[CONSEIL] Paramétrage DNS pour un serveur exchange

Encore un petit conseil pour moi.

J'ai un serveur sbs 2003.
Je vais avoir une connexion avec ip fixe chez magic online.
Pour l'instant je n'ai pas de site web.
Mon serveur sbs va gérer 4 ou domaines mail.

Comment dois-je paramétrer mes dns ?

dites moi si je me trompe.

- les alias pour les domaines:
mail.domaine1.fr A mon_ip_fixe
mail.domaine2.fr A mon_ip_fixe
mail.domaine3.fr A mon_ip_fixe
mail.domaine4.fr A mon_ip_fixe

- les reverses dns pour les 4 domaines :
mon_ip_fixe PTR domaine1.fr
mon_ip_fixe PTR domaine2.fr
mon_ip_fixe PTR domaine3.fr
mon_ip_fixe PTR domaine4.fr

- les cname:
pourquoi faire ? pour l'instant je n'héberge rien d'autre qu'un serveur echange

- les enregistrements MX : le primaire est mon serveur, j'espère que magic fourni un vrai mx secondaire
domaine1.fr MX10 mail.domaine1.fr
domaine1.fr MX100 mx2.magic.fr
domaine2.fr MX10 mail.domaine2.fr
domaine2.fr MX100 mx2.magic.fr
domaine3.fr MX10 mail.domaine2.fr
domaine3.fr MX100 mx2.magic.fr
domaine4.fr MX10 mail.domaine2.fr
domaine4.fr MX100 mx2.magic.fr


Quid des requêtes ftp,www et autres pour lesquelles je n'héberge pas de service ?

et la question corollaire:
que dois-je déclarer dans mon sbs pour recevoir et émettre le mail des différents domaines ?

Ça c'est good.
(Attention à la terminologie.. ce ne sont justement pas des ALIAS mais des enregistrements directs (A signifiant Address Record)



Ça c'est PAS good, il faut que le reverse corresponde au A record. Donc ça doit donner:
mon_ip_fixe PTR mail.domaine1.fr
mon_ip_fixe PTR mail.domaine2.fr
mon_ip_fixe PTR mail.domaine3.fr
mon_ip_fixe PTR mail.domaine4.fr
Sinon, ton serveur risque de se faire jeter sur pas mal de MTA... genre AOL.



En effet, aucun intérêt.
(Pour compléter ma remarque précédente sur la terminologie, les ALIAS sont justement les CNAME record (CNAME pour Canonical Name), donc rien à voir avec les champs A )



Parfait... enfin tu peux mettre 10 et 20 aussi hein, ça me parait plus lisible d'un coup d'oeil que 10 et 100 mais bon ça n'a aucune importance

[QUOTE]Message écrit par capitaine-lamar, le 20-07-2007 à 11:21
[B]Quid des requêtes ftp,www et autres pour lesquelles je n'héberge pas de service ?

Ben si tu définis pas d'enregistrements WWW et FTP, elles n'atteriront nulle part... puisqu'ils ne seront pas résolus => là encore aucune importance si le serveur n'héberge pas les services correspondants. Et rien ne t'empêche de faire du FTP sur "mail.domaineN.fr" voir même accéder au site web sur http://mail.domaineN.fr si un serveur web tourne...


Ça par contre... impossible pour moi de t'aider sur du Exchange comme ça sans avoir la souris et l'écran devant moi.... Mais il suffit en principe de déclarer les différents domaines que tu gères et de définir des "Connecteurs SMTP". Mais alors comme je connais pas les écrans par coeur, je peux pas t'aider plus
Au pire poste des screenshots je tâcherai de te dire ce qu'il faut remplir et/ou cocher...

Merci de ta réponse



Je pense que je n'aurais pas besoin de connecteur si je peux paramétrer les reverse dns et que je suis en ip fixe. J'espère que je ne vais pas regretter d'avoir pris magic online (c'est mal parti mon modem est perdu dans la nature, et je n'ai pas d'accès au paramétrage des dns pour l'instant)
Actuellement j'ai connecteur smtp qui relai les mails vers le smtp wanadoo.
En faisant quelques recherches (notament sur sbsfr.org) j'ai pu voir qu'il est généralement conseillé d'émettre directement les mails si on a la possibilité de paramétrer les reverse dns.
En fait je m'interroge plutôt sur la ou les stratégies de destinataires à mettre en place.

Pour le MX secondaire je ne sais pas si magic, à la différence d'ovh, en a un vrai (c'est à dire ne pas devoir récuperer les mails en pop à la reprise du service du principal).



j'avais oublié que le reverse dns doit être un host et non le domaine.

je commence à y voir plus clair. J'apprends pas mal de choses en ce moment.

il me semble pourtant que c'est dans le connecteur SMTP que tu lui dis justement d'émettre en direct..... si pas de connecteur SMTP, pas de mails vers internet... tu es alors restreint en interne... enfin à confirmer mais pour moi c'est ça.

je te confirme, ne passe surtout pas par le SMTP de ton ISP... mieux vaut émettre en direct, et si tu peux définis dans tes DNS des champs TXT en implémentant le SPF. C'est toujours ça de pris pour les MTA qui implémentent la vérif du SPF en réception.

Pour ce qui est du MX secondaire, c'est forcément du spool.... Si les messages attérissent dans des mailbox et que tu dois les POP, c'est pas du MX secondaire (et c'est curieux comme fonctionnement !!)

