Telnet Port 25 von außen auf Astaro

was habe ich falsch konfiguriert?

Gar nichts.

was heisst gar nichts?
ist das normal?

wie sonst soll denn deine Astaro Mails von aussen
annehmen wenn nicht auf Port 25?

ja das ist mir schon klar dass die Astaro die Mails über Port25 annimmt,
nur ist es natürlich nicht so toll, wenn sich irgend jemand
per telnet 217.***.***.*** 25 mit der Astaro verbinden kann,
und per helo domain.de mails im internen netz absetzen kann.



mfg
nikfe

...so einfach ist das nun auch nicht. 

Ich gebe Dir allerdings in einem Punkt recht, in früheren Versionen konnte man die Interfaces noch auswählen auf denen die Verbindungen angenommen wurden. Das ist allerdings auch nur für diejenigen interessant gewesen, bei denen das MX nicht auf das externe Interface gezeigt hat.

Warum das abgeschafft wurde kann ich Dir auch nicht sagen.

ja das ist mir schon klar dass die Astaro die Mails über Port25 annimmt,
nur ist es natürlich nicht so toll, wenn sich irgend jemand
per telnet 217.***.***.*** 25 mit der Astaro verbinden kann,
und per helo domain.de mails im internen netz absetzen kann.

Ich glaube wir reden aneinander vorbei.
Möchtest du *nicht* das irgendjemand dir Mails
per SMTP senden kann? Sprich: Du holst deine
Mails dann per POP3 ab.

Hallo,

nein ich empfange und sende schon über smtp port 25. kein pop3.
der mx-record zeigt auch auf meine öffentliche ip.
aber wenn ich von außen: telnet öffentliche ip 25 eingebe, meldet
sich die astaro wie wenn ich von innen drauf gehe, und das sollte doch nicht sein oder?

mfg
nikfe

Hallo,
wenn ich es recht verstehe besteht die Angst, das die Astaro als Mail Relay aggiert.
Normalerweise nimmt die Astaro für eine bestimmte Doamin Mails an z.B.
für @firma.com. Mails die eingeliefert werden an @anderefrima.com sollen
nich angenommen werden. Du willst ja kein Mailrelay für die Welt sein.
In der SMTP Konfiguration kann man einstellen, für wenn die Astaro als
Mailrelay arbeiten soll.
In der Version 7.10x unter Email Security => SMTP => Relaying die
Angaben machen und schon ist die Welt in Ordnung.

LG Manfred

ja die einstellungen sind ja alle gemacht, bei relaying ist unter host based nur
der interne mailserver eingetragen,
aber trotzdem ist es möglich von aussen via telnet öffentliche ip 25 mit der astaro zuverbinden, und dann könnte man mails im internen netz versenden:

helo domaine.de
mail from: user1@domaine.de
rcpt to: user2@domaine.de
data
testmail
.

fertig, und der user2 erhält von user1 eine email.
hat das noch nie jemand ausprobiert?

mfg
nikfe

Hallo,

dazu gab es im englischsprachigen Forum schon einen Beitrag. Da hat jemand eine DNAT erstellt, die auf einen nicht existierenden Host im LAN zeigt. Habe das bei mir auch so gemacht, aber ich kann das jetzt nicht nachschauen, erst am Wochenende. Damit wird dann nicht autorisierter Mailverkehr ins Nirvana geschickt. Suche mal im Forum nach Port 25. So, habe mal schnell gesucht: Hier der Beitrag: https://community.sophos.com/products/unified-threat-management/astaroorg/f/56/t/48196 .Ist die Antwort von nathanlock. Aber ich gebe Dir recht, bei einem Portscan von außen wird der Port 25 als offen angezeigt. Ich habe früher IPCOP genutzt, da waren alle Ports dicht. Trotz dem lief der Mailverkehr. 
Gruß
Egbert

Hallo,
wenn ich es recht verstehe besteht die Angst, das die Astaro als Mail Relay aggiert.
Normalerweise nimmt die Astaro für eine bestimmte Doamin Mails an z.B.
für @firma.com. Mails die eingeliefert werden an @anderefrima.com sollen
nich angenommen werden. Du willst ja kein Mailrelay für die Welt sein.
In der SMTP Konfiguration kann man einstellen, für wenn die Astaro als
Mailrelay arbeiten soll.
In der Version 7.10x unter Email Security => SMTP => Relaying die
Angaben machen und schon ist die Welt in Ordnung.

