Inoltro Porta 25 Infostrada FFTC (filtrata)

[hiroz]

Salve,

ho attivato una fibra infostrada. Sto avendo problemi con la porta 25 in ingresso (server mail interno).

La 25/TCP risulta filtrata a monte del mio router (dva-5592). I syn non arrivano alla sua interfaccia PPP esterna (tcpdump via ssh). Se uso un'altra porta (80,443 ecc) tutto funziona.

Per sicurezza ho provato con un mio router (collegato al doppino) dove posso monitorare i flussi, e il risultato non cambia. Porta 25 filtrata e confermo.

E' un problema noto di Wind/Tre/Infostrada?
E' una cosa che si puo' risolvere con l'assistenza (sono a quota 6 chiamate e 2 ore perse a discutere con degli incompetenti).

Avete qualche dritta da tentare ?

[King_Of_Kings_21]

Non puoi usare una porta esterna diversa e convertirla in 25 internamente?

[hiroz]

Originariamente inviato da King_Of_Kings_21

Non puoi usare una porta esterna diversa e convertirla in 25 internamente?

Il server in questione e' un MX primario per alcuni miei domini. Riceve posta direttamente da internet. Vorrei evitare troppe complicazioni (mx esterni, ip mappati tramite vpn e cose simili).

Quello che non mi aspettavo e' una connessione filtrata, e francamente sono molto stupito. E' una cosa normale ? Posso capire al limite filtrare le porte di samba (anche se non siamo piu' negli anni 90/00), ma le porte dei servizi primari non ci riesco.

Sto sempre pensando che ci sia un errore e che si possa sistemare.

[King_Of_Kings_21]

Non so bene nel tuo caso ma sì, capita spesso che gli ISP blocchino determinate porte.

[hiroz]

Trovo abbastanza anomalo che nessuno si lamenti di una cosa del genere.

Sicuramente le connessioni telecom che ho usato finora non avevano questo problema.

Vediamo se arriva qualche conferma.

[Dumah Brazorf]

Il tuo smtp usa password di accesso, ssl/tls? Usa la 465 o la 587 che si usano oggigiorno e casomai ridirezionala internamente alla 25 sul server.
Se è un contratto aziendale forse puoi fare richiesta esplicita all'isp di sbloccarti la 25.

[hiroz]

Originariamente inviato da Dumah Brazorf

Il tuo smtp usa password di accesso, ssl/tls? Usa la 465 o la 587 che si usano oggigiorno e casomai ridirezionala internamente alla 25 sul server.
Se è un contratto aziendale forse puoi fare richiesta esplicita all'isp di sbloccarti la 25.

Il server è un server "serio". ssl o tls sulle porte 25, 587 e idem per le 110-143-993-995. Ha il suo groupware via web sulla 443 e certificati ufficiali.

Il problema è l'arrivo della posta via smtp sulla porta 25 da internet, ma anche il blocco sulle porte 110 e 143, dove comunque dal esterno non si accede (e sono porte che sono protette in ssl mediante il meccanismo del starttls, altrimenti il server non autentifica).

Proverò a seguire il tuo suggerimento. Il contratto è effettivamente "affari". Ho qualche riserva in quanto il modem si autentifica con il semplice user "benvenuto" e password "ospite". Dovrebbero poter collegare la porta da cui mi connetto (nell'armadio) alle regole (acl) del loro sistema di "censoring".

Questa storia mi ha dato qualche spunto per riflettere sulla sicurezza di quello che vorrei fare. Fino ad ora ho sempre avuto l'IP statico (contratti affari telecom). In quel contesto, un server SMTP ha senso anche se collegato ad una linea "per navigare". Adesso con l'IP dinamico invece, pur usando un simil dyn-dns, c'è sempre il rischio che una disconnessione lasci il vecchio IP attivo nella cache dei dns e che per un periodo di tempo la posta possa essere consegnata a chiunque.

Si tratta di una possibilità difficilmente sfruttabile, ma comunque presente.

In questo contesto sto pensando che probabilmente farei bene ad usare un IP esterno statico di un piccolo virtuale da riportare sul mio server smtp tramite VPN.

Potrei in questo modo evitare il problema di consegna in ingresso, ma anche, e sopratutto, avrei della resilienza in caso di blackout di rete ed uso della chiavetta a giga illimitati su un router. In quel caso la vpn sarebbe stabilita via LTE (ip privato blindato) ed il mio server mail avrebbe il suo IP esterno sempre raggiungibile e potrebbe comunicare comunque.

Più ci penso e più l'idea mi piace. Forse non tutti i mali vengono per nuocere ?

[Dumah Brazorf]

Sei sicuro di avere ip dinamico? Di solito le utenze business sono ad ip statico.