Je regarderai la semaine prochaine (j'espère que j'aurais ma connexion) mais je crois que c'est au niveau du serveur virtuel smtp que l'on defini le domaine d'adresssage.



je n'en suis pas là et je ne sais pas ce que c'est le SPF.

j'ai parcouru un peu le site mais il y a 2, 3 trucs que je ne comprend pas.

Je n'enverrai des mails qu'avec mon serveur exchange et ce pour au moins 3 domaines.

Est-ce que ceci est correct ?

v=spf1 mx -all


Ca dit bien que mon serveur vers lequel renverront les enregistrements MX des différents domaines est autorisé à envoyer des mails issus des ces domaines ?

finalement j'ai opté pour cette syntaxe:
domaine.fr IN TXT "v=spf1 a:mail.domaine.fr ~all"

Faut-il que je le déclare aussi au niveau de mon serveur dans la partie gestion des dns?

salut, désolé j'étais absent.
Les 2 syntaxes font l'affaire dans ton cas.

Il n'y a rien de plus à faire que de déclarer ces enregistrements TXT dans chacune des zones.

Il s'agit juste pour les AUTRES SERVEURS DU MONDE ENTIER de pouvoir interroger justement ce champ pour savoir si l'expéditeur d'un mail de ton domaine a utilisé une machine légitime ou non. Donc rien à faire de plsu à ton niveau

le sav magic vient de me répondre que je ne pouvais déclarer qu'un seul enregistrement PTR.
Du coup je pense que je ne pourrais envoyer correctement des mails avec mon serveur qu'à partir d'un seul domaine.

Pour le connecteur tu avais raison. Il y a juste 2 choix sur l'onglet principal:

utiliser dns pour envoyer le courrier vers l'espace d'adressage
ou
envoyer tout le courrier vers un smtp externe

Magic Online te dit des bêtises. M'enfin ça ne m'étonne guère...
Rappelle les et demande leur de réviser un peu leur notion de DNS ;o)

On peut tout à fait déclarer PLUSIEURS PTR pour une IP donnée, à condition que tous les reverses revoient eux aussi vers l'IP (champs A), mais ça va être ton cas...

Ah la la....

et bien ce n'est pas gagné parce que pour eux

Pour le SPF, j'avais entendu à une conf de postmasters, qu'en fait c'était un peu bidon : il suffit tout simplement à un spammeur de monter un serveur avec intégration de SPF et zou
Du coup moi je l'utilise pas....

@capitaine: c'est l'idéal, c'est vrai... mais c'est faux techniquement parlant rien ne l'empêche.

@schoubi: il faut savoir de quoi l'on parle : le SPF n'est pas destiné à arrêter le SPAM ! C'est destiné à protéger les USURPATIONS d'identité pour les domaines qui l'ont implémentés.

Ex: pour oxmo.org, j'ai implémenté le SPF, en indiquant la liste des IP qui ont le droit d'envoyer des emails en @oxmo.org. Si d'aventure un serveur dans le monde implémente le SPF, et qu'un spammeur (ou un WORM pourquoi pas!) tente d'envoyer des emails "bidons" en provenance de mon domaine (ex: un membre d'oxmo qui aurait ajouté l'adresse de contact forummaster (at) oxmo.org et dont la machine serait vérolée : elle va balancer du spam à tout son carnet d'adresse, mais aussi en envoyé en usurpant les adresses FROM, notamment celle là...), et bien ce mail sera bloqué automatiquement, car le serveur "en face" va vérifier mon champ SPF, et identifier que le mail provient d'une souce non autorisée (la machine vérolée) => résultat, non seulement le mail est poubellisé, mais en plus je ne risque pas de recevoir de bounces (souvent les spam sont envoyés à des adresses bidons aussi, genre john@nomdedomaine.com donc ils reviennent souvent en erreur)...

Bref, le SPF n'est pas un miracle, c'est juste un truc qui prend 2 sec à mettre en place sur son domaine, et qui bloque des spams ou des serveurs qui voudraient émettre illégitimement des mails de ton domaine...

En revanche, bien entendu, il est illusoire de vouloir reposer sur SPF pour BLOQUER tous les spam (le pire étant de dire : si pas d'enregistrement SPF, je bloque, comme voulait faire Microsoft un moment avec sa techno similaire (DomainKeys) : parce que là évidemment, les spammeurs n'ont qu'à indiquer le champ TXT idoine pour tous leurs domaines en disant "tout le monde à le droit d'envoyer depuis ce domaine (+all) et c'est réglé: ça passe tous les filtres SPF à l'arrivée. Mais le but de cette techno n'est pas ça, juste de protéger SES PROPRES DOMAINES.

2 sec à mettre en place, 2 sec à mettre en place c'est vite dit ça

Sinon je suis d'accord avec ce que t'as dit, mais les spammeurs ne s'embêtent plus à usurper les noms de domaine....Ils en crééent tout simplement...Donc avant le spammeur envoyait From:spam@dnsbidon.com (sans aucun enregistrement DNS derrière) ce qui lui donne un fort score de spam (pas de SPF) alors que maintenant il monte pendant trois jours un serveur et spam avec From:spam@dnsbidonwithspf.com, et obtient le même score qu'un ham...

Mais bref, comme tu le résumes ce n'est pas une technique anti-spam, ça ne peut qu'améliorer les choses et compliquer la vie des spammeurs, ce qui est déjà une bonne chose en soi