Keine SMTP Verbindung ins Internet mehr möglich

[ChrisO]

Seit zwei Tagen kann ich keine Mails von meinem eigenem Server verschicken.
Ich weiss von dem "SMTP-Proxy" Server der die SMTP Verbindungen abfängt und zensiert, war bis jetzt, denke ich immer, der vimdzmsp-nwas04.bluewin.ch.
Seit zwei Tagen kriege ich nur Timeouts, der Zensor meldet sich nicht.
Swisscom Support am Telefon und in WhatsApp versteht nur Bahnhof. Scheint unmöglich zu sein richtige Unterstützung zu kriegen.&nbsp
Langsam beginne ich micht für meinen ehemaligen Arbeitgeber zu schämen.
Hat jemand eine Idee wer könne mir da weiter helfen?

[hed]

Falls du den Mailserver an einem Privatkundenanschluss betreibst ist es logisch, dass dir der Support nicht weiter helfen kann, denn für so extrem seltene/exotische Fälle ist zumindest in der Abteilung Privatkunden kein KnowHow vorhanden.

D.h. du kannst nur warten und hoffen, dass dich ein anderer Kunde hier im Forum unterstützen kann.

[Plereippeg66]

Du schreibst nichts über deine Konfiguration.

Einen eigenen Mailserver lässt sich problemlos betreiben z.B. zum Abrufen und Versenden  deiner Mails bei ???@bluewin.ch

Seit einiger Zeit muss beim Versenden von Mail die AbsenderMail Adresse mit dem Account übereinstimmen.

Evt. verwendest du auch eine falsche Portnummer für das Ziel oder dein Mailprogramm benutzt abgelaufende Zertifikate .....

Einen Mailserver mit eigener Domain mit einer IP-Adresse aus einem dynamischen Adress-Block kann nicht sinnvoll benutzt werden.  Auch mit einer eigenen statischen IP-Adresse wird es immer schwieriger den viele Mailserver nehmen keine Verbindung / Mails von unbekannten IP-Adressen an.

[FlySmurf]

---

@Plereippeg66  schrieb:

Auch mit einer eigenen statischen IP-Adresse wird es immer schwieriger den viele Mailserver nehmen keine Verbindung / Mails von unbekannten IP-Adressen an.

---

Kommt auf die konfiguration an und auch auf den spf-eintrag. Mein lokaler mailserver tut seine dienste seid jahren problemlos

[Plereippeg66]

@FlySmurf 

Richtig. Unter anderem. Ich sag ja nicht unmöglich, sondern immer schwieriger.

[ChrisO]

@Plereippeg66
Es brauch keinen eigenen Mailserver um mails bei Bluewin ode Gmail abzuholen.

Ich spreche von einem Mailserer der im MX Record bestimmter Domaine eingetragen ist und Mails für diese Domaine empfängt.
Und natürlicht ermöglicht das Verschicken von Mails in dem er (E)SMTP Verbindungen auf Port 25 mit Server im Internet aufbaut.
Das ist bei mir seit paar Tagen nicht mehr möglich.
Beispiel:

Via Swisscom
osk@server:~$ dig swiss.com mx

; <<>> DiG 9.11.5-P4-5.1+deb10u5-Debian <<>> swiss.com mx
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 64266
;; flags: qr rd ra; QUERY: 1, ANSWER: 4, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;swiss.com. IN MX

;; ANSWER SECTION:
swiss.com. 19723 IN MX 10 mx1.lhsystems.com.
swiss.com. 19723 IN MX 10 mx2.lhsystems.com.
swiss.com. 19723 IN MX 10 mx3.lhsystems.com.
swiss.com. 19723 IN MX 10 mx4.lhsystems.com.

osk@server:~$ telnet mx1.lhsystems.com. 25
Trying 80.77.214.51...
telnet: Unable to connect to remote host: Connection timed out

Von einem nicht zensierten Server, nicht bie Swisscom:
osk@opi-r1:~$ telnet mx1.lhsystems.com. 25
Trying 80.77.214.51...
Connected to mx1.lhsystems.com.
Escape character is '^]'.
220 mx1.lhsystems.com ESMTP
helo
250 mx1.lhsystems.com
quit
221 mx1.lhsystems.com
Connection closed by foreign host.

[Plereippeg66]

@ChrisO 

Die Zeile

250 mx1.lhsystems.com

will dir sagen: 250 = authentication failed = Anmeldung fehlgeschlagen.

Der Server lehnt deine Verbindung ab weil du aus irgendwelchen Gründen nicht berechtigt bist.

