Exchange 2003 &amp; Open Relay

zondag 5 december 2004 22:21

Topicstarter

Komop jongens, jullie kunnen mij vast helpen

.

Acties:

zondag 5 december 2004 22:25

Topicstarter

Heeft niemand een idee?

Acties:

zondag 5 december 2004 23:00

Dus heb ik geregistreerd op abuse.net voor de relaytest, poort 25 doorverwezen en vervolgens kwam ik er achter dat ik een open relay had

wat voor melding kreeg je van ze

dat je mischien een open relay had omdat exchange geen foutmelding teruggaf (en dus gaat abuse.net er maar vanuit dat je relayed terwijl dit niet zo is)

exchange staat default dicht tenzij je de boel opengooid. zelf kies er ik er altijd voor om nooit een exchange doos rechstreeks op het inet aan te sluiten met smtp maar door de binnenkomende mail binnen te laten komen op een SMTP virusscanner/filter (zoals mailmarshal) die het dan weer doorstuur naar mijn exchange machine)

A wise man's life is based around fuck you

Acties:

zondag 5 december 2004 23:04

Topicstarter

Relay test result
Hmmn, at first glance, host appeared to accept a message for relay.

THIS MAY OR MAY NOT MEAN THAT IT'S AN OPEN RELAY.

Some systems appear to accept relay mail, but then reject messages internally rather than delivering them, but you cannot tell at this point whether the message will be relayed or not.

If it is really an open relay, the test message will be delivered to you. If you do not receive the test message in your e-mail in the next few hours, it IS NOT an open relay.

Ik ontvang de e-mail dus.

Acties:

zondag 5 december 2004 23:05

ontving je die mail op het adres waarop je exchange server ook zit of op een ander adres

hoe heb je je recipient policy ingesteld, voor welke domains

(hier geen je aan voor welke domains je exchange email afhandeld)

Op het tabblad "Access" zit trouwens nog een knop "Authentication" en hier sta ik alle manieren van versturen toe, dus ook anoniem. Dit is toch nodig omdat anders e-mail, ook voor mijn eigen domeintje, helemaal niet meer binnen komt?

tja anonymous access op je smtp moet je natuurlijk niet hebben.. zo kan iedereen relayen..

[ Voor 9% gewijzigd door Zwelgje op 05-12-2004 23:04 ]

A wise man's life is based around fuck you

Acties:

Mijn spoorwegfotografie
Somda - Voor en door treinenspotters

Computers can do that?

Staat misschien je Guest account aan op je domein?

zondag 5 december 2004 23:23

Acties:

zondag 5 december 2004 23:27

Topicstarter

zwelgje schreef op zondag 05 december 2004 @ 23:04:
ontving je die mail op het adres waarop je exchange server ook zit of op een ander adres

hoe heb je je recipient policy ingesteld, voor welke domains (hier geen je aan voor welke domains je exchange email afhandeld)

Voor, naast de lokale domeinnaam, nog een drietal andere public domeinnamen, dit i.v.m het gebruik van PopCon Pro.

Op het tabblad "Access" zit trouwens nog een knop "Authentication" en hier sta ik alle manieren van versturen toe, dus ook anoniem. Dit is toch nodig omdat anders e-mail, ook voor mijn eigen domeintje, helemaal niet meer binnen komt?

tja anonymous access op je smtp moet je natuurlijk niet hebben.. zo kan iedereen relayen..

Ik heb dat nooit aangezet trouwens, maar als ik dat uit zet, dan komt er nog wel gewoon e-mail binnen?

sanfranjake schreef op zondag 05 december 2004 @ 23:05:
Staat misschien je Guest account aan op je domein?

Nope, die staat uit

.

Acties:

Mijn spoorwegfotografie
Somda - Voor en door treinenspotters

Computers can do that?

Relayen heeft alleen te maken met uitgaande mail. Het accepteren van clients en doorsturen naar de mailserver van ontvanger. Als je daar bijvoorbeeld alleen je eigen subnet (e.g. 192.168.0.*) toegang geeft zou ik de test nog eens proberen

zondag 5 december 2004 23:28

Acties:

zondag 5 december 2004 23:34

http://support.microsoft....aspx?scid=kb;en-us;823157

dat is je probleem, maw: weg met die anonymous!

