Newsgroup: it.comp.os.linux.sys
Titolo: 25/tcp filtered smtp

salve a tutti,
ho un problema alquanto strano:
l'oggetto è l'output che mi viene tornato
da nmap durante una scansione ad un mio
host da remoto. il problema è che ho provato
a disabilitare completamente il firewall
e tutte le porte sono segnalate come unfiltered
(scansione ACK) mentre l'smtp e queste altre
vengono segnalate come filtered:
135/tcp filtered msrpc
137/tcp filtered netbios-ns
138/tcp filtered netbios-dgm
139/tcp filtered netbios-ssn
445/tcp filtered microsoft-ds
chi può essere il responsabile del blocco
di questi pacchetti?
ho provato a loggare i pacchetti in arrivo 
ma iptables addirittura non segnala niente in
arrivo sulla 25...
grazie a tutti!
-- 
L'unica cosa certa è che non esiste nulla di certo...

 di questi pacchetti?
  Il tuo pVovideV.
-- 
Alessandro Selli
http://alessandro.route-add.net
AVVERTENZA: i messaggi inviati a "trappola" non mi arriveranno.
WARNING: messages sent to "trappola" will never reach me.
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

   Il tuo pVovideV.
sul serio? e perchè tutto ciò?!


 sul serio? e perchè tutto ciò?!
Per evitare worm e relativi spambot vari.

 sul serio? e perchč tutto ciň?!
  Per limitare il pericolo d'infezione virale da parte dei loro
clienti windows, oltre a limitare il pericolo di spam impedendo
la gestione di un server SMTP privato.
  A me filtravano la porta TELNET, non ti dico le storie che ho
dovuto fare per farmi aprire quella porta.


 dovuto fare per farmi aprire quella porta.
maledetti!
adesso mi sentono...


 adesso mi sentono...
  Beh, oltre a mantenere un tono di pacata professionalità,
tieni presente quanto stressi i syadmin l'avere a che fare
con i clienti windows...
Con il mio provider l'ho spuntata soprattutto perché nel
contratto di fornitura del servizio non si faceva cenno a
nessuna limitazione di accessibilità dall'esterno a qualsiasi
porta o servizio che avrei voluto offrire dalla mia macchina.


 di questi pacchetti?
Il tuo provider.
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 adesso mi sentono...
Al 99% non ci caverai un ragno dal buco. In genere il modo più rapido
per riuscire ad ottenere in fretta l'abilitazione della porta 25 è
quello di richiedere un IP statico (quelli non vengono filtrati).
I contratti in genere lasciano spazio per questo tipo di azioni da
parte del provider, quindi non hai molto a cui aggrapparti.
Flavio

 parte del provider, quindi non hai molto a cui aggrapparti.
Magari usare la porta 587/tcp che è quella giusta per questo tipo di uso.
Ciao,
-- 
Daniele Orlandi

 Magari usare la porta 587/tcp che è quella giusta per questo tipo di uso.
AFAIU non è questo il caso.
Leggendo la rfc 2476 (
http://www.faqs.org/rfcs/rfc2476.html
) che è
quella che definisce l'uso della porta 587/tcp, il servizio sulla 587
serve per l'invio della posta (submission), non per la ricezione.
Questo significa che puoi utilizzare l'host solo per inviare la posta
ma non puoi avere per esempio un MX record di un dominio su dns
dinamico che punti alla tua macchina per ricevere la posta del tuo
dominio.
In ogni caso è assurdo che i provider possano permettersi di
rifiutarsi di riattivare un servizio per cui si paga. Cambiare porta
non è la soluzione ma è solo uno sporco workaround.
La soluzione sarebbe il boicottaggio dei providers che bloccano i
servizi, ma visto che il 90% degli utonti con l'adsl non sanno nemmeno
cos'è una porta anche questa soluzione avrebbe ben poca speranza di
riuscita.
Flavio

 Magari usare la porta 587/tcp che è quella giusta per questo tipo di uso.
abilitata... ma perchè i provider invece tentano
sempre sulla 25?
anche così mi finisce tutto sull'mx di backup
e quest'ultimo (postfix) tenta ancora sulla 25


 parte del provider, quindi non hai molto a cui aggrapparti.
  In genere le espressioni usate sono molto vaghe, tipo:
"Il provider si riserva il diritto di agire sulle caratteristiche
della connessione al fine di impedirne l'uso non conforme alle
norme di sicurezza o di salvaguardia dei dati sensibili o del
rispetto della normativa vigente sulla protezione dei diritti
d'autore...".  Ma quando il loro intervento ti impedisce l'uso
legittimo della connessione per scopi che hanno giustificato
l'allacciamento della connessione stessa, allora queste motivazioni
non possono valere.


