Почему я должен убедить разработчиков использовать порт 587 для всех коммуникаций SMTP? - PullRequest
8 голосов
/ 15 августа 2010

Существует растущая тенденция использовать порт 587 для всех соединений клиента с MTA. Это в стандарте трек RFC: http://www.ietf.org/rfc/rfc2476.txt

У меня вопрос "Почему?" Почему 2 экземпляра SMTP-сервера работают на одном и том же сервере, если они оба выполняют одно и то же? Какую функцию безопасности он предоставляет, помимо того, что дает мне две вещи для устранения неполадок как администратор.

Это только кажется ненужным усложнением, в котором нет необходимости, если только интернет-провайдер не блокирует порт 25. Даже в этом случае, если интернет-провайдер блокирует порт 25 для предотвращения спама, это просто означает, что до порта 587 потребуется немного больше времени. заблокирован, и нам придется использовать другой порт в целом.

Похоже, что мы создаем больше работы для себя, а не решаем проблему и аутентифицируем SMTP для начала

Ответы [ 2 ]

10 голосов
/ 15 августа 2010

Я быстро прочитал RFC, и они думают, что нужно разделить мир SMTP на две области: транспортировка почты (для этого был разработан SMTP) и отправка почты.

Авторы утверждают, что SMTP не предназначался для использования почтовым клиентом (MUA, Message User Agent), а только почтовыми серверами, направляющими почту к месту назначения. Они думают, что если вы поделите мир SMTP таким образом, то вы могли бы написать SMTP-сервер, к которому должен обращаться только MUA, который затем может что-то делать и делать предположения «нормальными», сервер пересылки SMTP не должен / не может делать. «Обычный» SMTP-сервер всегда назывался MTA, агент передачи сообщений. Авторы предлагают назвать новый тип SMTP-сервера MSA, Message Submission Agent.

Кажется, они думают, что это облегчит реализацию двух типов серверов и, возможно, станет еще более безопасным. RFC объясняет, что должно отличаться в MSA по сравнению с MTA. Например, RFC предписывает использование авторизации, в то время как исходный протокол SMTP этого не имел (SMTP AUTH был добавлен позже, кажется, по самому RFC 2476; однако сама SMTP AUTH позже указана в RFC 2554, который был заменен по RFC 4954).

MTA, которому необходимо ретранслировать сообщения из разных источников в разные места назначения, не может использовать аутентификацию для каждого сообщения (как другой сервер должен аутентифицироваться на вашем сервере?). Но MSA, который является отправной точкой вашего сообщения, может и должен требовать аутентификации от своего партнера, почтового клиента. И хотя адаптер MTA должен ретранслировать сообщение без изменений, за исключением добавления заголовка Received, а MSA может «очистить» электронную почту, например, заполнив пропущенные заголовки и тому подобное.

7 голосов
/ 15 августа 2010

Пожалуйста, смотрите.

http://www.uceprotect.net/downloads/MAAWGPort25English.pdf

Я думаю, что вам не хватает порта 587 только для аутентификации. Вы не должны принимать неаутентифицированную электронную почту через порт 587, независимо от того, является ли получатель локальным или нет. Мы (как интернет-провайдеры) блокируем исходящий порт 25, чтобы предотвратить прямой спам. Например с загрузочных компьютеров. Блокируя нашу абонентскую / динамическую пользовательскую базу от отправки исходящих сообщений через порт 25 (мы по-прежнему разрешаем ретрансляцию без проверки подлинности из нашего пространства IP на порт 25), мы получили 85% -ное снижение количества сообщений о злоупотреблениях.

ISPS не собираются блокировать 587 (что ж, не должны, поскольку это не для использования MTA в MTA, а только для MUA в MTA, поскольку это порт отправки). И это позволяет значительно упростить управление. Кроме того, на стороне MTA принудительная аутентификация всех ваших локальных пользователей облегчает борьбу со спамом. Когда их коробка становится собственностью, и переманивает своих кредиторов smtp. Все, что вам нужно сделать, это отключить их учетную запись / пароль. При использовании ретрансляции по ip вам необходимо заблокировать их подключение к почтовому серверу (мы делаем это путем динамического применения ACL к их DSL / кабельному соединению).

Если вы пишете либо MUA, либо MTA, вам нужно поддерживать оба, а в случае MUA или чего-то другого отправка электронной почты - по умолчанию 587 попыток TLS и авторизация smtp, и только возврат к 465 , 25 если не получится.

...