sorucevap.com : MS Exchange Sunucunuz relay`e kapalımı?
Sunucu Yazılımları BT Anasayfa Soru Sor Ders Yaz İpucu Yaz Örnek Uyg. Yaz Öneri Yaz
Exchange Server > Dersler Exchange Server Puanınız: 0 kp
Yazan: mehmetm Puan : 45 kp 2 Temmuz '03 21:52
Ağustos 1999`da, Microsoft Exchange`in mail-relaying açığını kapatmak için Service Pack2 sonrası bir hotfix çıkardı. Bu yama, sunucuyu relaye kapamış olsanız dahi Internet Mail Service (IMS) deki encapsulated SMTP mesajlarının relay edilebilmesi problemini ortadan kaldırdı.
Fakat pek çok firma sunucularını güvenli hale getirmedi. 20 sitelik bir çabuk test ile yüzde 60 ile 70 arası bir kesimin bu yamayı uygulamadıklarını yada Internet Engineering Task Force`un (IETF) Requests For Comments (RFC) 2505 de önerdiği şekilde relay`i bloklamak için ayar yapmadıklarını gördüm.
Eğer sunucunuzu relay`e karşı tamamen güvenli hale getirmezseniz harici bir kullanıcı sizin sunucunuzdan ve muhtemelen sizin posta hesaplarınızdan birinden gidiyor gibi görünen epostalar gönderebilir. Pek çok ülkede insanlar, sistemleri başkaları tarafından kullanılan sistem sahiplerinin bundan sorumlu olup olmadığını tartışıyorlar. Tartışmanın en önemli noktası sistem sahibinin problemi biliyor olup bu konuda hiçbirşey yapmıyor olması. Sahibinin sorumlu olması yanında, relay aynı zamanda sistem kaynaklarından harcadığı için bir çeşit Denial of Service (DoS) saldırısı. Relay`e açık olmak müşterilerin güveni açısından firmanızın işleri içinde kötü.
Sisteminizi relay`e karşı korumak için neler yapılabileceğine göz atalım.
Şubat 1999`da, IETF RFC 2505`i (SMTP MTA`lar için Anti-Spam tavsiyeleri) yayınladı. Bu RFC talepsiz ticari amaçlı epostalarla (UCE veya spam) ilgili problemleri açıklıyor ve SMTP mesaj transfer araçlarını, UCE etkilerini azaltacak şekilde çalıştırmada tavsiyelerde bulunuyor. RFC 2505 ikisi relaying ile alakalı olacak şekilde 13 tavsiyede bulunuyor:
* Bir sistem mail relay olarak yetkisiz kullanımı kısıtlayabilmelidir.
* Bir sistem farklı kurallar için farklı geri-dönüş/cevap kodları sağlayabilmeli ve ayarlanabilmelidir (ör. 451 Temp Fail ve 550 Fatal Error). Belirlenmiş geri-dönüş kodları normal mesaj teslimatının bloklanmasındaki problemleri bulabilmenizi sağlar.
Eğer Exchange Server 5.5 kullanıyorsanız, bu tavsiyeleri uygulayacak ve kaynaklarınızın yetkisiz kullanımını engelleyecek araçlar mevcut. Bu araçları tam olarak kullanabilmeniz ve sisteminizin antirelay savunmasını ayarlamak için, SP2 veya üzerini ve 'encapsulated relaying' yamasını kurmuş olmanız gerekiyor. Alternatif olarak, hotfix`ide içeren SP3 kurulabilir. Exchange Server 5.5 SP2 öncesinde relay`i sadece registry`yi manuel olarak edit ederek engelleyebiliyordunuz.
