Mikrotik.moscow [тема: Защита почтового сервера от спама] http://mikrotik.moscow Новое в теме Защита почтового сервера от спама форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Thu, 20 Aug 2026 15:58:55 -0400 Защита почтового сервера от спама Защита почтового сервера от спама RouterOS в форуме RouterOS.
Спасибо ещё раз, теперь я могу блокировать IP-адреса, которые подключаются к моему почтовому серверу, но их постоянно появляются новые и новые. Добро пожаловать в чудесный мир почтовых серверов. Хакеры и спамеры повсюду.

P.S. Если вы ищете защиту от спама, возможно, стоит рассмотреть услуги блокировки спама, например, Spamhaus. http://www.spamhaus.org/
21.08.2012 11:40:00, SurferTim.]]> http://mikrotik.moscow/forum/forum57/61293-zashchita-pochtovogo-servera-ot-spama/message234202 http://mikrotik.moscow/forum/forum57/61293-zashchita-pochtovogo-servera-ot-spama/message234202 Tue, 21 Aug 2012 11:40:00 -0400 RouterOS Защита почтового сервера от спама Защита почтового сервера от спама RouterOS в форуме RouterOS.
Спасибо ещё раз, теперь я могу блокировать IP-адреса, которые аутентифицируются на моём почтовом сервере, но их постоянно появляются новые и новые. Только вчера я добавил эти:
11 chain=forward action=tarpit protocol=tcp dst-address=110.53.1.1-110.53.255.254
12 chain=forward action=tarpit protocol=tcp dst-address=115.63.1.1-115.63.255.254
13 chain=forward action=tarpit protocol=tcp dst-address=110.52.1.1-110.52.255.254
14 chain=forward action=tarpit protocol=tcp dst-address=123.54.1.1-123.54.255.254
15 chain=forward action=tarpit protocol=tcp dst-address=42.49.1.1-42.49.255.25
16 chain=forward action=tarpit protocol=tcp dst-address=125.42.1.1-125.42.255.254
17 chain=forward action=tarpit protocol=tcp dst-address=125.44.1.1-125.44.255.254
18 chain=forward action=tarpit protocol=tcp dst-address=222.140.1.1-222.140.255.254

