Problem mit Realtime Blacklists RBL

[AIRNESS 10]

Hallo,

 

habe seit vorgestern ein Problem mit einem Realtime Backlist Server (CBL / The CBL ) und hoffe, obwohl nicht ganz zum Thema Exchange passend, auf Eure Hilfe.

 

Haben intern einen Exchange 2007 Server und verwenden als Firewall Astaro inkl. Messaging Schutz (also unabhängiger SMTP Server). Der Exchangeserver ist nicht direkt aus dem Internet erreichbar - Mails werden auf Viren und Spam eingehend und ausgehen von der Astaro überprüft. Es darf nur der Exchangeserver SMTP Nachrichten auf die Astaro relayen. Durch eine Paket Filter Rule ist gewährleistet, dass kein Client mit Port 25 aus unseren internen Netzwerk rauskommunizieren kann. Sollte es trotzdem versucht werden, wird es mitprotokolliert. Trotz dieser Richtlinien landen wir zum ersten Mal überhaupt immer wieder auf CBL. Diese verlinken sich mit Spamcop, was zur Folge hat, dass unsere Emails bei den meistens Empfängern nicht akzeptiert werden. Als Sofortmaßnahme habe ich alle Server und Clients von unserer zentral verwalteten Virenlösung durchscannen lassen. Dies brachte jedoch keine Bedrohungen oder Funde.

 

Ab Freitag 15 Uhr habe ich das Delisting wieder manuell durchgeführt. Um 17 Uhr waren wir dann nicht mehr gelistet. Jetzt stelle ich fest, dass wir wieder aufgenommen wurden und zwar wegen einem Thread am Samstag zwischen 2-4 Uhr.

Laut den Messaging Logs der Astaro und des Exchangeservers, welche übereinstimmen, ging genau eine Unzustellbarkeitsnachricht von unseren Servern weg. Es kamen sonst nur Emails an. Ich weiß daher absolut nicht, wo ich ansetzen soll um dauerhaft von dieser Liste zu kommen. Leider bekommt man dort auch kein Mailsample - sehe also nicht was gefiltert wurde.

 

Hoffe auf gute Tips.

 

Danke

[NorbertFe 2.045]

Wieso versendest du ndrs? Die astaro kann auch empfängerprüfung.

[AIRNESS 10]

Hi Norbert.

 

Nicht Zustellbarkeitsinformationen wurden bis jetzt ( die letzten 10 Jahre) immer versendet. Hab nun auf der Astaro die Recipient Verfification aufgedreht. Ich glaube, dass das die richtige Option ist, kann aber bei Astaro nochmals nachfragen.

 

Glaubst du, dass es daran gelegen hat?

 

In der Zwischenzeit scannt mein Exchange Server mit Hilfe von Trend Micro Security for Exchange jede Email. Er hat zwar erst 120.000 Messages gescannt, aber bis jetzt wurde nichts gefunden. Das Grundproblem, sofern es nicht die NDRS sind, ist mir immer noch nicht klar.

 

Habe gegen 8:30 Uhr ein delisting bei CBL angegeben. Das wurde schon durchgeführt. Laut mxtoolbox sind wir nun nicht mehr geblacklisted. Dadurch ich diesen Status jedoch schon hatte, muss ich einfach abwarten ob wir innerhalb der nächsten 48 Stunden wieder raufkommen.

 

Update: Hab die Unzustellbarkeitsberichte temporär direkt am Exchangeserver deaktiviert.

[AIRNESS 10]

Neue Infos:

 

Haben nun einen Eintrag bei Mailspike. Dort steht die IP unter "Bad Reputation". Diesen Eintrag hatte ich noch nicht. In CBL , Spamhouse usw. sind wir nicht gelistet. Ich glaube, dass die auf Grund unserer letzten Eintragungen auf die Liste gesetzt haben. Delisting ist requested.

 

Update: Diese Information bekomme ich vom Zielserver wenn ich versuche eine Mail dort hinzu senden:

 

550 #5.7.1 Your access to submit messages to this e-mail system has been rejected

[NorbertFe 2.045]

Hi Norbert.