Sekilde goruldugu gibi Internet Mail Service ayarları Routing sekmesindeki iki seçenek ile mail relay`i kontrol edebiliyorsunuz. Mantıklı seçim 'Do not reroute incoming SMTP mail' gibi gorunuyor fakat bu seçenegin (gorundugu kadar güvenli olmaması gibi) bazı dezavantajları var. Bu seçenek seçildiğinde IMS`in mesajları relay etmesi önlenebiliyor fakat IMS hala mesajları kabul ediyor ve sonra alıcının adresinin sistemde var olmadığını belirten bir teslimat-yapamama raporu (nondelivery report - NDR) yaratıyor. Bu konfigürasyon ikinci RFC tavsiyesini karşılamıyor çünkü başarıyı gösteren bir hata kodu dönüyor ve hatalı teslimat raporu yaratıyor.
Eğer sunucunuz 'Do not reroute incoming SMTP mail' ayarı ile çalışıyorsa ve Internet`te başka bir yerde eposta hesabınız varsa, bir3 POP mesaj istemcisini Exchange sunucunuzu SMTP host olarak kullanacak şekilde ayarlayarak yukarda bahsettiğim açığı test edebilirsiniz. Örneğin, eğer Outlook kullanıyorsanız ve harici adresiniz ali@falan.comise, Outlook`un Internet E-posta ayarları bölümünde Genel sekmesinde eposta ve geridönüş adresini ali@falan.comolaacak şekilde ayarlayın. Sunucular sekmesinde, Dışarı giden mailler için Exchange sunucunuzun IP adresini yada host ismini yazın. Bir mesaj hazırlayıp bir arkadaşınızın adresine gönderin. Exchange mesajı kabul edecektir fakat harici adresinize bir NDR raporu gelecektir.
IMS yardım ekranı bu davranışın dizayn itibarı olduğunu belirtiyor fakat bu özelliğin iki ana dezavantajı var. Birincisi bu konfigürasyon sisteminizin ters UCE`nin ve hatta mesaj bombardımanının kaynağı olmasına yol açabiliyor. İkincisi, konfigürasyon sisteminize gereksiz işlem engeli ekliyor.
Ters UCE. Eğer sisteminizi 'Do not reroute incoming SMTP mail'e ayarlarsanız, kötü amaçlı kullanıcılar bir başka sistemi SMTP mesajları ile bombalamak için sisteminizi saldırı kaynak noktası olarak kullanabilirler. Mesaj firmanızın adresini içereceğinden siz göndermiş gibi görüneceksiniz. Gönderen ile alıcı arasında geçen SMTP protokolü diyaloglarını detaylı olarak incelemek isterseniz Mark Minasi`nin Windows NT Magazine deki 'Untangling Email' (Nisan 1998) yazısını okuyabilirsiniz. Figür 1 tipik bir SMTP diyaloğu göstermektedir.
Sistem bu komutların herbirini yolladığında Exchange sunucu, sisteme bir kod döner. Bu kod ya 250 OK dir, ki bu başarılı olduğunu gösterir, yada '501 Unrecognized Parameter' gibi başka bir hata kodu döner. SMTP protokolü başarılı işlem için 200-seviye kod, geçici hatalar için 400-seviye kod ve kritik hatalar için 500-seviye kod belirler.
IMS`in bir mesajı teslim etmeye karar vermesindeki mantık aşağıdaki gibidir:
1. Gönderenin adresini kabul et.
2. Alıcının adresini kabul et.
3. Mesaj başlığı ve gövde yazısını içeren bir bilgi akışını kabul et.
4. Kullanıcının yerel sistem üyesi olup olmadığını belirle (ör. adresin Global Adress List-GAL da olup olmadığı).
5. Eğer cevap evet ise, mesajı yerel alıcıya teslim et. Eğer cevap hayır ise gönderenin adresini kullanarak bir NDR yarat.
Beşinci adım sistemin mesajı gönderen adrese yönlendirmesi ile sonuçlandığından, kötü amaçlı bir kullanıcı var olmayan bir alıcı adresi belirleyip (RCPT TO) geçerli bir gönderen adresi (saldırının hedefi) girerek Exchange IMS`e çok sayıda mesaj göndererek bir saldırı gerçekleştirebilir. Her durumda, kötü amaçlı kullanıcı istenilmeyen bir mesajın hedefe gitmesini sağlayabilir.
