[Exchange 2000] Open mail relay.

[Ralphie]

Gisteren kreeg ik een mailtje van onze ISP met de melding dat wij waarschijnlijk een open relay hebben. Dit vond ik gek, aangezien ik het vorige maand nog getest had, en hij toen wel dicht stond. Als ik een relay test laat uitvoeren door ORDB.org, zeggen zij ook dat hij niet open staat, maar ik kan toch echt via onze SMTP server naar een ander domain mailen onder een gespooft adres.

Ik heb de instellingen nagekeken, en deze vergeleken met deze links:

http://support.microsoft....aspx?scid=kb;en-us;310380

http://www.msexchange.org/tutorials/MF005.html

De SMTP connector waar over gesproken wordt, gebruiken wij niet. Vreemde is dus dat we "ineens" een open relay hebben, maar volgens de Exchange instellingen zou hij dicht moeten staan. We gebruiken Exchange 2000 SP3 en Windows server 2000 SP4. Misschien een bugje in SP4? Heeft er iemand een suggestie waar ik naar zou kunnen kijken?

[sh4d0wman]

misschien een SP4 probleem.

Mail relay settings may change, if your server is sending mail this setting may have to be reset in the MMC.

bron: http://www.w2knews.com/anecdotes.htm

hopelijk kom je hier weer wat verder mee

[Ralphie]

Ik zal SP4 een deinstalleren, kijken wat er gebeurt. Tnx voor de tip in ieder geval!

[Ralphie]

Is inderdaad een bug in SP4! Zojuist eraf geknalt en het werkt weer! Wordt je toch niet goed van!

[WiNlUx]

Ralphie schreef op 16 September 2003 @ 22:47:
Is inderdaad een bug in SP4! Zojuist eraf geknalt en het werkt weer! Wordt je toch niet goed van!

Heb je dit al naar microsoft gemaild? Of zijn er al patches voor... (ik moet ook sp4 op de zaak installen maar wacht er nu maar ff mee )

[mutsje]

Vreemd ik heb SP4 ook op mijn Windows 2000 server met Exchange2000 server gezet maar nergens last van.

[ Voor 14% gewijzigd door mutsje op 17-09-2003 15:54 ]

[Brahiewahiewa]

mutsje schreef op 17 September 2003 @ 15:54:
Vreemd ik heb SP4 ook op mijn Windows 2000 server met Exchange2000 server gezet maar nergens last van.

Daarom staat het ook onder het hoofdstuk "http://www.w2knews.com/anecdotes.htm"
Waarschijnlijk heeft TS z'n relay settings sowieso niet goed voorelkaar

[Ralphie]

Relay settings staan ingesteld zoals in de beide links. Als jij weet waar ik eventueel nog meer aan kan passen, dan hoor ik het graag!

[Brahiewahiewa]

Ralphie schreef op 18 September 2003 @ 09:06:
Relay settings staan ingesteld zoals in de beide links. Als jij weet waar ik eventueel nog meer aan kan passen, dan hoor ik het graag!

Best wel vaag want beide artikelen zeggen: "Microsoft Exchange 2000 by default does not allow unauthorized Relaying". Betekent dat, dat jij alle instellingen op default hebt laten staan? Zo niet: wat heb je dan veranderd?

[Ralphie]

Alles staat op default. Alleen het interne netwerk subnet staat ingevuld, verder staat er een vinkje voor: "Allow all computers which succesfully authenticate to realy, regardless of the list above." Bij Authentication staat: Anonymous, Basic en Integrated Windows authentication aangevinkt. Deze gegevens zijn overgenomen van de bovenstaande links. Kortom alleen interne en mensen die zich kunnen authenticeren mogen relayen via onze SMTP.

[collin]

Kun je aangeven hoe je een mailtje stuurt onder een 'gespooft' adres? Telnet je dan naar je mailserver (van buiten af) op poort 25 en dan de hele riedel met mail from: - rcpt to: etc?