[ Voor 15% gewijzigd door Zwelgje op 05-12-2004 23:29 ]

A wise man's life is based around fuck you

Acties:

zondag 5 december 2004 23:40

Topicstarter

Leuk punt wat in dat artikel staat, want dat er een e-mail naar mijn domein kan worden gestuurd is toch goed en geeft toch eigenlijk niet zo veel aan? Want het zou pas écht een open relay zijn als een mail naar een ander domein zou werken, toch?

En trouwens, mijn e-mailadres van abuse.net is xxxx@domeinnaam.nl , en die domeinnaam.nl is ook één van de accepted domains van mijn exchange server. Dus dan zegt het eigenlijk niks, toch?

.

Overigens merk ik dat telnet op poort 25 niet werkt op mijn server, dat vind ik wel vreemd.

Acties:

zondag 5 december 2004 23:40

dan ben je idd aan het relayen.. voor jezelf en das dus normaal

neem als adres een @hotmail account, en kijk of er via jouw server (die een ander domain host) naar hotmail gemailed kan worden

want als abuse.net mailed naar domain.nl en jij testbericht is ook voor domain.nl dan concludeerd abuse.net ten onrechte dat je loopt te relayen...

A wise man's life is based around fuck you

Acties:

Mijn spoorwegfotografie
Somda - Voor en door treinenspotters

Computers can do that?

Bedoel je dan telnet van een andere locatie naar jouw poort 25? Welke provider hebben we het over? Het open relay verhaal heeftmijn inziens meer te maken met mail die jouw server accepteert voor verzending. Als deze alles accepteert wat overal vandaan komt zonder authenticatie dan is je server open relay.

Je kan hierover echt wel meer vinden door [google=exchange 2003 open relay] of
[search=exchange 2003 open relay].

[ Voor 3% gewijzigd door sanfranjake op 05-12-2004 23:41 ]

zondag 5 december 2004 23:45

Acties:

zondag 5 december 2004 23:47

Topicstarter

Nou, dan is mijn server dus geen open relay denk ik. Ik zal mezelf eens registreren op een ander adres en dan die test nog eens proberen, dan gaat het vast wél fout.

Is het overigens aan te raden om Exchange ook een denied-message terug te laten sturen i.p.v. niets te laten weten aan de verzender?

@sanfranjake:
Ik heb natuurlijk allang gekeken op google, nog voordat ik dit bericht postte (zie startpost). En nee, telnet op mijn interne netwerk, dus dat lijkt mij ook heel vreemd. Exchange bezorgd wel e-mail

.

Acties:

zondag 5 december 2004 23:51

Overtuigd Dipsomaan

Je moet even het volgende begrijpen:

- Outlook CLients maken gebruik van MAPI en 'relayen' dus niet via je Exchange SMTP Connector.
- De enige die dus zou moeten relayen is de Exchange Server zelf
- De Exchange Server is altijd successvol aan zichzelf (dus ook aan alle locale processen) geauthenticeerd

Als je slechts 1 exchange server hebt, heb je in feite niet eens een SMTP Routing connector nodig, omdat je nooit Route, maar altijd alleen relayed (voor jezelf dus). Als je meer dan 1 exchange server ghebt, vindt het transport tussen die servers standaard ook plaats via een SMTP conenctor, en dan is het beter om een Routing Group aan te maken. Op die manier kun je dan aangeven welke Exchange Server uitgaande mail verzorgd (Routing Master). Natuurlijk kun je op een Roting Conenctor meer instellingen doen, zoals zelf bepalen waar een mail naartoe gaat (bijv. een Smart Host gebruiken e.d.) maar voor simpel gebruik is dit niet nodig, en zal de standaard Exchange Virtual Server altijd via DNS MX Records mail versturen.

Afijn, ik ga er effe van uit dat je GEEN routing connector hebt. Als je er wel een wilt, zan zijn de instellingen voor de Virtual Server hetzelfde, maar voor de Connector moet je nog wat extra zaken instellen.

Op de Default SMTP Virtual Server stel je in dat hij alleen op het vaste IP Adres (10.0.0.1?) luisterd, dus niet 'All Unassigned'. Kies op de Access Tab, optie Authentication, en kies voor Anonymous (alle Internet SMTP Servers zijn anonymous), Basic en Integrated (je Exchange Server gebruikt zelf Integrated security). Voor Relay kies je Only the list below en laat die lijst verder leeg. Je zou dus denken dat er GEEN computer mag relayen. Klik dan wel effe de 'Allow All computers which successfullly authenticate' aan als relay. Leuke is namelijk dat een Anonymous connectie nooit authenticated is. Dus met andere woorden, je staat Anonymous access toe voor mail delivery, maar niet voor relay. Je server zelf mag wel relayen, want die authenticated wel.