 Leggendo la rfc 2476 (
http://www.faqs.org/rfcs/rfc2476.html
) che è
Quanto a quello, se vuoi rispettare le RFC non puoi mettere un MTA su ip 
dinamico. Quindi a monte.
Vuoi avere il tuo MTA?
IP statico.

 sempre sulla 25?
  Per obbligarti ad usare un server di posta esterno.  Concedere
ai propri clienti la possibilità di avere un server SMTP aperto su
Internet espone i provider al rischio di vedersi bloccato un blocco
di IP perché qualcuno ha configurato un tale server come open-relay,
cliente che magari neanche sa cosa sia un open-relay.


 riuscita.
Se vogliamo parlare di utopie, se la gente non lasciasse che le proprie
macchine venissero abusate non ci sarebbe bisogno di filtrare.
Ciao,
-- 
Daniele Orlandi

 cliente che magari neanche sa cosa sia un open-relay.
capisco ma perchè gli mta non tentano di
inoltrare le mail sulla 587 se non va la 25?


 inoltrare le mail sulla 587 se non va la 25?
Perchè la 587 è stata pensata apposta per separare la consegna che un 
MTA fa verso un altro MTA (sulla 25) da quella che un MUA fa verso l'MSA 
(che prima era fatto sulla 25 e che si cerca di far spostare sulla 587).
Se gli MTA usassero le due porte alla stessa stregua il tutto perderebbe 
di qualsiasi significato...

 di qualsiasi significato...
allora nel mio caso (ricevere la posta indirizzata al mio dominio)
l'MSA non serve a niente... devo farmi aprire quella bendetta
porta...


 porta...
probabilmente non ho capito,
il tuo server di posta e' su un ip statico o dinamico?
nel primo caso probabilmente (anzi sicuramente) la porta 25 non e'
filtrata, e magari e' bloccata in uscita dal tuo client, l'host remoto,
(ad esempio io ho l'adsl con tele2 e non mi fa collegare a nessun smtp se
non il loro).
se invece hai un server su ip dinamico, beh la domanda e' perche'?
ciao

 se invece hai un server su ip dinamico, beh la domanda e' perche'?
questa, il perchè è semplice, per praticità di avere
alcuni email direttamente sul server di casa,
ed il dominio è uno di quelli tipo 
widge.to
dyndns.org
, ...
il backup mx è su un ip statico, l'mx principale è
il mio su dinamico...
potrebbe apparire una cosa poco sensata ma a me
va bene così per svariati motivi....


 alcuni email direttamente sul server di casa,
[snip]
anche io ho un server casalingo che mi tiene la mia posta personale, ma
espone verso internet imap+ssl e raccoglie la posta tramite getmail. 
Se ci mettessi un server smtp semplicemente la maggior parte dei server
esterni si lamenterebbero che e' su un ip dinamico (e tutti quelli
configurati a modino rifiuterebbero la posta da lui)
come ti hanno detto altri, server smtp e ip dinamici non vanno molto
daccordo 
ciao

 servizi
Fanno benissimo, imho.
Se hai bisogno di un MX, ti regoli di conseguenza, ovvero passi
ad un contratto quantomeno con ip statico.


 IP statico.
Ops! :)


 Ops! :)
Ne vuoi uno? :-P

 ad un contratto quantomeno con ip statico.
ok, d'accordo...
ma per chi non può permetterselo?
dovrei farmi una CDN dedicata?? :P
sono in una zona senza copertura ADSL...


 daccordo
un server esterno su ip statico configurato
ad hoc mi fa la scansione di virus, antispam
e questo server avendo un traffico enorme di mail
ha dei filtri bayesiani veramente ottimi...
utilizzo lui quindi per farmi filtrare le
mail, lui poi le inoltre sul mio server...


 sono in una zona senza copertura ADSL...
Perchè mai? sei attaccato con una CDN, ora?!?
Qualsiasi collegamento preveda l'uso di IP dinamici può prevedere anche 
l'uso di IP statici, dialup compresi.
Se il provider che hai non prevede questa possibilità, valuta la 
opportunità di cambiare fornitore...

 opportunità di cambiare fornitore...
non lo fa... attualmente è l'unico con una flat,
a gennaio quando scade cambio...


 mail, lui poi le inoltre sul mio server...
Non farle indirizzare da lui, ma scaricatele tu con fetchmail, per
esempio, cosi` non ti serve l'ip statico a casa.
Un MX su IP dinamico lo puoi anche fare, ma rimane una porcheria e devi
configurare il DNS per un timeout di qualche minuto al massimo.
Bye.

 Ne vuoi uno? :-P
No, ho scritto la stessa cosa che avevi scritto tu. :)


 No, ho scritto la stessa cosa che avevi scritto tu. :)
Yeah, ho capito dopo aver letto la tua...

