黑名单交易所 2003

Question 1

嗯...从哪里开始呢？

您的 Exchange 服务器不会从端口 25 与其他电子邮件服务器建立出站 SMTP 连接，而是将这些出站连接建立到端口 25。无论所讨论的服务是什么，所有 TCP\IP 主机都是这样运行的（大多数情况下如此，但在本论点中，请考虑这种情况）。Exchange 使用临时端口范围内的本地端口作为其传出端口，并通过该服务器的端口 25 连接到另一台电子邮件服务器。当其他电子邮件服务器连接到您的 Exchange 服务器向您发送电子邮件时，情况正好相反，另一台服务器从其临时端口之一连接到您的 Exchange 服务器的端口 25。

您为什么认为防火墙与这个问题有关？当防火墙出现故障时，您没有安装替换防火墙吗？在等待新防火墙时，是什么在保护您的网络？

如果您的任何工作站感染了恶意软件，那么他们就有可能通过 MAPI 或 SMTP（取决于工作站和 Exchange 服务器的配置方式）通过 Exchange 服务器发送垃圾邮件，或者从他们自己发送垃圾邮件。

仅在 Exchange 服务器前安装防火墙与您的出站邮件是否会被标记为垃圾邮件或您的 Exchange 服务器的出站 IP 地址是否会被列入黑名单无关。外部电子邮件服务器无法检测您的 Exchange 服务器是否位于防火墙后面。防火墙可以通过将出站 SMTP 流量限制为仅来自 Exchange 服务器的流量（大概不会用作中继）来降低被列入黑名单的可能性。

您的第一个 tcpdump 显示了可能是 SMTP 通信会话的 TCP 会话信息，但没有提供有关该 SMTP 会话的信息，因此对于解决您的问题几乎没有用处。

您的第二个 tcpdump 没有显示我能找到的任何 SMTP 连接，因此对于解决您的问题毫无价值。

综上所述，这里有几点建议：

确保您的 Exchange 服务器出站问候语与您的公共 MX 记录的 FQDN 相匹配。

确保在公共 DNS 中为 Exchange 服务器的 FQDN 设置 PTR 记录。

确保在公共 DNS 中设置 SPF 记录。

限制除 Exchange 服务器之外的所有内部主机的所有出站通信至端口 25。

虽然这些都不能保证让你脱离黑名单，但在这方面还是有帮助的。

最后，请在 Exchange 服务器上启用 SMTP 日志记录，这样您就可以拥有所有入站和出站 SMTP 会话的日志记录。这对于解决 SMTP 问题非常有用。

Answer

嗯...从哪里开始呢？

您的 Exchange 服务器不会从端口 25 与其他电子邮件服务器建立出站 SMTP 连接，而是将这些出站连接建立到端口 25。无论所讨论的服务是什么，所有 TCP\IP 主机都是这样运行的（大多数情况下如此，但在本论点中，请考虑这种情况）。Exchange 使用临时端口范围内的本地端口作为其传出端口，并通过该服务器的端口 25 连接到另一台电子邮件服务器。当其他电子邮件服务器连接到您的 Exchange 服务器向您发送电子邮件时，情况正好相反，另一台服务器从其临时端口之一连接到您的 Exchange 服务器的端口 25。

您为什么认为防火墙与这个问题有关？当防火墙出现故障时，您没有安装替换防火墙吗？在等待新防火墙时，是什么在保护您的网络？

如果您的任何工作站感染了恶意软件，那么他们就有可能通过 MAPI 或 SMTP（取决于工作站和 Exchange 服务器的配置方式）通过 Exchange 服务器发送垃圾邮件，或者从他们自己发送垃圾邮件。

仅在 Exchange 服务器前安装防火墙与您的出站邮件是否会被标记为垃圾邮件或您的 Exchange 服务器的出站 IP 地址是否会被列入黑名单无关。外部电子邮件服务器无法检测您的 Exchange 服务器是否位于防火墙后面。防火墙可以通过将出站 SMTP 流量限制为仅来自 Exchange 服务器的流量（大概不会用作中继）来降低被列入黑名单的可能性。

