[GW5.5] Slachtoffer Mail-Relaying

[Tranzy]

Hallo,

Wij zijn op de zaak sinds een paar maanden slachtoffer geworden van mail-relaying. Onze mail server, een Groupwise 5.5.4 server kan "gedeeltelijk" dicht gegooid worden (optie Deny Ralying). Dit houdt in dat de mail niet verstuurd wordt maar degene die dus probeert te relay-en krijgt geen melding dat het niet mogelijk is. Nu zitten wij na een aantal maanden op een tellerstand van 1.000.000 mailtjes. :shock: en ze bijven het maar proberen. Dit probleem zorgt er ook voor dat goede mail in een ellelange wachtrij staat.

Wij hebben een batched-smtp account bij een hosting bedrijf.

Nu is mijn oplossing:

Versatel router omzetten naar bridged mode.
Draytek 2104 erachter met NAT.
2 IPfilters toepassen:
1 alle verkeer op port 25 Block immmediately
2 alle verkeer op port 25 toelaten vanaf ip-adres van het hosting bedrijf waar batched-smtp draait

Gaat dit werken ?

[pistole]

zou kunnen werken, maar dan zou ik je rules wel omdraaien.

[Tranzy]

ik zag ook in de router een optie staan Block if No further match : Blokkeren wanneer het niet aan de criteria in de volgende regels voldoet.

denk dat ik dan voor deze optie zou moeten kiezen.

Dit is maar een tijdelijke oplossing want ik ben van plan om een nieuwe server aan te schaffen met SBS 2003. En heb al gezien/getest dat je in exchange 2003 dit heel goed kan dicht gooien.

[Tranzy]

Misschien dat je hier even een klein blik op kan werpen.

http://www.draytek.nl/rou...00e&fw=2.00a&show=ipf.sht

[pistole]

offtopic:
sorrie, onzinnig

[ Voor 112% gewijzigd door pistole op 26-03-2004 00:09 ]

[Arfman]

Tranzy schreef op 24 maart 2004 @ 11:18:
ik zag ook in de router een optie staan Block if No further match : Blokkeren wanneer het niet aan de criteria in de volgende regels voldoet.

denk dat ik dan voor deze optie zou moeten kiezen.

Dit is maar een tijdelijke oplossing want ik ben van plan om een nieuwe server aan te schaffen met SBS 2003. En heb al gezien/getest dat je in exchange 2003 dit heel goed kan dicht gooien.

Waarom geen Novell NetWare 6.5 Small Business ? Zit alles in wat je nodig hebt voor een klein bedrijf. Komt met GroupWise 6.5, en daarin kun je dit soort dingen ook heel goed afvangen, en het is nog een stuk minder virusgevoelig ook nog.

Just curious.

[ Voor 10% gewijzigd door Arfman op 26-03-2004 00:20 ]

[Tranzy]

sorry late reactie maar:

Ben helemaaaal geen fan van Novell... heb er slechte ervaringen mee... ik denk meer omdat ik een NT/2000(3) man ben.

Ik vind novell echt helemaal niets .... (persoonlijke mening) alhoewel ik wel moet toegeven dat ik het een heel stabiel BS vind.

[Verwijderd]

Wij hebben dan wel geen Novell Mailserver (meer). Maar deze oplossing werkt op alle bsmtp accounts.

Sta op de firewall alleen inkomend smtp verkeer toe vanaf de bsmtp host van de provider. Stel op de mailserver in dat hij geen mail verstuurd voor andere domeinen als je eigen domein.

Voorbeeld uit mijn linux Ipchains firewall:

code:

# Configuratie SMTP
$IPCHAINS -A output -i $EXTERNAL_INTERFACE -p tcp \
                    -s $IPADDR $UNPRIVPORTS \
                    -d $ANYWHERE 25 -j ACCEPT

$IPCHAINS -A input -i $EXTERNAL_INTERFACE -p tcp ! -y \
                   -s $ANYWHERE 25 \
                   -d $IPADDR $UNPRIVPORTS -j ACCEPT

# Inkomende smtp verbindingen voor mailaflevering toestaan vanaf de provider
BSMTP="mail.provider.net"
$IPCHAINS -A input -i $EXTERNAL_INTERFACE -p tcp \
                   -s $BSMTP $UNPRIVPORTS \
                   -d $IPADDR 25 -j ACCEPT

$IPCHAINS -A output -i $EXTERNAL_INTERFACE -p tcp ! -y \
                    -s $IPADDR 25 \
                    -d $BSMTP $UNPRIVPORTS -j ACCEPT

Wij hadden eerder ook hier Novell met Groupwise en dat was een pracht pakket. Niet dat wat we nu hebben niet mooi is, maar ik bewaar ook goede herinneringen aan groupwise. Misschien dat het in de toekomst zelfs weer terug komt.

[Tranzy]

Weet je of dit ook vertraging in het mail verkeer opleverd ...deze firewall oplossing ?

Het is volgens mij niet meer als "vroeger" met een dial-up verbinding naar de bsmtp provider ....alleen ben je nu altijd...in de ogen van de provider.. online ...

[Verwijderd]

Tranzy schreef op 04 april 2004 @ 21:10:
Weet je of dit ook vertraging in het mail verkeer opleverd ...deze firewall oplossing ?

Het is volgens mij niet meer als "vroeger" met een dial-up verbinding naar de bsmtp provider ....alleen ben je nu altijd...in de ogen van de provider.. online ...

Nou eh ja firewall's kosten ziezo wat prestatie. Maar ik heb met deze oplossing nog nooit enig verschil gemerkt in snelheid als dat ik inkomende smtp connecties open zette voor heel de wereld. Ik heb me toen aangemeld bij een maillinglist die 1000 mails per uur stuurde bovenop het normale e-mail verkeer. Ik heb niets van vertraging gemerkt in het mail verkeer. Ik heb ook geen klachten gekregen van gebruikers.

Het is met een firewall wel belangrijk dat je je rules organiseerd op de zwaarte van het gebruik ervan. Dus als web verkeer een zware service is zet die dan zo vroeg mogelijk in de lijst met geaccepteerde services. Is mail heel belangrijk zet die dan als eerste geaccepteerde service. Dingen als Telnet , Auth en ICMP berichten zet ik altijd onderaan.

Ik heb wel eens getest tussen een geoptimaliseerde firewall en een niet geoptimaliseerde en op een 512/4096 Adsl lijn scheelde dit zo'n 50 to 75 kilobyte in downstream verkeer.