Dotaz: Dotaz pro správce serverů - používáte pro SMTP i jiné porty než 25?

[happymaster23]

Zdravím,

právě jsem se bavil s jedním wi-fi providerem a ten mi tvrdil, že jsem asi spadl na hlavu, když pro SMTP na serveru nepoužívám jiné porty než 25? Fakt jsem na ni spadl a nebo je to jenom žalozpěv neschopného wi-fi providera?

 

Mimochodem, připadá vám blokování portu 25 v roce 2009 jako zcela normální záležitost?

 

Děkuji za odpovědi

Odpovědi

[cynic_asshole]

No, a malinká otázka. Jaký jiný port bych měl na SMTP použít? Logicky, pokud bych provozoval SMTP na jiném portu, tak by mi jiný server nedokázal doručit příchozí poštu, nebo se mýlím?

A k tomu blokování. Normální to asi není, ale v době všelijakých spamovacích červů je to asi jediná možnost. Pořád lepší, než jak to řešil můj bývalý ISP. Veškerý provoz na SMTP transparentně směroval na svůj SMTP server. A výsledek? Permanentně blacklistovaný, takže se legitimní pošta odeslat nedala vůbec.

[Admik]

Moj provider port 25 blokuje.
Ja mam server u ineho providera ktory mi nic neblokuje.
Riesim to tak, ze mi postfix bezi na 25ke, a mam presmerovany 2525 na 25ku.
Takze ja sa z domu pripajam na 2525, a ono to sa presmeruje na 25ku a vsetko ide.

Zatial som s tym nemal problem, a klienti ktori u mna hostuju su o tom informovany.

Taktiez spamfiltre a rozne blokacie su potrebne.

Ved by sme mazali len spam. A normalna posta by asi nebola dorucena.

[happymaster23]

No tak já měl pocit, že k tomu slouží SMTP autentifikace. Samozřejmě, že u takových těch rádobyproviderů, kde se dělí milion lidí o jednu IP to asi nutné je...

Přeci to funguje tak, že spamující stroj (zavirované PC) přímo sám kontaktuje SMTP servery, které buď pro doručení žádají autentizaci a nebo si ověří, jestli ta doména podle DNS sedí k té IP adrese, která mu to posílá. Vzhledem k tomu, že ten stroj nesplní ani jednu podmínku, tak to server zahodí. A nebo mi vysvětli, jak je možné, že je tady minimálně půl milionu uživatelů ADSL, CATV apod., kterým se nic neblokuje?

Mě nezajímá, jestli to tak někdo dělá. Mě zajímá, jestli to je něco standardního a nebo pouze ad-hoc řešení a ústupek něčí neschopnosti...

[cynic_asshole]

Řekl bych, že je to 50:50. Pro někoho to je normální, a pro někoho ne.

[happymaster23]

No vlastně odpovím si sám...

Viděl někdy někdo z vás, že by Gmai, Seznam, Centrum někdě psali něco o tom, že pro SMTP je možné použít jiný port? Já teda NE. Přeci není možné, abych já jako správce serveru upravoval kvůli každému hňupovi konfiguraci. Jsou tu nějaké standardy a ty jasně říkají, že pro SMTP se používá jenom 25. Na zábranění spamu jsou tu jiné metody - greylisting, blacklisting, SMTP autentifikace a spoustu dalšího. Takže asi tak...

[mozog]

Jsou tu nějaké standardy a ty jasně říkají, že pro SMTP se používá jenom 25

mas pravdu, ale vysvetluj to nejakemu radoby spravcovi, co nakonfiguroval jedno APcko a mysli si o sebe, ze je majster sveta

este mozes pouzit SMTPs (port 465) a pouzivat sifrovanie napr. cez TLS, ten uz vacsinou nebyva blokovany

[hysterix]

To, ze jste neco nevidel, neznamena, ze to neexistuje. Presvedcivy dukaz podal jiz B. Polivka aka Bohus ve filmu Kurvahosigutentag :)))

Google to ma primo pod "Configuring other mail clients":

http://mail.google.com/support/bin/answer.py?hl=en&answer=13287

[happymaster23]

Řekl bych, že se trošku pletete, protože Google se nesnaží používat žádné smyšlené porty a to je rozdíl... 465 je pro SMTPs a 587 tu popsali pánové podemnou...

[hysterix]

Nevim, z ceho vam vyplyva, ze se pletu.

[happymaster23]

Celé tohle vlákno je o tom, že někdo tvrdí, že bych měl používat porty MIMO specifikaci (2525, 2500, apod.), jenže ty co popisuje Google ve specifikaci jsou a každý má svoje jasné určení a proti tomu se ani neohrazuji...

[hysterix]

Tak to jsem nevedel, ze ani jeden z vas to nevedel :) nvz

[Roman DAVID]

na odesilani posty tu mame tusim port 587/tcp (MSA) , viz RFC2476

[Luboš Doležel (Doli)]

Na portu 25 to běžet musí kvůli komunikaci s ostatními SMTP servery. Pro vlastní použití mi Postfix poslouchá ještě na 1025, právě kvůli místům, kde 25 blokují. Žádné padání na hlavu v tom nevidím

[hysterix]

Pro prijem posty na serveru od mistnich uzivatelu k odesilani je zasadne vhodnejsi pouzivat tcp port 587 - RFC 2476. Port 25 je pro prijem posty od ostatnich mail serveru pro mistni uzivatele. Takze provider blokujici odchozi 25 nedela nic fatalniho.

