Gelöst DNS Blacklist wird nicht abgefragt

[869288141]

Hallo zusammen,
ich habe bei meiner Test Instanz festgestellt, dass die Real Time Blocklisten (DNS BL) vermeidlich nicht tun, was sie sollen. In meiner Test Regel ist die DNSBL SpamCop (bl.spamcop.net) hinzugefügt. Laut DNS verbirgt sich dahinter die IPv4 Adresse 184.94.240.110. Allerdings sehe ich auf der zentralen Firewall beim Empfang einer E-Mail auf dem Gateway keine Anfragen in Richtung des FQDN/IPv4 Adresse.

---

Es geht um folgenden Test Aufbau:

• 1x Windows Server 2019 im LAN. Dort ist die Intranet Rolle installiert.
• 1xx Windows Server 2019 in der DMZ Extern. Dort ist die Gateway Rolle installiert.
• Es kommt auf allen Servern die Version 15.5.0.1910.

Ein Client sendet an den SMTP Proxy eine Test E-Mail. Der Absender ist daniel@example.com. Der Empfänger ist. daniel@lab03.sub.domain.de
Es gibt eine dedizierte Regel für diese Verbindung:


Die Regel ist wie folgt konfiguriert:

Den Parameter "Level of Trust System" habe ich deaktiviert, weil ich im Reiter "Filter" keinen Reputation Filter" hinzufügen wollte.






Nach der Konfiguration habe ich eine Test E-Mail mit dem obengenannten Absender und Empfänger verschickt. Ich sehe den Eintrag auch sofort im Message Track und im Postfach des Empfängers. Nachstehend die Infos aus dem Message Tracking.





Im NSP CC -> Connected systems -> DNS Servers ist der Parameter "Use the servers configured in Windows". In den Einstellungen des Netzwerk Adapters des Windows Servers ist der DNS Server des Domain Controllers konfiguriert.

In der Analyse des vermeidlichen Problems habe ich

• auf den Servern der Intranet- und Gateway Rolle vor dem Test via ipconfig /flushdns geleert.
• in der MMC des DNS-Server auf den Domain Controllers den Cache geleert.
• Intranet- und Gateway Rolle neu gestartet.
• Online Doku studiert, aber nichts zu der Funktionsweise der Real Time Blocklists o.ä. gefunden.
• Update auf die neuste Version von NSP Durchgeführt

Mein aktuelles Verständnis für die Funktionalität ist wie folgt:

1. Eine eingehende E-Mail wird vom Gateway angenommen.
2. Durch den Filter Real-time Blocklist wird von der Gateway Rolle der Server bl.spamcop.net über Port 53/udp angesprochen.
3. Auswertung der Response
   1. Ja: E-Mail wird abgelehnt
   2. Nein: Weitere Filter werden angewendet.

Ist mein Verständnis überhaupt richtig? Was übersehe ich bzw. wo ist mir bei der Konfiguration Fehler unterlaufen?


Gruß,
Daniel

 

[JanJäschke]

Hey,

Lass mal wireshark auf den GW mit laufen und die log Kategorien:
- Proxy System
- Mailvalidation
- Network connections
- DNS
- und Action/Filters oder so ähnlich

Dann wissen wir was genau passiert ohne groß rätseln zu müssen.

LG
Jan

 

[869288141]

Hallo Jan,

- und Action/Filters oder so ähnlich

du meinst sicherlich den Eintrag "Real-time blocklists"? Den hab ich auf jeden Fall aktiviert.

die log Kategorien:
- Proxy System
- Mailvalidation
- Network connections
- DNS
- und Action/Filters oder so ähnlich

Done. Ich muss sagen ich bin von eurem Format und der Fülle der Informationen im Logfile begeistert. Hat ein bisschen gedauert, bis ich es lesen konnte. Das ist absolut ein vorbildliche Implementierung. Ich bin wirklich von den Socken! Was ich noch nicht verstanden habe, warum die Datei in ein GZ und nicht klassisch ZIP Archiv verpackt wird?!

Darf ich ein paar Hersteller zu euch in die Entwicklung zum Praktikum schicken?

---

Ist mein Verständnis überhaupt richtig? Was übersehe ich bzw. wo ist mir bei der Konfiguration Fehler unterlaufen?

Mir sind schlussendlich zwei Fehler unterlaufen:
1. In meiner Test Umgebung verfügt der sendende SMTP Client über keine öffentliche, sondern eine private IP-Adresse. Das hat zur Folge, dass der Filter mit den DNS Blacklist(s) keine Prüfung durchführt. Vermutlich habt ihr dort eine Prüfung eingebaut, welche private IP-Adressen nach RFC 1918 erkennt und den Prozess abbricht bzw. überspringt.

In einer Umgebung, in der die Gateway Rolle über eine öffentliche IP-Adresse erreichbar ist, werden dann auch Filter, DNSBL erfolgreich angewendet.

2. Die Abfrage der konfigurierten DNS Blacklist erfolgt durch die Gateway Rolle. Diese richtet die DNS-Anfrage an den DNS-Server, welcher auf dem Netzwerk Adapter des Windows Servers, auf dem die Gateway Rolle installiert ist, eingetragen ist. Entgegen meiner Annahme erfolgt keine Abfrage direkt bei Nameserver, der die DNSBL bereitstellt.


Warum ich auf der Firewall keine Verbindung gesehen habe lag daran, dass der DNS-Server 192.168.200.3 die Requests auf Grund einer ACL blockiert hat.

Kaum versteht man, wie die Architektur und Datenfluss aussieht, lösen sich die Probleme in Luft auf.
Danke Jan für den Klaps auf den Hinterkopf!


Gruß,
Daniel