Mailserver (SBS2k8) Setup (MX Einträge und Co)

Probmaker

1.0.0.721

Registered: Nov 2003
Location: here
Posts: 5035

11.05.2009 - 21:20

hi

bin ein wenig am spielen mit SBS2k8 und versuch jetzt grad (nur in der theorie - versuchen werd ichs im laufe der woche) meinen sbs auch im netz zu verwenden (exchange).

wenn ichs richtig verstanden habe:

ich setze zuerst den A-Eintrag und schaffe meinem mailserver eine eigene subdomain... zB:

mail.mydomain.tld .... 80.109.127.154

dann setz ich den MX eintrag entsprechend... dH als priorität 10, und server is dann mail.mydomain.tld

der exchangeserver lauscht dann am SMTP port (25) ob was reinkommt... der muss natürlich bei der firewall offen sein.

das einzige was ich nicht durchschaue: im webtool von meinem domain service provider (TA) gibts noch einen wert zwischen 300 und 10800 der die überschrift "TTL" hat - was ist das?

mfg
Probmaker

HVG

Vereinsmitglied
untitled

Registered: Jun 2000
Location: NÖ
Posts: 5987

11.05.2009 - 21:23

time to live - http://en.wikipedia.org/wiki/Time_to_live

COLOSSUS

Administrator
GNUltra

Registered: Dec 2000
Location: ~
Posts: 12216

11.05.2009 - 21:25

Time To Live. Das ist ein fuer DNS-Eintraege allgemein gueltiger Wert (nicht nur auf einen MX record beschraenkt also), der die Zeit (in Sekunden) angibt, die ein cachender Nameserver die diesem Record zugehoerige IP-Adresse vorhalten soll.

Probmaker

1.0.0.721

Registered: Nov 2003
Location: here
Posts: 5035

11.05.2009 - 21:25

ok - also wären hier die 300 oder 600 sekunden angebracht...?

ansonsten ist das was ich oben geschrieben habe kein non-sense?

tia

Probmaker

//EDIT: wie siehts mit diesem reverse eintrag aus? hab gelesen dass viele mailserver checken ob meine mailadresse (wenn ich jetzt was verschicke) auch wirklich zu der domain passt... wie geh ich da voR?

es ist wie gesagt ein SBS2k8, IP Cop als FW mit Copfilter, TA als domainserviceprovider und TA als provider fürs symetrische 4/4 DSL

Bearbeitet von Probmaker am 11.05.2009, 21:29

schizo

Produkt der Gesellschaft

Registered: Feb 2003
Location: Vienna
Posts: 2610

11.05.2009 - 21:29

Wenn du Änderungen am MX Record vornehmen magst ist es sinnvoll den Wert niedrig zu setzen (z.B. 3600), nach 1, 2 Tagen ist des dann ratsam den Wert hoch zu wählen (am besten ansich eh 10800), um den Traffic möglichst gering zu halten.

Probmaker

1.0.0.721

Registered: Nov 2003
Location: here
Posts: 5035

18.05.2009 - 22:36

hi

also, das ding läuft im moment super

frage noch: gibt es noch so eine art "reverse entry"? der typ von der TA hat irgendwas gefaselt dass es einen reverse entry gibt wo der andere mailserver (der von uns ein email empfängt) checkt ob die domain wirklich zu der IP von unserem mailserver passt...

bin da noch etwas confused und weiß leider kein google stichwort

...weiß da jemand was?

mfg
Probmaker

Hiob

Addicted

Registered: May 2002
Location: 8010
Posts: 427

18.05.2009 - 22:44

reverse entry für laien: ;-)
machmal in deiner windows-konsole "nslookup overclockers.at" -> hier bekommst du die dazugehörige ip. aber wenn du die "nslookup 77.224.250.18" machst, solltest du - wenn ein reverse entry vorhanden ist - overclockers.at zurückbekommen. tust du aber nicht, den overclockers.at hat keinen reverse dns eintrag.

(am mac könnt ich es dir besser erklären: (host -a overclockers.at und host -a 77.224.250.18)

die idee des reverse entrys ist: spammer haben es schwerer. sie müssen von einem mailserver verschicken, der einen eintrag hat, und den vergibt i.d.r. der domainprovider. denn ein gehackter pc hat normal ja keinen reverse eintrag.

hoffe, es ist verständlich.

//edit
es heißt Reverse DNS Pointer

Probmaker

1.0.0.721

Registered: Nov 2003
Location: here
Posts: 5035

18.05.2009 - 22:49

ok - leuchtet ein

wie stell ich den ein?

Hiob

Addicted

Registered: May 2002
Location: 8010
Posts: 427

18.05.2009 - 22:56

muss der domainprovider machen. also entweder gibts bei der telekom sowas im kundenbereich oder du musst bei der hotline anrufen. hast du vielleicht einen sachbearbeiter, mit dem du in kontakt stehst? das sollte schneller gehen.

bei der telekom weiß ich es nicht, ich arbeit für eine konkurrenz der TA

schizo

Produkt der Gesellschaft

Registered: Feb 2003
Location: Vienna
Posts: 2610

18.05.2009 - 23:04

Zitat von Hiob
die idee des reverse entrys ist: spammer haben es schwerer. sie müssen von einem mailserver verschicken, der einen eintrag hat, und den vergibt i.d.r. der domainprovider. denn ein gehackter pc hat normal ja keinen reverse eintrag.

Nur bedingt. Und zwar dann, wenn ein Antispam Service im Einsatz is, welches Mails von Mailservern ohne ptr (point to ressource oder "reverse entry") greylistet oder diesen Mails mehr Spampunkte vergibt.
Daher kann es passieren, dass Mails von solchen Mailservern durch greylisting verzögert ankommen.

Hiob

Addicted

Registered: May 2002
Location: 8010
Posts: 427

18.05.2009 - 23:21

greylisting funktioniert grundsätzlich immer nach dem selben prinzip: 3 eigenschaften werden geprüft: absenderemail, absender ip und empfängeremail. wird dieses 3er gespann das erste mal in die datenbank gespeichert wird es gegreylistet, beim nächsten mal nicht mehr. ein spammer verschickt mails nicht zweimal an den gleichen empfänger vom gleichen gehackten rechner, das wäre zu aufwendig. anstatt 10.000 mails könnte er dann nur 5000 empfänger erreichen und das ist nicht effektiv. also riskieren, dass ein paar untergehen, dafür hast ein größeres gebiet abgedeckt.

wenn ein mailserver einen mailserver greylisted, der einen reverse ptr hat, dann finde ich das sehr schlecht - unter der bedingung, dass non-ptr-server nicht greylisted werden -> imo schlechte einstellung

und ein mailserver hat einen ptr zu haben, wozu gibts ihn denn bitte sonst!

//edit: ein mailserver sollte schon eine realtime blacklist wie spamhaus und greylisting haben. idealerweise soll der kunde es selber aussuchen können, ob greylisting und rlb aktiv sind oder nicht. aber man sollte den kunden alle optionen bieten - welche er nimmt, kommt auf den kunden, dessen vorlieben etc an. hier muss man ja auch individuell handeln können

schizo

Produkt der Gesellschaft

Registered: Feb 2003
Location: Vienna
Posts: 2610

19.05.2009 - 12:40

Wie greylisting funktioniert hängt vom Anti Spam Service ab. Du kannst nicht generell sagen, welche Eigenschaften ein Mail haben muss, um gegreylistet zu werden. Das kann für den einen Anbieter zutreffen, für den anderen nicht.
Teilweise kommen Datenbanken zum Einsatz, welche IPs nach erfolgreichem greylisting whitelisten, teilweise nicht.
Des weiteren gibt es auch Spammer, welche um greylisting zu umgehen das selbe Mail nach Hausnummer 1 Minute nochmals versenden. Vorgekommen ist dies schon.

