550 5.7.1 Relaying to denied (authentication required)

[Angel2S2]

Коллеги, нужна ваша помощь.

Проблема в том, что Kerio MailServer 6.0.3 не хочет отправлять почту для новых юзеров. Т.е. создаю нового юзера (ящик), делаю настройки почтового клиента, пытаюсь отправить почту, получаю (почтовая программа Claws Mail, но и в других тоже самое):

* Соединение с SMTP сервером: mail.firma.ru ...
[10:32:39] SMTP EHLO MyPC
[10:32:39] ESMTP MAIL FROM:[Для просмотра данной ссылки нужно зарегистрироваться]> SIZE=419
[10:32:39] SMTP[Для просмотра данной ссылки нужно зарегистрироваться]> ok
[10:32:39] SMTP> RCPT TO:[Для просмотра данной ссылки нужно зарегистрироваться]>
[10:32:39] SMTP[Для просмотра данной ссылки нужно зарегистрироваться]> denied (authentication required)
** ошибка во время SMTP сессии
*** При отправке сообщения возникла ошибка:
550 5.7.1 Relaying to [Для просмотра данной ссылки нужно зарегистрироваться]> denied (authentication required)

В логах керио в это время такая запись:

[06/May/2009 19:13:56] Relay attempt from IP address 89.ХХХ.ХХХ.ХХ, mail from [Для просмотра данной ссылки нужно зарегистрироваться]> to [Для просмотра данной ссылки нужно зарегистрироваться]> rejected

Понятное дело, что эта запись говорит, что пароль не установлен (в пределах firma.ru пароль не нужен, чтобы почту отправлять). НО(!) пароль установлен и на сервере и на клиенте, при том введен абсолютно верно (123456789 - поставил такой, на время).

Всё уже излазал, везде все ок, настройки правильные. Даже не знаю, что еще может быть. Со старых адресов, которые были раньше, все нормально ходит. Пробовал с разных компов и из разных сетей, везде тоже самое. А главное только для новых адресов.

Кто сталкивался с подобным (не обязательно именно в керио)?

Подскажите возможное решение.

Заранее спасибо за любые советы.

[WWT]

А не стоит ли у этого пользователя на вкладке "Ограничения" галка "Этому пользователю разрешается отправлять/получать сообщения только из своего домена"?
Еще стоит проверить Сервер SMTP - Управление ретрансляцией.

[Angel2S2]

Цитата:

Сообщение от WWT

А не стоит ли у этого пользователя на вкладке "Ограничения" галка "Этому пользователю разрешается отправлять/получать сообщения только из своего домена"?

Нет, у меня даже такой галки нету. Наверное версия (6.0.3) староватая, поэтому и нету. Обновляться до более новой нельзя.

Цитата:

Сообщение от WWT

Еще стоит проверить Сервер SMTP - Управление ретрансляцией.

Тут так:
Allow relay only for (Разрешить ретрансляцию только для):

• Users from IP address group (Только для группы IP-адресов)
• Users authenticated through SMTP server for outgoing mail (Пользователи, авторизованные на SMTP-сервере)

"Users from IP address group" включил как временное решение, т.е. когда ключил почта с новых адресов начала ходить. Но это не решение, это костыль
Раньше было только "Users authenticated through SMTP server for outgoing mail" и почта ходила нормально всегда.




ЗЫЖ Забыл сказать... На сервере был сбой какой-то пока меня не было, там нарушились NTFS-права доступа к папкам керио. Перестали писаться логи. Выставил права как надо, все стало работать, кроме отсылки почты для новых ящиков.
ЗЫЖ Керио запускается не от системной учетки, а от MailServ, т.е. учетка обычного юзера, сделанная специально для керио (безопасность повышает). Права для этой учетки высталены правильно, это безоговорочно, 10 раз все проверил.

[WWT]

Я так понимаю, что ip этого пользователя НЕ в группе разрешённых ip-адресов? Тогда надо разбираться с авторизацией. Пользователи в базе Керио или берутся из домена?

Добавлено через 1 минуту
Для проверки - включите этот ip в группу разрешённых. Если письмо наружу пройдёт - разбирайтесь с авторизацией.

[Angel2S2]

Пользователи в базе керио.
На данный момент IP пользователя В группе разрешенных IP адресов и всё ходит как надо. Но если его убрать из группы разрешенных IP адресов или вообщем выключить Users from IP address group (Только для группы IP-адресов) в Server SMTP, то ничего не изменится, за исключением того, что этот (и любой другой новый) ящик не может отправлять письма на новые адреса.