Abuse.net zal nog steeds zeggen dat het lijkt alsof je een open relay hebt, maar je moet wel nog steeds voor je eigen domain kunnen relayen dus iets of wat open moet je relay wel zijn.

Suc6

Nothing is a problem once you've debugged the code

Acties:

zondag 5 december 2004 23:57

Topicstarter

Dankjewel voor je bijdrage, DaRealRenzel. Mijn situatie is niet erg verschillend, alleen heb ik die SMTP dinges wel nodig voor PopCon Pro. Op termijn wil ik dat programma niet meer gebruiken en dan ga ik dat ook wel uit zetten.

Acties:

maandag 6 december 2004 00:04

Overtuigd Dipsomaan

Kijk anders even in de Exchange Resource Kit, daar zit ook een BSMTP Client bij van Exchange. Daarnaast kun je ook een tweede Connector aanleggen voor elke POP server waar je berichten vanaf haalt, die elke zoveel minuten connect en dan een TURN of een ETRN commando geeft. Kan alleen als je een BSMTP Server hebt. Leegslurpen van individuele mailboxen gaat alleen met die Resource Kit tool. Dan heb je de PopCon niet meer nodig.

Nothing is a problem once you've debugged the code

Acties:

maandag 6 december 2004 00:10

Topicstarter

Nou, PopCon heb ik straks helemaal niet meer nodig, want ik heb net een testmail gestuurd en e-mails sturen naar mijn dennis@domeinnaampje.nl gaat perfect. De e-mailaccounts van mijn provider en andere adressen wil ik eigenlijk helemaal niet meer gebruiken in de toekomst.

Acties:

maandag 6 december 2004 00:17

Overtuigd Dipsomaan

Prima... ALs je trouwens de anonymous test van abuse.net probeert, en uitsluitend test nummer 8 gaat fout, dan is verder alles in orde. Test nummer 8 stuurt namelijk een mail naar <bladibal@eendomain.com>@jouwdomain.nl. Aangezien de SMTP Server dit adres interpreteert als een mailadres op jouw domain, zal hij dus dit bericht naar binnen relayen. Hij zal het echter niet verder relayen naar 'eendomain.com' omdat Exchange in principe het adres niet accepteerd. Als test 1 t/m 7 een 'unable to relay' bericht geven is alles prima in orde.

Nothing is a problem once you've debugged the code

Acties:

maandag 6 december 2004 00:20

Topicstarter

Ja, ik zag net dat ik dat vinkje gewoon aan moet zetten, en dan gaan 1 t/m 7 zonder problemen. Ik zit dus veilig hier thuis en ik ga iedereen mijn nieuwe e-mailadres vertellen!

Bedankt voor alle hulp!

Acties:

zondag 13 januari 2008 20:21

Overtuigd Dipsomaan

graag gedaan...

Nothing is a problem once you've debugged the code

Acties:

Verwijderd

in exchange manager

Recient filtering aanzetten
dit doe je bij Global settings -> message delivery -> properties
vinkje aanzetten bij "filter recipients who are not in the directory"

vervolgens op je smtp virtual server "apply recipient filter" aanzetten

dit doe je bij servers->protocols->smtp->default SMTP virual server
vraag hier de properties op
in het tablad general klik je op advanced
vervolgens op edit en zet hier het vinkje aan bij "apply recipient filter"
smtp service herstarten
als je dan een relay test doet zul je zien dat hij ook door test 8 heen komt
het is uitermate belangrijk dat je dit doet.

doe je dit niet dan kunnen spammers hier misbruik van maken.
hoe, heel simpel stuur een bericht met als verzender de partij waar je spam naar wilt sturen en verstuur via je eigen mail server.
er zal een non delivery report verstuurd worden naar de afzender

ook is het verstandig om bij de relay restrictions je server in de lijst te zetten, en het vinkje weg halen bij allow all computers enz enz

als je per ongeluk je guest account aan hebt staan of een account zonder wachtwoord dan kan je extern mail versturen via jouw mailserver ( via de smtp connector)

zondag 13 januari 2008 21:40

Acties: