SMTP POORT 25 AUTHENTICATIE INSCHAKELEN : goed idee? [Archief]

Bekijk Volledige Versie : SMTP POORT 25 AUTHENTICATIE INSCHAKELEN : goed idee?

k_clevers

12/12/11, 16:13

Marco Mahieu

12/12/11, 16:19

Beste,

Momenteel staat mijn directadmin VPS (België)
ingesteld dat eenieder op poort 25 e-mails kan posten zonder authenticatie zolang de FROM één van de virtuele domeinen is.
Dit zorgt voor spam! :(

Ik zou deze graag strenger maken zodat een paswoord nodig is (in EXIM.CONF) ?
Wat zijn de gevolgen hiervan ? Is dit aan te raden ?

Dat is uiteraard een goed idee. Is deze VPS een productie server waar momenteel klanten op staan? Dan krijg je namelijk wel te maken met het feit dat klanten ineens geen e-mail meer kunnen sturen tot ze de configuratie op hun computer aanpassen.

Yourwebhoster

12/12/11, 16:23

Beste,

Momenteel staat mijn directadmin VPS (België)
ingesteld dat eenieder op poort 25 e-mails kan posten zonder authenticatie zolang de FROM één van de virtuele domeinen is.
Dit zorgt voor spam! :(

Ik zou deze graag strenger maken zodat een paswoord nodig is (in EXIM.CONF) ?
Wat zijn de gevolgen hiervan ? Is dit aan te raden ?
Correctie: zolang diegene daarvoor al via POP authenticatie heeft gedaan is dat mogelijk. Als je enkel de FROM op geeft werkt dat natuurlijk niet, je moet eerst authenticatie uitvoeren met POP voordat het vrije e-mail verzenden werkt.

Marco Mahieu

12/12/11, 16:35

Correctie: zolang diegene daarvoor al via POP authenticatie heeft gedaan is dat mogelijk. Als je enkel de FROM op geeft werkt dat natuurlijk niet, je moet eerst authenticatie uitvoeren met POP voordat het vrije e-mail verzenden werkt.

Klopt, als ik het goed heb is dat inderdaad de standaard configuratie zoals DA hem opzet.

TS, heb je dit in het verleden aangepast (laten aanpassen) zodat dit helemaal open staat nu, of heb je gewoon nog deze standaard configuratie?

k_clevers

12/12/11, 16:36

k_clevers

12/12/11, 16:47

Ik heb nooit iets laten aanpassen. Zo heb ik de VPS verkregen.

Yourwebhoster

12/12/11, 16:48

Ik bedoel je kan gewoon connecteren op de 25 op mijn VPS en dan
HELO eigendomein.BE
RCPT TO: whoever@eigendomein.BE
DATA
en de mail wordt verstuurd, dus eenieder kan zo in mijn eigen domeinnaam spam versturen.
En dat wil ik blokkeren want zo krijgen mijn klanten continu spam.
Dat werkt inderdaad als je via POP ingelogd bent voor max. xx minuten (Weet ik even niet meer hoe lang dat is), als je dit niet gedaan hebt dan kan je ook die commando niet uitvoeren. Maar de reden dat je klanten spam ontvangen is niet omdat dat open staat (default is dat niet zo) maar omdat je geen goede spam filter hebt. Kijk eens hier (http://help.directadmin.com/?topic=15) hoe dit voorkomen kan worden om te beginnen.

Marco Mahieu

12/12/11, 16:49

Ik heb nooit iets laten aanpassen. Zo heb ik de VPS verkregen.

Dan is jou SMTP server als het goed is uitsluitend toegankelijk voor computers waarmee in de afgelopen x minuten een succesvolle POP (of IMAP) verbinding is gemaakt.

k_clevers

12/12/11, 16:57

Volgens mij is die POP stap bij mij niet nodig, getest met account waar ik nog nooit voor gepopt heb en dat werkt gewoon als from en to in mijn eigendomein.be zitten hé weliswaar

Yourwebhoster

12/12/11, 16:59

Volgens mij is die POP stap bij mij niet nodig, getest met account waar ik nog nooit voor gesmptpt heb en dat werkt gewoon als from en to in mijn eigendomein.be zitten hé weliswaar
Met POP authenticatie maakt het niet uit met welke from je vervolgens gaat faken, in de headers van het e-mailtje zul je alsnog de naam van het DirectAdmin account kunnen terug vinden waarmee POP3 authenticatie uitgevoerd is.