Понятное дело, что проблема с авторизацией. Но я никак не могу понять, что тут может быть. Даже догадок нету уже. Опция Users authenticated through SMTP server for outgoing mail (Пользователи, авторизованные на SMTP-сервере) в Server SMTP включена, значит если пользователь авторизовался, то у него не должно быть проблем с отправкой писем на внешние сервера.

До сбоя в Server SMTP была включена только опция Users authenticated through SMTP server for outgoing mail (Пользователи, авторизованные на SMTP-сервере) и все. Все работало. Теперь не хочет, но только для новых ящиков.


Есть ли еще какие-либо предположения?

[WWT]

Ну, если к домену KMS точно не подключен (Домены - ваш домен - вкладка Служба каталога - точно ничего нет?), то стоит проверить users.cfg. Например, поменять пароль и посмотреть, изменился ли файл. Права на этот файл опять же проверить...

Добавлено через 3 минуты
А что в Дополнительных параметрах - Политика безопасности?

Добавлено через 11 минут
Интересно посмотреть ещё на debug.log - убрать ip клиента из группы разрешённых, включить в debug.log сообщения SMTP Server, попробовать отослать письмо наружу.

[Angel2S2]

Цитата:

Сообщение от WWT

Домены - ваш домен - вкладка Служба каталога - точно ничего нет?

Все отключено.

Цитата:

Сообщение от WWT

стоит проверить users.cfg. Например, поменять пароль и посмотреть, изменился ли файл. Права на этот файл опять же проверить...

Тут все отлично. Файл изменяется. Права на каталог C:\Program Files\Kerio\MailServer полные, т.ж. на все что внутри этого каталога.

Цитата:

Сообщение от WWT

А что в Дополнительных параметрах - Политика безопасности?

Security policy = No restrictions
Enable autentification methods = все галочки стоят (100% так было всегда), а галочка по списком методов аутентификации снята
Account lockout = стоит галочка, в первом поле 5, а во втором 20 (тоже так и было всегда)



В общем все это я уже проверял не один раз. Просто мистика какая-то

Добавлено через 6 минут

Цитата:

Сообщение от WWT

Интересно посмотреть ещё на debug.log - убрать ip клиента из группы разрешённых, включить в debug.log сообщения SMTP Server, попробовать отослать письмо наружу.

Пустота там. Только в Security появляется запись:

[06/May/2009 19:13:56] Relay attempt from IP address 89.ХХХ.ХХХ.ХХ, mail from [Для просмотра данной ссылки нужно зарегистрироваться]> to [Для просмотра данной ссылки нужно зарегистрироваться]> rejected

После старта керио в debug.log появляются вот такие записи, потом уже никаких обновлений (IP предварительно удалил из списка разрешенных):

 [06/May/2009 14:08:39][1776] Kerio MailServer 6.0.3, License: HEAVEN Users: unlimited Expires: never
[06/May/2009 14:08:39][1776] (c) 1997-2004 Kerio Technologies. Web site [Для просмотра данной ссылки нужно зарегистрироваться]
[06/May/2009 14:08:39][1776] System: Windows 2000 Server
[06/May/2009 14:08:39][1776] Winsock: 2.0, RAS: Yes
[06/May/2009 14:08:40][1776] OpenSSL library loaded
[06/May/2009 14:08:41][1748] Starting mail queue...
[06/May/2009 14:08:41][1776] Service SMTP started on port 25, listens on all interfaces
[06/May/2009 14:08:41][1776] Service SMTPS started on port 465, listens on all interfaces
[06/May/2009 14:08:41][1776] Service POP3 started on port 110, listens on all interfaces
[06/May/2009 14:08:41][1776] Service POP3S started on port 995, listens on all interfaces
[06/May/2009 14:08:41][1776] Service IMAP started on port 143, listens on all interfaces
[06/May/2009 14:08:42][1776] Service IMAPS started on port 993, listens on all interfaces
[06/May/2009 14:08:42][1776] Service HTTPS started on port 443, listens on all interfaces
[06/May/2009 14:08:42][1776] Service SIEVE started on port 2000, listens on all interfaces
[06/May/2009 14:08:42][1748] Mail queue running

[WWT]

Ход SMTP сессии в debug.log должен отображаться (клик правой кнопкой - Сообщения - Services - галку на SMTP Server)

[Angel2S2]

Цитата:

Сообщение от WWT

Ход SMTP сессии в debug.log должен отображаться (клик правой кнопкой - Сообщения - Services - галку на SMTP Server)

Спасибо, я этого не знал. Каюсь Отключено было видать для того, чтобы логи не "засорял хламом" (настраивал сервак не я).