您的第一个 tcpdump 显示了可能是 SMTP 通信会话的 TCP 会话信息，但没有提供有关该 SMTP 会话的信息，因此对于解决您的问题几乎没有用处。

您的第二个 tcpdump 没有显示我能找到的任何 SMTP 连接，因此对于解决您的问题毫无价值。

综上所述，这里有几点建议：

确保您的 Exchange 服务器出站问候语与您的公共 MX 记录的 FQDN 相匹配。

确保在公共 DNS 中为 Exchange 服务器的 FQDN 设置 PTR 记录。

确保在公共 DNS 中设置 SPF 记录。

限制除 Exchange 服务器之外的所有内部主机的所有出站通信至端口 25。

虽然这些都不能保证让你脱离黑名单，但在这方面还是有帮助的。

最后，请在 Exchange 服务器上启用 SMTP 日志记录，这样您就可以拥有所有入站和出站 SMTP 会话的日志记录。这对于解决 SMTP 问题非常有用。

Question 2

这里没有太多信息，但 CBL 只会列出您的信息，因为您的基础设施已被垃圾邮件发送者使用。这可能意味着您正在发送垃圾邮件，但也可能意味着您有一个开放代理（HTTP、Socks 或其他），或者您托管的网站上可能有一个易受攻击的 html 表单。CBL 应该会给出一些关于您被列入名单的原因。

如果您的机器正在发送垃圾邮件，那么您应该在防火墙上设置默认的拒绝所有策略，密切监控允许和拒绝的流量，并且只有在您确定没有任何内容试图从这些机器上发送时才打开端口。您还应该查看您对外开放的端口，以确保没有人使用任何形式的代理，并且您应该确保您托管的任何网站都是安全的。

您提到您在所有机器上运行 McAffee。病毒定义是否保持最新？如果您对某些机器运行不良有所建议，那么您可能需要在这些机器上运行其他供应商的防病毒软件，以查看 McAffee 是否遗漏了任何内容。

您可能还想确保您不是开放的 SMTP 中继，尽管这通常不足以让您被列入 CBL 名单。

Answer

这里没有太多信息，但 CBL 只会列出您的信息，因为您的基础设施已被垃圾邮件发送者使用。这可能意味着您正在发送垃圾邮件，但也可能意味着您有一个开放代理（HTTP、Socks 或其他），或者您托管的网站上可能有一个易受攻击的 html 表单。CBL 应该会给出一些关于您被列入名单的原因。

如果您的机器正在发送垃圾邮件，那么您应该在防火墙上设置默认的拒绝所有策略，密切监控允许和拒绝的流量，并且只有在您确定没有任何内容试图从这些机器上发送时才打开端口。您还应该查看您对外开放的端口，以确保没有人使用任何形式的代理，并且您应该确保您托管的任何网站都是安全的。

您提到您在所有机器上运行 McAffee。病毒定义是否保持最新？如果您对某些机器运行不良有所建议，那么您可能需要在这些机器上运行其他供应商的防病毒软件，以查看 McAffee 是否遗漏了任何内容。

您可能还想确保您不是开放的 SMTP 中继，尽管这通常不足以让您被列入 CBL 名单。

Question 3

虽然花了几天时间，但我们相信我们终于解决了这个问题。事实证明，当我们的防火墙被替换时，新的配置会将报告发送到我们的网络之外，然后再返回，而不是只在内部。如果防火墙中的电子邮件中继是用 FQDN 设置的，这不会是一个问题，但它实际上被视为通用 IP 127.0.0.1，然后被当作可能的垃圾邮件。因此，几天的故障排除只是每晚午夜发出一封配置错误的电子邮件的结果。

Answer

虽然花了几天时间，但我们相信我们终于解决了这个问题。事实证明，当我们的防火墙被替换时，新的配置会将报告发送到我们的网络之外，然后再返回，而不是只在内部。如果防火墙中的电子邮件中继是用 FQDN 设置的，这不会是一个问题，但它实际上被视为通用 IP 127.0.0.1，然后被当作可能的垃圾邮件。因此，几天的故障排除只是每晚午夜发出一封配置错误的电子邮件的结果。

黑名单交易所 2003

答案1

答案2

答案3

相关内容