Exchange 2010 Sendeprobleme

[Michi777]

Liebe Community!

Die Warteschlange eines Exchange Servers den ich übernommen habe wird immer länger und großteils der Mails werden nicht gesendet und man bekommt manchmal Meldungen wie:
xlspam01.mdcs.at hat diesen Fehler ausgegeben:
#5.7.1 Your access to submit messages to this e-mail system has been rejected.

Die Nachricht konnte vom Server nicht zugestellt werden. Weitere Versuche werden nicht unternommen. Versuchen Sie, die Nachricht erneut zu senden. Falls das Problem weiterhin besteht, wenden Sie sich an den Helpdesk.

Diese Nachricht wurde noch nicht zugestellt. Es wird weiterhin versucht, die Nachricht zuzustellen.

Im Exchange Troubleshoot (nachdem mir bestätigt wird das Grundvoraussetzungen passen, werden viele Meldung mit folgenden Texten angezeigt:
Die Warteschlange für 'Remoteübermittlung' (mail\300608) auf Server 'mail' befindet sich im Wiederholungsstatus. Anzahl von Nachrichten in der Warteschlange: 1. Letzte Fehlerinformationen: 451 4.4.0 Primary target IP address responded with: "421 4.2.1 Unable to connect." Attempted failover to alternate host, but that did not succeed. Either there are no alternate hosts, or delivery failed to all alternate hosts.

Die Warteschlange für 'Remoteübermittlung' (mail\300643) auf Server 'mail' befindet sich im Wiederholungsstatus. Anzahl von Nachrichten in der Warteschlange: 1. Letzte Fehlerinformationen: 451 4.4.0 Primary target IP address responded with: "554 walimpinc12 bizsmtp 212.xxxxx is on the Spamhaus PBL blacklist. Please visit: http://www.spamhaus.org/query/bl?xxxx"" Attempted failover to alternate host, but that did not succeed. Either there are no alternate hosts, or delivery failed to all alternate hosts.

Die Warteschlange für 'Remoteübermittlung' (mail\300759) auf Server 'mail' befindet sich im Wiederholungsstatus. Anzahl von Nachrichten in der Warteschlange: 1. Letzte Fehlerinformationen: 451-4.4.0 Primary target IP address responded with: "554-ipmailmx05.adl6.internode.on.net
451 4.4.0 554 ESMTP; "mailserver XXXXX" in MX's BLACKLISTsbrs; crashed into the sunset." Attempted failover to alternate host, but that did not succeed. Either there are no alternate hosts, or delivery failed to all alternate hosts.


Hab nun die 54 Updates eingespielt (Exchange SP3 war aber schon oben) und müsste noch neustarten.
Die Exchange-Dienste habe ich bereits neugestartet.

Was kann ich denn zur Behebung tun?
...hatte solche Probleme bisher noch ne bei den Exchange Servern.
Bin ich einfach auf einer Blacklist und muss dort sehen wie ich runterkomme?
...Sicherheitstechnisch sind nur 30 Leute vom Büro auf diesem Exchange angelegt und diese nutzen es wenig, dann steckt eine Sonicwall Firewall davor und F-Secure for Servers ist installiert;

Die 451 Meldung schließen ja auf eine Blacklist, aber sind auch die 421 4.2.1 Meldungen auch wegen der Blacklist verursacht?
...mir wurde gesagt, dass der Server schonmal vor 1-2 Monaten auf der Blacklist war und dass der Versand unverschlüsselt stattfindet, kann dies die Ursache sein?

Wenn ich unter Nachrichten gehe sind viele Unzustellbar: ***SPAM*** Mails zu finden, mit SCL (Spam Confidience Level): -1
Heißt dass, diese Mails ankommen wollen oder der Server diese probiert zu senden (was dann heißen würde das unser Server für diese von Fremden erstellen Mails wie "Loose every excessive pound...." genutzt wird?

Sicherheitstechnisch ist zu erwähnen dass Sonicwall, F-Secure und nur eine schwache Exchangenutzung im Büro vorhanden ist.

Danke!

 

[qlubtempo]

Check mal hier ob du auf einer Blacklist stehst:

http://mxtoolbox.com/blacklists.aspx

Sendet dein Exchange direkt raus oder hast du einen Sendeconnector der auf eine weiter Software zeigt?