Ich hab vorhin geschrieben, dass teilweise non ptr Server gegreylistet werden, nicht Server mit ptr Record (bzw falls ja, dann ist nicht der ptr Record ausschlaggebend, wär ja hirnrissig).
Und was ein Mailserver optimalerweise hat ist eine Sache. Wie er konfiguriert ist eine andere. Es gibt genauso Mailserver in den weiten, welche mit Greylisting nicht umgehen können. Da es sich dabei um ungepatchte Exchange Server handelt sind diese nichtmal selten vertreten.
Reiner Einsatz von Blacklists ist in der heutigen Zeit leider auch weit unzureichend, um von Spam verschont zu bleiben. Dafür müssen schon dezidierte Spamfilter eingesetzt werden.

Probmaker

1.0.0.721

Registered: Nov 2003
Location: here
Posts: 5035

22.05.2009 - 15:54

so, den reverse-dns eintrag hab ich jetzt auch setzen lassen. gibts jetzt sonst noch irgendwas wichtiges was ich evtl vergessen hab?

vielleicht kennt sich damit auch jemand aus: wenn ich auf den OWA (outlook web access) geh kommt die fehlermeldung mit dem zertifikat - eh klar, ist self-signed. wo am besten ein "richtiges" kaufen?

mfg
Probmaker

userohnenamen

leider kein name

Registered: Feb 2004
Location: -
Posts: 15878

22.05.2009 - 16:18

z.b. http://www.atrust.at ? (günstig is das ganze aber nicht)

COLOSSUS

Administrator
GNUltra

Registered: Dec 2000
Location: ~
Posts: 12216

22.05.2009 - 17:32

Ich wuerd einfach die eigene CA auf den Clients als vertrauenswuerdig importieren.

