NDR (Non Delivery Reports) på Microsoft Exchange 2010 för mail jag inte skickat

2015-03-02
 |  No Comments

Många NDR (Non Delivery Reports) på Microsoft Exchange 2010 för mail jag inte skickat

backup disaster recovey kontinuitetsplaner exchange server 2010 IT säkerhet molntjänster syspeace

Nyligen råkade jag ut för att det helt plötsligt började dyka upp väldigt många mail i min brevlåda som sade att min mail jag skickat inte gick fram trots att jag inte skickat dem. Jag testade de vanliga kontrollerna men min server var inte öppen för relay som är standard i Exchnage 2010.
Nackdelen med de här testerna är att de anger en användare som t.ex. anonymous@någondomän.se som avsändare och den typen av relay är mycket riktigt inte är tillåtet som standard.

Min första tanke var att det är någon som spoofat min domän dvs man använder min mailadress som avsaändare men t.ex. från adressen är någon annans namn som “Walter Banker” vilket i praktiken leder till att när ett mail inte kan levereras så skickas svaret tillbaka till min mailadress som är standard och då får man “Olevererbart” från “Mail delivery systems” o.s.v.

Det hrä är väldigt lätt att göra och svårt att skydda sig mot tyvärr. Allt so behövs är en telnet klient.

Ett par tre mail sådär är inte hela världen men jag märkte att det började bli hundratals inom loppet av några dagar så något stod inte rätt till och den här tyepn av probem kan i förlängningen orska att mailserven blir svartlistad ute i världen så den helt enkelt knappt går att använda. Problemet måste alltså lösas.

Felsökning i SMTP logg

EFter jag tittade närmare i loggarna på serven så märkte jag att det var mailservrar som anslöt sig till mig, autentiserade sig som min användare satt till avsändare så servern i sig tyckte det var ok .
Här nedan är ett exempel på hur det såg ut i loggen för SMTP ( C:\Program Files\Microsoft\Exchange Server\V14\TransportRoles\Logs\ProtocolLog\SmtpReceive)

