Je kan in firewall log zien of en wat eventueel poort 25 blokkeert.
Als pfblocker of iets als Snort iets blokkeert zie ik dat op deze plek.
@Random Heel nuttig, dank je wel 🙏. Dit zie ik staan in de log, dus er wordt inderdaad geblokkeerd. Nu moet ik er alleen nog achter zien te komen welke blocklist de boosdoener is.
Ik neem aan dat je een NAT forward en firewall rule hebt gemaakt in pfsense naat je mail server?
Als ik in mijn firewall log kijk zien de blokkades van pfblocker er zo uit als hieronder.
Je kan ook tijdelijk pfblocker even uit zetten en dan testen.
Je kan vervolgens in pfblocker ook kijken waarom het word tegen gehouden.
Misschien is het wel terecht.
Je hebt juist voor die reden pfblocker in gebruik zodat je poorten die open staan op de WAN ietwat bescherm worden. Als je geen open poorten nodig had hoefde je ook niet pfblocker in de WAN te zetten want die staat standaard immers dicht voor alles.
In pfblocker onder reports kan je zoeken op rule id nummer.
Hiermee kan je zien in welke blocklist het geblokkeerde ip staat.
Oke ik heb m gevonden:
Het is een class C netwerk 5.254.117.0/24, dat behoort toe aan mijn.host ISP. Ik ben daar klant, dus wanneer ik mijzelf een testmail stuur komt die terug vanaf een van hun servers, in dit geval 5.254.117.212.
Nu staat deze in blocklist GB_rep_v4 volgens de pfBlocker Reports Unified zoekopdracht. Hiermee hebben we dus gevonden waar het probleem zit. Ik kan niet zoveel aan die blocklist veranderen en ik kan m ook niet vinden, ook niet bij pfBlocker -> Logs -> GeoIP files -> hele lange lijst.
Het meest eenvoudig lijkt me nu om dit IP (of het hele /24 netwerk) te whitelisten.
Wat wil je precies blocken op je openstaande poorten zoals je mail poort?
Soms is iets (1 land zoals NLD) inderdaad white listen beter dan de rest van de wereld black listen.
Zo heb ik bv mijn webserver alleen toegankelijk gemaakt voor alleen IP adressen uit NLD die heb ik white listed en de rest van de wereld heeft geen toegang.
Die GB_rep_v4 lijkt me een IPv4 geoip list van het VK.
Ik maak in pfblocker een alias met alleen ipv4 en ipv6 adressen van NLD. Hieronder het IPv4 voorbeeld.
En deze stel ik in de wan bij de http rule als source in. Of in jouw geval je mail server uiteraard.
Op deze manier kunnen alleen IP adressen uit NLD op mijn lokale HTTP server verbinding maken en de rest van de wereld niet.
Ipv heel nld whitelisten kan je ook 1 of een specifieke groep vertrouwde IP adressen whitelisten ipv op basis van geoip een heel land.
Je hebt block lijsten met ip's met een slechte reputatie inderdaad en je hebt geoip lijsten die gewoon een goeie rep hebben. Dus als jij zoals je schrijft van geoip gebruik maakt kan het zijn dat je ip's met een goede rep toch blokkeert dus wat doe je precies in geoip heb je daar iets van landen geblokkeerd? Want dat zou kunnen verklaren dat je een ip (range) met een goeie rep toch geblokkeerd hebt. En ja zeker is het gek dat een NLD ip in een geoip zit van het VK maar wie weet doet dat NLDse bedrijf zaken met een VK bedrijf.
Het kan inderdaad ook nog dat een ip adres onterecht als slecht is aangemerkt door toe doen van een client die ongewenste dingen heeft zitten doen. maar ja dan komt dat niet in een geoip lijst maar op een slechte rep blocklist.
Ik heb mijn webserver alleen voor NLD toegankelijk gemaakt mijn mail server is weer een ander verhaal die heeft alleen contact met de smarthost van mijn registrar ik gebruik hun smtp server als relay dus in mijn wan kan alleen die ip range van die smtp relay contact maken met mijn mail server hier thuis.
Mijn lokale websites hebben uiteraard https en ook de htst header ingesteld.
Mijn websites scoren op securityheaders.com en internet.nl 100% en ook op ssllabs score ik A en A+ op verschillende van mijn websites.
Ik heb pfblocker inderdaad ingesteld zodat het de floating rules gebruikt en inderdaad voor de reden dat floating rules eerder worden uitgevoerd dan interface rules dat heb je goed onthouden. Maar ze waren ook niet zichtbaar omdat ik het plaatje bewerkt had zodat alleen de relevante rules te zien zijn.
Ik probeer niet onnodig teveel informatie te delen wat niet perse nodig is. Wat men op Internet niet weet kan niet tegen je gebruikt worden nietwaar.
Maar in principe staat er in mijn WAN niets wat schadelijk zou kunnen zijn dus hieronder zie je een onbewerkte afbeelding van mijn WAN ik heb alle ip's en poorten toch allemaal in aliassen staan dus die zijn al niet zichtbaar.
Maar dan heb je een idee hoe ik het heb.
Ik denk dat die GB_rep_v4 onderdeel is van geoip van pfblocker.
Daarom de vraag: wat heb je precies in geoip ingesteld?
In dat geval heeft het niets met de reputatie van je isp te maken maar is het gewoon door een geoip instelling ontstaan dat zou wel e.e.a. verklaren.
Niet gevonden wat je zocht?
Vind de oplossing met onze zoekmachine
Vul de belangrijkste trefwoorden in en vind het topic die past bij je vraag. Onze community zit boordevol kennis.
Stel je vraag aan andere community leden
Start je eigen topic en krijg hulp van anderen. Op de community helpen ervaren klanten je graag op weg.
