Paramétrage DNS pour un serveur exchange (page 2) • Link Station

capitaine-lamar · 2007-07-20T09:21:44+00:00

Encore un petit conseil pour moi. J'ai un serveur sbs 2003. Je vais avoir une connexion avec ip fixe chez magic online. Pour l'instant je n'ai pas de site web. Mon serveur sbs va gérer 4 ou domaines mail. Comment dois-je paramétrer mes dns ? dites moi si je me trompe. - les alias pour les domaines: mail.domaine1.fr A mon_ip_fixe mail.domaine2.fr A mon_ip_fixe mail.domaine3.fr A mon_ip_fixe mail.domaine4.fr A mon_ip_fixe - les reverses dns pour les 4 domaines : mon_ip_fixe PTR domaine1.fr mon_ip_fixe PTR domaine2.fr mon_ip_fixe PTR domaine3.fr mon_ip_fixe PTR domaine4.fr - les cname: pourquoi faire ? pour l'instant je n'héberge rien d'autre qu'un serveur echange - les enregistrements MX : le primaire est mon serveur, j'espère que magic fourni un vrai mx secondaire domaine1.fr MX10 mail.domaine1.fr domaine1.fr MX100 mx2.magic.fr domaine2.fr MX10 mail.domaine2.fr domaine2.fr MX100 mx2.magic.fr domaine3.fr MX10 mail.domaine2.fr domaine3.fr MX100 mx2.magic.fr domaine4.fr MX10 mail.domaine2.fr domaine4.fr MX100 mx2.magic.fr Quid des requêtes ftp,www et autres pour lesquelles je n'héberge pas de service ? et la question corollaire: que dois-je déclarer dans mon sbs pour recevoir et émettre le mail des différents domaines ?

Aller au Forum:

soul^keeper

AdministrateurNiveau 50 · OscariséRéférenceur Légendaire

Membre depuis: 2002
Messages: 17438

Plus

Membre n°: 1
Inscription: 22 Feb 2002
Localisation: La Défense
Âge: 49 ans
Sujets lancés: 3040
Ancienneté: 100 %
Participation: 100 %
Temps en ligne: 104 Jours, 13 Heures, 3 Minutes, 22 Secondes en ligne

24-07-2007 21:20

tu parles des campagnes de spam (des vrais massmailings)

mais pour tout ce qui est virus/worms sur les stations de travail, la technique de l'utilisation du carnet d'adresse pour constituer des bases de FROM et TO aléatoires a encore de beaux jours devant elle ... et pour ça le SPF marche nickel puisque ce sont pas les champs SPF des spammeurs, mais les tiens (enfin le mien en l'occurence) qui sont intérrogés

| IP: Logguée

PROFIL PM RECH. AMISÉDITER CITER

SSchoubiGuruNiveau 42 · ScénaristeRéférenceur Émérite

Membre depuis: 2002
Messages: 12627

Plus

Membre n°: 566
Inscription: 10 Mar 2002
Âge: 47 ans
Sujets lancés: 1428
Ancienneté: 100 %
Participation: 97 %
Temps en ligne: 48 Jours, 18 Heures, 48 Minutes, 8 Secondes en ligne

24-07-2007 21:29

Sauf si le carnet d'adresses vérolé est dans ton domaine, là c'est l'arroseur arrosé

__________________

| IP: Logguée

PROFIL PM WWW RECH. AMISÉDITER CITER

soul^keeper

AdministrateurNiveau 50 · OscariséRéférenceur Légendaire

Membre depuis: 2002
Messages: 17438

Plus

Membre n°: 1
Inscription: 22 Feb 2002
Localisation: La Défense
Âge: 49 ans
Sujets lancés: 3040
Ancienneté: 100 %
Participation: 100 %
Temps en ligne: 104 Jours, 13 Heures, 3 Minutes, 22 Secondes en ligne

25-07-2007 11:32

non parce que si t'es un administrateur qui se respecte, ton firewall empêche tes stations de travail d'émettre directement du mail vers internet donc tes MX ne sont pas joignables de tes stations, seulement de ton serveur SMTP, or celui là, il log, donc au pire, sur le ver attaque ton SMTP officiel, t'as vite fait d'identifier toute activité suspecte.

| IP: Logguée

PROFIL PM RECH. AMISÉDITER CITER

SSchoubiGuruNiveau 42 · ScénaristeRéférenceur Émérite

Membre depuis: 2002
Messages: 12627

Plus

Membre n°: 566
Inscription: 10 Mar 2002
Âge: 47 ans
Sujets lancés: 1428
Ancienneté: 100 %
Participation: 97 %
Temps en ligne: 48 Jours, 18 Heures, 48 Minutes, 8 Secondes en ligne

