Poort 25 uitgaand en Telnet?

[Kabelfan376]

Hallo allemaal,

Het is augustus 2023 en ik weet dat poort 25 uitgaand dicht is. Betekent dit automatisch dat een Telnet sessie om de inkomende poort 25 te testen niet werkt?

toelichting: 

ik heb een mailserver thuis en daarop ontvang ik soms geen nieuwe mails via inkomende poort 25. Mail ophalen gaat via poort 993 en werkt wel altijd. Ik vermoed dat mijn spam/malware/geoIP blocker (pfSense pfblockerNG) de oorzaak is en ben bezig te zoeken waar de blokkade zit. 

Om te troubleshooten gebruik ik na elke aanpassing “telnet mail.mijndomein.nl 25” van buitenaf, maar krijg steeds een time out, terwijl de mail vanmiddag steevast goed aankomt. 

Zou het kunnen zijn dat mijn mailserver het telnet verzoek wel ontvangt en ook beantwoordt, maar dat het antwoord via uitgaande poort 25 verstuurd wordt? En dus niet verder komt omdat poort 25 uitgaand dicht is?

[Random]

Als je in geoip heel veel landen gaat blokkeren kan soms ook nadenken of je niet beter een beperkt aantal landen toegang kan geven ipv blokkeren. Want als je 1 of meer landen gaat blokkeren zijn dat giga veel ip adressen. Als je hetzelfde kan bereiken door ipv blokkeren een kleinere reeks ip adressen toegang te geven dan heeft je pfsense het minder zwaar.

[Kabelfan376]

Binnen de categorie topspammers moet je nog landen kiezen. Welke heb jij daar gekozen? Ik allemaal. Alle andere continenten heb ik uit staan. 

[Random]

Oh ja daar heb je gelijk in dat was ik even vergeten haha.

Dan zou ik daar eens GB uitschakelen en kijken of dat verschil maakt.

Maar heb je sowieso al eens pfblocker uitgezet en getest of dat verschil maakt?

Want als dat geen verschil maakt hoef je ook niet verder in pfblocker te gaan zoeken.

[Kabelfan376]

Jazeker, toen ik begon met troubleshooten was met pfblocker uit het probleem weg. Pfblocker aan met IP en DNSBL, maar geen GeoIP gaat ook goed. Daarna heb ik jouw aanwijzingen gevolgd om in de logs te kijken en dat maakte het helemaal duidelijk want daar staat de rule ID in. Maar die geldt voor de gehele GeoIP rule, dus in mijn geval alle landen binnen de lijst “top spammers”. Je zou eigenlijk willen kunnen zoeken op “GB…v4” om de bron te achterhalen. 
Alleen VK uitzetten en testen is inderdaad een educated guess, maar indien juist weet ik nog steeds de bron niet. 

[Random]

Aha oke dat scheelt een boel dus we kunnen met zekerheid zeggen dat het in geoip topspammers zit.

Nou ja dat heeft dat ip toch wel een bad rep anders zou het niet in de top spammers zitten.

Als je in de topspammer GB eens uitzet en dan test en het werkt dan ook dan weten we dat het daarin zit.

En zo maak je het steeds kleiner tot je aan de bron bent. die topspammers lijsten zijn ook maar gewoon files in het pfsense systeem. Ik weet nog niet helemaal exact waar ze staan en hoe of wat maar daar gaan we achter komen naar mate we verder komen. Daarom helpt het als ik weet wat je wel en niet getest hebt en wat de uitkomst is. Zo hoop ik of jij steeds verder te komen tot de bron die we uiteindelijk wel zullen vinden.

We weten nu al dat het ip adres als een top spammer word gezien. In die lijst kom je niet zomaar dan moet regelmatig geconstateerd zijn dat vanuit dat ip of die range zeer frequent spam verzonden word.

Nou ja dat is niet helemaal gek als het om een hosting provider gaat.

Je kan ook met BBcan177 (Anthony) contact opnemen dat is de maker van pfBlocker en onderhoud ook volgens mij de topSpammers list. Alle andere lijsten zijn van derden.

