Problem med autentisering i Exchange 2010

[bruker1234]

Jeg har en Exchange 2010 server hvor jeg opplever å få veldig mye spam inn, antaglig på grunn av feil/mangelende autentisering.

 

Fra en hvilken som helst maskin på internett kan man gjøre dette:

telnet 123.123.123.123 25 (med riktig IP selvsagt)
HELO
MAIL FROM:[email protected]
RCPT TO:[email protected]
DATA
exit

Resultatet er at en epost blir sendt til brukeren og det ser ut som at den har blitt sendt av brukeren selv.

 

Om jeg på receive connectoren i Exchange slår av Anonymous Users i Permission Groups så er dette ikke lenger mulig og man blir møtt med feilen "530 5.7.1 Client was not authenticated".

 

Dette løser i og for seg spamproblematikken, men bieffekten er at ingen kan sende mail til adressen.

 

Hva er det jeg har misforstått eller gjort feil?

[conundrum]

Misforståelsen er vel at dette har med autentisering å gjøre, for det har det ikke. Tilfeldige mailservere på nettet kan ikke autentisere seg mot din mailserver; de har jo ingen konto hos deg.

 

Problemet du beskriver, handler derimot om validering av avsenderadresse. Det er mulig å konfigurere Exchange slik at den bare aksepterer mail dersom det er samsvar mellom domenet i avsenderadressen og serveren mailen mottas fra. Søk på Technet etter "Sender ID".

[bruker1234]

Ser ut til at jeg er på rett spor nå ihvertfall

 

At eksterne servere ikke kan autentisere er greit nok, de har jo ikke den muligheten. Men skal man ikke trenge å autentisere når man på "min" server forsøker å sende en mail med "mitt" domene?

[Fungus]

hvilke soner som får lov til å benytte din epost server til mailsending kalles vel "relaying". Om du har flere vlan/ip segment, så kan du framdeles via relaying tilate at alle sammen får benytte epost servern til å sende mail ut. Dette kan foregå enten via autentisering, eller ved at man ikke autentiserer.

 

For eksempel, så kan man (om man er telenor kunde), benytte smtp.online.no (om de ikke har endret adressen siste tiden), til å sende mail ut fra din egen outlook klient. Uten at du trenger å autentisere deg mot servern, fordi du er i telenor sitt nett, og de ser at du kommer fra ip som tilhører ditt abb.

 

Men du vil helst ikke at din mailserver skal falle inn i kategorien open-relay. Da går det ikke mange timene før det renner millioner av mail gjennom servern din

 

Tillater du at "internet" får autentisere, så skaper det load på servern. "relay from your ip is denied" skaper mye mindre load.