![用户帐户已被 Exchange 服务器锁定 - 将来该如何预防?](https://linux22.com/image/631328/%E7%94%A8%E6%88%B7%E5%B8%90%E6%88%B7%E5%B7%B2%E8%A2%AB%20Exchange%20%E6%9C%8D%E5%8A%A1%E5%99%A8%E9%94%81%E5%AE%9A%20-%20%E5%B0%86%E6%9D%A5%E8%AF%A5%E5%A6%82%E4%BD%95%E9%A2%84%E9%98%B2%EF%BC%9F.png)
今天早上我遇到了一个奇怪的情况,我希望有人能帮我弄清楚发生了什么。
一位用户抱怨今天早上被锁定。重置密码后,我们发现该帐户几乎立即再次被锁定。我们查看了审计日志,发现请求来自我们的 Exchange 服务器 - 这是我以前从未见过的。
我们查看了 OWA 日志,发现其中没有与该用户名对应的条目。我们禁用了 OWA、ActiveSync、MAPI 等,但该帐户仍然被锁定。
查看 Exchange 服务器上的事件查看器日志后,我们发现了此条目。
接收连接器默认 EMAILSERVER 的入站身份验证失败,错误为 LogonDenied。身份验证机制为登录。尝试向 Microsoft Exchange 进行身份验证的客户端的源 IP 地址是 [XX.XX.XX.XX]。
由于无路可走,我们将来自该 IP 地址的流量封锁,账户锁定也随之终止。这是一个公共 IP 地址,解析到了一个我预计不会收到太多邮件的国家/地区。
我的问题是:
- 此 IP 地址如何尝试进行身份验证?我无法在我的日志中看到任何与他们尝试登录的向量相关的信息。
- 我如何防止这种情况再次发生?这是 Exchange 2010 SP3,不幸的是,边缘传输目前不是一个可行的选择 :(
答案1
“接收连接器”是指 SMTP。请查看您的传输连接器日志。
除非有充分理由,否则不应让 Exchange 用户验证外部 SMTP 连接器的身份。这样可以避免发生此问题。
你应该有:
- 一个接收连接器专用于从互联网接收电子邮件,且仅启用 TLS(可能还有 Mutual TLS Auth)。
如果您还有其他需要 SMTP 的东西,那么您应该有更多的连接器:
- 如果您的网络内有需要发送给用户的设备(如复印机/扫描仪),那么您应该有一个连接器。该连接器应启用 TLS 和身份验证,但仅限于特定服务帐户。
- 如果您有不支持身份验证或 TLS 的内部设备,则应为另一个连接器配置 IP 限制。
- 需要通过经过身份验证的 SMTP 发送的外部用户应该在不同的端口(通常为 587)上,并且需要使用 TLS。