BBcan177 kan je overal vinden op Twitter Reddit of je gaat naar het netgate forum gaan ook daar is BBcam177 aanwezig.

[Random]

https://www.zenarmor.com/docs/network-security-tutorials/pfblockerng

[Random]

[Kabelfan376]

Ja precies, daar had ik het eerder over hierboven ergens. Maar deze list bevat niet het IP adres waar het om gaat. De lijst die we moeten hebben heet “GB_rep_v4”. 
maar ik heb alle logs waar GB in zit uitgekamd en het IP niet gevonden. 

[Random]

Die is er ook.

De ip range komt er ook in voor.

Die ip range hoort bij een buitenlands bedrijf waar mijn.host waarschijnlijk zijn hosting servers heeft gehuurd.

https://www.voxility.com/contact

[Kabelfan376]

Prachtig speurwerk! Hiermee is de blocklist gevonden. 

Ik ben verbaasd want ik heb in precies diezelfde log file gekeken, zoals in je eerste schermafbeelding. In pfSense dan, zonder te downloaden. En ik verwachtte de 5.254.117.0/24 range te zien, maar het begint dan met:

89.249.65.0/24

89.249.73.0/26

89.249.73.64/27

89.249.73.96/27

Ik heb nog helemaal naar beneden gescrold, maar het liep alleen maar op. Jij hebt echter de log file gedownload, dat heb ik nu ook gedaan. En die begint met 

2.56.188.0/22
2.58.192.0/22
2.100.200.0/32

Dus in de gedownloade logfile staan meer regels. Moet je maar net weten. En inderdaad staat  5.254.117.0/24 er ook in.

Ik heb nu de lijst GB rep uitgezet in top spammers:

Nu maar eens gaan proberen of de mail nu wel aankomt. 

En ik ben erg benieuwd naar de oorsprong van de blocklist. Ik ga daarvoor met de auteur contact zoeken, conform je suggestie.

[Random]

Ja ik zag dat de file in de GUI maar tot 10000 lines ging daarom was ik met winscp in de volledige file gaan kijken. Om zeker te weten of de ip range er wel of niet in zou staan.

Als je GB_rep_v4 hebt uitgezet moet je even pfblocker update en reloaden.

Ik denk dat BBcan177 tegen je zal zeggen dat mijn.host actie moet ondernemen om zijn ip range te unlisten.

Die top spammers list gebruikt ook weer externe bronnen waar lijsten verzameld worden. Als je zo'n blocked rule id hebt opgezocht kan je op de i klikken waarna je kan zien welke bronnen er zijn geraadpleegd. Dus met andere woorden pfblocker zal je ook niet verder helpen je isp moet in actie komen. Dat ze zelf maar uitzoeken op welke blocklists ze voorkomen. In de tussentijd laat je gewoon die GB_rep_v4 uitstaan.

Maar je kan altijd met bbcan177 of anderen op die fora babbelen over dit onderwerp zoiets is altijd leerzaam.

[Random]

Laat eens weten of het met het uitzetten van GB_rep_4 gelukt is en je weer kan mailen.

Altijd leuk om te horen of iets gewerkt heeft.

[Kabelfan376]

Hey @Random heb je een nieuwe gebruikersnaam genomen? Een willekeurige zo te zien?🤣

Uiteraard wil ik terugkomen op onze discussie, wanneer ik zelf mensen help op fora vind ik het ook erg prettig als men een terugkoppeling geeft van mijn oplossingsvoorstellen.

Ik heb nogal wat nagezocht. De GeoIP lijsten zijn van Maxmind en deze blijken simpelweg alle IP's te bevatten per land of regio, niet alleen bad actors. En ja, dit geldt ook voor "Top spammers". Die naam is dus ongelukkig gekozen. Zoek maar eens een willekeurige website met goede reputatie en jazeker, het IP staat in top spammers.

Ik heb destijds vanwege de naam deze hele lijst (Top spammers) aangezet. Hiermee blokkeerde ik echter onbedoeld al het inkomend verkeer uit het VK. Daardoor kon de mail server van mijn.host mijn test emails niet afleveren.

