blacklists terecht komt.

[EverLast2002]

Stel....ik zet bij de NVR (op lokatie bij de klant) een Raspberry Pi met daarop een mailserver/relay.
Kan de NVR dan mailen (via 465 SSL) naar de RPi die het mailtje vervolgens doorstuurt via 587 TLS ?

[Hero of Time]

Dat zou kunnen. En is ook precies wat ik aangeef met 'zelf een mailserver draaien'. Zolang je maar zorgt dat het ding alleen voor jouw apparaten te gebruiken is.

[EverLast2002]

Moet dit dan een "full blown" alle toeters en bellen mailserver zijn, of kan het iets simpeler?
Mijn kennis m.b.t. mailservers is minimaal.
De RPi moet 1 op 1 mail doorsturen komend van de NVR.

[synoniem]

Één smtpserver zelf hosten als relayhost voor deze systemen is waarschijnlijk sneller dan overal een Pi neerzetten. Postfix met Dovecot en een alias tabel is eigenlijk het enige wat je nodig hebt.

[EverLast2002]

synoniem schreef op dinsdag 7 mei 2019 @ 20:43:
Één smtpserver zelf hosten als relayhost voor deze systemen is waarschijnlijk sneller dan overal een Pi neerzetten. Postfix met Dovecot en een alias tabel is eigenlijk het enige wat je nodig hebt.

Dat klinkt goed.
Echter is het zo dat na 3 maanden de support verloopt en ik niks meer met die klant te doen heb.
Dus zelf iets hosten, vanuit mijn privéadres, is geen optie. En een server ergens gaan huren, inrichten en na 3 maanden uit handen geven......moet ik even over nadenken.
Maakt het nog iets uit dat er nergens vaste publieke IP adressen zijn en alles dynamisch is?

[begintmeta]

Ik kan me daarnaast wel voorstellen dat je de wegen van de apparaten naar de relaymailservers over een gecontroleerd netwerk wil laten lopen, dan zijn ip-problemen eventueel ook simpeler.

Je hebt overigens geen dovecot nodig, alleen postfix zou genoeg moeten zijn. Je moet wel even zorgvuldig configureren natuurlijk, slecht geconfigureerde mailservers kunnen wel eens problematisch zijn.

[EverLast2002]

Het risico op spam moet NUL zijn. Ik kan me dit niet veroorloven bij deze klant.

Ik zal een situatieschets maken wat er op lokatie staat/komt te staan:

- modem (met simkaartje voor internettoegang)
- NVR (met een UTP kabel aangesloten op het modem)
- *optioneel* Raspberry Pi als mailserver

Meer is het niet. Geen switches, geen extra computers/servers.

[Hero of Time]

Postfix, die authenticeert met O365/gmail/whatever. IP whitelist in PF voor de appliances, geen local mail store. Je kan het met wat beetje degelijke configuratie een aardig afgeschermde mailrelay maken. Genoeg op Google te vinden hoe je 't kan opzetten. Internet ziet je postfix dan niet eens (want je forward ook geen poorten).

[EverLast2002]

Hero of Time schreef op dinsdag 7 mei 2019 @ 21:06:
Postfix, die authenticeert met O365/gmail/whatever. IP whitelist in PF voor de appliances, geen local mail store. Je kan het met wat beetje degelijke configuratie een aardig afgeschermde mailrelay maken. Genoeg op Google te vinden hoe je 't kan opzetten. Internet ziet je postfix dan niet eens (want je forward ook geen poorten).

Klopt, want alles gebeurt intern, en de RPi mailt dan uiteindelijk via het modem.
Ik snap alleen nog niet helemaal hoe de communicatie tussen NVR en RPi verloopt, met het doorsturen van een mailtje....

[Hero of Time]

Dat is niet zo moeilijk. Je zegt met de config tegen postfix dat alle mail dat 'ie ontvangt moet doorsturen naar een andere server om verder af te leveren. Let wel op je enveloppe en from adressen. Als een van die twee niet in orde is, kan het afleveren aan de relay falen.

[synoniem]

Inderdaad als je een Rpi lokaal hebt, stel je die in als relay. En eventueel kan je in Postfix weer de smptserver van de betreffende provider als smarthost instellen zodat Gmail niet zeurt over reverse dns, mx record, spf, dkim en of dmarc.

[Hero of Time]

synoniem schreef op dinsdag 7 mei 2019 @ 22:07:
Inderdaad als je een Rpi lokaal hebt, stel je die in als relay. En eventueel kan je in Postfix weer de smptserver van de betreffende provider als smarthost instellen zodat Gmail niet zeurt over reverse dns, mx record, spf, dkim en of dmarc.

Nou scheelt het dat je moet authenticeren als je Gmail als relay wilt gebruiken, dus die check zal niet plaatsvinden. Je doet namelijk niets anders dan een Outlook of Thunderbird die mail stuurt.

