Exchange 2010 Bad Relay?

[Polty 10]

Hallo zusammen,

 

leider habe ich die Vermutung das unser Exchange 2010 als "Bad Relay" agiert! Die User bekommen Unzustellbarkeitsnachrichten von Adressen an die sie nie etwas versendet haben! Im Outlook unter gesendete Objekte ist auch nichts zu finden. Außerdem werden die Mails häufig in der Nacht verschickt, da laufen die Rechner der betroffenen User aber gar nicht! Deshalb liegt der Verdacht auf dem Exchange 2010 selbst. Habe diesen und die anderen Server bereits mit den gängigen Anti Virus bzw. Malware Scannern überprüft - ohne Ergebnis. Daraufhin habe ich die Warteschlange angehalten und siehe da, die Mail an die unbekannten Absender tauschen auf. Jedoch weiß ich nicht wo die "Lücke" zu suchen ist!

 

Folgende Meldung erhalten die betroffenen Clients:

 

Weiß jemand Rat?

 

Gruß

Polty

Dokument1.pdf

[RobertWi 81]

Moin,

 

ein gehackter Exchange wäre eigentlich eher unwahrscheinlich.

 

 - erlaube auf der Firewall Port 25 ausgehend ausschließlich von Exchange

 - teste mit Telnet auf ein offenes Relay: http://support.microsoft.com/kb/324958/de (nur der erste Abschnitt, der Rest ist Ex 2003)

 - kontrolliere die SMTP-Logs, ob die Mails über welchen Connector/Client die Mails eingeliefert werden

 - kontrolliere die Einstellungen der Empfangs-Connectoren, wo Du anonymes Relay zugelassen hast (http://technet.microsoft.com/de-de/library/bb232021(v=exchg.141).aspx) -> sollte es nicht geben

[NorbertFe 2.041]

Sieht eher nach Backscatter aus. ;)

[RobertWi 81]

Dachte ich bis zu diesem Satz hier auch: "Daraufhin habe ich die Warteschlange angehalten und siehe da, die Mail an die unbekannten Absender tauschen auf. Jedoch weiß ich nicht wo die "Lücke" zu suchen ist!"

 

Aber wenn die Mails, die an die unbekannten Absender rausgeschickt werden sollen, in der Warteschlange stehen, müssen sie ja irgendwo herkommen. Bei Backscatter gäbe es nur den NDR auf diese Mails.

[NorbertFe 2.041]

OK, dann dürfte wohl die Empfängerprüfung deaktiviert sein. ;)

 

Bye

Norbert

[Polty 10]

Danke für eure Antworten! Werde ich am Abend gleich mal testen!

[NorbertFe 2.041]

Wir warten auf Rückmeldung. ;)

[Polty 10]

So, folgendes Ergebnis bezüglich meines Problems,

 

Der Exchange ist kein offenes Relay (per Telnet überprüft). Aber eure Backscatter Vermutung geht denke ich in die richtige Richtung. Hatte ganz vergessen zu erwähnen das ich die "Unzustellbarkeitsnachrichten" vor zwei Tagen schon deaktiviert habe. Deshalb sind die "DSN" als Nachrichtenquelle nicht in der Warteschlange aufgetaucht. Gestern Abend habe ich die Unzusteller wieder aktiviert und jetzt tauchen ca. 100 Mails pro Stunde auf (in der Anlage zu sehen). Das deutet dann doch wieder auf Backscatter hin, oder was meint ihr?

 

Gruß

Polty

 

 

Ganzseitiges Foto.pdf

[NorbertFe 2.041]

NDRs zu deaktivieren ist keine Lösung. Sorge für korrekte Konfiguration. Du bewegst dich grad ausserhalb der RFCs, was prinzipiell keine besonders gute Idee ist. Hast du geprüft ob du die Empfängerprüfung aktiviert hast?

 

 

Bye

Norbert

bearbeitet 26. Februar 2014 von NorbertFe

[Polty 10]

Ja das ist mir klar, hatte die ja nur zum testen deaktiviert! An die Empfängerprüfung wollte ich mich gerade machen... gibt's hier einen Artikel der die Konfiguration "gut" beschreibt?

[NorbertFe 2.041]

Ja gibt es, und wo würdest du ihn suchen? ;) Ich beim Hersteller:

http://technet.microsoft.com/de-de/library/bb201691(v=exchg.150).aspx

http://technet.microsoft.com/de-DE/library/bb123891(v=exchg.150).aspx

 

Bye

Norbert