Mijn mail server thuis bevindt zich nog in de testfase, dus ik wist precies van welke mail server (die van mijn.host) de mails moesten binnenkomen. Maar straks wanneer de mail server operationeel wordt komt verreweg de meeste mail waarschijnlijk vanuit Nederlandse mail servers. Als ik dit niet had geweten zou al die NL mail dus wel gewoon binnen zijn gekomen.  Internationale emails kunnen echter in principe vanaf mail servers uit veel verschillende landen binnenkomen, dus dan zou ik die mails hebben gemist en niet geweten, want je krijgt het niet binnen dus je weet niet dat je het niet weet - als je begrijpt wat ik bedoel.

Je link naar Zenarmor leidt naar een pagina waarop men stelt dat de Top Spammers lijst landen bevat die zijn aangemerkt als een "frequente bron van online aanvallen". Nu zou het best kunnen dat er in GB veel bad actors zitten, maar het lijkt mij toch vreemd om dan het hele VK te gaan blokkeren voor inkomend verkeer.

Op het netgate forum stelt men dat de Top Spammers naam misleidend is en men adviseert de GeoIP lijsten te op een andere manier te gebruiken, namelijk alleen toelaten wat je wilt ipv blokkeren wat je niet wilt. Zo kun je de maxmind GeoIP lijsten gebruiken om in je WAN firewall rules alleen NL toegang te geven tot je NAS of je media server of wat dan ook, als je weet dat er toch enkel vanuit NL op wordt ingelogd. Dan is het dus wel noodzakelijk dat zo'n NL lijst compleet is. En wanneer je op vakantie gaat naar een ander land moet je er even aan denken dat land (evt tijdelijk) toe te voegen.

Ik heb dit als zodanig teruggekoppeld naar mijn.host. Zij hoeven dus geen actie te ondernemen.

Wel blijf ik benieuwd waarom bbcan177 deze benaming (Top Spammers) heeft gekozen. 

Als jij tot andere inzichten komt ben ik daar ook erg benieuwd naar.

[Random]

Gebruikersnaam idd veranderd dik 8 jaar geleden was ik nog niet zo privacy minded. Het was al langer een kleine doorn in mijn oog dus nu maar eens de stap gezet. Bij gebrek aan fantasie maar een willekeurige gebruikersnaam gekozen inderdaad 😊

Klinkt allemaal heel plausibel wat die top spammers betreft. Weet je ik gebruik een smtp smarthost van mijn domein registrar alle in en uit gaande mail gaan via die server en die heb ik whitelisted op de wan. Daardoor heb ik vermoedelijk nooit last gehad van die top spammers list en kwam al mijn mail gewoon binnen en werd alles ook netjes via dezelfde weg verzonden.

Waarschijnlijk is het idd een goed idee die top spammers dan niet te gebruiken als je zelf alle smtp afhandelt.

Ik ben nooit tegen dit probleem aangelopen vanwege die smarthost dus.

Wat betreft dat je beter kan kijken wat je wil doorlaten ipv wat je wil tegenhouden had ik je ook al eerder geschreven. Misschien weet je nog dat ik alleen nld binnen laat op poorten 80 en 443. Ik heb daar niet heel de wereld geblokkeerd behalve Nederland maar ipv daarvan alleen nld toegang gegeven dat klinkt als hetzelfde maar dat is het niet het scheelt heel veel ip ranges in je filter.

Ik had er ook plaatjes bij gedaan toen waarin je die wan filters kon zien.

Die pfB_WAN_IN_v4 en pfB_WAN_IN_v6 aliassen heb ik in pfBlocker aangemaakt ook met bhv maxmind geoip.

[Kabelfan376]

Ummm...ja sorry ik zie dat je dat verhaal over doorlaten ipv tegenhouden al hebt gedeeld. Ik zat in Noorwegen en dan heb je toch een iets andere mindset, dus niet onthouden. Wat je laat zien is wel precies wat ik nu dus bedoelde, dus dat weet je al en doe je ook al.