Sonst: http://www.rapidssl.com/

Probmaker 1.0.0.721 Registered: Nov 2003 Location: here Posts: 5035	11.05.2009 - 21:20 hi bin ein wenig am spielen mit SBS2k8 und versuch jetzt grad (nur in der theorie - versuchen werd ichs im laufe der woche) meinen sbs auch im netz zu verwenden (exchange). wenn ichs richtig verstanden habe: ich setze zuerst den A-Eintrag und schaffe meinem mailserver eine eigene subdomain... zB: mail.mydomain.tld .... 80.109.127.154 dann setz ich den MX eintrag entsprechend... dH als priorität 10, und server is dann mail.mydomain.tld der exchangeserver lauscht dann am SMTP port (25) ob was reinkommt... der muss natürlich bei der firewall offen sein. das einzige was ich nicht durchschaue: im webtool von meinem domain service provider (TA) gibts noch einen wert zwischen 300 und 10800 der die überschrift "TTL" hat - was ist das? mfg Probmaker
HVG Vereinsmitglied untitled Registered: Jun 2000 Location: NÖ Posts: 5987	11.05.2009 - 21:23 time to live - http://en.wikipedia.org/wiki/Time_to_live
COLOSSUS Administrator GNUltra Registered: Dec 2000 Location: ~ Posts: 12216	11.05.2009 - 21:25 Time To Live. Das ist ein fuer DNS-Eintraege allgemein gueltiger Wert (nicht nur auf einen MX record beschraenkt also), der die Zeit (in Sekunden) angibt, die ein cachender Nameserver die diesem Record zugehoerige IP-Adresse vorhalten soll.
Probmaker 1.0.0.721 Registered: Nov 2003 Location: here Posts: 5035	11.05.2009 - 21:25 ok - also wären hier die 300 oder 600 sekunden angebracht...? ansonsten ist das was ich oben geschrieben habe kein non-sense? tia Probmaker //EDIT: wie siehts mit diesem reverse eintrag aus? hab gelesen dass viele mailserver checken ob meine mailadresse (wenn ich jetzt was verschicke) auch wirklich zu der domain passt... wie geh ich da voR? es ist wie gesagt ein SBS2k8, IP Cop als FW mit Copfilter, TA als domainserviceprovider und TA als provider fürs symetrische 4/4 DSL Bearbeitet von Probmaker am 11.05.2009, 21:29
schizo Produkt der Gesellschaft Registered: Feb 2003 Location: Vienna Posts: 2610	11.05.2009 - 21:29 Wenn du Änderungen am MX Record vornehmen magst ist es sinnvoll den Wert niedrig zu setzen (z.B. 3600), nach 1, 2 Tagen ist des dann ratsam den Wert hoch zu wählen (am besten ansich eh 10800), um den Traffic möglichst gering zu halten.
Probmaker 1.0.0.721 Registered: Nov 2003 Location: here Posts: 5035	18.05.2009 - 22:36 hi also, das ding läuft im moment super frage noch: gibt es noch so eine art "reverse entry"? der typ von der TA hat irgendwas gefaselt dass es einen reverse entry gibt wo der andere mailserver (der von uns ein email empfängt) checkt ob die domain wirklich zu der IP von unserem mailserver passt... bin da noch etwas confused und weiß leider kein google stichwort ...weiß da jemand was? mfg Probmaker
Hiob Addicted Registered: May 2002 Location: 8010 Posts: 427	18.05.2009 - 22:44 reverse entry für laien: ;-) machmal in deiner windows-konsole "nslookup overclockers.at" -> hier bekommst du die dazugehörige ip. aber wenn du die "nslookup 77.224.250.18" machst, solltest du - wenn ein reverse entry vorhanden ist - overclockers.at zurückbekommen. tust du aber nicht, den overclockers.at hat keinen reverse dns eintrag. (am mac könnt ich es dir besser erklären: (host -a overclockers.at und host -a 77.224.250.18) die idee des reverse entrys ist: spammer haben es schwerer. sie müssen von einem mailserver verschicken, der einen eintrag hat, und den vergibt i.d.r. der domainprovider. denn ein gehackter pc hat normal ja keinen reverse eintrag. hoffe, es ist verständlich. //edit es heißt Reverse DNS Pointer
Probmaker 1.0.0.721 Registered: Nov 2003 Location: here Posts: 5035	18.05.2009 - 22:49 ok - leuchtet ein wie stell ich den ein?
Hiob Addicted Registered: May 2002 Location: 8010 Posts: 427	18.05.2009 - 22:56 muss der domainprovider machen. also entweder gibts bei der telekom sowas im kundenbereich oder du musst bei der hotline anrufen. hast du vielleicht einen sachbearbeiter, mit dem du in kontakt stehst? das sollte schneller gehen. bei der telekom weiß ich es nicht, ich arbeit für eine konkurrenz der TA