[happymaster23]

No zas tak dobře specifikace neznám, abych tvrdil opak. Nicméně ještě jsem neviděl MUA, který by defaultně používal jiný port než 25...

[hysterix]

Tak ono to funguje celkem dobre i takhle postaru, ale jen pokud jde o opravdoveho ISP, kdy ma kazdy vlastni verejnou ip adresu. Ruzni minipidi ISP pouzivajici jednu verejnou ip adresu by bez blokace portu 25 byli permanentne na vsech blacklistech sveta, takze byste stejne neposlal nic :)

[happymaster23]

To je mi jasné, jenže kdyby aspoň ten svůh handicap kompenzovali tím, že umožní odblokování pouze na jeden konkrétní SMTP, ale ani tohle jsem ještě neviděl...

Prohlížel jsem si konfigurák Sendmailu a o portu 587 ani vidu ani slechu (já jsem ho určitě nesmazal) - že by samotní autoři MTA porušovali specifikace? IMHO 587 ve specifikaci sice je, ale není povinný...

[hysterix]

Stejne jako neni povinnosti ISP umoznit odesilat postu mimo jeho mail server.

[happymaster23]

Heh, to bys rovnou mohl napsat, že není povinností ISP umožnit přístup k internetu :). Já za připojení k internetu považuju porty 1 až 65535, pokud ve smlouvě není jinak. A to většinou nebývá.

 

Také vycházím z faktu, že tehdejší Český Telecom, Eurotel a Contactel (a určitě spousta dalších - s těmito mám zkušenost) také blokovali 25, ale ejhle, už to bude pět let co to nedělají a přitom se nic nezměnilo - všichni zákazníci mají a měli veřejnou IP. Tak čím to bude? Že by ubylo spamu? Těžko. 

[happymaster23]

Ještě bych rád dodal, že kdyby to tak dělal každý (používal si porty jaké chce a blokoval si co chce), tak je z internetu polofunkční zmetek...

[hysterix]

Vy jste zacal o tom, co je a co neni ve specifikaci.

Druhemu odstavci nerozumim. To, ze nekdo neco nedela neznamena, ze to nesmi delat nekdo jiny. Mne se to take nelibi, ale chapu je a vzhledem k tomu, ze uz leta existuje standard, jak se s tim vyporadat, neni co resit.

[happymaster23]

Ne, ten druhý odstavec znamená pouze to, že se s tím jiní dokážou vypořádat mnohem elegantněji, zatímco druzí jsou neschopní... Ještě jinak řečeno - existuje i jiné řešení než blokace toho portu a velcí ISP jsou toho důkazem.

A co když se implementace té 587 na MTA zvhrne tím stylem, že server nebude rozeznávat mezi 25 a 587a komunikaci bude zpracovávat stejně? A vzhledem k tomu, že ten port je ve specifikaci, tak bude zapracován do virů a zase budem tam kde jsme byli, akorát s tím rozdílem, že se nebude blokovat jeden port, ale dva ;)

[hysterix]

To je jeste celkem v pohode, ale co budeme delat, kdyz do zemekoule narazi kometa z antihmoty ? :)

[happymaster23]

No to je fakt, Asgardi jsou už mrtví, ti by nám nepomohli. Snad by to SG1 nějak zvládla .

Ne, vážně - chci všem poděkovat za věcnou a přínosnou diskusi, jejíž závěry bych zhrnul asi takhle: Zákazník, pro kterého je 500 Kč/měs. za slušné připojení (ADSL, CATV, atd...) moc peněz rozhodně není ten typ, kterého by trápilo, že nemá přehled o tom, přes který server chodí emaily. Ovšem to nic nemění na faktu, že pokud by pro to byly pádné důvody (zákazník nemá jinou možnost než wi-fi a přitom je solventní), tak není nic špatného na tom, nechat MTA naslouchat i na jiném portu. Pokud to řeknu ještě jinak - nic, ani žádné nepsané zvyklosti, mě nenutí k tomu, abych nechal MTA naslouchat na jiných portech - je to pouze na mém rozhodnutí, jestli se rozhodnu vyhovět přáním zákazníka.

 

Ještě jednou děkuji.

[hysterix]

Nebo za b)

zvlaste pokud mate rozumne zkonfigurovany smtp server, presmerujte si pomoci iptables tcp port 587 na 25 a nemusite premyslet, jak co zduvodnit mnoha slovy :)

[Zdeněk Štěpánek]

Pokud SMTP neposloucha na 25 tak je vcelku nanic, pouze pro nejake soukrome pouziti. Dost pochybuju ze by to bylo uzitecne.

My teda v gavanetu port 25 blokujeme a lidi co maj postovni program pouzivaj nas SMTP server, kterej je na zvlastni IP (jako cela posta). Od te doby s blacklistem problem neni. Hlavni IP at si na blacklistu klidne je... Kdyz se na me nekdo obrati ze by potreboval povolit 25ku ven, tak asi vi proc to potrebuje a bude mit komp viruprosty, s tim bych nemel problem, dodnes to nikdo nechtel...

Zdenek