Hoe test je dat? Check ik of ik dat ook kan doen bij mijn 2k exchange server.

[Ralphie]

Yep telnet naar extern IP. Bij mail from: vul je een nep adres in ([e-mail] bijv) hij zegt dan sender ok. Bij rcpt to: vul je een ontvanger in buiten jou exchange omgeving. (Hotmail bijv) Staat je relay dicht, dan moet je de melding "unable to relay" krijgen.

[collin]

En bij jou accepteerd hij dus de mail en relayt hij op die manier? Omdat je dit zegt:

maar ik kan toch echt via onze SMTP server naar een ander domain mailen onder een gespooft adres

[Brahiewahiewa]

Ralphie schreef op 18 september 2003 @ 11:59:
[...] Alleen het interne netwerk subnet staat ingevuld,[...]

Ralphie schreef op 18 september 2003 @ 13:33:
Yep telnet naar extern IP. Bij mail from: vul je een nep adres in ([e-mail] bijv) hij zegt dan sender ok. Bij rcpt to: vul je een ontvanger in buiten jou exchange omgeving. (Hotmail bijv) Staat je relay dicht, dan moet je de melding "unable to relay" krijgen.

En test je dat vanaf je interne netwerk?(dan vin'k 't namelijk niet zo vreemd dattie mag relayen)

[Ralphie]

Brahiewahiewa schreef op 18 september 2003 @ 14:27:
[...]


[...]

En test je dat vanaf je interne netwerk?(dan vin'k 't namelijk niet zo vreemd dattie mag relayen)

Hehee nee, dit heb ik getest met een inbel verbinding.

[ Voor 3% gewijzigd door Ralphie op 18-09-2003 15:32 ]

[Ralphie]

collin schreef op 18 September 2003 @ 14:14:
En bij jou accepteerd hij dus de mail en relayt hij op die manier? Omdat je dit zegt:

[...]

Yep, maar nu niet meer!

[Verwijderd]

Ralphie schreef op 18 September 2003 @ 11:59:
"Allow all computers which succesfully authenticate to realy, regardless of the list above." Bij Authentication staat: Anonymous, Basic en Integrated Windows authentication aangevinkt. .

Lijkt je dat niet wat vreemd: Enerzijds "only succesfully authenticated anderzijds wel anonymous aanmelden toestaan????

[Brahiewahiewa]

Verwijderd schreef op 18 September 2003 @ 16:02:
[...]Lijkt je dat niet wat vreemd: Enerzijds "only succesfully authenticated anderzijds wel anonymous aanmelden toestaan????

Hoe wil je anders binnenkomende mail ontvangen? Iedereen op het hele internet een username/password combinatie toesturen?
Analogie: doe jij je brievenbus ook op slot?

[Verwijderd]

We hebben het over relaying niet over het ontvangen van mail toch?

[Brahiewahiewa]

Verwijderd schreef op 18 September 2003 @ 16:34:
We hebben het over relaying niet over het ontvangen van mail toch?

Hoe wil jij mail relayen zonder te ontvangen?

[Ralphie]

Ok we hebben volgens onze ISP nog steeds een open relay. Ik heb vervolgens een test gedaan op Abuse.net er daar kwam het volgende uit:

code:

Mail relay testing 
Connecting to xxx.xxx.xxx.xxx for registered user test to abuse.net forwarding address ...
<<< 220 svrmail1.xxxxxxxx.nl Microsoft ESMTP MAIL Service, Version: 5.0.2195.5329 ready at  Tue, 30 Sep 2003 16:15:03 +0200 
>>> HELO www.abuse.net
<<< 250 svrmail1.xxxxxxxxx.nl Hello [208.31.42.77]


Relay test 1
>>> RSET
<<< 250 2.0.0 Resetting
>>> MAIL FROM:<[e-mail]>
<<< 250 2.1.0 [e-mail]....Sender OK
>>> RCPT TO:<[e-mail]>
<<< 550 5.7.1 Unable to relay for [e-mail]