Genau so sollte es sein...

ja die einstellungen sind ja alle gemacht, bei relaying ist unter host based nur
der interne mailserver eingetragen,
aber trotzdem ist es möglich von aussen via telnet öffentliche ip 25 mit der astaro zuverbinden, und dann könnte man mails im internen netz versenden:

helo domaine.de
mail from: user1@domaine.de
rcpt to: user2@domaine.de
data
testmail
.

fertig, und der user2 erhält von user1 eine email.

und wie sollen Deiner Meinung nach sonst Mails an 
interne User zugestellt werden wenn das nicht gehen würde?
Solange domaine.de deine eigene interne Domain ist, hast du hier erst
mal kein Problem!

ja die einstellungen sind ja alle gemacht, bei relaying ist unter host based nur
der interne mailserver eingetragen,
aber trotzdem ist es möglich von aussen via telnet öffentliche ip 25 mit der astaro zuverbinden, und dann könnte man mails im internen netz versenden:

helo domaine.de
mail from: user1@domaine.de
rcpt to: user2@domaine.de
data
testmail
.

fertig, und der user2 erhält von user1 eine email.

und wie sollen Deiner Meinung nach sonst Mails an 
interne User zugestellt werden wenn das nicht gehen würde?
Solange domaine.de deine eigene interne Domain ist, hast du hier erst
mal kein Problem!

aber so kann doch jeder von aussen hergehen,
und in meiner internen domain emails versenden.
wenn jemand von meiner domain zwei adressen kennt, könnte er von dem einen an den anderen eine email senden.
und ich weiss nicht ob das so lustig ist wenn jemand mit der emailadresse vom chef eine email an einen anderen mitarbeiter sendet wo z.b kündigung drin steht.

mfg
nikfe

aber so kann doch jeder von aussen hergehen,
und in meiner internen domain emails versenden.
wenn jemand von meiner domain zwei adressen kennt, könnte er von dem einen an den anderen eine email senden.
und ich weiss nicht ob das so lustig ist wenn jemand mit der emailadresse vom chef eine email an einen anderen mitarbeiter sendet wo z.b kündigung drin steht.

mfg
nikfe

Damit hast du natürlich recht!

kann man da nichts dagegen machen?
kann man nicht telnet port 25 von aussen irgendwie sperren, oder irgendwas anderes?

mfg
nikfe

kann man da nichts dagegen machen?
kann man nicht telnet port 25 von aussen irgendwie sperren, oder irgendwas anderes?

mfg
nikfe

Wenn du "telnet port 25" von aussen sperrst empfängst du eben
keine Mails mehr von extern, da alle Mailserver der Welt quasi
über "telnet port 25" kommunizieren...

ja ich weiss, das wäre nicht von vorteil :-)
aber bei anderen mailgateways ist das ja auch nicht so.

nikfe

ja ich weiss, das wäre nicht von vorteil :-)
aber bei anderen mailgateways ist das ja auch nicht so.
nikfe

Also das wäre mir neu. Hast du ein Beispiel?

ja man muss ja nur bei irgendeiner emaildomain schaun ob man per telnet port 25 drauf kommt.
z.b. telnet 88.198.68.108 25, das wäre die Domain klebl.de
da bekommt man auch keine verbindung.

nikfe

ja man muss ja nur bei irgendeiner emaildomain schaun ob man per telnet port 25 drauf kommt.
z.b. telnet 88.198.68.108 25, das wäre die Domain klebl.de
da bekommt man auch keine verbindung.
nikfe

Das ist richtig, weil für die Domain klebl.de (IP-Adresse: 88.198.68.108, IP Host: hydra.auctores-consult.de) der MX record lautet:

MX-Record: mx.noris.net
MX-IP: 62.128.1.250

und da kommst du hin...

und wieso komme ich dann bei mir drauf?

mein mx-record: mx1.domain.de zeigt auf meine öffentliche ip,
stimmt das nicht?

nikfe

Hallo,
da gibt es für den Kollegen eine einfache Lösung, alle Mails werden ausserhalb der Firma bei einem Provider angenommen und dann per smtp
der Astaro zugestellt. In diesem Fall kannst Du es so einrichten, das nur noch
der Vorgelagerte Mailserver mails abliefern kann. Deine Ausgehenden kannst
Du entweder selbst versenden oder an Deinen Provider zum Versand weiterleiten.
Das ganze hat schon einigen charme, es kann Dich niemand mit Mails bombarideren. Wenn dies geschieht, landen die erstmal alle beim Provider.
Der Provider kann zusätzlich die Mails filtern (Virus, SPAM, etc), die Mails
für eine Woche zwischenspeichern. All das bringt einiges an ruhe in die Firma
falls mal der interne Kram nicht läuft. Falls es Provider klemmt einfach die
Astaro annehmen lassen. Zu guter letzt filtert die Astaro nochmals alle
emails, denn kein scanner erkennt alles und jeder scanner kennzeichnet mit
einem anderen SPAM Kennzeichen (*SPAM) [SPAM] etc. und falls alle stricke reisen kann man die Mail bequem beim Provider aus dem Postfach nehmen, nachdem sich alle System geweigert hatten.
Das ganze kostet etwas mehr, aber kein vermögen.

LG Manfred