邮件服务器-邮件系统-邮件技术论坛(BBS)

标题: Exchange防止open relay的一个构想. [打印本页]

作者: wyl_xp 时间: 2006-4-12 13:59
标题: Exchange防止open relay的一个构想.
先请参看我发的另一个对于open relay的贴子. 
<a target=_blank href=../Announce/announce.asp?BoardID=35&ID=145640&AUpflag=1&ANum=1>../Announce/announce.asp?BoardID=35&ID=145640&AUpflag=1&ANum=1</a> 
 Mail relay testing 的测试似乎不准确,以Relay test 8为例 
 
>>> RSET 
<<< 250 2.0.0 Resetting 
>>> MAIL FROM:<spamtest@[xxx.xxx.xxx.xxx]> 
<<< 250 2.1.0 spamtest@[xxx.xxx.xxx.xxx]....Sender OK 
>>> RCPT TO:<"securitytest@abuse.net"> 
<<< 250 2.1.5 "securitytest@abuse.net"@sample.com 实际"secuitytest@abuse.net"@sample.com匿名发送成功,但不会投递到secuitytest@abuse.net,最终返回的是NDR,也就是说并未中继成功. 但为了安全起见,现在我构想到一个防open relay的方法.理论上行得通.方法如下：　 在公网上使用两个IP A 202.101.111.01 B 202.101.111.102 MX记录指向A(优先级高),B(优先级低),在Exchange Server使用两块网卡,再创建一个New SMTP Virtual Server,绑定网卡,A的25端口指向Default SMTP Virtual Server所绑定的网卡上,B的25端口指向到New SMTP Virtual Server所绑定的网卡上去. 
 A的SMTP Server属性Access为允许anonymous access,即用于接收外部邮件,但关闭Relay功能( 把Allow all computer which sucessfully authenticate to relay,regardless of the list above勾去掉). 
 B的SMTP Server属性去掉aconymous access,禁止接收外部邮件,但保持Relay(Allow all computer which sucessfully authenticate to relay,regardless of the list above打勾),企业内部用户SMTP全部指向到B来发邮件. 
 原理: 　 外部邮件投递到公司邮箱，因MX记录Ａ的优先级高，最终传递到Default SMTP Virtual Server，因允许anonymous access,邮件顺利接收,假如这是一个不怀好意的人,想中继他的垃圾邮件,因Relay被关,目的无法达到,公司邮箱用户SMTP指定到B,并保持账户选项中SMTP服务器需要验证为有效,此SMTP连接是不能匿名的,能有效防止外部使用,假设外部垃圾发送者知道某个弱口令用户,并知道使用B地址,也是比较容易发现,查找出来的. 
 
 公司防火墙支持双Wan口,又正好有两个IP,实施没什么困难,各位大虾,以为这个方法如何,还请赐教,谢谢!

作者: wyl_xp 时间: 2006-4-12 14:29
标题: re:假如B的外发或中继邮件能rout...
假如B的外发或中继邮件能route到A的Smtp Server再发出去,那么B做为一个隐藏的SMTP 服务地址,MX不设记录指向B,那就更加的安全啦.

作者: oneway1 时间: 2006-4-12 19:12
标题: re:有个问题，即使将B从MX记录内删除，...
 
有个问题，即使将B从MX记录内删除，端口扫描软件依然可以发现你的25端口。 
 
最安全的是，你把B的smtp端口改掉，所有smtp客户端改成你设置的端口。

作者: chrisqian 时间: 2006-4-12 20:16
标题: re:1，MX的作用是否清楚；2，不建议更...
1，MX的作用是否清楚； 
2，不建议更改SMTP端口； 
我到现在还不是很清楚LZ的意图何在？

作者: oneway1 时间: 2006-4-12 21:08
标题: re:B的端口更改不影响收信，呵呵。楼上的...
B的端口更改不影响收信，呵呵。 
楼上的没明白他的意思。

作者: hzhu 时间: 2006-4-13 06:19
标题: re:变相的FE/BE价格，HOHO
变相的FE/BE价格，HOHO

作者: dennishan 时间: 2006-4-13 21:03
标题: re:外部邮件投递到公司邮箱，因MX记录Ａ的优...
外部邮件投递到公司邮箱，因MX记录Ａ的优先级高，最终传递到Default SMTP Virtual Server-未必完全这样的。 
 
给你的建议，买邮件网关或者租用IDC的邮件网关，不要把exchange暴露在外部。 
mx指向邮件网关。或者升级exchange2000. 
 
改端口不建议，考虑今后做VPN吧,用户虚拟拨号后才能收发邮件。

欢迎光临邮件服务器-邮件系统-邮件技术论坛(BBS) (http://bbs.5dmail.cn/)