[ChrisO]

Es geht nicht um die 250 Antwort vom Server. Übrigens 2xx Antwort ist OK, google für smtp 250.

Es geht darum, dass ich von diesem Server eine SMTP Verbindung kriege, vom meinem an der Swisscom Leitung nicht.

Netzwerk, TCP/IP auf Port 25, darum geht es.

[hed]

@ChrisO 

Evtl. besteht hier ein Zusammenhang:

Gelöst: TCP Verbindung an Port 25 wird nicht zur Destinati... | Swisscom Community​

[ChrisO]

Einen zusammenhang besteht, hilft aber nicht weiter.
Bis vor paar Tagen wurden abgehende Port 25 Verbindungen von Swisscom abgefangen und zensiert, jetzt werden die offensichtlich geblockt. Da ich mein Abo bereits gekündigt habe ist es nicht mehr so wichtig, wollte aber wissen was hier los ist.

[hed]

Dass problematische Ports zum Schutz der Kunden und anderer Teilnehmer im Internet geblockt werden ist völlig korrekt. Das wird dir früher oder später auch beim neuen Provider passieren. Statt Symptombekämpfung (Providerwechsel) solltest du an den Ursachen arbeiten und sicherere Mailprotokolle verwenden.

[ChrisO]

Was für ein Quatch, sorry. Aber freue Dich, Du bekommst demnächst eine Busse weil ich ze schnell gefahren bin.
Providerwechsel ist nur umzugsbedingt, sonst würde ich dieses Anliegen unter Umständen auch rechtlich angehen.
Hab' bis jetzt keine verträgliche Begründung für:
1. Zensieren (Mitlesen und auswerten) ausgehenden Mails, bis vor kurzem. Datenchutzgesetz...?
2. Blockieren der Verbindungen ohne eine Nachricht, verschweige denn 'ne Begründung.

Ich weiss, dass die von Swisscom implementierte Idee zum Abfangen/Zensieren von Kunden ausgehenden Mails mit Zusammenarbeit mit dem grössten SPAM Verursachen, M$, ausgearbeitet wurde.
Jetzt hat man auf die viel, viel billigere Variante umgestellt: einfach blockieren.

[hed]

---

@ChrisO  schrieb:

Was für ein Quatch, sorry. Aber freue Dich, Du bekommst demnächst eine Busse weil ich ze schnell gefahren bin.
...

---

Nein, aber du bekommst eine Busse, damit ich und andere anständige Verkehrsteilnehmer vor Rasern geschützt werde.

[ChrisO]

Und was ich verbrochen habe sagt mir Swisscom nicht, sondert blockiert mich.

Ah, lassen wir's, so verursachen wir nur unnötig CO2.

[Tux0ne]

Ja also das wäre schon interessant. Kann sonst keiner mit einem RES Anschluss mal kurz eine telnet Verbindung auf einen smtp Server Port 25 versuchen?

Bisher kam da ein Proxy, neu ein Timeout gemäss @ChrisO 

Bei einem Swisscom Anschluss mit fixer IP funktioniert das noch ohne Probleme. Auch kommt da kein Proxy. 

Interessant wäre zu wissen ob da jetzt blockiert wird oder das zB eine Firewall Regel der Internet Box nun verhindert. Das könnte man ja anpassen. 

[Plereippeg66]

@Tux0ne 

Das habe ich soeben getestet.

Ich kann von extern problemlos auf den Port 25 meiner IP-Adresse (keine statische Adresse) zugreifen.

Allerdings habe ich keinen Swisscom Router und Geräte sondern Geräte aus dem freien Handel.

[ChrisO]

Es geht um die andere Richtung, ins Internet.

[Florummo89]

Wir haben das gleiche Problem an einem Business-Anschluss mit dynamischer IP. Seit ca. drei Wochen enden Verbindungsversuche auf Port 25 bei beliebigen Servern in einem Timeout. Von diversen anderen Swisscom-Anschlüssen aus funktioniert die Verbindung problemlos.

Gem. 2nd Level Support werden solche Verbindungen über einen Proxy geroutet, was aber seit Jahren so sei und in letzter Zeit nicht verändert wurde. Auf Anfrage lässt sich dieser Proxy deaktivieren, was wir testweise auch gemacht haben; hat allerdings nichts gebracht.

@ChrisO Bist du zufällig hinter einer Barracuda-Firewall?