Heb jij dan ook de GeoIP top spammers lijst aan gehad al die tijd en heb je hem nog steeds aan? Zo ja dan blokkeer je dus al het inkomende verkeer uit die landen en kun je zelf ook niet bij je spullen wanneer je je in een van die landen begeeft. Ook zul je je mail niet kunnen ophalen als je een mail server thuis gebruikt.

Wel goed om daar verstandige keuzes in te maken dus. Als je toch al de port forwards op je WAN via whitelisting / GeoIP allow hebt geconfigureerd voegt zo'n algehele GeoIP block ook niets meer toe, lijkt mij. Tenzij je ook nog andere poorten open zet voor andere services en daar zonder GeoIP allow lijsten werkt.

Jij gebruikt dus ook een mail server thuis? En die smarthost SMTP gebruik je om mail te versturen (dus goede reputatie) en die verzamelt ook inkomende mail voor je en zet die door naar je eigen mail server? Mag ik vragen welke SMTP smarthost je gebruikt, wat die service kost per maand en of je er tevreden over bent? En waarschijnlijk loopt spamfilter daar ook op, of heb je dat wel zelf geconfigureerd op je thuis mail server?

[Random]

Ik ben 24 jaar klant bij Ziggo (voorheen @Home). In de eerste jaren had ik een pc rechtstreeks aan het modem toen hadden we nog geen SOHO routers. Ik herinner me de eerste router die ik ontdekte in een elektronica winkel ergens rond 2003/2004 ik heb die toen gekocht het was een UNEX met 4 poorten dat was toen al heel wat.

Daarna ben ik m0n0wall gaan gebruiken en toen die ermee stopte ben ik overgestapt naar pfSense wat een fork is van m0n0wall en gebruik dat nog steeds. Ik heb bijvoorbeeld nooit een router van Ziggo gebruikt. Dat is soms wel eens jammer als je hier mensen wil helpen heb ik totaal geen kennis van die Ziggo routers wat die allemaal voor een funkties hebben of niet hebben.

Ik heb inderdaad ook o.a. een eigen mail server inderdaad. Ik heb tot pakweg 6 jaar geleden in OpenVZ vele jaren alles zelf gehost en nu doe ik dat met Proxmox en heb ik in proxmox lxc container voor de mail postfix met dovecot en rspamd lopen spf dkim dmarc alles erop en eraan en loopt als een gesmeerde locomotief.

Server3 is mijn zeg maar mijn "hosting server".

Apache, postfix, dovecot, freeradius, bind9, mariadb

Ik heb sinds 2004 mijn domein bij easydns.com in canada en al die tijd thuis gehost dmv ddns.

Easydns heeft nu meer mogelijkheden dan in het begin je kan daar nu gewoon een hosting pakket afnemen etc etc maar ook al die oude voordelen van easydns zijn er nog steeds zoals ddns dus.

Ze hebben dus ook die SMTP smarthost die ik gebruik voor uitgaande en inkomende mail die praat met mijn lokale postfix over een alternatieve poort waar ik de smtp van easydns heb whitelisted dus voor ieder ander lijkt die poort gesloten behalve voor de easydns smtp. klopt die smtp smarthost heeft een goede reputatie. Ik heb er nooit problemen mee en ook nooit gehad in bijna 20 jaar dat ik dit zo heb.

Voor mijn mail server gebruik ik deze website als basis en pas dan gaande weg e.e.a. aan mijn eigen voorkeuren en wensen.

Ik heb o.a. mijn servers nu ook over IPv6 bereikbaar gemaakt. Helaas heeft easydns dat nog niet gedaan maar intern mail ik met mijn eigen postfix en dovecot over IPv6.

En ja ik heb die top spammers altijd aangehad en nu nog steeds.

Ik heb allerlei poorten op de wan min of meer open. HTTP(s) SFTP XMPP ICECAST noem maar op.

Voor de meeste poorten heb ik tegenwoordig een whitelist er voor gezet waarin ik paar vrienden heb staan en de vodafone ip ranges die mobiele telefoon gebruiken zodat ik er zelf altijd in kan om bv mijn openvpn te benaderen.