2015-03-02T00:02:08.633Z,EUROPA\Default EUROPA,08D21EB6E51D0300,0,192.168.0.6:25,122.100.78.143:55545,+,,
2015-03-02T00:02:08.648Z,EUROPA\Default EUROPA,08D21EB6E51D0300,1,192.168.0.6:25,122.100.78.143:55545,*,SMTPSubmit SMTPAcceptAnySender SMTPAcceptAuthoritativeDomainSender AcceptRoutingHeaders,Set Session Permissions
2015-03-02T00:02:08.648Z,EUROPA\Default EUROPA,08D21EB6E51D0300,2,192.168.0.6:25,122.100.78.143:55545,>,”220 EUROPA.jufcorp.com Microsoft ESMTP MAIL Service ready at Mon, 2 Mar 2015 01:02:08 +0100″,
2015-03-02T00:02:09.288Z,EUROPA\Default EUROPA,08D21EB6E51D0300,3,192.168.0.6:25,122.100.78.143:55545,< ,EHLO kadegy, 2015-03-02T00:02:09.288Z,EUROPA\Default EUROPA,08D21EB6E51D0300,4,192.168.0.6:25,122.100.78.143:55545,>,250-EUROPA.jufcorp.com Hello [122.100.78.143],
2015-03-02T00:02:09.288Z,EUROPA\Default EUROPA,08D21EB6E51D0300,5,192.168.0.6:25,122.100.78.143:55545,>,250-SIZE,
2015-03-02T00:02:09.288Z,EUROPA\Default EUROPA,08D21EB6E51D0300,6,192.168.0.6:25,122.100.78.143:55545,>,250-PIPELINING,
2015-03-02T00:02:09.288Z,EUROPA\Default EUROPA,08D21EB6E51D0300,7,192.168.0.6:25,122.100.78.143:55545,>,250-DSN,
2015-03-02T00:02:09.288Z,EUROPA\Default EUROPA,08D21EB6E51D0300,8,192.168.0.6:25,122.100.78.143:55545,>,250-ENHANCEDSTATUSCODES,
2015-03-02T00:02:09.288Z,EUROPA\Default EUROPA,08D21EB6E51D0300,9,192.168.0.6:25,122.100.78.143:55545,>,250-STARTTLS,
2015-03-02T00:02:09.288Z,EUROPA\Default EUROPA,08D21EB6E51D0300,10,192.168.0.6:25,122.100.78.143:55545,>,250-X-ANONYMOUSTLS,
2015-03-02T00:02:09.288Z,EUROPA\Default EUROPA,08D21EB6E51D0300,11,192.168.0.6:25,122.100.78.143:55545,>,250-AUTH NTLM LOGIN,
2015-03-02T00:02:09.288Z,EUROPA\Default EUROPA,08D21EB6E51D0300,12,192.168.0.6:25,122.100.78.143:55545,>,250-X-EXPS GSSAPI NTLM,
2015-03-02T00:02:09.288Z,EUROPA\Default EUROPA,08D21EB6E51D0300,13,192.168.0.6:25,122.100.78.143:55545,>,250-8BITMIME,
2015-03-02T00:02:09.288Z,EUROPA\Default EUROPA,08D21EB6E51D0300,14,192.168.0.6:25,122.100.78.143:55545,>,250-BINARYMIME,
2015-03-02T00:02:09.288Z,EUROPA\Default EUROPA,08D21EB6E51D0300,15,192.168.0.6:25,122.100.78.143:55545,>,250-CHUNKING,
2015-03-02T00:02:09.288Z,EUROPA\Default EUROPA,08D21EB6E51D0300,16,192.168.0.6:25,122.100.78.143:55545,>,250-XEXCH50,
2015-03-02T00:02:09.288Z,EUROPA\Default EUROPA,08D21EB6E51D0300,17,192.168.0.6:25,122.100.78.143:55545,>,250-XRDST,
2015-03-02T00:02:09.288Z,EUROPA\Default EUROPA,08D21EB6E51D0300,18,192.168.0.6:25,122.100.78.143:55545,>,250 XSHADOW,
2015-03-02T00:02:09.912Z,EUROPA\Default EUROPA,08D21EB6E51D0300,19,192.168.0.6:25,122.100.78.143:55545,< ,STARTTLS, 2015-03-02T00:02:09.912Z,EUROPA\Default EUROPA,08D21EB6E51D0300,20,192.168.0.6:25,122.100.78.143:55545,>,220 2.0.0 SMTP server ready,
2015-03-02T00:02:09.912Z,EUROPA\Default EUROPA,08D21EB6E51D0300,21,192.168.0.6:25,122.100.78.143:55545,*,,Sending certificate
2015-03-02T00:02:09.912Z,EUROPA\Default EUROPA,08D21EB6E51D0300,22,192.168.0.6:25,122.100.78.143:55545,*,”CN=*.jufcorp.com, OU=HQ, O=JufCorp AB, L=Tumba, S=Tumba, C=SE”,Certificate subject
2015-03-02T00:02:09.912Z,EUROPA\Default EUROPA,08D21EB6E51D0300,23,192.168.0.6:25,122.100.78.143:55545,*,”CN=GeoTrust SSL CA – G3, O=GeoTrust Inc., C=US”,Certificate issuer name
2015-03-02T00:02:09.912Z,EUROPA\Default EUROPA,08D21EB6E51D0300,24,192.168.0.6:25,122.100.78.143:55545,*,036A6FA9E022316DD7080442BC6838F5,Certificate serial number
2015-03-02T00:02:09.912Z,EUROPA\Default EUROPA,08D21EB6E51D0300,25,192.168.0.6:25,122.100.78.143:55545,*,17E89A5FD1E5596B40D260CF3319A7C0D28B7C33,Certificate thumbprint
2015-03-02T00:02:09.912Z,EUROPA\Default EUROPA,08D21EB6E51D0300,26,192.168.0.6:25,122.100.78.143:55545,*,*.jufcorp.com;jufcorp.com,Certificate alternate names
