tonabnehmer
Goto Top

Wie Mails an nicht existierende Empfänger behandeln?

Hi,

wir haben bei uns folgende Konstallation: ASSP als Spamproxy, Exchange 2007, SMTP Virtual Server. Der Mailflow ist wie folgt:

a) Mails aus dem Internet

ASSP -> Exchange

b) Mails ins Internet

Exchange -> ASSP -> SMTP Virtual Server


Unser Mailsystem ist so eingestellt, dass die Annahme von Mails an nicht existierende Empfänger mit einem "550 5.1.1 User unknown" verweigert wird. Der sendene MTA ist also selbst für den NDR zuständig. Soweit ist Alles gut. Nun aber sendet jemand eine Mail, die mehrere Empfänger in unserer Maildomain hat, z. B. existiert@maildomain.de und existiert-nicht@maildomain.de. Die Mail wird angenommen und Exchange versucht die Nachricht zuzustellen. Im Falle von "existiert-nicht" geht das natürlich nicht und Exchange generiert einen NDR. Der NDR wird dann über Exchange -> ASSP -> SMTP Virtual Server verschickt. Hat sich ein seriöser Absender lediglich verschieben, bekommt er den NDR. Soweit ist auch hier Alles gut. Ist der Sender aber ein Spammer mit ungültigem Absender, kann der NDR nicht zugestellt werden und landet im Badmail Verzeichnis des SMTP Virtual Servers.

Wie kann ich dieses Problem lösen?


Danke und Grüße,
tonabnehmer

Content-Key: 166664

Url: https://administrator.de/contentid/166664

Printed on: April 25, 2024 at 04:04 o'clock

Member: LordGurke
LordGurke May 21, 2011 at 12:05:06 (UTC)
Goto Top
Hallo,

eigentlich dürftest du dir nach meinem Verständnis über das SMTP-Protokoll keine Gedanken darüber machen müssen.
Denn der sendende Mailserver ist dafür zuständig, Mails an mehrere Empfänger aufzuteilen und an die einzelnen Empfänger darin auch einzeln zu senden.


Viele Grüße aus dem Tal
Max
Member: NetWolf
NetWolf May 21, 2011 at 12:13:41 (UTC)
Goto Top
Moin Moin,

normaler Weise werden solche Mails an den Postmaster weitergeleitet. (einzurichten unter Exchange)
Der verteilt diese manuell, oder löscht Spam.

Eine funktionierende Automatik ist mir nicht bekannt.

Grüße aus Rostock
Wolfgang
(Netwolf)
Member: filippg
filippg May 21, 2011 at 13:24:36 (UTC)
Goto Top
Hallo,

Nun
aber sendet jemand eine Mail, die mehrere Empfänger in unserer Maildomain hat, z. B. existiert@maildomain.de und
existiert-nicht@maildomain.de. Die Mail wird angenommen
dann pfuscht ASSP (was immer das eigentlich sein mag) an der Stelle oder ist vielleicht falsch konfiguriert. Im SMTP-Dialog wird jeder (Envelope-)Receipient einzeln übertragen und muss einzeln bestätigt oder abgelehnt werden. In deinem Beispiel hat dann der externe Server, der an ASSP übergibt einen NDR zu generieren, in dem steht, dass nicht-extistiert@.. nicht erreicht werden konnte. Dieser Empfänger darf gar nicht erst an Exchange übergeben werden. Ausnahme: du arbeitest mit einem POP3-Connector, der später das Header-To auswertet. Einer der Gründe, warum POP3-Konnektoren böse sind.

normaler Weise werden solche Mails an den Postmaster weitergeleitet. (einzurichten unter Exchange)
Der verteilt diese manuell, oder löscht Spam.
Das wage ich in Frage zu stellen. Der Postmaster ist keine manuelle Postsortierstation. Inhalte von EMails sollten gar nicht an ihn weitergeleitet werden, sondern bestenfalls Systemfehlermeldung.

Gruß

Filipp
Member: GuentherH
GuentherH May 21, 2011 at 13:44:48 (UTC)
Goto Top
Hallo.

Ist der Sender aber ein Spammer mit ungültigem Absender, kann der NDR nicht zugestellt werden und landet im Badmail Verzeichnis des SMTP Virtual Servers.

