Sécuriser son serveur de messagerie Exchange(résolu)

par **ccnet** » 09 Sep 2008 23:26

C'est vraiment le mauvais exemple. La cuisine Microsoft a encore l'air très particulière. Dans nombre de systèmes de messagerie, on trouve des paramètres pour dire quel(s) domaine(s) est (sont) accepté(s) en destination finale. Non vraiment si vous voulez comprendre tout cela, ce n'est vraiment pas avec les produits Microsoft qu'il faut commencer.
Manifestement il vous manque pas mal d'éléments.
A lire le célbre DNS et BIND chez Oreilly. La doc Postfix : très formateur. Les RFC concernant smtp. Le site de Christian Caleca que nous citons régulièrement.

Il y a trop à faire pour que l'on vous prenne en charge en totalité. Vous devez travailler par vous même.

par **jdh** » 09 Sep 2008 23:39

Sécuriser des serveurs Microsoft est un ... métier.

La faiblesse openrelay est lié au protocole smtp (je l'ai déjà écrit !) pas au firewall.

ISA Server est une machine trop complexe : et firewall et proxy et "tout" (en installant IIS dessus).

Le lien indiqué est extrêmement complexe : c'est un joyeux mélange de trucs franchement difficilement compréhensible.

Le paragraphe mentionné ferait plutôt penser à un bug d'assistant : à force d'utiliser que des assistants, on en arrive à du n'importe quoi ... Quand on fait trop, on fait mal ...

L'intérêt de la page est quand même de fournir un test, à la main, d'openrelay. (Pour ceux qui auraient de la difficulté à trouver un site de test ...)

Edit : après avoir lu ce qu'écrit ccnet juste avant moi, je confirme l'exactitude des 2 dernières lignes ...

par **ccnet** » 09 Sep 2008 23:42

Sécuriser des serveurs Microsoft est un ... métier.

A plein temps :-)

par **julesboucan** » 10 Sep 2008 00:19

Franck78 a écrit:
Donc je me suis dit si ISA peut le faire , est ce que IPCOP ne pouvait pas aussi?

nous-y voila C'était pas plus simple de demander comment traduire du microsoft en IPCop....??

Le point un se traduit en transfert de port 25 de l'extérieur vers le exchange.
Le point deux, ma foi, est sans objet quand il y deux machines séparées.

Si tu ne trouves pas de bouquin 'papier' il y a les versions .pdf....

En passant ISA est un truc qui n'aurait jamais du exister. A ne pas installer.

Merci pour conseils de toutes les manières je n'ai jamais été chaud pour ISA en tant que Firewall dans un réseau.

Est ce que tu peux m'expliquer ce que tu comprend au niveau du point 2 sinon qu'est ce que tu veux dire par quand il y deux machines séparées?

Merci pour suite d'avance.

par **julesboucan** » 10 Sep 2008 00:24

ccnet a écrit:C'est vraiment le mauvais exemple. La cuisine Microsoft a encore l'air très particulière. Dans nombre de systèmes de messagerie, on trouve des paramètres pour dire quel(s) domaine(s) est (sont) accepté(s) en destination finale. Non vraiment si vous voulez comprendre tout cela, ce n'est vraiment pas avec les produits Microsoft qu'il faut commencer.
Manifestement il vous manque pas mal d'éléments.
A lire le célbre DNS et BIND chez Oreilly. La doc Postfix : très formateur. Les RFC concernant smtp. Le site de Christian Caleca que nous citons régulièrement.

Il y a trop à faire pour que l'on vous prenne en charge en totalité. Vous devez travailler par vous même.

Merci bien pour les apports, c'est noté.

par **julesboucan** » 10 Sep 2008 00:26

jdh a écrit:Sécuriser des serveurs Microsoft est un ... métier.

La faiblesse openrelay est lié au protocole smtp (je l'ai déjà écrit !) pas au firewall.

ISA Server est une machine trop complexe : et firewall et proxy et "tout" (en installant IIS dessus).

Le lien indiqué est extrêmement complexe : c'est un joyeux mélange de trucs franchement difficilement compréhensible.

Le paragraphe mentionné ferait plutôt penser à un bug d'assistant : à force d'utiliser que des assistants, on en arrive à du n'importe quoi ... Quand on fait trop, on fait mal ...

L'intérêt de la page est quand même de fournir un test, à la main, d'openrelay. (Pour ceux qui auraient de la difficulté à trouver un site de test ...)

Edit : après avoir lu ce qu'écrit ccnet juste avant moi, je confirme l'exactitude des 2 dernières lignes ...

Ok, merci à toi aussi, enfin je vous remercie tous!!!!!

par **julesboucan** » 12 Sep 2008 13:29

Bonjour à vous tous,

j'ai parcouru le forum et j'ai remarqué que quelsques utilisateurs (comme moi) ont un peu du mal à trouver des sites pour tester si leur serveur est en Open relay.

Si ca peut aider d'autres voici quelques informations utiles:

site : http://www.checkor.com ; http://www.antispam-ufrj.pads.ufrj.br/test-relay.html

Logiciel freeware à télécharger: http://www.myzips.com/software/Open-Relay-Checker.phtmlet d'autres comme Anonymous .

comme disais jdh il y a pas mal de site pour ca et utilitaires, mais il est question aussi d'avoir l'info.

Merci bien jdh et les autres ccnet, Frank78.

par **leso** » 28 Mars 2009 19:35

Je rajouterais juste ces liens :
Pour verifier l'open relay : http://www.pagasa.net/test-smtp/

Pour verifier la configuration de ces mx: http://vger.kernel.org/mxverify.html

par **loberty** » 05 Août 2009 20:08

Bonsoir,

Il y a 1an j'ai repris un site avec SBS (Small Business Server comprenant un Exchange Lite) pour 25 boites aux lettres.
Le client voulait conserver son SBS pour de bonnes raisons et ne pas externaliser.
SBS recevait 20000 à 30000 mails/semaine pour 25 boîtes, dont 99% de spams !
Ils avaient aussi un problème de blacklistage de leur adresse IP.

Voici ce que j'ai fait, c'est un exemple basé sur un cas de figure, à toi de faire ce que tu en veux :
. passage de SBS 5.5 vers 2003 + utilisation du Outlook livré (nettement mieux que le 2000 sur la sécurité vis à vis des mails)
. plus de réception de mails en direct de la part de SBS (abandon du smtp entrant)
. ajout d'une passerelle antispam/antivirus sous linux, elle collecte les mails en POP3 toutes les 5 minutes, analyse les mails, bloque les spam (selon règles) et les virus, et envoi les mails en smtp à SBS
. ajout sur les postes clients d'un antivirus avec gestion du surf (scripts), etc ...
. contact auprès des sites de référencement de blacklist pour supprimer les enregistrements
. sur IPCOP, blocage en sortie de POP3 et SMTP (sauf pour la passerelle antispam et SBS)
. sur IPCOP, en entrée, le SMTP est redirigé vers la passerelle antispam

1 semaine plus tard, le nombre de spams reçus via sur la passerelle avait été divisé par 100, sur les boîtes, il y en avait 1 ou 2 par semaine.
1 mois plus tard, il y a 50 spam max par semaine sur la passerelle.
Depuis plus jamais eu de blacklistage.

A+

Sécuriser son serveur de messagerie Exchange(résolu)

Qui est en ligne ?