2015-03-02T00:02:12.392Z,EUROPA\Default EUROPA,08D21EB6E51D0300,27,192.168.0.6:25,122.100.78.143:55545,< ,HELO kadegy, 2015-03-02T00:02:12.392Z,EUROPA\Default EUROPA,08D21EB6E51D0300,28,192.168.0.6:25,122.100.78.143:55545,*,,TlsDomainCapabilities='None'; Status='NoRemoteCertificate' 2015-03-02T00:02:12.392Z,EUROPA\Default EUROPA,08D21EB6E51D0300,29,192.168.0.6:25,122.100.78.143:55545,>,250 EUROPA.jufcorp.com Hello [122.100.78.143],
2015-03-02T00:02:13.640Z,EUROPA\Default EUROPA,08D21EB6E51D0300,30,192.168.0.6:25,122.100.78.143:55545,< ,AUTH LOGIN, 2015-03-02T00:02:13.640Z,EUROPA\Default EUROPA,08D21EB6E51D0300,31,192.168.0.6:25,122.100.78.143:55545,>,334 ,
2015-03-02T00:02:14.842Z,EUROPA\Default EUROPA,08D21EB6E51D0300,32,192.168.0.6:25,122.100.78.143:55545,>,334 ,
2015-03-02T00:02:16.090Z,EUROPA\Default EUROPA,08D21EB6E51D0300,33,192.168.0.6:25,122.100.78.143:55545,*,SMTPSubmit SMTPSubmitForMLS SMTPAcceptAnyRecipient SMTPAcceptAuthenticationFlag SMTPAcceptAnySender SMTPAcceptAuthoritativeDomainSender BypassAntiSpam BypassMessageSizeLimit SMTPSendEXCH50 SMTPAcceptEXCH50 AcceptRoutingHeaders AcceptForestHeaders AcceptOrganizationHeaders SendRoutingHeaders SendForestHeaders SendOrganizationHeaders SMTPSendXShadow SMTPAcceptXShadow,Set Session Permissions
2015-03-02T00:02:16.090Z,EUROPA\Default EUROPA,08D21EB6E51D0300,34,192.168.0.6:25,122.100.78.143:55545,*,JUFCORP\juha.jurvanen,authenticated
2015-03-02T00:02:16.105Z,EUROPA\Default EUROPA,08D21EB6E51D0300,35,192.168.0.6:25,122.100.78.143:55545,>,235 2.7.0 Authentication successful,
2015-03-02T00:02:17.338Z,EUROPA\Default EUROPA,08D21EB6E51D0300,36,192.168.0.6:25,122.100.78.143:55545,< ,MAIL FROM: ,
2015-03-02T00:02:17.338Z,EUROPA\Default EUROPA,08D21EB6E51D0300,37,192.168.0.6:25,122.100.78.143:55545,*,08D21EB6E51D0300;2015-03-02T00:02:08.633Z;1,receiving message
2015-03-02T00:02:17.338Z,EUROPA\Default EUROPA,08D21EB6E51D0300,38,192.168.0.6:25,122.100.78.143:55545,>,250 2.1.0 Sender OK,
2015-03-02T00:02:18.258Z,EUROPA\Default EUROPA,08D21EB6E51D0300,39,192.168.0.6:25,122.100.78.143:55545,< ,RCPT TO: ,
2015-03-02T00:02:18.258Z,EUROPA\Default EUROPA,08D21EB6E51D0300,40,192.168.0.6:25,122.100.78.143:55545,>,250 2.1.5 Recipient OK,
2015-03-02T00:02:19.584Z,EUROPA\Default EUROPA,08D21EB6E51D0300,41,192.168.0.6:25,122.100.78.143:55545,< ,RCPT TO: ,
2015-03-02T00:02:19.584Z,EUROPA\Default EUROPA,08D21EB6E51D0300,42,192.168.0.6:25,122.100.78.143:55545,>,250 2.1.5 Recipient OK,
2015-03-02T00:02:20.364Z,EUROPA\Default EUROPA,08D21EB6E51D0300,43,192.168.0.6:25,122.100.78.143:55545,< ,RCPT TO: ,
2015-03-02T00:02:20.364Z,EUROPA\Default EUROPA,08D21EB6E51D0300,44,192.168.0.6:25,122.100.78.143:55545,>,250 2.1.5 Recipient OK,
2015-03-02T00:02:21.238Z,EUROPA\Default EUROPA,08D21EB6E51D0300,45,192.168.0.6:25,122.100.78.143:55545,< ,RCPT TO: ,
2015-03-02T00:02:21.238Z,EUROPA\Default EUROPA,08D21EB6E51D0300,46,192.168.0.6:25,122.100.78.143:55545,>,250 2.1.5 Recipient OK,
2015-03-02T00:02:21.534Z,EUROPA\Default EUROPA,08D21EB6E51D0301,0,192.168.0.6:25,81.246.126.146:29327,+,,

Att slå av relay för autentiserade användare i Microsoft Exchange 2010

Eftersom servern tyckte att min användare är en giltig användare så tycker den också att jag som användare har rättigheter att skicka mail men utan att ange ett lösenord dvs i praktiken är servern öppen för relay bara man angivit ett användarnamn som finns i domänen. Självklart är det inte svårt för en hacker elelr spammer att lista ut en sån sak och min mailadress finns på många forum o.s.v. så det är inte svåert att hitta mig.

För att lösa problemet slog jag av rättigheten att vilken användare som helst ska tillåtas att skicka ut mail om den finns och det gjorde jag med följande kommande:

Get-ReceiveConnector “Default Europa” | Remove-ADPermission -user “NT AUTHORITY\Authenticated users” -ExtendedRights “ms-Exch-SMTP-Accept-Any-Recipient”

EFter ändringen måste Microsoft Transport tjänsten startas om.

Kontakta mig för frågor

Exchange Server 2010, IT Drift second & third line support, konsult infrastruktur, skydda exchange OWA
, , , ,