Relay test 2
>>> RSET
<<< 250 2.0.0 Resetting
>>> MAIL FROM:<spamtest>
<<< 250 2.1.0 [e-mail]....Sender OK
>>> RCPT TO:<[e-mail]>
<<< 550 5.7.1 Unable to relay for [e-mail]

Relay test 3
>>> RSET
<<< 250 2.0.0 Resetting
>>> MAIL FROM:<>
<<< 250 2.1.0 <>....Sender OK
>>> RCPT TO:<[e-mail]>
<<< 550 5.7.1 Unable to relay for [e-mail]

Relay test 4
>>> RSET
<<< 250 2.0.0 Resetting
>>> MAIL FROM:<spamtest@[ip_adres]>
<<< 250 2.1.0 spamtest@[ip_adres]....Sender OK
>>> RCPT TO:<[e-mail]>
<<< 550 5.7.1 Unable to relay for [e-mail]

Relay test 5
>>> RSET
<<< 250 2.0.0 Resetting
>>> MAIL FROM:<[e-mail]>
<<< 250 2.1.0 [e-mail]....Sender OK
>>> RCPT TO:<[e-mail]>
<<< 550 5.7.1 Unable to relay for [e-mail]

Relay test 6
>>> RSET
<<< 250 2.0.0 Resetting
>>> MAIL FROM:<spamtest@[IP_ADRES]>
<<< 250 2.1.0 spamtest@[IP_ADRES]....Sender OK
>>> RCPT TO:<user-35900%nf.abuse.net@[IP_ADRES]>
<<< 550 5.7.1 Unable to relay for user-35900%nf.abuse.net@[IP_ADRES]

Relay test 7
>>> RSET
<<< 250 2.0.0 Resetting
>>> MAIL FROM:<spamtest@[IP_ADRES]>
<<< 250 2.1.0 spamtest@[IP_ADRES]....Sender OK
>>> RCPT TO:<[e-mail]>
<<< 550 5.7.1 Unable to relay for [e-mail]

Relay test 8
>>> RSET
<<< 250 2.0.0 Resetting
>>> MAIL FROM:<spamtest@[IP_ADRES]>
<<< 250 2.1.0 spamtest@[IP_ADRES]....Sender OK
>>> RCPT TO:<"[e-mail]">
<<< 250 2.1.5 "[e-mail]"@xxxxxxxx.nl 
>>> DATA
<<< 354 Start mail input; end with <CRLF>.<CRLF>
>>> (message body)
<<< 250 2.6.0  <[e-mail]> Queued mail for delivery

Relay test result
Hmmn, at first glance, host appeared to accept a message for relay.
THIS MAY OR MAY NOT MEAN THAT IT'S AN OPEN RELAY.

Some systems appear to accept relay mail, but then reject messages internally rather than delivering them, but you cannot tell at this point whether the message will be relayed or not.

[b]If it is really an open relay, the test message will be delivered to you. If you do not receive the test message in your e-mail in the next few hours, it IS NOT an open relay.[/b]

Hij loop dus vast bij test 8, omdat er een mailtje gestuurd wordt NAAR een adres binnen ons domein. Mijn inziens is dit nog geen open relay, omdat er niet door ons domein naar een ander domain gemaild (kan) worden. Ten tweede als je de laatste regel leest van de tekst, moet je binnen een aantal uur een mailtje hebben ontvangen, zo niet, dan heb je geen open relay. Nu heb ik deze test gisteren uitgevoerd en nog steeds niets ontvangen.
Kan ik er nu vanuit gaan dat we GEEN open relay meer hebben?

[Bor]

Ralphie -> waar vind je die link om te checken op abuse.net? Ik kan hem niet vinden of lees er overheen?

[Ralphie]

www.abuse.net/relay.html