Problem mit lokaler Firewall

Previous Topic Next Topic
 
classic Classic list List threaded Threaded
4 messages Options
Reply | Threaded
Open this post in threaded view
|

Problem mit lokaler Firewall

Frank Fiene
Moin! Neue Frage:

Ich habe auf unserem ausgehenden Mailgateway lokale Firewallregeln, weil da außer mir niemand aus dem Internet drauf zugreifen muss (IMAP, SMTP).

Ich habe insbesondere Listen von IP-Ranges aus Russland und China in diesen Regeln.

Jetzt habe ich einen Fall aus England, da hatte ich auch ein Netz gesperrt, wenn wir zu dem Shared Hoster (da liegen die Mailserver von einer Handvoll Kunden und Lieferanten) Mails schicken, bleiben die da mit "451 - temporary Problem“ hängen. Das sieht aus wie Greylisting.

Mir ist aber neu, dass Greylisting eine Verbindung zurück zu unserem ausgehenden Mailserver machen wollen würde?
Was wäre, wenn das mit NAT rausgehen würde?

Oder ist das grundsätzlich keine gute Idee, eingehenden Verkehr auf dem ausgehenden Gateway zu blockieren?
Oder hat der Shared Hoster einfach nur ein ganz anderes Problem?


Bin etwas verwirrt.


Viele Grüße!
Frank
--
Frank Fiene
IT-Security Manager VEKA Group

Fon: +49 2526 29-6200
Fax: +49 2526 29-16-6200
mailto: [hidden email]
http://www.veka.com

PGP-ID: 62112A51
PGP-Fingerprint: 7E12 D61B 40F0 212D 5A55 765D 2A3B B29B 6211 2A51
Threema: VZK5NDWW

VEKA AG
Dieselstr. 8
48324 Sendenhorst
Deutschland/Germany

Vorstand/Executive Board: Andreas Hartleif (Vorsitzender/CEO),
Dr. Andreas W. Hillebrand, Bonifatius Eichwald, Elke Hartleif, Dr. Werner Schuler,
Vorsitzender des Aufsichtsrates/Chairman of Supervisory Board: Ulrich Weimer
HRB 8282 AG Münster/District Court of Münster


signature.asc (849 bytes) Download Attachment
Reply | Threaded
Open this post in threaded view
|

Re: Problem mit lokaler Firewall

Paul-2
Am 31.07.2018 um 11:58 schrieb Frank Fiene:
> Moin! Neue Frage:
>
> Ich habe auf unserem ausgehenden Mailgateway lokale Firewallregeln, weil da außer mir niemand aus dem Internet drauf zugreifen muss (IMAP, SMTP).
>
> Ich habe insbesondere Listen von IP-Ranges aus Russland und China in diesen Regeln.
>
> Jetzt habe ich einen Fall aus England, da hatte ich auch ein Netz gesperrt, wenn wir zu dem Shared Hoster (da liegen die Mailserver von einer Handvoll Kunden und Lieferanten) Mails schicken, bleiben die da mit "451 - temporary Problem“ hängen. Das sieht aus wie Greylisting.
>
> Mir ist aber neu, dass Greylisting eine Verbindung zurück zu unserem ausgehenden Mailserver machen wollen würde?

Nur ein Gedanke, weil ich auch mal darüber gestolpert bin.

Eventuell führt der Zielserver senderaddressverifying durch?

D.h. bevor du einliefern darfst, prüft der Zielserver, ob der Absender
eine Mail theoretisch annehmen würde.
Im Standardfall müsste er das wiederum an deinem MX machen, nicht am
Gateway.
Wenn du an der Stelle Greylisting einsetzt, dann kommt es zu Verzögerungen.

> Was wäre, wenn das mit NAT rausgehen würde?
Ich schätze, dass das irrelevant ist.

> Oder ist das grundsätzlich keine gute Idee, eingehenden Verkehr auf dem ausgehenden Gateway zu blockieren?
Aus meiner Sicht spricht nichts dagegen.
Das hier vielleicht noch beachten:
https://www.heinlein-support.de/blog/mailserver/postfix-timeout-after-data-lost-connection/

> Oder hat der Shared Hoster einfach nur ein ganz anderes Problem?
Die Konstellation ist ungünstig. Schau auf dem MX wer anfragt und
befreie ihn vom Greylisting.

> Bin etwas verwirrt.

Hitze erschwert das denken... jedenfalls ist es bei uns in PLZ 3 wieder
mal heiß und falls ich Quatsch geschrieben habe, liegt es nur daran. ;-)

Gruß,
Paul

>
>
> Viele Grüße!
> Frank
> --
> Frank Fiene
> IT-Security Manager VEKA Group
>
> Fon: +49 2526 29-6200
> Fax: +49 2526 29-16-6200
> mailto: [hidden email]
> http://www.veka.com
>
> PGP-ID: 62112A51
> PGP-Fingerprint: 7E12 D61B 40F0 212D 5A55 765D 2A3B B29B 6211 2A51
> Threema: VZK5NDWW
>
> VEKA AG
> Dieselstr. 8
> 48324 Sendenhorst
> Deutschland/Germany
>
> Vorstand/Executive Board: Andreas Hartleif (Vorsitzender/CEO),
> Dr. Andreas W. Hillebrand, Bonifatius Eichwald, Elke Hartleif, Dr. Werner Schuler,
> Vorsitzender des Aufsichtsrates/Chairman of Supervisory Board: Ulrich Weimer
> HRB 8282 AG Münster/District Court of Münster
>

Reply | Threaded
Open this post in threaded view
|

Re: Problem mit lokaler Firewall

Frank Fiene
Danke für die schnelle Reaktion.