Вот вырезка из debug.log:

[08/May/2009 11:05:47][976] {smtps} Server session begin; client connected from XX-XXX-XXX-89.baltnet.ru:60571
[08/May/2009 11:05:47][976] {smtps} Looking up address 89.XXX.XXX.XX in DNS blacklist SpamCop...
[08/May/2009 11:05:47][976] {smtps} Address XX.XXX.XXX.89.bl.spamcop.net not found in DNS blacklist SpamCop
[08/May/2009 11:05:47][976] {smtps} Looking up address 89.XXX.XXX.XX in DNS blacklist SpamHaus SBL-XBL...
[08/May/2009 11:05:47][976] {smtps} Address XX.XXX.XXX.89.sbl-xbl.spamhaus.org not found in DNS blacklist SpamHaus SBL-XBL
[08/May/2009 11:05:47][976] {smtps} Looking up address 89.XXX.XXX.XX in DNS blacklist SORBS DNSBL...
[08/May/2009 11:05:47][976] {smtps} Address XX.XXX.XXX.89.dnsbl.sorbs.net not found in DNS blacklist SORBS DNSBL
[08/May/2009 11:05:47][976] {smtps} Looking up address 89.XXX.XXX.XX in DNS blacklist SORBS RHSBL...
[08/May/2009 11:05:47][976] {smtps} Address XX.XXX.XXX.89.rhsbl.sorbs.net not found in DNS blacklist SORBS RHSBL
[08/May/2009 11:05:47][976] {smtps} Sent SMTP greeting to XX-XXX-XXX-89.baltnet.ru:60571
[08/May/2009 11:05:47][976] {smtps} Command EHLO MyPC
[08/May/2009 11:05:47][976] {smtps} Sent reply to EHLO: 250 mail.firma.ru ...
[08/May/2009 11:05:47][976] {smtps} Command MAIL FROM: SIZE=398
[08/May/2009 11:05:47][976] {smtps} Sent reply to MAIL: 250 2.1.0 Sender  ok
[08/May/2009 11:05:47][976] {smtps} Command RCPT TO:
[08/May/2009 11:05:47][976] {smtps} Sent reply to RCPT: 550 5.7.1 Relaying to  denied
[08/May/2009 11:05:47][976] {smtps} SMTP server session end

Кстати, обратил внимание, что в Domains в качестве основного доменного имени (Primary) (или как это правильнее?..) стоит oldforma.ru, а это доменное имя теперь нам не принадлежит и отключено.
Подробнее: У нас было два доменных имени oldfirma.ru и firma.ru. Доменное имя oldfirma.ru мы отдали кому-то. Теперь, естественно, им пользоваться не можем и оно отключено (не в керио, а у провайдера штоли, я тут уже не знаю подробностей никаких, в общем начальник его заблокировал). Но в керио доменное имя oldfirma.ru прописано как первичное, т.е. Local (Primary), а firma.ru просто Local.

Из-за этого может быть такое, что письма во внешку перестали ходить, для новых адресов?
На сколько помню, этот адрес первый из тех, что были созданы после "отключения" доменного имени oldfirma.ru.

[WWT]

Ну так всё обычно и выключено, нужные опции в debug.log включают лишь на время разбора проблем.

Итак, что мы имеем.
Клиент коннектится снаружи, я правильно понимаю?
Сразу же проверяем его ip в блэклистах.
Шлём SMTP greeting, получаем EHLO, отвечаем на EHLO и... сразу же идёт Mail From. А где же Auth от клиента?

Для примера моя сессия:

[07/May/2009 19:19:39][2268] {smtps} SMTP server session begin; client connected from 192.168.0.128:2353
[07/May/2009 19:19:39][2268] {smtps} Sent SMTP greeting to 192.168.0.128:2353
[07/May/2009 19:19:39][2268] {smtps} Command EHLO user128
[07/May/2009 19:19:39][2268] {smtps} Sent reply to EHLO: 250 mail.domain.ru ...
[07/May/2009 19:19:39][2268] {smtps} Command AUTH CRAM-MD5
[07/May/2009 19:19:39][2268] {smtps} Started authentication method CRAM-MD5
[07/May/2009 19:19:39][2268] {smtps} Sent reply to AUTH: 235 2.0.0 Authentication successful (user [email protected])
[07/May/2009 19:19:39][2268] {smtps} Command MAIL FROM: SIZE=531
[07/May/2009 19:19:39][2268] {smtps} Sent reply to MAIL: 250 2.1.0 Sender  ok
[07/May/2009 19:19:39][2268] {smtps} Command RCPT TO:
[07/May/2009 19:19:39][2268] {smtps} Sent reply to RCPT: 250 2.1.5 Recipient  ok (remote)
[07/May/2009 19:19:39][2268] {smtps} Command DATA
[07/May/2009 19:19:39][2268] {smtps} 536 bytes received in command DATA
[07/May/2009 19:19:39][2268] {smtps} Message accepted for delivery
[07/May/2009 19:19:39][2268] {smtps} Command RSET
[07/May/2009 19:19:39][2268] {smtps} Command QUIT
[07/May/2009 19:19:39][2268] {smtps} SMTP server session end