EDIT:

Du kommst auf Blacklisten wenn du einen Trojaner im Netzwerk hast der Mails raussendet.
Stell deine Firewall so ein das nur der Server Mails raussenden darf. (Port 25)

Scanne deine Arbeitsplätze auf Viren/Trojaner. Den Server natürlich auch

 

[Michi777]

UPDATE:
1.
Bin laut mxtoolbox nur bei Spamhaus ZEN gelisted, sonst überall OK.

2.
Ich habe versucht Mails von Gmail auf Exchange, Exchange auf Gmail zu senden und das hat geklappt...
...manchmal z.B. Mail an UPC geschickt habe ich bemerkt dass dies nicht ankam und habe ja die Verzögerungs & Unzustellbarkeitsmeldung bekommen, somit geht vl. nur vereinzelt der Versand nicht?
Was ich nun von den Fehlern her einschränken kann ist, dass wenn ich von unseredomain.com (auf unserem Exchange) auf unseredomain.at (von Mutterfirma verwaltet, aber als Hauptmailprogramm genutzt da Lotus Notes) etwas schicke bekommt man immer zurück:
xlspam01.mdcs.at hat diesen Fehler ausgegeben:
#5.7.1 Your access to submit messages to this e-mail system has been rejected.


3.
Habe nun am gut funktionierenden Exchange der Firma 2 nachgesehen und dort sind ach solche SPAM Geschichten drinnen, mit DNS Delivery... als Status, dann wäre das eh normal und ziegt wohl blockierte eingehende Mails (zum Großteil) und ausgehende (die aber schnell und korrekt wohl gleich verschwinden)
So sieht es am betroffenen Server in der Warteschlange aus, alles OK?

4.
Habe nun den internen DNS geprüft und dort ist als mailserver eine andere IP eingetragen und ich denke solche falschen DNS Einträge können auch für Listings/Blockings Schuld sein.
Habe das nun angepasst, ist das so richtig?

 

[qlubtempo]

Versuch auf jedenfall mal von SPAMHAUS runter zu kommen

 

[hash2k2]

non delivery reports abschalten hilft.
bei einem kunden sah die warteschlange fast genau so aus.

war ewig auf backscatterer.org gelistet und kunde rief ständig an, dass teilweise mails nicht rausgehen.
seit gestern runter von der liste.

hier mal eine erklärung, wie das ca. abläuft
http://www.msxfaq.de/internet/ndr.htm

 

[Michi777]

Habe nun mal alle offenen Windows Updates eingespielt, Unzustellbarkeitsberichte deaktiviert und neugestartet;

Um von der PBL List runterzukommen wird einem mit einem Link gesagt was zu tun ist.
In meinem Fall aktivieren sie SMTP Authentifizierung.
Der Sendeconnector ist wie folgt konfigruiert:
SMTP Adressraum *\Kosten 1 und über MX Datensätze des DNS weiterleiten angehakt und der Mailserver als Quellserver eingetragen ist und TLS Authentifizierung ist nicht angegehakt

Somit ist doch der gesamte SMTP Raum aktiviert, oder?
TLS der springende Punkt zu aktivieren?

Wie gesagt sind wir ein mailtechnisch weig aktives, sicheres Büro, nur der Mailversand geht unverschlüsselt.
Kann ich jetzt nicht mehr machen als bei allen Clients einen manuellen Viren & Spamwarescan zu machen?


Hab mal den Whitelistantrag losgeschickt...

Danke

 

[nubi80]

sendest du über DNS oder einen Smarthost?
Stimmen die MX Einträge sowohl für Forward als auch für Reverse Lookup?

 

[disco dogg]

Ja wichtig ist zu wissen worüber du sendest, wenn Smarthost könnte sein dass dein Provider dich da sperrt ?

 

[Michi777]

Liebe Community!

Jetzt nach einer knappen Woche sind wir wieder auf der Spamhaus Liste.
Als Maßnahme habe ich alle Windows Updates eingespielt und F-Secure auf allen Server laufen lassen (Clients + Spybotscan folgen nächste Woche) und wurde 4-5 Sachen gefunden:
Gen:Variant.Symmi.35671
Trojan.Html.Bankfraud.AE
Generic.Peed.Eml.1D25139B
...welche entfernt wurden und ich auch die Dateien dazu gelöscht habe.