Sisteminizde Gereksiz engel.
'Do not reroute incoming SMTP mail' ayarının ikinci dezavantajını SMTP diyalogunu okuyarak görebilirsiniz. IMS`e aşağıdaki bilgileri sağlıyorsunuz:
Mesajı gönderen (MAIL FROM), Mesajın alıcısı (RCPT TO) ve mesaj (DATA). POP3 istemciniz bir mesaj gönderdiğinde, test`de olduğu gibi, aynı işlemleri uygular. O anki konfigürasyonda (Do not reroute incoming SMTP mail), IMS RCPT TO girdisini kabul eder ve alıcı yerel sistemin bir parçası olmasada 250 OK cevap kodunu döner. Sonra, IMS DATA komutunu çalıştırmanıza izin verir, ki bununla megabyte`larca mesaj gövdesi yazısı girebilirsiniz. Bu işlem sistem NDR yaratsada sisteminizin kaynaklarını bağlayabilir.
Daha İyi Bir Seçenek
Eğer bu işlemleri relay`i önleyecek şekilde ayarladığınız bir UNIX host üzerinde denerseniz, yerel olmayan bir alıcı girdiğinizde bir 550 Relaying prohibited SMTP hata kodu alırsınız. Bu sonuç beklenen sonuçtur, RFC tavsiyesini karşılar ve yukarda belirttiğim iki açığı etkisiz hale getirir. Bu konfigürasyonda IMS relay`i engellemeden önce sadece 4 adım ilerler:
3. Kullanıcının yerel sistem üyesi olup olmadığını belirle (ör. adresin Global Adress List-GAL da olup olmadığı).
4. Eğer cevap evet ise, 250 ok döndür ve alıcıyı kabul et; eğer hayır ise, 550 Relaying prohibited hata kodunu döndür (5. ve 6. adımlara geçme).
5. Mesaj başlığı ve gövde yazısını içeren bir bilgi akışını kabul et.
6. Mesaji yerel alıcıya teslim et.
IMS bu mantığı takip ettiğinde, eğer gönderen sistem geçerli bir alıcı belirtmezse sunucu 503 Need RCPT TO komutu ile cevap verir ve gönderenin DATA komutunu çalıştırmasına izin vermez. Bu davranış gönderenin uzun bir mesajı okuma yada kaydetmesi gibi sistem kaynaklarını harcayacak işlemleri gerçekleştirmesini engeller. Bu davranış ayrıca sistemin bir NDR yaratma ve gönderme yükünüde kaldırır.
Sisteminizi aynı şekilde ayarlamak isterseniz, Resim 2 de görüldüğü gibi IMS ayarları bölümünde Routing sekmesindeki 'Reroute incoming SMTP mail' seçeneğini seçmelisiniz. Bu seçenek amacımıza aykırı gibi görünsede eğer düzgün yapılandırırsanız daha güvenli bir sistem sağlar. Bu seçeneği seçtikten sonra IMS`in sorumlu olacağı tüm alanları (domain) girmelisiniz. Örneğin, Exchange sunucuyu relay için kullanmaya ihtiyacı olan dahili ve harici sistemlerinizin olmadığını ve POP veya IMAP istemcileri kullanmadığınızı varsayalım. Temel alan adınız realdomain.com ve başka bir firma içinde mesaj hizmeti sunuyorsunuz: virtualdomain.com
Routing sekmesinde, realdomain.com ve virtualdoamin.com`u Sent listesine ekleyin. Bu alanları eklediğinizde, Resim 3 de de görebileceğiniz gibi seçebileceğiniz 3 routing seçeneğiniz var.
* Should be accepted as 'Inbound' bu alan adındaki tüm alıcıların GAL`de karşılık olarak bir SMTP adresine sahip olmasını gerektiriyor.