25-07-2007 14:54

Oui, mais tu n'empêcheras pas des milliers de mails/spam de partir de ton smtp avec le champ SPF correct...D'où la relative inutilité de ce truc...Bon je crois qu'on a bien détourné le topic là

__________________

| IP: Logguée

PROFIL PM WWW RECH. AMISÉDITER CITER

soul^keeper

AdministrateurNiveau 50 · OscariséRéférenceur Légendaire

Membre depuis: 2002
Messages: 17438

Plus

Membre n°: 1
Inscription: 22 Feb 2002
Localisation: La Défense
Âge: 49 ans
Sujets lancés: 3040
Ancienneté: 100 %
Participation: 100 %
Temps en ligne: 104 Jours, 13 Heures, 3 Minutes, 22 Secondes en ligne

25-07-2007 15:29

T'es quand même supposé avoir des antivirus sur tes stations et surveiller ton parc. Comment peux tu imaginer laisser des vagues de spam passer A TRAVERS ton smtp officiel sans t'en rendre compte ? (rien que l'antivirus devrait déjà t'empêcher d'avoir des worms sur tes stations)
T'es supposé regarder tes logs, faire des stats dessus... savoir quelles IP balancent des mails et en quelle quantité ... si une station balance 1000 mails, je la grille direct la journée même... (et là je te parle pas de stations de travail, je te parle des SMTP de l'opérateur pour lequel je bosse... donc ce sont des milliers de clients professionnels qui passent dessus... c'est encore pire)

| IP: Logguée

PROFIL PM RECH. AMISÉDITER CITER

SSchoubiGuruNiveau 42 · ScénaristeRéférenceur Émérite

Membre depuis: 2002
Messages: 12627

Plus

Membre n°: 566
Inscription: 10 Mar 2002
Âge: 47 ans
Sujets lancés: 1428
Ancienneté: 100 %
Participation: 97 %
Temps en ligne: 48 Jours, 18 Heures, 48 Minutes, 8 Secondes en ligne

25-07-2007 19:10

Certes, mais tu ne peux pas empêcher le gars qui arrive en invité avec son beau portable tout vérolé qui se branche sur le wifi et bing. Pile poil dans ton quart d'heure de pose, c'est balot

Et le temps de réaction en surveillant les logs, à moins de rester les yeux plantés dessus à longueur de temps, je dirais que c'est de l'ordre du quart d'heure....Et j'ai déjà vu un ordi vérolé envoyer 500mails/minute ....

__________________

| IP: Logguée

PROFIL PM WWW RECH. AMISÉDITER CITER

soul^keeper

AdministrateurNiveau 50 · OscariséRéférenceur Légendaire

Membre depuis: 2002
Messages: 17438

Plus

Membre n°: 1
Inscription: 22 Feb 2002
Localisation: La Défense
Âge: 49 ans
Sujets lancés: 3040
Ancienneté: 100 %
Participation: 100 %
Temps en ligne: 104 Jours, 13 Heures, 3 Minutes, 22 Secondes en ligne

25-07-2007 19:21

Normalement ton cas ne peut pas arriver

Car dans un réseau bien conçu, un gars qui se branche "à la sauvage" sur ton réseau au mieux atterit dans un LAN de transition (avec droits hyper limités), au pire n'obtient même pas d'adresse IP... dans tous les cas, des produits existent pour alerter immédiatement l'administrateur du branchement d'une machine "pirate" sur le réseau.

A chaque faille une solution, mais je te l'accorde, on commence à arriver à des infra assez complexes là

... Mais je peux encore continuer longtemps, la sécurité ça me botte bien ;-)

| IP: Logguée

PROFIL PM RECH. AMISÉDITER CITER

Ccapitaine-lamarExpertNiveau 12 · Collectionneur DVDRéférenceur Novice

Membre depuis: 2002
Messages: 2452

Plus

Membre n°: 4329
Inscription: 09 Sep 2002
Sujets lancés: 78
Ancienneté: 98 %
Participation: 67 %
Temps en ligne: 29 Jours, 21 Heures, 27 Minutes, 23 Secondes en ligne

25-07-2007 21:01

puisque la sécurité ça te botte. Y a-t- il moyen que le nom du serveur n'apparaisse pas dans l'entête des messages ?

on voit le nom local du serveur du style : serveur.domaine.local
Il me semblait que l'on pouvait faire en sorte de ne faire apparaitre que le nom associé à l'ip publique comme mail.domaine1.fr

| IP: Logguée

PROFIL PM RECH. AMISÉDITER CITER

soul^keeper

AdministrateurNiveau 50 · OscariséRéférenceur Légendaire

Membre depuis: 2002
Messages: 17438

Plus

Membre n°: 1
Inscription: 22 Feb 2002
Localisation: La Défense
Âge: 49 ans
Sujets lancés: 3040
Ancienneté: 100 %
Participation: 100 %
Temps en ligne: 104 Jours, 13 Heures, 3 Minutes, 22 Secondes en ligne