Wat ook wel handig is als mijn mail server wel eens offline is wat eigenlijk nog nooit gebeurd is maar dan houden ze bij easydns gewoon de mail in queue en word die bij je eigen server afgeleverd zodra die weer online is.

[Random]

Ik had hier een heel verhaal als reactie geschreven.

Bij het aanpassen van die post, om fouten eruit te halen zo lang dat nog kan, kreeg ik opeens een melding dat het bericht is tegengehouden en de aanpassing moet worden gecontroleerd door een moderator ???

en vervolgens is mijn bericht verdwenen 🆘😬

Dit heb ik nog nooit eerder meegemaakt wat is dit nu weer?

[Random]

Nou ja ziet ernaar uit dat er geen moderator naar mijn verdwenen/geblokkeerde post gaat kijken dus ik ga opnieuw op je bovenstaande bericht reageren maar mijn motivatie om uitgebreid te reageren op mensen krijgt hierdoor wel een flinke opdonder.

Maar goed terug naar jouw onderwerp.

Ja ik heb en had die top spammers altijd aan staan ook nu nog.

De smarthost die ik gebruik is bij easydns.com een canadese provider (met servers over heel de wereld) voorheen was dit alleen een dns registrar maar sinds paar jaar een full service hosting. Ik heb daar sinds 2004 mijn domein dmv DDNS en gebruik dus al die tijd ook hun SMTP smarthost. dus zo'n 20 jaar doe ik al aan selfhosting.

Vroeger had ik een hele rek met computers die allemaal bepaalde services deden want multicore en veel ram bestand toen nog niet of was knijter duur.

2009 😁

Op een gegeven moment een wat krachtigere server systeem gemaakt met openvz erop en begonnen met virtualiseren. Deze openvz server heb ik zo'n 10 jaar of zo gedraaid nu sinds 6 jaar of zo heb ik alles in proxmox draaien in lxc containers en enkele virtuele desktops in qemu.

Dat Proxmox is de beste uitvinding sinds gesneden brood.

In de server3 lxc container heb ik alles lopen voor mijn web, mail etc.

postfix, dovecot, proftpd(sftp), apache, mariadb, freeradius, bind9 ik vergeet vast nog wel iets.

De eerste jaren configureerde ik de mail server op mijn eigen houtje en gebruikte ik altijd spamassasin als anti spam filter de laatste jaren bouw ik mijn mail server op basis van deze tutorial en pas dan gaande weg e.e.a. aan. Zo heb ik al mijn servers nu ook IPv6 bereikbaar gemaakt. Helaas ondersteunt de smtp smarthost van easydns nog geen IPv6 maar lokaal heb ik het wel allemaal op IPv6 werkend.

Dus ja ik heb al heel lang o.a. een eigen mail server 20 jaar of zo.

Ik moet even denken wat ik nu allemaal wel en niet beantwoord heb want ik had je laatste post al beantwoord maar zoals gezegd werd die plots tegen gehouden dus nu loopt mijn geheugen een beetje door elkaar tijdens het typen wat heb ik nu wel en niet beantwoord in deze laatste post. Het is echt heel hinderlijk @Ziggo !!!

Euhm kosten nou euhm eigenlijk geen idee ik betaal dit altijd voor paar jaar voor mijn domein dus en voor de ddns met smtp relay/smarthost.

Ik ben even ingelogd bij easydns en gekeken wat ik zoal daar betaald heb hier een overzichtje:

Ik probeer nu nog even te achterhalen welk pakket ik daar precies heb.

DNS Pro heet het dus wat ik daar heb.

[Kabelfan376]

Wat vervelend dat je post weg is, heb ik ook op andere fora wel 'ns. Heel frustrerend idd. Maar des te meer kudos, jammer dat men per persoon maar 1 duimpje kan geven. Virtueel zijn het er 10 😃.

Ik heb tegenwoordig standaard een text editor open staan en dan plak ik pas op het laatst de tekst in de forumpagina. Wel lastig soms als je foto's wilt toevoegen. FF alles selecteren en CTRL-C vlak voor plaatsen wil ook wel helpen.

