Problemer med mailserver.

Lytter lige med, har samme problem med min mailserver, at den sender en masse mails.

Prøv at starte med at kigge i dine queues (Admin groups -> First adm. -> Servers -> Servernavn -> queues)
Her kan du se hvilken protokol der arbejder med hvormange mails - og det skulle være med til at give dig et overblik! - Du kan også se hvilke mails den arbejder med, ved at søge direkte i strengen.
Hvis du bruger Exchange 2k3 har du også mulighed for at kunne disable outbound mail, hvis du har mistanke til at det er dig der spam'er - så vil alt udgående trafik stoppe, og du vil kunne få lejlighed til at se hvad det er din mailserver laver! :)

Håber det kan hjælpe dig/jer?!? :)

/holmus

ok... Det er desværre kun 2000 vi bruger.

Jeg har nu testet de to ip ind i huset på abuse.net, samt sat vores mailfirewall på ordb.org testen. Abuse.net kunne ikke sende noget, så min mistanke om at det er noget der kommer indefra er forstærket.

Jeg prøver lige at kigge i køerne og se om jeg kan finde noget.. :-)

Det kan godt være det er mig der er en kegle nu. Men hvor finder jeg adm. groups?

Åhh... Den ligger et helt andet sted i exchange 2k... 2 sek. skal lige lokalisere hvor! :)

Luk for port 25 på dine fw'er (hvorfor har du dog 2 - relaying configureres på mail serveren, ikke på fw) undtagen for din mail server. Husk logning af port 25.

Jeg har queues under System Manager -> servers -> stmp -> def. smtp -> queues

Men de er alle tomme

Min firewall 2 er en decideret mail firewall - Mxtreme - spam, av, plus andre mail ting som malformed mails osv bliver stoppet der.

Hvis jeg lukker for port 25 er der vel ikke meget mail der virker er der?

godt så... Er ikke 100% hjemme i Exchange 2k - sprang fra 5.5 -> 2k3! :)

ok... så der er ikke så meget hjælp at hente så eller hvad.. :,(

tjoh... Dit problem er mere relay agtigt og ikke afhængig af din server version... :-)

Hvis du lukker for port 25, nej så er vil der ikke være mail der som sådan kommer ind i huset.

Nu falder jeg lige over at du har en mExtreme boks - hvad siger loggen i den? - hvor megen aktivitet har i i den?

Der skal selvfølgelig være åbent udefra på port 25, men internt er det kun din mail server der bruger porten.

De nævner ikke noget om relay blocking på borderwares hjemmeside.

Der sker en del... vores størrelse taget i betragtning.
Den sidste time er der modtaget 375 mails, og sendt 158 - de 133 modtagne mails er gået igennem, men en del af dem er også spam der bare ikke er blevet fanget..

Men vi sidder pt. ca. 10-15 mennesker bag mxtreme, og vi sender formentlig ikke 160 mails i timen..

Der er især en mail der bliver ved med at komme igen og igen
postmaster@rwfw1.cocoli joel.camposyo@"os"

Kan du ikke blackliste dem, ude i din boks?

nu har jeg prøvet at lukke for port 25 ud og ind (var lukket ind) på den alm. firewall.

Men det løser ikke mit problem med at finde ud af hvor mailsene bliver sendt fra... Nu får vi se om det stopper dem fra at blive sendt...

Den bliver godt nok rejected - men mxtreme modtager en ny hvert halve sekund ca. Og det kan jeg jo ikke gøre så meget ved - men den smider den bare væk.

har du ikke logning på port 25, så du kan se hvem der benytter sig af den.

Kan du trace dine badmails? - se i headeren og se hvorfor de kommer igennem...

Det med at lukke firewallen løser ikke "badmail" problemet - ergo bliver de vel stadig sendt et eller sted fra?

tekst fra badmail:
Received: from jimmy.advice.dk ([internIP]) by exchangeserver.kh17.advice.dk with Microsoft SMTPSVC(5.0.2195.6713);
    Thu, 12 Aug 2004 09:31:21 +0200
Received: from web196.bc.cbsig.net (web196.bc.cbsig.net [170.20.0.196])
    by jimmy.advice.dk (BorderWare MXtreme Mail Firewall) with SMTP id A695456B9B
    for <javierfairik@advice.dk>; Thu, 12 Aug 2004 09:31:20 +0200 (CEST)
Received: (qmail 6202 invoked from network); 12 Aug 2004 07:31:20 -0000
Received: from unknown (HELO nychubg01.cbs.ad.cbs.net) (170.20.9.150)
  by 170.20.0.20 with SMTP; 12 Aug 2004 07:31:20 -0000
Received: by nychubg01.cbs.com with Internet Mail Service (5.5.2657.72)
    id <QJHDR9M5>; Thu, 12 Aug 2004 03:26:28 -0400
Message-ID: <A952001BA7EDD511802F000629D57EBE3574F3D0@nycblkr00hubg03.cbs.com>
From: System Administrator <postmaster@cbs.com>
To: javierfairik@advice.dk

De kommer fordi en eller anden har sendt med vores domænenavn - og så får vi at vide at den adresse der er sendt til ikke eksisterer... Men jeg synes ikke jeg kan se hvorfra den er sendt oprindeligt...

Jeg mener jeg har hørt lidt om, det var selve windows der gjorde det, det var noget med IPX/SPX protokollen og Netbeui, men kan ikke huske hvor man skal fjerne dem om det var på serveren eller på klienterne.

Kan der ikke være noget om det.

