Mail-Server ständig auf CBL-Blacklist

[Gast Hornochse]

Liebe Community,

wir sind langsam echt am verzweifeln.

Unser Mailserver (Exchange 2010) landet seit ca. Januar ständig auf der CBL/Spamhaus Blacklist.

Ein Delisting funktioniert zwar, jedoch sind wir nach kurzer Zeit wieder gelistet.

Nun war mehrere Wochen Ruhe, aber seit zwei Tagen geht es wieder los...

Was wir bis jetzt unternommen haben:

- Netzwerk (4 Subnetze an unterschiedlichen Standorten) auf Con****er getestet - negativ

- Microsoft ISA Server 2006 durch eine Fortigate ersetzt

- Port 25 nur für den Exchange-Server freigegeben

- Linux-Mail-Server eingerichtet, der die Mails vom Exchange als Relay verschickt

- Alle offenen Ports der Rechner im Netzwerk gecheckt - SMTP läuft nur auf den Brother-Netzwerkdruckern, nicht auf den Clients

- SSL-VPN-Verbindungen per Fortigate eingerichtet - jeder User verbindet sich zuhause mit seinem persönlichen Account

Wir wissen einfach nicht mehr weiter - was können wir denn noch unternehmen, dass wir nicht mehr geblacklistet werden?

Vielen Dank für eure Hilfe!

Alexander

EDIT: Das was da oben vom Forum mit Sternchen ersetzt wurde, ist der bekannte Netzwerk-Wurm "C o n f i c k e r" ;-)

Bearbeitet 4. April 2014 von Hornochse

[medprofiler]

Hallo Alexander

Hhm, ab Januar... das ist merkwürdig.

Nach euren Lösungsversuchen zu urteilen liegt es wohl nicht an der internen Konfiguration.

Hat das Unternehmen vielleicht den ISP gewechselt oder gab es sonst irgend welche

"Auffälligkeiten" / Veränderungen zum Jahreswechsel?

Steht der Mailserver dediziert irgendwo und nutzt einen separaten Internetanschluss

oder steht der in einem der "Filialstandorte"?

Dann gehe ich fest davon aus das euer Unternehmen /Mailserver über eine gültige statische IP verfügt.

Wenn IPv6 verfügbar, ist auch ein rPTR für IPv6 gesetzt?

(wobei das eher bei Freenet und Co. dafür sorgt das die Mails als unzustellbar zurück geschickt werden)

Einen hab ich noch: warum Port 25 und nicht Submission auf 587?

Vielleicht kann euch Spamhaus auch mitteilen wegen welchem Kriterium/Regel der Server immer wieder auf der Liste landet...?

Liebe Grüße

[flashpixx]

Habt ihr mal die Logs durchgesehen, ob da etwas ungewöhnliches auftaucht?

Wer geht denn alles über die IP raus, auch die internen Rechner? Habt ihr mal geprüft, wenn interne Rechner darüber laufen, dass da keine Mailangriffe von einem internen Rechner gesendet werden? In dem Fall würde bei einem Reverse-Lookup, immer die externe IP erscheinen.

Ihr habt nicht aus Versehen nach einem Update / Konfigurationsänderung ein offenes Relay erzeugt?

Phil

[XspYroX]

Das einfachste und sicherste hat medprofiler schon vorgeschlagen:

Fragt einfach bei Spamhaus nach, welches Kriterium da anschlägt.

Die müssen ja Logs darüber haben und können dann genau sagen, warum ihr dort landet.

[HANDSHAKE]

Wieviele Internet Anschlüsse habt Ihr, wenn mehr als einen, dann schau mal ob smtp nur über eine leitung versendet wird!