Ik heb 0,0 ervaring met virtualisation. Dat heeft deels te maken met mijn streven naar zo laag mogelijk energieverbruik en deels met onbekendheid. Misschien moet ik er toch eens iets over gaan lezen, want ik wil wel een beetje bij blijven. Leuke foto trouwens uit 2009, lekker ouderwets maar wel leuk om mee te knutselen 😅.

Tarief van easydns valt me zeker mee. Ik heb bij mijn.host 5 domeinen, waarvan ik er 2 zelf host (testfase) en 3 bij mijn.host. Voor die hosting betaal ik 3,99 p.m. en voor de domeinregistratie 4,99 per domein p.j. En dat is al veeeeeeel minder dan wat ik bij mihosnet betaalde (ruim €120 per jaar en nu ze meer naar de zakelijke markt gaan wordt het €200+).

Ik krijg nu mijn mijn.host SpamExperts gratis (dat was eerst SpamAssassin, maar ongetraind, dus liet nogal wat spam door) maar dat nieuwe SpamExperts houdt veel meer tegen (vrijwel alle spam) en tot nu toe nul false positives. N.B. dit gaat over de mail die gehost worden op mijn.host. Mijn eigen mailserver test ik momenteel met een van de twee extra domeinen maar daarvoor moet ik nog ff de tutorial verder volgen, moet nog dmarc etc. configureren.

[Random]

Ja klopt moet ik ook eens doen ctrl+a en ctrl+c maar ja ik ben al niet zo secuur moet schrijven dan zit je helemaal in dat verhaal en gaat altijd goed alleen nu even niet.

Ik had er een verhaal in staan over hoe ik in 2004 moet router ben Begonnen en over m0n0wall wat ik jaren gebruikt had en toen dat project stopte kwam pfSense als fork van m0n0wall in beeld en sindsdien gebruik ik pfSense. ik had een linke naar m0n0wall erin gezet maar de root van dat domain was forbidden ik heb de url er niet goed ingezet  moest zijn m0n0wall.ch/wall ipv wat ik deed m0n0wall.ch denk dat daar die post mis doorgelopen was.

Ik probeer ook wel bewust met energie om te gaan.

Maar ja ik drink en rook niet en dit is mijn hobby en hobby's kosten geld helaas.

Maar ja ik heb ook hobby's die geld opbrengen dus dat streept lekker weg zo.

Als je een eigen mail server draait dan heb je die, lijkt mij, ook 24/7 aanstaan.

Als je ipv dat mailserver systeem er Proxmox op zet kan je je hardware voor veel meer dingen gebruiken dan alleen een mail server. Dan kan je dat ene systeem veel meer laten doen zoals in mijn geval aantal Linux en zelfs Windows er allemaal tegelijk op draaien.

Als je veel tegelijk wil kunnen doen moet die Proxmox server wel wat pit hebben.

Mijn Proxmox servertje is een HP i7 (4c / 4t = 8 logic cores) met 16gb ram. Systeem drive is een samsung pro ssd. En heb 3x 2tb wd red drives erin in (software) raid5.

Dus zoveel bijzonders is het niet dat ding heb ik ooit voor 100,- gekocht.

En staat alweer paar jaar 24/7 aan.

Ik heb nog zo'n i7 dubbelganger als backup server die elke week snachts automatisch gestart word (wol in een cron job) en gesynchroniseerd word (rsync script) met de "productie Proxmox" server.

En heb nog 3x 2tb drives in de kast liggen voor als eens iets mocht gebeuren met een van die 2 raid5 arrays.

Al die domeinen en hosting kost je ook genoeg.

wat je ook kan doen is een vps huren en daar alles samen op zetten al die websites je mail server inrichten in die debian vps. je betaald een bedragje per maand en klaar. Denk dat dat het goedkoopste is.

Op zo'n hardware server van een provider verhuren ze vele van die vps virtuele systemen en dus betaal je ook maar een deel van de stroom kosten. Als je thuis je systeem laat draaien ben je duurder uit vermoed ik.

En zo'n debian vps is verder ook helemaal leeg kan je helemaal zelf inrichten en opbouwen zoals je zelf wil.