Das ist richtig so und diese Art von SPAM wird Backscatter genannt, siehe auch hier - http://de.wikipedia.org/wiki/Backscatter_(E-Mail)

Und damit schließe ich mich der Meinung von flippig an, wenn er schreibt: "dann pfuscht ASSP (was immer das eigentlich sein mag) an der Stelle oder ist vielleicht falsch konfiguriert". Wenn du bei unter ASSP dieses Produkt meinst - http://assp.sourceforge.net/ , dann kann dieses Produkt lt. Featurelist auch nicht mit Backscatter umgehen.

Kaufe einen ordentlichen SPAM Filter, und gut ist es. In meinen Augen sind das u.a. Produkte dieser Hersteller - www.dataenter.at , http://www.vamsoft.com/

LG Günther
Member: tonabnehmer
tonabnehmer May 21, 2011 at 14:09:44 (UTC)
Goto Top
Hi,

danke zunächst für die Antworten. Ja, ASSP ist der Anti-Spam Proxy und der funktioniert eigentlich sehr gut.

Ich habe mal von meinem privaten Mailaccount getestet und eine Mail mit den zwei Empfängern (existiert, existiert nicht) in unserer Maildomain geschickt. Ich bekomme den NDR vom MTA meiner privaten Mailadresse und nicht vom Exchange. In Exchange sehe ich im Message Tracking auch nur die Mail an die existierende Adresse. Das sieht also danach aus, dass ASSP und Exchange sich an der Stelle korrekt verhalten, da sie die Mail nicht annehmen.

Nun frage ich mich allerdings, wie die Spam Mails an nicht existierende Empfänger in unser Mailsystem gelangen können, so dass ein NDR generiert wird. Hat jemand eine Idee?

Grüße,
tonabnehmer
Member: GuentherH
GuentherH May 21, 2011 at 14:34:01 (UTC)
Goto Top
Hallo.

Ich habe mal von meinem privaten Mailaccount getestet und eine Mail mit den zwei Empfängern (existiert, existiert nicht) in unserer Maildomain geschickt

So klappt das auch nicht. Die Absender Adresse muss auch ungültig sein, dann hast du einen Backscatter Fall, und diesen muss der SPAM Filter erkennen. Schau hier einmal nach, wie ein SPAN Filter Backscatter erkennt - http://www.dataenter.at/doc/xwall_admin_options.htm

LG Günther
Member: tonabnehmer
tonabnehmer May 21, 2011 at 14:39:56 (UTC)
Goto Top
Zitat von @GuentherH:
Hallo.

> Ich habe mal von meinem privaten Mailaccount getestet und eine Mail mit den zwei Empfängern (existiert, existiert nicht)
in unserer Maildomain geschickt

So klappt das auch nicht. Die Absender Adresse muss auch ungültig sein.

Das ist ja in dem Fall egal, da unser Mailsystem keinen NDR generiert. Unser Mailsystem lehnt ab mit: 550 5.1.1 User unknown (in reply to RCPT TO command).


LG Günther


Grüße,
tonabnehmer
Member: GuentherH
GuentherH May 21, 2011 at 15:36:13 (UTC)
Goto Top
Hallo

Das ist ja in dem Fall egal

Ok, in diesem Fall hast du recht. Backscatter funktioniert ja auch etwas anders:

- Spammer schickt SPAM und nimmt dabei als Absender eine E-Mail Adresse eurer Mail Domäne
- Eine der E-Mail Adressen an die der Spammer sendet, existiert auf dem Ziel System nicht
- das Zielsystem generiert einen NDR, dieser geht aber an deine Domäne, weil der Spammer ja von euch einen E-Mail Adresse verwendet hat
- euer SPAM Filter kann das nicht auswerten und stellt den NDR zu, und dieser landet dann entweder in einem Postfach das tatsächlich existiert oder eben im BadMail Verzeichnis.

Jetzt alles klar?

LG Günther
Member: tonabnehmer
tonabnehmer May 21, 2011 at 16:01:21 (UTC)
Goto Top
Hi,

das mit dem Backscatter habe ich verstanden. Allerdings sieht es bei uns nicht nach einem Backscatter Problem aus. Vielmehr passiert nach meiner Analyse folgendes:

(1) Spam Mail mit Adressaten existiert@maildomain und existiert-nicht@maildomain kommt rein
(2) Spam Mail wird als Spam erkannt und an "existiert" in den Spamordner einsortiert
(3) Spam Mail an "existiert-nicht" kann nicht zugestelt werden
(4) NDR wird generiert, kann nicht zugestellt werden und landet im Badmail Verzeichnis

Für mich stellt sich die Frage, wieso bei (1) die Mail an "existiert-nicht" überhaupt in unser Mailsystem gelangt. Ich habe das über meine private Mailadresse und per Telnet/SMTP getestet. Unser MTA liefert 550 5.1.1 User unknown. Auch taucht "existiert-nicht" nirgendwo im Header der Mail auf. Kann es sein, dass "existiert-nicht" irgendwo in der Mail versteckt ist, Exchange das dann findet und versucht zuzstellen? Im Exchange Message Tracking tauchen jedenfalls als Recipients die beiden Adressen "existiert" und "existiert-nicht" auf.

