Unser Domino wird als Relay benutzt! :-(

[JanMaiw]

Hallo,

wir setzen als Mail-Lösung Lotus Domino 6.5 ein und bisher lief das auch alles ganz gut und es gab keine Probleme.

Seit ein paar Tagen aber versucht sich ein SMTP-Server an unseren Domino Server anzuloggen und über uns eMails an folgende Adresse zu verschicken: inet@microsoft.com!

Der Angriff erfolgt immer über den selben Server. Er meldet sich mit Usernamen an die nicht existieren (zum Beispiel "hd@cdc.com.mx") und trotzdem akzeptiert mein Server die Mail und versucht Sie zu senden! 

Ich habe dann den Servernamen dieses fremden SMTP-Servers bei meinem Domino Server unter "Configuration \ Messaging \ Messaging Settings \ Restriction and Controls \ SMTP Inbound Controls \Deny messages from following Internet host to be sent to external internet domains"  aber das hat nix gebracht!

Habs dann noch bei SMTP Outbound Control unter "Deny messages from the following Internet Adress to be sent to Internet" aber da Fehlanzeige!

Hat jemand eine Ahnung was ich machen könnte oder wie ich verhindern kann das sich ein fremder SMTP mit fremdem User auf meinen Server einloggen kann?

Vielen Dank im voraus .... Janek

[eknori]

ServerKonfigurationsdokument - Router - Restrictions and Control - SMTP Outbound:

Deny messages from the following Internet addresses to be sent to the Internet: * (Sternchen)

Wie sieht denn dein EIntrag dort und auch bei

Allow messages only from the following Notes addresses to be sent to the Internet:

aus ?

[Semeaphoros]

Ulrich, Du meinst die Inbound Controls

Diese beiden Sternchen sind die Basis-Relay-Unterdrücker:

[JanMaiw]

Hallo,

beide Felder sind leer. Das Problem ist das wir viele User haben die sich per Web-Interface einloggen und ich habe Angst das ich denen die Tür damit zumache! :-(

Muss eingestehen das Domino nicht mein Spezialgebiet ist.

Janek

[eknori]

Ulrich, Du meinst die Inbound Controls

bin halt nich t der geborene Admin; evtl solltest du ab hier übernehmen ...

[JanMaiw]

Beim Inbound habe ich das Sternchen nur beim ersten Feld (deny messages to be sent to the following external internet domains).

Als ich den Namen des SMTP-Servers beim anderen Feld (SMTP Inbound Controls \Deny messages from following Internet host to be sent to external internet domains) hat das leider nix gebracht.

Janek

[Semeaphoros]

Es ist nicht gesagt, dass der angezeigte Namen auch mit dem Benutzten übereinstimmt. Mache unbedingt in beide Felder einen *.

Ich nehme an, dass Deine User, die Web-Access benutzen, iNotes oder so ähnlich benutzen ... oder? Die werden von diesen Einstellungen nicht betroffen, da sie wie interne gelten. Wenn sie allerdings per SMTP reinkommen, dann wurde das Sicherheitskonzept aber sträflich vernachlässigt. Für solche User müsste die Autentifizierung für SMTP aktiviert werden.

Sehr wichtig, dass Du so rasch wie möglich beide Sterne reinschreibst, sonst seid Ihr innert weniger Stunden auf vielen Balcklists und könnt keine Mails mehr versenden.

[JanMaiw]

Hallo,

danke für die Erklärung. Habe das Sternchen jetzt gesetzt und nun schauen wir mal obs hilft.

Die externen User gehen nicht über SMTP.

Frage am Rande für die ganz dummen: Wie kann es denn sein das mein Server Mails akzeptiert von Benutzern die garnicht akzeptieren? Irgendwie habe ich da eine Verständnislücke! :-(

Janek

[Semeaphoros]

Ich weiss jetzt nicht genau, was Du fragen willst .... die Relay-Funktion war früher eine wichtige Standardfunktion eines SMTP-Servers, um Mails weiterleiten zu können zwischen Servern, die nicht über eine direkte Netzwerkverbindung verfügten, stammt noch aus Zeiten, wo das Internet noch aus direkten Verbindungen zwischen einzelnen Universitäten bestand und daneben die grosse Verbindungswüste herrschte ..... so konnte man auch entferntere Server erreichen, ohne eine direkte Verbindung dafür notwendig zu haben.

[JanMaiw]

DANKE ..... das leuchtet ein 

Verständnisslücke gefüllt .... 

[JanMaiw]

Hab den Server neu gestartet aber das Problem tritt weiter auf! :-(

Was kann ich noch ändern?

Janek

[koehlerbv]

Mit Verweis auf Deinen anderen Thread Wir haben einen IBM-Businesspartner: Übergib' diesem das Problem - er sollte binnen fünf Minuten jegliches unerlaubtes ralaying stoppen können. Und er sieht vor sich, was wir hier aus der Entfernung nur erahnen können.

Bernhard

[JanMaiw]

Hallo,

ich habe mal einen Screenshot hochgeladen damit ich sehen könnt was da auf meinem Server passiert.



Meinen IBM-Businesspartner kann ich deswegen nicht kontaktieren. Erstmal muss ich es alleine probieren und wäre deswegen für weitere Hilfe sehr dankbar!

Janek

[Semeaphoros]

Den BP hier nicht zu involvlieren, ist für mich nicht nachvollziehbar. Ganz offensichtlich werdet Ihr da als Relay vewendet. Und ganz offensichtlich seit Ihr zumindest mal bereits von Microsoft blockiert worden ..... also möglicherweise bereits in x Blacklists eingetragen. Diese SMTP-Schnittstelle ist im Grunde genommen viel zu heikel, als dass man die "hobbymässig" administrieren könnte.

[m3]

Im Konfigurationsblatt des Servers folgende Settings gesetzt?

Perform Anti-Relay enforcement for these connecting hosts: All connecting hosts
Exclude these connecting hosts from anti-relay checks: [NIX EINGETRAGEN]
Exceptions for authenticated users:   Allow all authenticated users to relay

Ihr habt hoffentlich auch ein "Domain" Dokument, in dem eure Local primary Internet domain: eingetragen ist?

[koehlerbv]

Meinen IBM-Businesspartner kann ich deswegen nicht kontaktieren.

Warum nicht ? Ich hoffe, Ihr wisst, dass Ihr Euch durch den Betrieb eines offenen Relays ggf. sogar strafbar machen könnt ?

Bernhard

[JanMaiw]

Hallo,

da ich hier in Mexico City sitze mache ich mir über die strafrechtlichen Folgen nicht so den Kopf ....  , hier ticken die Uhren noch etwas anders und deswegen kann ich auch nicht so ohne weiteres den BP kontaktieren.

Janek

[JanMaiw]

Hallo,

das Problem ist gelöst. Ich habe jetzt die Blacklist Überprüfung aktiviert und der Server wurde geblockt. Kurz danach hörte dann die Attacke komplett auf.

Danke auf jeden Fall für die vielen Tips und Hilfe!!

Grüsse aus Mexico .... Janek 

[eknori]

Trotzdem solltest du deine ServerConfig noch einmal Punkt für Punkt durchgehen ...

[JanMaiw]

Ich habe jeden Punkt der hier in dem Beitrag erwähnt wurde überprüft und dementsprechend korrigiert. Auch ansonsten habe ich die Config durchleuchtet, aber nichts weiteres gefunden.

Bin aber für weitere Hinweise / Vorschläge sehr dankbar ..... Janek