Onderwerp: Tiscal sender verify callout vraagje

Hallo,

Wat gebeurt er als de sender verify callout niet kan lukken omdat de
verzendende mailserver achter een poort 25 firewall staat?

Case in point: trappist.elis.ugent.be. De inkomende mail voor
elis.ugent.be moet eerst via cedar.ugent.be, pecan.ugent.be en
cypress.ugent.be passeren, want hosts buiten ugent.be kunnen niet op
poort 25 van deze server connecteren (of op poort 25 van zowat eender
welke andere computer binnen ugent.be, om open relay abuse tegen te
gaan).

Uitgaande mail wordt echter rechtstreeks door deze server verstuurd, en
dan zie je een hoop dingen als dit in mail queue:

i9CCCg504164 908 Tue Oct 12 14:12 <yyy>
(Deferred: 451 Could not complete sender verify callout)
xxx@tiscali.be

Wordt die na een tijd toch doorgelaten, of gaat die gebounced worden
door onze server omdat hij die mail nooit gaat kunnen afleveren? (en
moet de server dus aangepast worden om alles via een andere server naar
buiten te sturen?)


Jonas

Jonas Maebe wrote:
> Hallo,
>
> Wat gebeurt er als de sender verify callout niet kan lukken omdat de
> verzendende mailserver achter een poort 25 firewall staat?
>
> Case in point: trappist.elis.ugent.be. De inkomende mail voor
> elis.ugent.be moet eerst via cedar.ugent.be, pecan.ugent.be en
> cypress.ugent.be passeren, want hosts buiten ugent.be kunnen niet op
> poort 25 van deze server connecteren (of op poort 25 van zowat eender
> welke andere computer binnen ugent.be, om open relay abuse tegen te
> gaan).
>
> Uitgaande mail wordt echter rechtstreeks door deze server verstuurd, en
> dan zie je een hoop dingen als dit in mail queue:
>
> i9CCCg504164 908 Tue Oct 12 14:12 <yyy>
> (Deferred: 451 Could not complete sender verify callout)
> xxx@tiscali.be
>
> Wordt die na een tijd toch doorgelaten, of gaat die gebounced worden
> door onze server omdat hij die mail nooit gaat kunnen afleveren? (en
> moet de server dus aangepast worden om alles via een andere server naar
> buiten te sturen?)
>
>
> Jonas
Beste,

Die blijft op de queue van trappist.elis.ugent.be hangen tot er daar een
timeout optreedt en er gebounced wordt.

Wat je kan doen, is in de zonefile voor elis.ugent.be (of die van
ugent.be) een mx laten aanmaken voor trappist.elis.ugent.be naar
cedar.ugent.be als en enkel als deze mails voor [trappist.]elis.ugent.be
accept.

Dus kortweg in de zonefile voor elis.ugent.be of ugent.be (indien BIND
gebruikt wordt):
trappist.elis.ugent.be in mx 1 cedar.ugent.be.

Vriendelijke groeten,
--
Yuri Teirlynck
3rd Line Senior Technical Support Agent
s.a. Tiscali n.v.
(snipped onto 4 lines according rfc 1855)

In article <416d0335$0$44111$5fc3050@dreader2.news.tiscali.nl >,
Yuri Teirlynck <yteirlynck@be.tiscali.com> wrote:

> > Wat gebeurt er als de sender verify callout niet kan lukken omdat de
> > verzendende mailserver achter een poort 25 firewall staat?
> >
> > Case in point: trappist.elis.ugent.be. De inkomende mail voor
> > elis.ugent.be moet eerst via cedar.ugent.be, pecan.ugent.be en
> > cypress.ugent.be passeren, want hosts buiten ugent.be kunnen niet op
> > poort 25 van deze server connecteren (of op poort 25 van zowat eender
> > welke andere computer binnen ugent.be, om open relay abuse tegen te
> > gaan).
> >
> > Uitgaande mail wordt echter rechtstreeks door deze server verstuurd, en
> > dan zie je een hoop dingen als dit in mail queue:
> >
> > i9CCCg504164 908 Tue Oct 12 14:12 <yyy>
> > (Deferred: 451 Could not complete sender verify callout)
> > xxx@tiscali.be
> >
> > Wordt die na een tijd toch doorgelaten, of gaat die gebounced worden
> > door onze server omdat hij die mail nooit gaat kunnen afleveren? (en
> > moet de server dus aangepast worden om alles via een andere server naar
> > buiten te sturen?)
> >
> >
> > Jonas
> Beste,
>
> Die blijft op de queue van trappist.elis.ugent.be hangen tot er daar een
> timeout optreedt en er gebounced wordt.
>
> Wat je kan doen, is in de zonefile voor elis.ugent.be (of die van
> ugent.be) een mx laten aanmaken voor trappist.elis.ugent.be naar
> cedar.ugent.be als en enkel als deze mails voor [trappist.]elis.ugent.be
> accept.
>
> Dus kortweg in de zonefile voor elis.ugent.be of ugent.be (indien BIND
> gebruikt wordt):
> trappist.elis.ugent.be in mx 1 cedar.ugent.be.

Dat is reeds zo:

$ dig mx elis.ugent.be

; <<>> DiG 9.2.2 <<>> mx elis.ugent.be
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 41883
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 4, AUTHORITY: 5, ADDITIONAL: 8

;; QUESTION SECTION:
;elis.ugent.be. IN MX

;; ANSWER SECTION:
elis.ugent.be. 86400 IN MX 40 cedar.ugent.be.
elis.ugent.be. 86400 IN MX 50 pecan.ugent.be.
elis.ugent.be. 86400 IN MX 10
trappist.elis.ugent.be.
elis.ugent.be. 86400 IN MX 30 cypress.ugent.be.

Anders zouden we nooit mail kunnen ontvangen. Het probleem is bij het
verzenden vanaf trappist.elis.uget.be. Of gaat de sender verify callback
alle mx'en af? (net zoals bij het gewoon verzenden van mails)

Bedankt,


Jonas

Jonas Maebe wrote:

> In article <416d0335$0$44111$5fc3050@dreader2.news.tiscali.nl >,
> Yuri Teirlynck <yteirlynck@be.tiscali.com> wrote:
>
>
>>>Wat gebeurt er als de sender verify callout niet kan lukken omdat de
>>>verzendende mailserver achter een poort 25 firewall staat?
>>>
>>>Case in point: trappist.elis.ugent.be. De inkomende mail voor
>>>elis.ugent.be moet eerst via cedar.ugent.be, pecan.ugent.be en
>>>cypress.ugent.be passeren, want hosts buiten ugent.be kunnen niet op
>>>poort 25 van deze server connecteren (of op poort 25 van zowat eender
>>>welke andere computer binnen ugent.be, om open relay abuse tegen te
>>>gaan).
>>>
>>>Uitgaande mail wordt echter rechtstreeks door deze server verstuurd, en
>>>dan zie je een hoop dingen als dit in mail queue:
>>>
>>>i9CCCg504164 908 Tue Oct 12 14:12 <yyy>
>>> (Deferred: 451 Could not complete sender verify callout)
>>> xxx@tiscali.be
>>>
>>>Wordt die na een tijd toch doorgelaten, of gaat die gebounced worden
>>>door onze server omdat hij die mail nooit gaat kunnen afleveren? (en
>>>moet de server dus aangepast worden om alles via een andere server naar
>>>buiten te sturen?)
>>>
>>>
>>>Jonas
>>
>>Beste,
>>
>>Die blijft op de queue van trappist.elis.ugent.be hangen tot er daar een
>>timeout optreedt en er gebounced wordt.
>>
>>Wat je kan doen, is in de zonefile voor elis.ugent.be (of die van
>>ugent.be) een mx laten aanmaken voor trappist.elis.ugent.be naar
>>cedar.ugent.be als en enkel als deze mails voor [trappist.]elis.ugent.be
>>accept.
>>
>>Dus kortweg in de zonefile voor elis.ugent.be of ugent.be (indien BIND
>>gebruikt wordt):
>>trappist.elis.ugent.be in mx 1 cedar.ugent.be.
>
>
> Dat is reeds zo:
>
> $ dig mx elis.ugent.be
>
> ; <<>> DiG 9.2.2 <<>> mx elis.ugent.be
> ;; global options: printcmd
> ;; Got answer:
> ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 41883
> ;; flags: qr aa rd ra; QUERY: 1, ANSWER: 4, AUTHORITY: 5, ADDITIONAL: 8
>
> ;; QUESTION SECTION:
> ;elis.ugent.be. IN MX
>
> ;; ANSWER SECTION:
> elis.ugent.be. 86400 IN MX 40 cedar.ugent.be.
> elis.ugent.be. 86400 IN MX 50 pecan.ugent.be.
> elis.ugent.be. 86400 IN MX 10
> trappist.elis.ugent.be.
> elis.ugent.be. 86400 IN MX 30 cypress.ugent.be.
>
> Anders zouden we nooit mail kunnen ontvangen. Het probleem is bij het
> verzenden vanaf trappist.elis.uget.be. Of gaat de sender verify callback
> alle mx'en af? (net zoals bij het gewoon verzenden van mails)
>
> Bedankt,
>
>
> Jonas
Normaal moet die alle mx-en afgaan als die niet geconnecteerd geraakt.