[synoniem]

Hero of Time schreef op dinsdag 7 mei 2019 @ 22:13:
[...]

Nou scheelt het dat je moet authenticeren als je Gmail als relay wilt gebruiken, dus die check zal niet plaatsvinden. Je doet namelijk niets anders dan een Outlook of Thunderbird die mail stuurt.

In prinicipe is dat zo maar ik heb een paar keer gehad dat Gmail een "gewone" client als spam aanmerkt als je regelmatig beelden verstuurt terwijl als ze via de provider komen het nooit een probleem is.

[Hero of Time]

Heb ik toen niet meegemaakt, mede ook omdat we zakelijk bij Google zaten en een account in ons domein gebruikte.

[EverLast2002]

Kan een Raspberry Pi Zero dit aan qua load/performance i.c.m. Postfix?

[Hero of Time]

Hoeveel mail verwacht je dat het moet afhandelen? 1 per uur, 1 per seconde? Meer? Minder?

[EverLast2002]

Hero of Time schreef op woensdag 8 mei 2019 @ 20:45:
Hoeveel mail verwacht je dat het moet afhandelen? 1 per uur, 1 per seconde? Meer? Minder?

1 mailtje in de x weken/maanden. Alleen bij camerauitval/HDD errors etc.
Dat zal echt niet veel zijn per locatie.

[Hero of Time]

Waarom zou een Pi Zero dan niet voldoen? Verwacht je dat zo'n systeem 2 GB geheugen nodig heeft?

[EverLast2002]

Hero of Time schreef op woensdag 8 mei 2019 @ 20:58:
Waarom zou een Pi Zero dan niet voldoen? Verwacht je dat zo'n systeem 2 GB geheugen nodig heeft?

Just asking....ik moet er namenlijk 34 gaan installeren.

[begintmeta]

EverLast2002 schreef op woensdag 8 mei 2019 @ 21:26:
[...]

Just asking....ik moet er namenlijk 34 gaan installeren.

Je kan het altijd even met een testen. Verder is het natuurlijk handig als je ook de RPi zichzelf wal laat monitoren lijkt me

[ Voor 16% gewijzigd door begintmeta op 08-05-2019 21:38 ]

[EverLast2002]

Ik ben bezig met Postfix, heb een paar guides gevonden op internet.
Eerste zend-test mislukt, de SMTP server accepteert geen verbindingen.
Ik heb ook geen domein, en dat soort zaken, dat vraagt Postfix wel met installeren.
Verder heb ik alles standaard gelaten.
De guides hebben het over regel "x" in main.cf. Als ik die open dan heb ik maar een paar regels met opties, een hoop settings staan er bij mij niet in.
Is er iemand bereid mij een zetje de goede richting op te geven?

[Hero of Time]

Ik was destijds begonnen met de selectie 'mail relay' of 'smarthost' (weet even niet meer hoe het precies heette) bij de vraag wat voor opzet ik wilde na de apt-get install postfix. Daarna met idd ook guides de configuratie uitgebreid. Wat niet in main.cf staat, maar wel in de guide moet je toevoegen. Zo zal bij een standaard relay/smarthost configuratie geen authenticatie staan, iets wat je met Gmail en Office 365 wel moet gebruiken (uitzonderingen daargelaten, maar dat is voor een andere keer).

[EverLast2002]

Ik heb deze guide even gevolgd:
https://www.linode.com/do...fix/postfix-smtp-debian7/

Maar een FQDN heb ik niet, het is een simpel lokaal netwerkje met 1 NVR en een modem.
Geen workgroup/domain etc.
Ik test nu in Debian 9 (minimal install).

[Hero of Time]

Doe anders internet met smarthost. FQDN is de machinenaam. Je zit daar in een zakelijke omgeving, dus een FQDN heb je wel. Je kan van alles instellen, zelfs het domein van de afzender als die anders is.

[EverLast2002]

Hero of Time schreef op donderdag 9 mei 2019 @ 20:37:
Doe anders internet met smarthost. FQDN is de machinenaam. Je zit daar in een zakelijke omgeving, dus een FQDN heb je wel. Je kan van alles instellen, zelfs het domein van de afzender als die anders is.

Zakelijk? Er staat een standalone videorecorder, en ik plaats een modem met internet toegang zodat ie kan mailen. Meer staat er niet...

[Hero of Time]

Het is toch zakelijk gebruik of niet? Beetje zelf nadenken kan geen kwaad hoor. Je hoeft niet alles tot op de letter te volgen.

[EverLast2002]

Heb het bijna werkend. Kan mail versturen vanaf de Postfix host (naar hotmail).
Alleen wanneer ik vanaf een andere computer een mail stuur (naar de Postfix relay),
dan krijg ik een timeout melding. Ik kan wel telnetten naar de Postfix host (poort 465).
Poort 465 heb ik geconfigureerd in de "master.cf" file.
In de logfile vd Postfix host staat alleen "client connecting" en "client disconnected". Geen details helaas.