Danke und Grüße,
tonabnehmer
Member: filippg
filippg May 21, 2011 at 16:52:39 (UTC)
Goto Top
Hallo,

Ich habe mal von meinem privaten Mailaccount getestet und eine Mail mit den zwei Empfängern (existiert, existiert nicht) in
unserer Maildomain geschickt. Ich bekomme den NDR vom MTA meiner privaten Mailadresse und nicht vom Exchange. In Exchange sehe ich
im Message Tracking auch nur die Mail an die existierende Adresse. Das sieht also danach aus, dass ASSP und Exchange sich an der
Stelle korrekt verhalten, da sie die Mail nicht annehmen.
Ja, klingt so als wäre alles genau so, wie es sein sollte.

Nun frage ich mich allerdings, wie die Spam Mails an nicht existierende Empfänger in unser Mailsystem gelangen können,
so dass ein NDR generiert wird. Hat jemand eine Idee?
Wenn sich dein Gateway (ASSP) immer so verhält wie oben beschrieben: Gar nicht.
Woher weißt du, dass Exchange derartige NDRs generiert (hat)?
Daneben kann es natürlich sein, dass die Mail von intern kam, also etwa durch einen verseuchten PC. Oder dass dein Exchange auch aus dem Internet erreichbar ist. Du solltest dir das Messagetracking auf dem Gateway mal genau anschauen.

Gruß

Filipp
Member: tonabnehmer
tonabnehmer May 21, 2011 at 17:09:02 (UTC)
Goto Top
Hi,

Zitat von @filippg:
> Nun frage ich mich allerdings, wie die Spam Mails an nicht existierende Empfänger in unser Mailsystem gelangen
können,
> so dass ein NDR generiert wird. Hat jemand eine Idee?
Wenn sich dein Gateway (ASSP) immer so verhält wie oben beschrieben: Gar nicht.
Woher weißt du, dass Exchange derartige NDRs generiert (hat)?
Daneben kann es natürlich sein, dass die Mail von intern kam, also etwa durch einen verseuchten PC. Oder dass dein Exchange
auch aus dem Internet erreichbar ist. Du solltest dir das Messagetracking auf dem Gateway mal genau anschauen.

Also ASSP ist eigentlich kein Gateway sondern ein Proxy. ASSP prüft auch nicht, ob der Empfänger existiert. Das macht Exchange. Ich habe aber auch den Verdacht, dass diese Prüfung nicht immer einwandfrei funktioniert und manchmal eben Mails angenommen werden. Woran das liegen könnte und wie ich das verifizieren kann, weiss ich noch nicht.

Die NDRs von Exchange sehe ich im Badmail Verzeichnis des SMTP Virtual Servers. Also Exchange generiert die und sendet sie über ASSP nach draussen. ASSP lernt ausgehende Mailadressen (nicht die NDR Empfänger) für die Whitelist. Daher gehe auch ausgehende Mails über den Proxy. ASSP selbst kann die aber nicht versenden, da es ein Proxy und kein MTA ist, schickt sie also an den SMTP Virtual Server weiter. Der scheitert mit der Zustellung der NDRs und legt sie im Badmail Verzeichnis ab.


Gruß

Filipp


Grüße,
Marcus
Member: Hubert.N
Hubert.N May 21, 2011 at 18:20:23 (UTC)
Goto Top
Moin

Wenn du ASSP richtig konfigurierst, dann gelangt die Mail nich einmal an den Exchange-Server. ASSP kann entsprechende LDAP-Anfragen stellen. Dann generiert ASSP einen NDR. Und Backscatter-Erkennung beherrscht das Programm übrigens auch.

Ich frage mich, weshalb dein Exchange NDRs in diesemn Zusammenhang generiert....

