Сервер используется как open relay! Помогите!

[artemka5089]

Привет всем. Есть почтовый сервер Kerio Connect на Ubuntu.
Проблема в следующем. При открытии портов Http и https в мир (т.е. нет ограничения только для WhiteLista) сервер превращается в открытый релей,т.е. начинается спам-рассылка с нашего сервера с неизвестных!! емейлов, в следствии чего - попадание в базы DNSBL ( блеклисты). Помогите разобатся. Скрины с инфой добавляю! Спасибо!
[Для просмотра данной ссылки нужно зарегистрироваться] - график подключений/SMTP.
[Для просмотра данной ссылки нужно зарегистрироваться] - кусочек лога.

[IvaN]

А как вы хотели?! Во превых нужно понимать риск, открывая порт вы открываете уязвимость на сервере!
Во вторых чтобы минимизировать этот риск, нужно:
- открывать доступ к нестандартным портам (напр. вместе HTTP 80 использовать порт 8008 или любой другой незанятый);
- желательно открывать доступ к серваку с White-листа, не хуй там делать всем сподряд (лично я давно забил на это и закрыл доступ с внешки вообще)
- ставить ОЧЕНЬ сложные пароли на ваши ящики ввиде 1srgfdASdglqwe954_sdA-
- можно на файерволе сделать правило запрещающие доступ из/в по SMTP порту (а лучше по всем портам) для спамерских IP, постоянно мониторить их и пополнять группу SPAM IP (скрин прикрепил)

[HOG]

IvaN, зачем так сложно?? Не проще разрешить пересылку только для определенного диапазона IP номеров?? За минимум 10 лет существования моего почтаря _ни разу_ не попадал на такое.

[IvaN]

ЗАТЕМ!
Если по читаете мою тему [Для просмотра данной ссылки нужно зарегистрироваться]
то поймёте, что данные галочки бесполезны, если аутентифакация пользователя пройдена, и пох керио на твои галочки о трансляции внутри локалки!!! Поэтому как минимум нужно ставить очень сложные пароли! А вообще дело каждого, я привёл список рекомендаци дабы минимизировать риск взлома почтаря, чтобы потом не плакаться. У меня тоже 6 лет небыло проблем, но увы это не всегда остаётся так.

P.S.: сам ошалел когда узнал что трансляция работает по принципу либо по галочке (внутри локалки), либо по аутентификации не зависимо от IP.

[artemka5089]

Цитата:

Сообщение от HOG

IvaN, зачем так сложно?? Не проще разрешить пересылку только для определенного диапазона IP номеров?? За минимум 10 лет существования моего почтаря _ни разу_ не попадал на такое.

Добрый день! Именно так и было настроенно сначала! Я вот тоже склоняюсь к тому чтобы менять порты на http.

[IvaN]

Как говорится и палка раз в год стреляет! Лучше так сложно, чем потом вазелин покупать! Артём, меняй порты и ставь сложные пароли как минимум, упростит жизнь! НУ а остальное на усмотрение!