 

Nicht Zustellbarkeitsinformationen wurden bis jetzt ( die letzten 10 Jahre) immer versendet. Hab nun auf der Astaro die Recipient Verfification aufgedreht. Ich glaube, dass das die richtige Option ist, kann aber bei Astaro nochmals nachfragen.

 

Ja, aber die implemtierung ist irgendwie merkwürdig (zumindest die Version die ich kenne).

 

 

Glaubst du, dass es daran gelegen hat?

 

Ja.

 

 

In der Zwischenzeit scannt mein Exchange Server mit Hilfe von Trend Micro Security for Exchange jede Email. Er hat zwar erst 120.000 Messages gescannt, aber bis jetzt wurde nichts gefunden.

 

 

Was erwartest du denn zu finden?

 

 

 

 

Update: Hab die Unzustellbarkeitsberichte temporär direkt am Exchangeserver deaktiviert.

 

Wozu das denn? Ich denke deine astaro regelt das. Davon abgesehen hilft das wenig, wenn die astaros die ndrs generiert haben sollte.

 

Bye

Norbert

[AIRNESS 10]

HI Norbert,

 

ja Astaro fängt diese NDR Geschichte nun ab. Es werden keine mehr gesendet. Dennoch bin ich seit gestern 23 Uhr wieder auf der Liste oben. Dem Mailmanager zufolge, wurde keine NDR´s geschickt. Es gingen gerade mal 2 Emails raus (an private Adressen).

 

Bezüglich dem Scan der Database erhoffte ich ein Problem zu finden, um einen Anhaltspunkt für eine Lösung zu haben. Daraus ergab sich nichts. Ich fand eine Mailadresse von cbl und habe direkt hingeschrieben.

 

Nun bleibt mir nichts mehr anderes zu tun als warten.

[iDiddi 27]

Durch eine Paket Filter Rule ist gewährleistet, dass kein Client mit Port 25 aus unseren internen Netzwerk rauskommunizieren kann.

Und das hast Du auch mal an den Clients getestet (per Telnet Port 25 an beliebigen ext. Mailserver)?

[AIRNESS 10]

Hi iDiddi,

 

ja ich habe die Regel folgendermaßen definiert. Source Internes Lan / Service SMTP / Destination Any / Drop and Log.

Von 3 verschiedenen Rechnern telnet mail.kunde.at 25 angegeben. Es konnte kein Verbindung hergestellt werden. Firewall hat den Versucht mitprotokolliert.

 

Ich war auch der Meinung, dass es nur ein infizierter Rechner / Server sein kann. Scheint aber nicht der Fall zu sein.

[NorbertFe 2.045]

HI Norbert,

 

ja Astaro fängt diese NDR Geschichte nun ab. Es werden keine mehr gesendet.

 

Was genau fängt sie denn ab?

 

Dennoch bin ich seit gestern 23 Uhr wieder auf der Liste oben.

 

Gibts einen Grund, der da angegeben wurde? Manche Listen zeigen sowas ja.

 

Bezüglich dem Scan der Database erhoffte ich ein Problem zu finden, um einen Anhaltspunkt für eine Lösung zu haben. Daraus ergab sich nichts.

 

War zu erwarten. ;)

 

Nun bleibt mir nichts mehr anderes zu tun als warten.

 

Schick mir mal ne PM bei Lust und Laune, dann kann ich mir sowas ja mal von der Empfängerseite anschauen.

 

Bye

Norbert

[AIRNESS 10]

Hi Norbert,

 

danke für dein Angebot. Komme gerne darauf zu zurück. Es gibt wieder neues an der Front. Ich wurde automatisch von CBL seit 3 Stunden gedelistet. Die Listung bei CBL heißt in meinem Fall unknown0556 spambot. Mal sehen ob ich unten bleib. Vielleicht hat ja jemand meine Email (am Sonntag?) bearbeitet und sich das näher angesehen?! Antwort von CBL bekam ich keine - daher ist die Ungewissheit klarerweise noch da. Automatisch gedelistet wurde ich zuvor noch nie.

 

Strange.