Кстати, у клиента прописано авторизоваться как pupkin или как [Для просмотра данной ссылки нужно зарегистрироваться]? Так как у вас firma.ru не Primary, то надо представляться полным именем, т.е. [Для просмотра данной ссылки нужно зарегистрироваться].
Хотя это наверно не при чём, нет отлупа на неверную авторизацию.

Для примера сессия с неверным паролём:

[08/May/2009 13:37:30][3164] {smtps} SMTP server session begin; client connected from 192.168.0.128:2918
[08/May/2009 13:37:30][3164] {smtps} Sent SMTP greeting to 192.168.0.128:2918
[08/May/2009 13:37:30][3164] {smtps} Command EHLO user128
[08/May/2009 13:37:30][3164] {smtps} Sent reply to EHLO: 250 mail.domain.ru ...
[08/May/2009 13:37:30][3164] {smtps} Command AUTH CRAM-MD5
[08/May/2009 13:37:30][3164] {smtps} Started authentication method CRAM-MD5
[08/May/2009 13:37:33][3164] {smtps} Sent reply to AUTH: 535 5.7.0 Authentication failed
[08/May/2009 13:37:33][3164] {smtps} Command AUTH PLAIN
[08/May/2009 13:37:33][3164] {smtps} Started authentication method PLAIN
[08/May/2009 13:37:39][3164] {smtps} Sent reply to AUTH: 535 5.7.0 Authentication failed
[08/May/2009 13:37:39][3164] {smtps} Command RSET
[08/May/2009 13:37:39][3164] {smtps} Command AUTH LOGIN
[08/May/2009 13:37:39][3164] {smtps} Started authentication method LOGIN
[08/May/2009 13:37:45][3164] {smtps} Sent reply to AUTH: 535 5.7.0 Authentication failed
[08/May/2009 13:37:45][3164] {smtps} SMTP server session end

Пока мысли кончились.

[Для просмотра данной ссылки нужно зарегистрироваться]
искать "3. Пункт SMTP Server ..."
всё как на картиинке?

[Angel2S2]

Цитата

А где же Auth от клиента?

Ааааааааааааааааааааа..........................
Поймал зайца )))))))) МЕГАРЕСПЕКТ!!!!!!!!!!!!!!!!!!!!!!!!!!!
Ну я и тупанул, аж стыдно стало :insane:
Прикол в том, что у меня в программе SMTP авторизация вынесена в другое место и я что-то не обратил внимания на нее. Просто раньше в бате сидел (пока был под виндой), а потом в эволюшине, а там smtp авторизация берется по pop3 А вот в клавс майл это отдельные настройки и не связаны так. Но почему в тандер бирде pop3 для smtp не сработал не знаю (это у нового сотрудника, он в другом городе, поэтому сам настраивал).
Еще раз МЕГАРЕСПЕКТ!!!!!!!!!!!




Ну и на остальные вопросы отвечу, просто так

Цитата

[Для просмотра данной ссылки нужно зарегистрироваться]
искать "3. Пункт SMTP Server ..."
всё как на картиинке?

Все так оно и есть. Только "Users from IP address group" был выключен всегда, т.к. локальных юзеров нет, и не все у всех статические адреса, некоторые и с мобил ходят. Сейчас эта опция включена, благодаря чему щас почта ходит с нового ящика, но это не решение, т.к. такого быть не должно (раньше эта опция всегда была выключена).

Цитата

Клиент коннектится снаружи, я правильно понимаю?

Да, правильно. В локалки нету никого, т.к. сервак в датацентре стоит.

Цитата

Кстати, у клиента прописано авторизоваться как pupkin или как [Для просмотра данной ссылки нужно зарегистрироваться]?

Как [Для просмотра данной ссылки нужно зарегистрироваться] конечно.

[WWT]

Всё хорошо, что хорошо кончается.
У Thunderbird, кстати, настройки SMTP серверов отделены от настроек собственно учётной записи.

[Angel2S2]

Вот он как с этой птичкой?.. Спасибо. Я уже просто забыл, т.к. около года даже в глаза ее не видел.

Еще раз спасибо большое