[GrandDixence]

Statt mit Telnet sollte die SMTP-Verbindung mit OpenSSL getestet werden. Mit OpenSSL wird gleichzeitig auch die Verschlüsselung (TLS/SSL, STARTTLS) kontrolliert.

Mit verschlüsseltem Kommunikationsstart (SMTPS; ohne STARTTLS):

# openssl s_client -CApath /etc/ssl/certs/ smtp -connect mail.gmx.net:465

Mit unverschlüsselten Kommunikationsstart (mit STARTTLS):

# openssl s_client -CApath /etc/ssl/certs/ -starttls smtp -connect mail.gmx.net:587

Wenn kein Zugriff auf ein UNIX-artiges Betriebssystem vorhanden ist, hilft eine Linux Live-CD gerne weiter:

https://community.upc.ch/d/8740-giga-connect-box/63

Grundsätzlich sollte aus Sicherheitsgründen keine unverschlüsselten SMTP-Verbindungen verwendet werden.

https://posteo.de/hilfe/tls-versand-garantie-aktivieren

Also für E-Mail-Clients entweder SMTPS einsetzen (TCP Port 465) oder STARTTLS einsetzen (TCP Port 587). Aus Sicherheitsgründen sollte wo möglich, SMTPS eingesetzt werden (TCP Port 465). => E-Mailversandeinstellungen im E-Mailprogramm kontrollieren!

https://de.wikipedia.org/wiki/Simple_Mail_Transfer_Protocol

https://de.wikipedia.org/wiki/STARTTLS

https://de.wikipedia.org/wiki/SMTPS

https://kinsta.com/de/blog/smtp-port-waehlen/

Auf den Einsatz von STARTTLS sollte aus Sicherheitsgründen nach Möglichkeit verzichtet werden. Siehe auch RFC8314:

https://datatracker.ietf.org/doc/html/rfc8314

Diese Empfehlung gilt auch für den E-Mailempfang (POP3, IMAP).

https://posteo.de/hilfe/wie-richte-ich-posteo-in-einem-mailprogramm-ein-pop3-imap-und-smtp

Ein Betreiben eines eigenen Mailservers ist im Zeitalter von Posteo.de und Mailbox.org wahrscheinlich nicht mehr sinnvoll:

https://usefulvid.com/mailanbieter-test-posteo-gegen-mailbox-org/

und somit ist die Blockierung von Port TCP 25 durch den ISP Swisscom aus Sicherheitsgründen sinnvoll und gerechtfertigt.

[Tux0ne]

---

@GrandDixence  schrieb:

Statt mit Telnet sollte die SMTP-Verbindung mit OpenSSL getestet werden. Mit OpenSSL wird gleichzeitig auch die Verschlüsselung (TLS/SSL, STARTTLS) kontrolliert.

Mit verschlüsseltem Kommunikationsstart (SMTPS; ohne STARTTLS):

# openssl s_client -CApath /etc/ssl/certs/ smtp -connect mail.gmx.net:465

Mit unverschlüsselten Kommunikationsstart (mit STARTTLS):

# openssl s_client -CApath /etc/ssl/certs/ -starttls smtp -connect mail.gmx.net:587

Grundsätzlich sollte aus Sicherheitsgründen keine unverschlüsselten SMTP-Verbindungen verwendet werden.

https://posteo.de/hilfe/tls-versand-garantie-aktivieren

Also für E-Mail-Clients entweder SMTPS einsetzen (TCP Port 465) oder STARTTLS einsetzen (TCP Port 587). Aus Sicherheitsgründen sollte wo möglich, SMTPS eingesetzt werden (TCP Port 465). => E-Mailversandeinstellungen im E-Mailprogramm kontrollieren!

https://de.wikipedia.org/wiki/Simple_Mail_Transfer_Protocol

https://de.wikipedia.org/wiki/STARTTLS

https://de.wikipedia.org/wiki/SMTPS

https://kinsta.com/de/blog/smtp-port-waehlen/

Auf den Einsatz von STARTTLS sollte aus Sicherheitsgründen nach Möglichkeit verzichtet werden. Siehe auch RFC8314:

https://datatracker.ietf.org/doc/html/rfc8314

Diese Empfehlung gilt auch für den E-Mailempfang (POP3, IMAP).

https://posteo.de/hilfe/wie-richte-ich-posteo-in-einem-mailprogramm-ein-pop3-imap-und-smtp

---

Das ist alles schön und gut. Hier geht es aber explizit um Port 25. Eine verschlüsselte Verbindung über Port 25 und dem Proxy ist nicht möglich.