Wir setzen bei vielen Kunden ASSP ein und sind damit absolut zufrieden. Allerdings muss man sich schon ein wenig mit der Konfiguration und dem Feintuning auseinandersetzen.

Gruß

Hubert
Member: tonabnehmer
tonabnehmer May 21, 2011 at 18:37:12 (UTC)
Goto Top
Hi,

Zitat von @Hubert.N:
Moin

Wenn du ASSP richtig konfigurierst, dann gelangt die Mail nich einmal an den Exchange-Server. ASSP kann entsprechende
LDAP-Anfragen stellen.

Das mit LDAP ist mir bekannt. Bisher sah ich aber keinen Anlass dies einzurichten, da ja Exchange auf gültige Empfänger prüft und entsprechend Mails ablehnt - was zumindest in meinen Tests auch funktioniert.

Dann generiert ASSP einen NDR.

Du meinst eher ASSP lehnt die Annahme der Mail ab mit Fehler 550 5.1.1.

Und Backscatter-Erkennung beherrscht das Programm übrigens auch.

Habe ich vorhin auch gesehen. Aber wir haben bisher keine Backscatter Probleme gehabt.


Ich frage mich, weshalb dein Exchange NDRs in diesemn Zusammenhang generiert....

Weil Mails - wie auch immer - zum Exchange gelangen, für die es keine gültigen internen Empfänger gibt. Vielleicht sollte ich die NDR Generierung einfach abschalten. Nur bekommen dann vermutlich interne Sender keinen NDR wenn sie sich mal bei der Adresse verschrieben haben.


Wir setzen bei vielen Kunden ASSP ein und sind damit absolut zufrieden. Allerdings muss man sich schon ein wenig mit der
Konfiguration und dem Feintuning auseinandersetzen.

Vor ASSP hatten wir TrendMicro. Dort wurden Mails von authentifizierten(!) Benutzern abgelehnt, wenn diese von zu Hause über ihre dynamischen DSL IP gesendet haben. Haben wir den IP Filter deaktiviert, kam jede Menge Spam durch. Seit ASSP kommt kaum noch Spam durch. Ohne es gezählt zu haben, weit über 90% werden korrekt erkannt und in die Spamordner einsortiert. False positive und false negative kommen vor, sind aber die Ausnahme. Wir sind mit ASSP sehr zufrieden!


Gruß

Hubert

Grüße,
tonabnehmer
Member: Hubert.N
Hubert.N May 22, 2011 at 12:10:29 (UTC)
Goto Top
Zitat von @tonabnehmer:
Du meinst eher ASSP lehnt die Annahme der Mail ab mit Fehler 550 5.1.1.

ja sicher - den NDR generiert dann natürlich der Mailserver, der zum Versand genutzt wurde

Weil Mails - wie auch immer - zum Exchange gelangen, für die es keine gültigen internen Empfänger gibt. Vielleicht sollte ich die NDR Generierung einfach abschalten.
Nur bekommen dann vermutlich interne Sender keinen NDR wenn sie sich mal bei der Adresse verschrieben haben.

Vielleicht solltest du es einfach mal mit einer LDAP-Anfrage versuchen ?

Wier ich schon schrieb - man muss sich schon ein wenig mit der Konfiguration des Programmes auseinandersetzen. Bei einem unserer Kunden sind 98 % der externen Mails Spam. ASSP filtert so gut, dass sich bei dem Kunden Mitarbeiter beschweren, wenn da mal eine einzige unerwünschte Nachricht durch das System kommt. So halte ich deine 90 % für einen Wert, der wohl nur durch ein unkonfiguriertes ASSP zu erklären ist.


Gruß

Hubert
Member: tonabnehmer
tonabnehmer May 27, 2011 at 09:47:09 (UTC)
Goto Top
Hallo zusammen,

ich habe in ASSP die LDAP Abfrage eingestellt, damit an der Stelle schon Mails geblockt werden, für die es keine gültige Empfängeradresse gibt. Ich habe auch keine neuen Mails mehr Badmail Verzeichnis. Das scheint also gut zu wirken.

@Hubert
Ich hatte weiter oben geschrieben: "weit über 90% werden korrekt erkannt und in die Spamordner einsortiert". Ich denke so um die 98% Spam dürfte gefiltert werden. Wir setzen noch die 1.6.x ein. Ich werde bei Gelegenheit mal ein Update fahren und mir dann die Konfiguration nochmal näher anschauen.

Vielen Dank an Alle für die Hilfe!

Grüße,
tonabnehmer