* Override relay restrictions. Her durumda 'relay' e izin verme, alanın Routing kısıtlamaları ile ayarlanan kısıtlamalardan hariç tutulmasını sağlar.
* Should be rerouted to this domain seçeneği sistemin mesajı yönlendireceği alanı girmenizi sağlar. IMS orjinal alan adını burda belirlediğinizle değiştirir. Örneğin, eğer mesaj ali@falan.com`a gelirse, sistem adresi ali@filan.comolacak şekilde tekrar yazar ve mesajı filan.com posta sunucusuna gönderir.
Seçim hem realdomain.com hemde virtualdomain.com için 'inbound' olarak kabul edilmelidir. Bu seçenekte dahili makineleri ve adresleri sakladığınız ve belirli alanlara relay yaptığınız kompleks senaryolara sahip olmadığınız varsayılmaktadır.
routing seçeneği konfigürasyonun sadece bir parçası. Sisteminizin relay için ardına kadar açık olmaması için routing kısıtlamaları belirlemelisiniz. Microsoft`un 'XFOR: Restricting Routing in the Internet Mail Service' (http://support.microsoft.com/support/kb/articles/q196/6/26.asp) dokümanında routing kısıtlamaları seçeneklerini nasıl seçeceğiniz anlatılıyor.
Resim 4 de gördüğünüz diyalog kutusunu açmak için Routing sekmesinde Routing Restrictions`a tıklayın. Sunucunuz üzerinden teslimat yapılması ve tekrar yönlendirme yapılmasına izin vereceğiniz sistemlerin IP adreslerini girin. Bu diyalog Exchange sunucunun relay yeteneklerine erişimi kontrol etmenizi bazı belirli durumlarda sağlıyor:
* Hosts and clients that successfully authenticate seçeneği, gönderenin yada sistemin kimliğini onaylayacak ek bir güvenlik mekanızması olduğunu varsaymaktadır.Örneğin, bir hostun relay`ini onaylatmak için bir SMTP Auth komutu veya NT LAN Manager (NTLM) bilgisi kullanması gerekebilir.
* Hosts and clients with these IP addresses seçeneği belirli makinelere yada belirli alt-ağlardaki makinelere Exchange`i relay olarak kullanabilme yetkisi vermenizi sağlar.
* Hosts and clients connecting to these internal addresses seçeneği multihomed (birden fazla ağ arabirimi olan) sistemdeki belirli bir arabirime ulaşabilen sistemlerin relay yapabilmesini belirlemenizi sağlar.
* Specify the hosts and clients that can NEVER route mail seçeneği bir alt-ağ gibi geniş bir gruba relay izni verdiğinizde belirli makinelerin relay yapabilmesini yasaklayabilmenizi sağlar.
Microsoft dokümanının ve çevrimiçi yardımın bahsetmediği konu, bir routing kısıtlaması seçtiğinizde, hiçbir IP bilgisi girmemeyi seçebilmenizdir. Hosts and clients with these IP addresses kutusunu işaretleyebilir fakat herhangi bir IP adresi girmeyebilirsiniz. Exchange sunucunuzun relay yapması için belirli bir ihtiyacınız yoksa, bu bölümde hiçbir IP adresi girmeyin. Bu seçim IMS`in SMTP protokolünü değerlendirirken kullandığı kuralları değiştirir. IMS`in RCPT TO girdisini körü körüne kabul etmesine izin vermek yerine, bu seçim sayesinde IMS`in bir mesaj yüklemeden önce yerel teslimatı kontrol etmesi sağlanabilir. Eğer alıcı yerel değil ise IMS 550 Relaying prohibited dönecektir.