Ff zien wat onze caching dns-en geven:
$ dig trappist.elis.ugent.be mx

; <<>> DiG 9.2.1 <<>> trappist.elis.ugent.be mx
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 16553
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 5, ADDITIONAL: 7

;; QUESTION SECTION:
;trappist.elis.ugent.be. IN MX

;; ANSWER SECTION:
trappist.elis.ugent.be. 86400 IN MX 10 trappist.elis.ugent.be.
trappist.elis.ugent.be. 86400 IN MX 40 cypress.ugent.be.
trappist.elis.ugent.be. 86400 IN MX 50 cedar.ugent.be.

;; AUTHORITY SECTION:
elis.ugent.be. 19914 IN NS trappist.elis.ugent.be.
elis.ugent.be. 19914 IN NS piggy.elis.ugent.be.
elis.ugent.be. 19914 IN NS ugdns1.ugent.be.
elis.ugent.be. 19914 IN NS ugdns2.ugent.be.
elis.ugent.be. 19914 IN NS ugdns3.ugent.be.

;; ADDITIONAL SECTION:
trappist.elis.ugent.be. 19914 IN A 157.193.204.1
cypress.ugent.be. 12925 IN A 157.193.49.13
cedar.ugent.be. 12925 IN A 157.193.49.14
piggy.elis.ugent.be. 19914 IN A 157.193.127.1
ugdns1.ugent.be. 29809 IN A 157.193.40.37
ugdns2.ugent.be. 24946 IN A 157.193.40.42
ugdns3.ugent.be. 24946 IN A 157.193.71.1

;; Query time: 13 msec
;; SERVER: 10.32.3.11#53(10.32.3.11)
;; WHEN: Wed Oct 13 13:08:15 2004
;; MSG SIZE rcvd: 333

Ff testen op welke we kunnen connecteren:
$ telnet trappist.elis.ugent.be smtp
Trying 157.193.204.1...
^C

Ik heb opgegeven na een tijd...

Nu uit nieuwschierigheid (en om zeker te zijn):
$ time telnet trappist.elis.ugent.be smtp
Trying 157.193.204.1...
telnet: Unable to connect to remote host: Connection timed out

real 3m9.009s <--- fiew
user 0m0.000s
sys 0m0.000s

Timeout... waardoor die 451 veroorzaakt wordt (callout verification mag
maximum 45 seconden duren.)

Oplossing 1:
Poort 25 blocken zodat onmiddelijk een "Connection refused by foreign
host" optreedt (op alle machines behalve cedar.)