Jeg tror ikke windows af sig selv sender spam mails - men der må jo være et hul et sted...
Kan der være nogle andre et sted udenfor her der sender disse spammails med vores navn - og så bliver vi bare bombarderet med svarene?

Hvis du virkeligt gerne vil slippe for dine badmails, så kan du blackliste postmaster@  i afsender - Det ser umiddelbart ud til at du er blevet offer for et reelt virus/spam attack, hvor nogle benytter dit advice.dk som afsender...

Så prøv evt. det - så vil du i hvert tilfælde få en stor del badmails væk... Men det er altså ikke en anbefaling som du skal blive ved med at køre med.. Du skal finde ud af hvorfor de kommer, og om du kan spærre dem sådan mere "enkelt vis" :-)

De kommer ganske simpelt fra et spamarkiv - som indeholder jeres domæne, sammen med vel sagtens 10000 andre domæner! ;-)
Noget rigtigt gejl... :)

Hvad kan jeg gøre hvis der er nogle der bruger vores navn til at sende spam?
Nada? eller bare ingenting. Med den protokol der er idag kan jeg vel ikke forhindre nogle i at gøre det?

jeg kan se vores mxtreme er ved at blive testet af ordb.. Og det ser ud til at det bliver rejected det hele...
Jeg tror jeg slår badmail fra - der kommer ca. en mail eller 2 i minuttet... Det løber jo op selv om de ikke er så store hver især...

Nej, ikke i dag - jeg er sammen med TDC i færd med at få Borderware til at lave et add-on til mExtreme, som arbejder med en whitelistning jf. tidligere eksempel fra et norsk Universitet! :) Så vil du få en chance.

Men indtil da, er det svært at dæmre op for... :-(

Prøv lige at læse denne artikel og check dine settings.

http://www.msexchange.org/pages/article.asp?id=54

Prøv at lave en blackliste på postmaster@ i din Antispam på din mExtreme boks, og se hvor meget effekt det vil have! :)

hmm... nå men jeg fandt da på en forklaring jeg kan give videre.. At det må være nogle andre som sender dem - så må jeg bare være lidt obs på vores logfiler, og se om der er nogle spammails der kommer "indefra" - det ødelægger jo sådan set også vores mxtreme da den ser disse som trusted - og derfor vil putte spam mails ind i filteret som "gode" mails. Og det er jo ikke helt på toppen.

Jeg slog autorisation til igår, så man skulle være autoriseret for at aflevere mail til vores mailserver - det stoppede badmail - men også alt andet - så det var jo ikke løsningen.. Kan ikke lige finde et sted i mxTreme hvor jeg kan sætte op at den skal "logge ind" på exchange'n for at aflevere post.

men hvis jeg blacklister postmaster - så vil jeg jo heller ikke få mails som er reelle sendt til denne adresse. Kan ikke lige huske om den er registreret hos dk-hostmaster eller andre steder. Og det er jo ikke godt..

Men korrekt jeg kan selvf. gøre det på den måde.

Men jeg tror jeg vælger at sætte exchange til ikke at gemme badmails - med de forringelser det så giver for andre "fejlfindinger"

Kan man få mxTreme til at checke om en mail på vej ind i huset, er rettet til en emailadresse som exchangen kender - for hvis man kan det, så kan vi stoppe de fleste af disse badmails på mxtremen istedet for vores mailserver...

fin artikel - alle opsætninger var som der stod de skulle være nu - min chef slog i god tro, nøjagtig som der sted i artiklen, anonym autorisation fra i går - hvilket medvirkede der slet ikke kom nogen mails... :-)

Har lige prøvet at "fryse" internet-smtp connectoren på exchangen. Der kom selvfølgelig nogle mails til at ligge i kø - deribland mange fra postmaster@advice.dk - til underlige adresser - hvilket siger SPAM!! til mig.

undskyld sproget... Men hvor fanden kan de komme fra - når jeg er blevet testet ikke open relay - så må de da komme indefra...

From: Internet Mail Delivery <postmaster@advice.dk>
Subject: Delivery Notification: Delivery has failed

Siger det mailhoved nogen noget? Virus eller spam?

tak for hjælpen... det lader til folk er smuttet igen...

Jeg kan desværre stadig ikke finde ud af hvor de mails fra postmaster@ kommer fra internt... Men det er et fakta at der engang imellem kommer et læs der bliver skudt afsted..

Hej Ann

Den mail du undrer dig over, er en std. mail, som exchange laver, når der sendes til en bruger som ikke har en konto hos jer - så sender den en failed error! :)

Mht. blacklistning og whitelistning - så kan du jo lave en blacklistning på postmaster@ med rate low, og en whitelistning på postmaster@advice.dk med en rate på high! :)

/holmus

Clever thinking.

Og lidt doh herfra - men man kan ikke lade være med at blive mistænksom når det går som det gør ligenu herinde. Det vil sige postmaster er egentlig bare et reply på hvis en spam mail med ukendt modtager ryger igennem mxtreme og ind til exchange.

Så har jeg også den på plads. Tror forresten jeg har fundet "hullet". Vi har en ekstern mailserver som står hosted et sted ude i byen. En linux med qmail - som jeg ikke kender så meget til.. Jeg kan se at mange af de "badmails" vi får tilbage er modtaget af denne server oprindeligt - selv om jeg synes den er blevet checket af ordb som ikke relay lader det til at der måske er et hul der... Og at man kan sende fra den hvis man bruger vores domænenavn...