 esempio, cosi` non ti serve l'ip statico a casa.
scaricandomele con fetchmail rimane l'inconveniente che
due mta gestiscono lo stesso dominio...
il mio a casa ha dominio xxxx.dnsdinamico.xx
e il server remoto lo stesso, se le scarico con fetchmail
da casa il mio mta si inca**a perchè mi dici che
lui ha già inoltrato quella mail :P


 lui ha già inoltrato quella mail :P
modifica la configurazione dell'smtp di casa, da xxx.dnsdinamico.xx
diventa homexxx.dnsdinamico.xx :-)
ciao

 ad un contratto quantomeno con ip statico.
Certo, ed è infatti la prima cosa che ho fatto all'atto della
sottoscrizione del contratto.
Il problema però non è solo quello della posta. Vi sono stati casi di
providers che bloccavano la maggior parte delle porte dei servizi più
usati, come telnet, ssh, smtp, pop3, imap, http, ftp, nbt ecc.ecc.
Se per il 99% degli utenti si potrebbero tranquillamente bloccare
tutte le porte <1024 senza che nemmeno se ne accorgano, non trovo
comunque giusto che, alla richiesta di riapertura dei servizi, il
provider non ottemperi a tale richiesta. Anche se è un dovere del
provider tutelare e tutelarsi, è comunque diritto del cliente poter
avere ciò che gli spetta.
Se io pago per avere una connessione ADSL voglio poterla utilizzare
come meglio credo e sono responsabile dell'uso che ne faccio; solo se
in seguito alla riapertura dei servizi la macchina venisse compromessa
potrei accettare una limitazione sulla connessione.
I motivi per cui posso volere tutte le porte aperte possono essere
infiniti: potrei per esempio voler mettere in piedi una honeypot per
motivi di studio e bloccandomi le porte il provider danneggerebbe i
miei studi; oppure potrei voler utilizzare un port knocking in ascolto
su porte standard (ftp, smtp e http) perché è più probabile che queste
siano aperte sui firewall aziendali.
Quindi ben venga il blocco delle porte, purché su richiesta
dell'utente questi blocchi vengano rimossi senza indugio.

 diventa homexxx.dnsdinamico.xx :-)
avrei troppe configurazioni su troppi pc da modificare :(
per ora ho risolto con il server statico che inoltra le
mail sulla porta 587...


 mail sulla porta 587...
Pessima idea... almeno usa una porta "a caso", che so, la 2525... la 587 (e
il servizio submission associato) hanno un significato ben diverso.
Ciao,
-- 
Daniele Orlandi

 (e il servizio submission associato) hanno un significato ben diverso.
ok, vada per un'altra porta...
mi spiegate brevemente da chi viene usata la 587?
sul thread c'è stato un po' di casino...


 sul thread c'è stato un po' di casino...
http://www.faqs.org/rfcs/rfc2476.html

 mi spiegate brevemente da chi viene usata la 587?
La 587 è quella che dovrebbe essere utilizzata dai MUA per mandare la posta
allo smart relay.
La 25 invece dovrebbe essere usata tra MTA.
Ciao,
-- 
Daniele Orlandi


Ma quanti sono i provider che effettivamente la usano?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Io, del giornale leggo sempre i necrologi e i cinema.  Se e' morto
qualcuno che conosco, vado al funerale.  Se no vado al cinema.
		-- Walter Waldi

 Ma quanti sono i provider che effettivamente la usano?
+ o - 0

 Ma quanti sono i provider che effettivamente la usano?
Non pochi, in realtà, ma neanche tanti.
In linea di massima, tutti -o quasi- quelli che si specializzano nei
servizi email.
Soprattutto negli States, dove da questo punto di vista la situazione
media dei grossi provider è molto più avanti di qui.
Quando AOL ha annunciato (oramai un bel po' di tempo fa) che avrebbe
chiuso la 25 in uscita per tutti i clienti, ha suggerito a tutti i
fornitori di servizi email esterni di attrezzarsi con MSA su 587 o su
altre porte.
Visto che la quantità di utenti AOL è estremamente significativa, il
risultato è che tutti coloro che hanno come obiettivo quello di fornire
servizi email a utenti con connettività altrui si sono attrezzati.


Ma in italia? Se devo convincere i clienti a modificare i client devo 
almento convincerli che da altri provider è la stessa zuppa (i clienti 
ragionano come clienti, mica come persone normali :-) )
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Il mio difetto e' che sono troppo sincero, cara la mia zucca pelata!
		-- Dalla Settimana Enigmistica

 Ma quanti sono i provider che effettivamente la usano?
Almeno tre ci sono :)
Ciao, 
-- 
Daniele Orlandi

 avere ciò che gli spetta.
Prova a bloccargli la 80 :)
Ciao
	Mavimo
-- 
Ubuntu 5.04 aggiornata a Sarge 3.1r0
Kernel 2.6.10 - Xorg 6.8

 Prova a bloccargli la 80 :)
zipman parlava di bloccare le porte in ingresso, non in uscita... 
effettivamente per il 99% degli utenti dialup/adsl se c'e` qualcosa che 
ascolta sulla porta 80 significa che nel loro pc si e` infilato qualche 
worm e che hanno sopra una pagina di login ad ebay per fare phishing :)
un isp residenziale che bloccasse le porte <1024 in ingresso 
(sbloccandole solo su richiesta dell'utente) credo che fornirebbe un 
ottimo servizio ai propri clienti e dovrebbe investire meno per avere un 
abuse-desk funzionante :)
-- 
bye,
x-point