Oplossing 2:
Twee verschillende zonefiles onderhouden waarbij de publieke cedar heeft
als mx en de interne alle andere kent als mx (en waarbij het interne
netwerk de interne dns-server gebruikt natuurlijk).

Vriendelijke groeten,
--
Yuri Teirlynck
3rd Line Senior Technical Support Agent
s.a. Tiscali n.v.
(snipped onto 4 lines according rfc 1855)

In article <416d0f5b$0$44067$5fc3050@dreader2.news.tiscali.nl >,
Yuri Teirlynck <yteirlynck@be.tiscali.com> wrote:

> Normaal moet die alle mx-en afgaan als die niet geconnecteerd geraakt.

Dan zal er veronderstel ik geen probleem zijn (enkel dat het wat langer
duurt om de mails af te leveren).

> Nu uit nieuwschierigheid (en om zeker te zijn):
> $ time telnet trappist.elis.ugent.be smtp
> Trying 157.193.204.1...
> telnet: Unable to connect to remote host: Connection timed out
>
> real 3m9.009s <--- fiew
> user 0m0.000s
> sys 0m0.000s
>
> Timeout... waardoor die 451 veroorzaakt wordt (callout verification mag
> maximum 45 seconden duren.)
>
> Oplossing 1:
> Poort 25 blocken zodat onmiddelijk een "Connection refused by foreign
> host" optreedt (op alle machines behalve cedar.)

Connecties naar poort 25 blocken of droppen gebeurt op de globale
firewall van de universiteit, daar hebben wij geen controle over.

> Oplossing 2:
> Twee verschillende zonefiles onderhouden waarbij de publieke cedar heeft
> als mx en de interne alle andere kent als mx (en waarbij het interne
> netwerk de interne dns-server gebruikt natuurlijk).

Ik denk niet dat DICT (Directie ICT van de UGent) daar blij mee zou zijn



Jonas

Jonas Maebe wrote:

> In article <416d0f5b$0$44067$5fc3050@dreader2.news.tiscali.nl >,
> Yuri Teirlynck <yteirlynck@be.tiscali.com> wrote:
>
>
>>Normaal moet die alle mx-en afgaan als die niet geconnecteerd geraakt.
>
>
> Dan zal er veronderstel ik geen probleem zijn (enkel dat het wat langer
> duurt om de mails af te leveren).
>
>
>>Nu uit nieuwschierigheid (en om zeker te zijn):
>> $ time telnet trappist.elis.ugent.be smtp
>> Trying 157.193.204.1...
>> telnet: Unable to connect to remote host: Connection timed out
>>
>> real 3m9.009s <--- fiew
>> user 0m0.000s
>> sys 0m0.000s
>>
>>Timeout... waardoor die 451 veroorzaakt wordt (callout verification mag
>>maximum 45 seconden duren.)
>>
>>Oplossing 1:
>>Poort 25 blocken zodat onmiddelijk een "Connection refused by foreign
>>host" optreedt (op alle machines behalve cedar.)
>
>
> Connecties naar poort 25 blocken of droppen gebeurt op de globale
> firewall van de universiteit, daar hebben wij geen controle over.
>
Misschien vragen aan die mensen om onmiddelijk te blokken en niet na
drie minuten...
>
>>Oplossing 2:
>>Twee verschillende zonefiles onderhouden waarbij de publieke cedar heeft
>>als mx en de interne alle andere kent als mx (en waarbij het interne
>>netwerk de interne dns-server gebruikt natuurlijk).
>
>
> Ik denk niet dat DICT (Directie ICT van de UGent) daar blij mee zou zijn
>
>
Bwa... 't is een propere oplossing die ervoor zorgt dat de internals
niet voor iedereen zichtbaar zijn.

Misschien nog een derde mogelijkheid:
trappist.elis.ugent.be uit de mx-en schrappen en een manualroute (of
toch zijn postfix equivalent) op de twee andere instellen.
>
> Jonas

Groeten,
--
Yuri Teirlynck
3rd Line Senior Technical Support Agent
s.a. Tiscali n.v.
(snipped onto 4 lines according rfc 1855)