[ Voor 16% gewijzigd door EverLast2002 op 10-05-2019 12:59 ]

[Hero of Time]

En als je zonder ssl doet? Het is toch intern.

[begintmeta]

In een hoop distro's is SSL3 niet meer standaard aanwezig in openssl/postfix. Even op letten dus, en evt geen SSL of een custom package (maar in dit geval is het eerste dan te verkiezen lijkt me)

[EverLast2002]

Hero of Time schreef op vrijdag 10 mei 2019 @ 14:57:
En als je zonder ssl doet? Het is toch intern.

Ik heb authentication uitgezet en naam/ww ook, en het werkt!
Inderdaad maakt dit voor lokaal mailverkeer niet uit.
Mailtjes komen netjes binnen via Hotmail.

[EverLast2002]

begintmeta schreef op vrijdag 10 mei 2019 @ 15:07:
In een hoop distro's is SSL3 niet meer standaard aanwezig in openssl/postfix. Even op letten dus, en evt geen SSL of een custom package (maar in dit geval is het eerste dan te verkiezen lijkt me)

In de guides op internet stond om juist wel SSL erbij te installeren.
Dit commando: apt-get install libsasl2-modules
Of is dit geen SSL?
Maar om naar Hotmail te mailen via de relay is SSL wel nodig, of snap ik het niet helemaal...
Hotmail is 587 TLS

[ Voor 11% gewijzigd door EverLast2002 op 10-05-2019 15:32 ]

[begintmeta]

EverLast2002 schreef op vrijdag 10 mei 2019 @ 15:29:
[...]

In de guides op internet stond om juist wel SSL erbij te installeren.
Dit commando: apt-get install libsasl2-modules
Of is dit geen SSL?
Maar om naar Hotmail te mailen via de relay is SSL wel nodig, of snap ik het niet helemaal...
Hotmail is 587 TLS

Wat ik bedoel is dat lang niet alle cryptolibraries in nieuwere distro's nog SSLv3 ondersteunen, maar alleen nog TLS[1,1.1,1.2], in dat geval ondersteunt je eigen postfix Postfix dus ook geen SSLv3.

[EverLast2002]

Even een ander vraagje.....wanneer ik op lokatie bij de klant een modem plaats met datasim (en dynamisch publiek IP adres), kan het dan zijn dat ik als spammer wordt aangezien?

[Hero of Time]

Met dat ene mailtje in de maand? En je authenticeert toch om te kunnen mailen via outlook.com?

[GlowMouse]

Waarom moeilijk doen met een mailserver als je ook een lokale proxy in kunt zetten die aan de ene kant onversleutelde input accepteert en dat omzet naar TLS. Ma`Proxy is een voorbeeld.

[EverLast2002]

Hero of Time schreef op vrijdag 10 mei 2019 @ 20:12:
Met dat ene mailtje in de maand? En je authenticeert toch om te kunnen mailen via outlook.com?

Ik las ergens dat dynamische IP adressen op een blacklist staan om spam tegen te gaan.

[EverLast2002]

GlowMouse schreef op vrijdag 10 mei 2019 @ 20:19:
Waarom moeilijk doen met een mailserver als je ook een lokale proxy in kunt zetten die aan de ene kant onversleutelde input accepteert en dat omzet naar TLS. Ma`Proxy is een voorbeeld.

...bedoel je mapproxy? ma'proxy kent google niet.

[begintmeta]

EverLast2002 schreef op vrijdag 10 mei 2019 @ 20:28:
[...]

...bedoel je mapproxy? ma'proxy kent google niet.

https://pypi.org/project/maproxy/

[Hero of Time]

EverLast2002 schreef op vrijdag 10 mei 2019 @ 20:21:
[...]

Ik las ergens dat dynamische IP adressen op een blacklist staan om spam tegen te gaan.

Zolang je met de mail relay/smarthost inlogt op de mailserver waar je de mail heen stuurt, in jouw geval dus blijkbaar die van Outlook.com, is je Postfix weinig anders dan een mail client zoals Thunderbird.

[EverLast2002]

begintmeta schreef op woensdag 8 mei 2019 @ 21:36:
[...]

Verder is het natuurlijk handig als je ook de RPi zichzelf wal laat monitoren lijkt me

Enig idee hoe?
Ik ben bekend met Monitorix en Zabbix.

[ Voor 8% gewijzigd door EverLast2002 op 11-05-2019 13:38 ]

[EverLast2002]

Hm....ik configureer mn RPi Zero van DHCP naar een vast IP adres en nu mailt ie niet meer....
Niks raars gedaan, alleen /etc/dhcpcd.conf aangepast.
Opgelost. In OPNsense had ik een DNS blocking regel staan, die even uitgezet, en nu mailt ie weer.

[ Voor 26% gewijzigd door EverLast2002 op 11-05-2019 16:12 ]