Marco Mahieu

12/12/11, 17:05

Verder geef je aan dat je dit doet omdat je klanten last hebben van SPAM. Goede motivatie om dit te doen is SPAM bij andere te voorkomen (en blokkade van jou server), maar dit zorgt er niet voor dat jou klanten minder last hebben van SPAM. Spammers vinden altijd wel weer een andere server om jou klanten lastig te vallen, daarom is een goede SPAM-filter ook noodzakelijk.

Dus 2 dingen:
1. Uitgaande e-mail beveiligen om te voorkomen dat SPAM via jou server naar de wereld wordt gestuurd.
2. Een goede SPAM-filter installeren/instellen om te voorkomen dat de wereld spam naar jou server stuurt.

k_clevers

12/12/11, 17:14

Marco Mahieu

12/12/11, 17:38

Dat is uiteraard een goed idee. Is deze VPS een productie server waar momenteel klanten op staan? Dan krijg je namelijk wel te maken met het feit dat klanten ineens geen e-mail meer kunnen sturen tot ze de configuratie op hun computer aanpassen.

Ik gebruik spamassassin als spamfilter.

Ik wil mijn SMTP gewoon zo configureren dat als de FROM één van de eigen virtuele domeinen is dat er dan authenticatie nodig is.
Nu is dat niet zo, mijn testen wijzen dit uit (ook geen pop nodig)

thx

Is mogelijk, heb je mijn eerste vraag gelezen?

Marco Mahieu

12/12/11, 17:41

Bij deze trouwens nog even een stukje uitleg hoe DA dit in 99% van de gevallen regelt:

I think I have an open relay, what do I do?

About 99% of all emails to us with this question end up being da-popb4smtp causing confusion, and not an open relay. What da-popb4smtp does is adds your own IP to the /etc/virtual/pophosts for 30 minutes file after you've authenticated with pop or imap. Any IP in this file can send emails freely without smtp authentication, but since you've already authenticated with pop, you're a valid user anyway, so it's not an issue.

You can check if you have an open relay at dnsreport.com as they have an open relay check in their mail settings check.

You should almost never have any domains listed in the /etc/virtual/whitelist_domains file as any email with any from address as any domain in that file can relay through your server. Use it as a last resort only. Be especially careful to NOT have commonly forged domains, such as hotmail, gmail, etc., in that file.
Bron: http://help.directadmin.com/item.php?id=201

k_clevers

12/12/11, 19:21

Is mogelijk, heb je mijn eerste vraag gelezen?

Dit gaat idd over een publieke server met klanten.

dreamhost_nl

12/12/11, 20:00

Je kunt er toch een "open relay test" op af laten vuren? Zie je gelijk of het niet in de haak zit.
Zoiets : http://www.spamhelp.org/shopenrelay/

Marco Mahieu

12/12/11, 22:27

Je kunt er toch een "open relay test" op af laten vuren? Zie je gelijk of het niet in de haak zit.
Zoiets : http://www.spamhelp.org/shopenrelay/

Dat staat ook in dat stukje van DA wat ik hiervoor had gepost. Zeker een goed idee.

Cakkie

12/12/11, 23:54

Ik gebruik spamassassin als spamfilter.

Ik wil mijn SMTP gewoon zo configureren dat als de FROM één van de eigen virtuele domeinen is dat er dan authenticatie nodig is.
Nu is dat niet zo, mijn testen wijzen dit uit (ook geen pop nodig)

thxIk denk toch dat het vrij essentieel is voor een SMTP server om e-mail te ontvangen voor domeinen die op die server staan... die MAIL FROM heeft er dus weinig mee te zien. Het is gewoon een feit dat spam heel vaak het from adres gaat spoofen, maar dat is geen reden om daar op te gaan filteren. Als je authenticatie zou willen verplichten op basis van het from adres, dan ga je ongewild een hoop andere mails blokkeren. Stel een klant verstuurd een mail naar een collega (binnen hetzelfde domein), maar gebruikt hiervoor de SMTP server van zijn provider (zoals meestal verplicht is bij Belgie residentiele verbindingen), dan gaat jouw mailserver authenticatie vereisen van de server van bv Telenet. Dat gaat niet lukken dus. Verder heb je ook nog sites die soms e-mail versturen uit naam van iemand anders (zoals bv bij tweedehands websites als kapaza, kan niet direct andere concreet voorbeeld bedenken), dan doet die website eigenlijk ook aan spoofing. Ook die ga je dan missen.

As said before, goede spamfilter en die ook tijd en spam/ham geven om te leren. Verder zou ik gewoon smtp auth inschakelen voor relay of relay op poort 25 volledig verbieden en de klanten die toch via jouw server mail willen versturen, gebruik laten maken van mail submission. Dit is ESMTP met verplichte authenticatie op poort 587 (die trouwens niet geblokkeerd wordt door providers), liefst nog over SSL/TLS.