25-07-2007 21:28

ben ça c'est le reverse DNS *LOCAL* de ton serveur qui fait ça... à toi de faire en sorte que ça résolve par le FQDN public... donc check tes DNS...

| IP: Logguée

PROFIL PM RECH. AMISÉDITER CITER

Ccapitaine-lamarExpertNiveau 12 · Collectionneur DVDRéférenceur Novice

Membre depuis: 2002
Messages: 2452

Plus

Membre n°: 4329
Inscription: 09 Sep 2002
Sujets lancés: 78
Ancienneté: 98 %
Participation: 67 %
Temps en ligne: 29 Jours, 21 Heures, 27 Minutes, 23 Secondes en ligne

26-07-2007 22:37

merci de ta réponse.
Après avoir fait une autoformation rapide sur le pix 501 (ça y est, j'ai enfin ma connexion avec ip fixe) je vais en faire une sur les dns.

La journée de demain va être chargée.

| IP: Logguée

PROFIL PM RECH. AMISÉDITER CITER

soul^keeper

AdministrateurNiveau 50 · OscariséRéférenceur Légendaire

Membre depuis: 2002
Messages: 17438

Plus

Membre n°: 1
Inscription: 22 Feb 2002
Localisation: La Défense
Âge: 49 ans
Sujets lancés: 3040
Ancienneté: 100 %
Participation: 100 %
Temps en ligne: 104 Jours, 13 Heures, 3 Minutes, 22 Secondes en ligne

27-07-2007 01:38

oublie pas de virer le FIXUP SMTP sur le PIX ... sinon gros problèmes pour dialoguer avec d'autres SMTP (selon leur stratégie de sécurité)

| IP: Logguée

PROFIL PM RECH. AMISÉDITER CITER

Ccapitaine-lamarExpertNiveau 12 · Collectionneur DVDRéférenceur Novice

Membre depuis: 2002
Messages: 2452

Plus

Membre n°: 4329
Inscription: 09 Sep 2002
Sujets lancés: 78
Ancienneté: 98 %
Participation: 67 %
Temps en ligne: 29 Jours, 21 Heures, 27 Minutes, 23 Secondes en ligne

27-07-2007 07:46

ça sert à quoi exactement le fixup ?
Il est déclaré dans la config par défaut, je n'y ai pas touché.

J'ai ouvert et redirigé le port 25 et ça semble fonctionner.

edit: j'ai trouvé ça
et effectivement je ne peux pas ouvrir une session telnet sur le port 25.

Edité par capitaine-lamar le 27-07-2007 à 07:57

| IP: Logguée

PROFIL PM RECH. AMISÉDITER CITER

soul^keeper

AdministrateurNiveau 50 · OscariséRéférenceur Légendaire

Membre depuis: 2002
Messages: 17438

Plus

Membre n°: 1
Inscription: 22 Feb 2002
Localisation: La Défense
Âge: 49 ans
Sujets lancés: 3040
Ancienneté: 100 %
Participation: 100 %
Temps en ligne: 104 Jours, 13 Heures, 3 Minutes, 22 Secondes en ligne

27-07-2007 13:12

le fixup c'est tout simplement un inspecteur de protocole... ça permet de s'assurer que ce sera bien CE protocole et aucun autre qui transitera sur le port 25 (donc à la base, ça permet de sécuriser un peu plus)

Sauf que pour le SMTP, le fixup du PIX pose plus de problème qu'il n'en résout : c'est vrai qu'il surveille les commandes SMTP en live, mais ça a plein d'effet de bord : d'une part ça merdouille dans certains cas (sessions SMTP bloquées à tort par le pix), un autre problème est que la bannière SMTP est maquillée, et ça, certains serveurs SMTP n'aiment pas du tout (je pense à AOL notamment.. encore et toujours) : la RFC 2821 stipule que le serveur doit accueillir avec un format standard "220-smtp.mondomaine.com" ... or avec le PIX on obtient un truc du genre "220*******************************************************0*2******0***********************" comme t'as vu dans ta KB microsoft ... et du coup des serveurs partent du principe que c'est une connexion fantaisiste ou usurpée et paf t'es bloqué....
Effectivement j'avais aussi oublié les pb d'incompatibilité PIX/Exchange (enfin avec du microsoft...)..
Bref pour toutes ces raisons, je ne saurai que trop te conseiller de désactiver le fixup (pour le SMTP uniquement hein).

| IP: Logguée

PROFIL PM RECH. AMISÉDITER CITER

Il est actuellement 16:33 (GMT)

NOUVEAU SUJET

RÉPONDRE

Page(s) (2): [ < 1 2 ]

Sujet précédent Sujet suivant