Am 31.07.2018 um 12:54 schrieb Paul <[hidden email]>:

Am 31.07.2018 um 11:58 schrieb Frank Fiene:
Moin! Neue Frage:

Ich habe auf unserem ausgehenden Mailgateway lokale Firewallregeln, weil da außer mir niemand aus dem Internet drauf zugreifen muss (IMAP, SMTP).

Ich habe insbesondere Listen von IP-Ranges aus Russland und China in diesen Regeln.

Jetzt habe ich einen Fall aus England, da hatte ich auch ein Netz gesperrt, wenn wir zu dem Shared Hoster (da liegen die Mailserver von einer Handvoll Kunden und Lieferanten) Mails schicken, bleiben die da mit "451 - temporary Problem“ hängen. Das sieht aus wie Greylisting.

Mir ist aber neu, dass Greylisting eine Verbindung zurück zu unserem ausgehenden Mailserver machen wollen würde?

Nur ein Gedanke, weil ich auch mal darüber gestolpert bin.

Eventuell führt der Zielserver senderaddressverifying durch?

D.h. bevor du einliefern darfst, prüft der Zielserver, ob der Absender
eine Mail theoretisch annehmen würde.
Im Standardfall müsste er das wiederum an deinem MX machen, nicht am
Gateway.
Wenn du an der Stelle Greylisting einsetzt, dann kommt es zu Verzögerungen.

Nein, bei den eingehenden sehe ich keine Address Verification aus dem IP-Range, nur normal eingehende Mails.


Was wäre, wenn das mit NAT rausgehen würde?
Ich schätze, dass das irrelevant ist.

Oder ist das grundsätzlich keine gute Idee, eingehenden Verkehr auf dem ausgehenden Gateway zu blockieren?
Aus meiner Sicht spricht nichts dagegen.
Das hier vielleicht noch beachten:
https://www.heinlein-support.de/blog/mailserver/postfix-timeout-after-data-lost-connection/

Nein, ICMP geht natürlich durch.


Oder hat der Shared Hoster einfach nur ein ganz anderes Problem?
Die Konstellation ist ungünstig. Schau auf dem MX wer anfragt und
befreie ihn vom Greylisting.

Bin etwas verwirrt.

Hitze erschwert das denken... jedenfalls ist es bei uns in PLZ 3 wieder
mal heiß und falls ich Quatsch geschrieben habe, liegt es nur daran. ;-)

Dito, hier im Münsterland ist es schon seit Wochen so.

Ich habe mal den Shared Hoster angeschrieben, vl. bieten die einen Standard für Mailserver an und die haben alle gerade ein Problem.



Viele Grüße!
Frank
-- 
Frank Fiene
IT-Security Manager VEKA Group

Fon: +49 2526 29-6200
Fax: +49 2526 29-16-6200
mailto: [hidden email]
http://www.veka.com

PGP-ID: 62112A51
PGP-Fingerprint: 7E12 D61B 40F0 212D 5A55 765D 2A3B B29B 6211 2A51
Threema: VZK5NDWW

VEKA AG
Dieselstr. 8
48324 Sendenhorst
Deutschland/Germany

Vorstand/Executive Board: Andreas Hartleif (Vorsitzender/CEO),
Dr. Andreas W. Hillebrand, Bonifatius Eichwald, Elke Hartleif, Dr. Werner Schuler,
Vorsitzender des Aufsichtsrates/Chairman of Supervisory Board: Ulrich Weimer
HRB 8282 AG Münster/District Court of Münster


signature.asc (849 bytes) Download Attachment
Reply | Threaded
Open this post in threaded view
|

Problem mit lokaler Firewall

Paul-2
Am 31.07.2018 um 15:23 schrieb Frank Fiene:
[...]

>>> Mir ist aber neu, dass Greylisting eine Verbindung zurück zu unserem
>>> ausgehenden Mailserver machen wollen würde?
>>
>> Nur ein Gedanke, weil ich auch mal darüber gestolpert bin.
>>
>> Eventuell führt der Zielserver senderaddressverifying durch?
>>
>> D.h. bevor du einliefern darfst, prüft der Zielserver, ob der Absender
>> eine Mail theoretisch annehmen würde.
>> Im Standardfall müsste er das wiederum an deinem MX machen, nicht am
>> Gateway.
>> Wenn du an der Stelle Greylisting einsetzt, dann kommt es zu
>> Verzögerungen.
>
> Nein, bei den eingehenden sehe ich keine Address Verification aus dem
> IP-Range, nur normal eingehende Mails.

Nur Mißverständnisse zu vermeiden:
Address Verifaction ist für mich das hier
http://www.postfix.org/ADDRESS_VERIFICATION_README.html und nicht
SMTP VRFY Command.

Hast du berücksichtigt, dass der Zielserver nur einmal gefragt hat und
das Ergebnis für eine gewisse Zeit gecached hat?
In dem Fall siehst du erstmal keine weiteren Anfragen.

Zusätzlich auch noch berücksichtigen, dass nicht zwangsläufig der
Zielserver die Verify-Anfrage durchführen muss.

Also ich vermute weiterhin, dass deine Firewall nicht die Ursache ist.

Gruß,
Paul