Değişikliklerin aktif olması için IMS`i durdurup tekrar başlatın. Eğer sisteminizin yerel alıcılara mesaj kabul ederken relay`i reddettigini onaylamak istiyorsanız SMTP portuna telnet oturumu açabilirsiniz. Telnet`i açın ve Exchange sunucunuzun 25 nolu portuna bağlanın. Start, Run`a girip:
telnet sunucuismi 25
yazarak bağlanabilirsiniz. Sunucu ismi yerine Exchange sunucunuzun ismini yazın. Exchange sunucu:
220 host.domain.com ESMTP Server (Microsoft Exchange Internet Mail Service 5.5.2650.10) ready
benzeri bir mesaj dönecektir. Sonra aşağıdaki komutları girin.
Komutlarda büyük küçük harf ayrımı yok fakat noktalama işaretleri (ör. : , <>) önemli.
1. HELO me
Sunucu 250 OK ile cevap verecektir ve IP adresinizi ve muhtemelen host isminizi tanıyacaktır.
2. MAIL FROM:<mail to="birisim@birdomain.com" subject="" text="birisim@birdomain.com" />
Sunucu yine 250 OK ile cevap verecektir.
3. RCPT TO:<mail to="hickimse@sahtebirdomain.com" subject="" text="hickimse@sahtebirdomain.com" />
Sunucu 550 Relaying prohibited ile cevap verecektir.
4. GAL`daki (Global adres listesi) geçerli bir adresi kullanarak:
RCPT TO: gerçekadres@domaininiz
IMS 250 OK ile cevap verecek ve adresi kabul edecektir.
5. oturumu kapatmak için
Sunucunuzu ve Saygınlığınızı Koruyun
Bu değişiklikler Exchange sunucunuzu relay`e karşı koruyacak ve saygınlığınızı korumada yardımcı olacaktır. Eğer relay`e izin vermek ihtiyacı duyarsanız, Microsoft`un 'XFOR: New IMS Routing Functionality in Exchange Server 5.0 SP2' (http://support.microsoft.com/support/kb/articles/q169/6/83.asp' ve 'XFOR: Restricting Routing in the Internet Mail Service' dokümanlarına danışın. Sisteminizi mümkün olduğunca az sisteme relay`e açarsanız daha güvenli olacaktır. Ve ayarlarınızı test etmeyi unutmayın.
Ref: Michael Smith http://www.exchangeadmin.com/Articles/Index.cfm?ArticleID=7695
Konu: Exchange Server 2 kişi okuyup oyladı: İyi
1- EXCHANGE DURDURMA 250 halidziya
2- outlook ta gözüken isim 250 tekniik
3- Mail sorunu 250 spy1980
4- mail 250 tmakgun
5- Ofis 07 ile Mic Mail 3.x Kullanılır mı? 250 mtiske
6- bir kullanıcının gelen maillerini 3 kişiye iletmek 250 esenerk
7- ana makinaya kurulan kılasik bir mail adresini bi 250 M_K_
8- Exchange 2000 Mail Gitmiyor ? 250 by_J
9- acil demokrasi 250 paganinx
10- ders 250 inanki_erdem
1- exchange server resimli ve görsel temel kurulum 75 pelops
Microsoft TCP/IP for Windows NT
2- Cep Telefonu ile Uçak Düşürmek 75 kerimdereli
3- programlama dilleri hakkındaki bütün sorularınız b 75 karajack
4- Exchange Server’ın Yüklenmesi 75 sakyn
5- Tek kablo ile iki bilgisayar kullanma 60 fevziccc
6- Tek kablo ile iki bilgisayar kullanma 60 fevziccc
7- Tek kablo ile iki bilgisayar kullanma 60 fevziccc
8- Tek utp kablo ile iki bilgisayarı networke dahil e 75 fevziccc
9- MS Exchange Sunucunuz relay`e kapalımı? 45 mehmetm
10- exchange 20000 75 onur2000
1- Outlook'ta yeni bir profil oluşturdunuz ÇALIŞMADIM 15 ozcann
2- Outlook'ta yeni bir profil oluşturdunuz ÇALIŞMADIM 15 ozcann