Zwecks dem aktivieren sie SMTP Tipp habe ich wie oben beschreiben nachgesehen und der ganze Raum ist SMTP - siehe Anhang

Zwecks Senden über DNS oder Smarthost müsste ihr mir bitte sagen wie\wo ich das prüfe, hatte damit noch nichts zu tun.

Und das unser Exchange unverschlüsselt sendet ist kein Problem dsbzgl oder muss das auf verschlüsselt umgestellt werden (wie am Einfachsten)?

Ebenso habe ich in der Mailwarteschlange (***SPAM*** Mails hauptsächlich drinnen gesehen dass generierte falsche Mailabsänder (andere Domänen) mit dem Namen der Sekretärin in der Warteschlange sind.
Ist dort vl. der Wurm begraben?

Danke und Greetz

 

[Evil E-Lex]

Wenn du immer wieder auf Blacklisten landest gibt es zwei Möglichkeiten:
1. Dein Mailserver versendet tatsächlich Spam, dann hättest du aber mehrere Zehntausend Mails in der Warteschlange.
2. Einer der Rechner in deinem Netz hat einen Trojaner/Rootkit und verbindet sich zu seinem CC-Server. Es gibt Blacklisten die setzen die WAN-IP des betroffenen Rechners auf die Liste. Maßnahme hier: Firewall entsprechend dicht machen. Nur der Exchange darf Port 25 ausgehend nutzen und es sollte den Rechnern im LAN nicht erlaubt sein, auf beliebige Zielports zu connecten.

 

[qlubtempo]

Wenn du immer wieder auf Blacklisten landest gibt es zwei Möglichkeiten:
1. Dein Mailserver versendet tatsächlich Spam, dann hättest du aber mehrere Zehntausend Mails in der Warteschlange.
2. Einer der Rechner in deinem Netz hat einen Trojaner/Rootkit und verbindet sich zu seinem CC-Server. Es gibt Blacklisten die setzen die WAN-IP des betroffenen Rechners auf die Liste. Maßnahme hier: Firewall entsprechend dicht machen. Nur der Exchange darf Port 25 ausgehend nutzen und es sollte den Rechnern im LAN nicht erlaubt sein, auf beliebige Zielports zu connecten.

genau das habe ich in meinem post (#2) geschrieben:


Du kommst auf Blacklisten wenn du einen Trojaner im Netzwerk hast der Mails raussendet.
Stell deine Firewall so ein das nur der Server Mails raussenden darf. (Port 25)

 

[Michi777]

Okay, da alle Server nun gescannt wurden (F-Secure und Spybot) und kein Outlook besitzen, liegt es wohl an einem Client.
Werde dort ebenso die 2 Scans zu Bereinigung laufen lassen.
Das mit Port 25 ist eine gute Idee, damit sich SPAM Clients nicht selbstständig machen können, wurde soeben durchgeführt mit LAN auf WAN Port 25 geschlossen und extra Regel erlaubt für LAN IP "Mailserver".

Wenn ein Trojaner Mails raussendet, müssten die doch unsere Domäne als Absender haben und nicht unsere Namen, mit fremder\generierter Domäne, oder?

 

[qlubtempo]

Wenn ein Trojaner Mails raussendet, müssten die doch unsere Domäne als Absender haben und nicht unsere Namen, mit fremder\generierter Domäne, oder?

Es reicht wenn er eure IP benutzt. Die Domäne bzw. der externe Mail Name ist ja an eure IP gebunden.
Wenn die IP ständig spam raussende kommt die auf eine Blackist. Unabhänig von der Domäne

 

[Knusperfloete]

Sollte ein möglicher Trojaner im Namen der Domäne Spam senden, dann hast Du...umfangreiche Arbeiten am gesamten System vorzunehmen! Und damit ist dann jegliches IP-basierendes Gerät gemeint;-)!

"Vielleicht" habt ihr auch ein nach innen offenes WLAN; Stichwort BYOD...??? Und einer der Kollegen, die keine Ahnung haben und "kostenlose" "Virenscanner" auf seinem privaten Gerät installiert hat, sorgt für den Terror? Oder ein Außendienstler?

Alles schon erlebt, in dieser Welt von Experten!