schizo Produkt der Gesellschaft Registered: Feb 2003 Location: Vienna Posts: 2610	18.05.2009 - 23:04 Zitat von Hiob die idee des reverse entrys ist: spammer haben es schwerer. sie müssen von einem mailserver verschicken, der einen eintrag hat, und den vergibt i.d.r. der domainprovider. denn ein gehackter pc hat normal ja keinen reverse eintrag. Nur bedingt. Und zwar dann, wenn ein Antispam Service im Einsatz is, welches Mails von Mailservern ohne ptr (point to ressource oder "reverse entry") greylistet oder diesen Mails mehr Spampunkte vergibt. Daher kann es passieren, dass Mails von solchen Mailservern durch greylisting verzögert ankommen.
Hiob Addicted Registered: May 2002 Location: 8010 Posts: 427	18.05.2009 - 23:21 greylisting funktioniert grundsätzlich immer nach dem selben prinzip: 3 eigenschaften werden geprüft: absenderemail, absender ip und empfängeremail. wird dieses 3er gespann das erste mal in die datenbank gespeichert wird es gegreylistet, beim nächsten mal nicht mehr. ein spammer verschickt mails nicht zweimal an den gleichen empfänger vom gleichen gehackten rechner, das wäre zu aufwendig. anstatt 10.000 mails könnte er dann nur 5000 empfänger erreichen und das ist nicht effektiv. also riskieren, dass ein paar untergehen, dafür hast ein größeres gebiet abgedeckt. wenn ein mailserver einen mailserver greylisted, der einen reverse ptr hat, dann finde ich das sehr schlecht - unter der bedingung, dass non-ptr-server nicht greylisted werden -> imo schlechte einstellung und ein mailserver hat einen ptr zu haben, wozu gibts ihn denn bitte sonst! //edit: ein mailserver sollte schon eine realtime blacklist wie spamhaus und greylisting haben. idealerweise soll der kunde es selber aussuchen können, ob greylisting und rlb aktiv sind oder nicht. aber man sollte den kunden alle optionen bieten - welche er nimmt, kommt auf den kunden, dessen vorlieben etc an. hier muss man ja auch individuell handeln können
schizo Produkt der Gesellschaft Registered: Feb 2003 Location: Vienna Posts: 2610	19.05.2009 - 12:40 Wie greylisting funktioniert hängt vom Anti Spam Service ab. Du kannst nicht generell sagen, welche Eigenschaften ein Mail haben muss, um gegreylistet zu werden. Das kann für den einen Anbieter zutreffen, für den anderen nicht. Teilweise kommen Datenbanken zum Einsatz, welche IPs nach erfolgreichem greylisting whitelisten, teilweise nicht. Des weiteren gibt es auch Spammer, welche um greylisting zu umgehen das selbe Mail nach Hausnummer 1 Minute nochmals versenden. Vorgekommen ist dies schon. Ich hab vorhin geschrieben, dass teilweise non ptr Server gegreylistet werden, nicht Server mit ptr Record (bzw falls ja, dann ist nicht der ptr Record ausschlaggebend, wär ja hirnrissig). Und was ein Mailserver optimalerweise hat ist eine Sache. Wie er konfiguriert ist eine andere. Es gibt genauso Mailserver in den weiten, welche mit Greylisting nicht umgehen können. Da es sich dabei um ungepatchte Exchange Server handelt sind diese nichtmal selten vertreten. Reiner Einsatz von Blacklists ist in der heutigen Zeit leider auch weit unzureichend, um von Spam verschont zu bleiben. Dafür müssen schon dezidierte Spamfilter eingesetzt werden.
Probmaker 1.0.0.721 Registered: Nov 2003 Location: here Posts: 5035	22.05.2009 - 15:54 so, den reverse-dns eintrag hab ich jetzt auch setzen lassen. gibts jetzt sonst noch irgendwas wichtiges was ich evtl vergessen hab? vielleicht kennt sich damit auch jemand aus: wenn ich auf den OWA (outlook web access) geh kommt die fehlermeldung mit dem zertifikat - eh klar, ist self-signed. wo am besten ein "richtiges" kaufen? mfg Probmaker
userohnenamen leider kein name Registered: Feb 2004 Location: - Posts: 15878	22.05.2009 - 16:18 z.b. http://www.atrust.at ? (günstig is das ganze aber nicht)
COLOSSUS Administrator GNUltra Registered: Dec 2000 Location: ~ Posts: 12216	22.05.2009 - 17:32 Ich wuerd einfach die eigene CA auf den Clients als vertrauenswuerdig importieren. Sonst: http://www.rapidssl.com/

Mailserver (SBS2k8) Setup (MX Einträge und Co)

Forum Index > Digital Life > Internet & Provider

Probmaker

HVG

COLOSSUS

Probmaker

schizo

Probmaker

Hiob

Probmaker

Hiob

schizo

Hiob

schizo

Probmaker

userohnenamen

COLOSSUS