Как думаешь, это приходит извне, или на моей сети всё ещё может быть проблема? Спасибо.
21.08.2012 06:07:00, drevokocur.]]> http://mikrotik.moscow/forum/forum57/61293-zashchita-pochtovogo-servera-ot-spama/message234201 http://mikrotik.moscow/forum/forum57/61293-zashchita-pochtovogo-servera-ot-spama/message234201 Tue, 21 Aug 2012 06:07:00 -0400 RouterOS Защита почтового сервера от спама Защита почтового сервера от спама RouterOS в форуме RouterOS.
Да, я это сделал, но установил там action=drop. Стоит ли менять на tarpit? Установил там диапазон 110.53.1.1-110.53.255.255, потому что было много адресов такого типа.
20.08.2012 14:17:00, drevokocur.]]> http://mikrotik.moscow/forum/forum57/61293-zashchita-pochtovogo-servera-ot-spama/message234200 http://mikrotik.moscow/forum/forum57/61293-zashchita-pochtovogo-servera-ot-spama/message234200 Mon, 20 Aug 2012 14:17:00 -0400 RouterOS Защита почтового сервера от спама Защита почтового сервера от спама RouterOS в форуме RouterOS.
Спасибо, я использую mxtoolbox. Это http://cbl.abuseat.org/. Некоторые письма проходят, а некоторые нет. Я обнаружил троян-скачиватель на одном внутреннем ПК, и синонимичное название было Win32/Zbot, так что надеюсь, что теперь, когда я его удалил, все будет нормально. Жду обновления черного списка. Не знаю, связано ли это как-то с этим, но я до сих пор заваленный запросами на аутентификацию к почтовому серверу. Сейчас заблокировал диапазон IP-адресов 110.53. . Надеюсь, сейчас все будет в порядке.
20.08.2012 14:13:00, drevokocur.]]> http://mikrotik.moscow/forum/forum57/61293-zashchita-pochtovogo-servera-ot-spama/message234199 http://mikrotik.moscow/forum/forum57/61293-zashchita-pochtovogo-servera-ot-spama/message234199 Mon, 20 Aug 2012 14:13:00 -0400 RouterOS Защита почтового сервера от спама Защита почтового сервера от спама RouterOS в форуме RouterOS.
Теперь, когда вы знаете, кто спамер, могу предложить вам "src-address=xx.xx.xx.xx action=tarpit".
20.08.2012 14:00:00, SurferTim.]]> http://mikrotik.moscow/forum/forum57/61293-zashchita-pochtovogo-servera-ot-spama/message234198 http://mikrotik.moscow/forum/forum57/61293-zashchita-pochtovogo-servera-ot-spama/message234198 Mon, 20 Aug 2012 14:00:00 -0400 RouterOS Защита почтового сервера от спама Защита почтового сервера от спама RouterOS в форуме RouterOS.
Отличная помощь, спасибо! Теперь я вижу IP-адрес источника спама.
20.08.2012 13:54:00, drevokocur.]]> http://mikrotik.moscow/forum/forum57/61293-zashchita-pochtovogo-servera-ot-spama/message234197 http://mikrotik.moscow/forum/forum57/61293-zashchita-pochtovogo-servera-ot-spama/message234197 Mon, 20 Aug 2012 13:54:00 -0400 RouterOS Защита почтового сервера от спама Защита почтового сервера от спама RouterOS в форуме RouterOS.
Обычно вирус использует свой встроенный код email-сервера для рассылки копий. Попробуйте заблокировать любой порт 25, который перенаправляется через интерфейс локальной сети с любого устройства, кроме вашего email-сервера. Этот NAT перенаправляет порт 25 вашему входящему email-серверу с вашего публичного IP. 1 ;;; MAIL chain=dstnat action=dst-nat to-addresses=192.168.1.205 protocol=tcp in-interface=ether1-gateway dst-port=25 Я бы изменил маскировку на это. Текущее правило заставит все внешние IP-адреса казаться email-серверу как исходящие с IP вашей локальной сети (192.168.1.1?). /ip firewall nat
add chain=srcnat action=masquerade out-interface=ether1-gateway
20.08.2012 10:44:00, SurferTim.]]> http://mikrotik.moscow/forum/forum57/61293-zashchita-pochtovogo-servera-ot-spama/message234196 http://mikrotik.moscow/forum/forum57/61293-zashchita-pochtovogo-servera-ot-spama/message234196 Mon, 20 Aug 2012 10:44:00 -0400 RouterOS Защита почтового сервера от спама Защита почтового сервера от спама RouterOS в форуме RouterOS.
Возможно, у вас проблема с вирусом внутри системы. Посмотрите логи SMTP для подсказок. Также проверьте ваш SMTP-сервер через mxtoolbox и посмотрите, сколько провайдеров вас заблокировали. Возможно, вас внесли в чёрный список какого-то не очень "серьёзного" провайдера.

Отправлено с моего Transformer Prime TF201 с помощью Tapatalk 2
20.08.2012 09:31:00, Kindis.]]> http://mikrotik.moscow/forum/forum57/61293-zashchita-pochtovogo-servera-ot-spama/message234195 http://mikrotik.moscow/forum/forum57/61293-zashchita-pochtovogo-servera-ot-spama/message234195 Mon, 20 Aug 2012 09:31:00 -0400 RouterOS Защита почтового сервера от спама Защита почтового сервера от спама RouterOS в форуме RouterOS.
Привет!

Использую Mikrotik уже около года с базовой конфигурацией, и все было нормально, но сейчас у меня проблемы со спамом. Меня внесли в чёрный список с причиной, что у меня вирус Win32/Zbot или что я занимаюсь NAT'ингом. IP-адрес ******** находится в списке CBL. Похоже, заражён трояном для рассылки спама или работает как прокси. Последний раз был обнаружен 2012-08-20 в 06:00 по Гринвичу (+/- 30 минут), примерно 3 часа назад. Этот IP заражён или NAT'ит для машины, заражённой Win32/Zbot (Microsoft). У меня почтовый сервер за NAT, и пользователи отправляют письма только из внутренней сети. Подключиться к почтовому серверу извне (или должно быть невозможно). Поэтому у меня VPN-соединение. Сейчас на моём почтовом сервере вижу много неудачных попыток подключения к учётным записям на моём почтовом сервере, поэтому почтовый сервер блокирует их автоматически:

“DEBUG” 2408 “2012-08-20 09:39:54.499” “Creating session 7895” “SMTPD” 2408 7895 “2012-08-20 09:39:54.499” “192.168.1.1” “SENT: 220 ip-mx. .sk ESMTP” “SMTPD” 2388 7895 “2012-08-20 09:39:54.873” “192.168.1.1” “RECEIVED: EHLO dj” “SMTPD” 2388 7895 “2012-08-20 09:39:54.873” “192.168.1.1” "SENT: 250-ip-mx. .sk[nl]250-SIZE 20480000[nl]250 AUTH LOGIN” “SMTPD” 2400 7895 “2012-08-20 09:39:55.248” “192.168.1.1” “RECEIVED: AUTH LOGIN” “SMTPD” 2400 7895 “2012-08-20 09:39:55.248” “192.168.1.1” “SENT: 334 VXNlcm5hbWU6” “SMTPD” 2396 7895 “2012-08-20 09:39:55.622” “192.168.1.1” “RECEIVED: aW5iYWdiYkBldXJva29udGsdfFrdC5zsdfaw==” “SMTPD” 2396 7895 “2012-08-20 09:39:55.622” “192.168.1.1” “SENT: 334 UGFzc3dvcmQ6” “SMTPD” 2364 7895 “2012-08-20 09:39:55.997” “192.168.1.1” “RECEIVED: ***” “SMTPD” 2364 7895 “2012-08-20 09:39:56.012” “192.168.1.1” “SENT: 535 Authentication failed. Restarting authentication process.” “DEBUG” 2384 “2012-08-20 09:39:56.402” “Ending session 7895”

Я знаю, что это дело почтового сервера, но я не понимаю, как вообще кто-то может подключиться к почтовому серверу извне. Посмотрите, достаточно ли безопасны эти настройки:

0   ;;; default configuration chain=input action=accept protocol=icmp
1   ;;; default configuration chain=input action=accept connection-state=established in-interface=ether1-gateway
2   ;;; default configuration chain=input action=accept connection-state=related in-interface=ether1-gateway
3   chain=forward action=add-src-to-address-list protocol=tcp address-list="" address-list-timeout=0s dst-port=25 connection-limit=30,32 limit=50,5
4   chain=forward action=accept protocol=tcp src-address-list=spammer dst-port=25
5   ;;; MAIL chain=forward action=accept protocol=tcp dst-address=192.168.1.205 dst-port=25
6   ;;; VPN chain=input action=accept protocol=tcp dst-port=1723
7   chain=forward action=drop dst-address=192.168.1.4-192.168.1.49 in-interface=ether1-gateway
8   chain=forward action=drop dst-address=192.168.1.66-192.168.1.78 in-interface=ether1-gateway
9   chain=forward action=drop dst-address=192.168.1.123-192.168.1.199 in-interface=ether1-gateway
10  chain=forward action=drop dst-address=192.168.1.206-192.168.1.254 in-interface=ether1-gateway
11  chain=forward action=drop src-address=110.53.27.247 in-interface=ether1-gateway

7-10 заблокированы внутренние диапазоны для доступа в интернет
11 заблокированный IP, который, как я думаю, пытается несанкционированно подключиться к почтовому серверу, но это не помогло

0   ;;; default configuration chain=srcnat action=masquerade
1   ;;; MAIL chain=dstnat action=dst-nat to-addresses=192.168.1.205 protocol=tcp in-interface=ether1-gateway dst-port=25
2   ;;; PPTP chain=dstnat action=dst-nat to-ports=1723 protocol=tcp in-interface=ether1-gateway src-port=1723
3   ;;; WEB SERVER chain=dstnat action=dst-nat to-addresses=192.168.1.200 to-ports=80 protocol=tcp in-interface=ether1-gateway dst-port=80

Я также использую скрипт для обнаружения спама из WIKI Mikrotik (http://wiki.mikrotik.com/wiki/How_to_autodetect_infected_or_spammer_users_and_tem­porary_block_the_SMTP_output), но он ничего не логирует, не знаю почему.

Спасибо.
20.08.2012 08:40:00, drevokocur.]]> http://mikrotik.moscow/forum/forum57/61293-zashchita-pochtovogo-servera-ot-spama/message234194 http://mikrotik.moscow/forum/forum57/61293-zashchita-pochtovogo-servera-ot-spama/message234194 Mon, 20 Aug 2012 08:40:00 -0400 RouterOS