Samoobsługowy serwer pocztowy może mieć prawidłowe rekordy domeny i nadal nie być w stanie połączyć się z wymiennikami poczty odbiorców. Wychodzący port TCP 25 jest normalnym miejscem docelowym SMTP między serwerami i niektóre sieci go ograniczają. Przydatnym pytaniem jest, czy ta konkretna ścieżka sieciowa jest zablokowana i do jakiej architektury wysyłania operator jest upoważniony.
Oddziel bezpośrednią dostawę od złożenia
Dostawa bezpośrednia łączy wysyłkę MTA do docelowych hostów MX . Przesyłanie wiadomości łączy klienta z wyznaczoną usługą, która ponosi odpowiedzialność zgodnie z własnymi zasadami uwierzytelniania i autoryzacji. Zmiana portu docelowego w konfiguracji dostawy bezpośredniej nie powoduje, że każdy odbiorca MX staje się uwierzytelnioną usługą przesyłania. RFC 5321 sekcje 2 i 3.
RFC 6409 rozróżnia przesyłanie wiadomości i rezerwuje port 587 dla tej usługi. RFC 8314 opisuje niejawne przesyłanie TLS na porcie 465 i zaleca ochronę przesyłania za pomocą TLS . Są to role usług, a nie uniwersalne porty obejściowe dla zablokowanego połączenia. Używaj wyłącznie punktu końcowego przekazywania lub przesyłania, do używania którego operator jest uprawniony, zgodnie z bieżącymi instrukcjami tej usługi.
Dokładnie przetestuj hipotezę sieciową
Zacznij od lokalnego odbiornika hosta wysyłającego i konfiguracji ruchu wychodzącego, routingu, zasad zapory sieciowej i dzienników. Zapisz rzeczywiste miejsce docelowe, ustalony adres, rodzinę adresów, znacznik czasu połączenia i błąd. Odmowa, przekroczenie limitu czasu i błąd wyszukiwania DNS to różne obserwacje. Witryna sprawdzająca porty testuje własną lokalizację i kierunek, chyba że jej dokumentacja stanowi inaczej.
Porównaj mały zestaw zatwierdzonych miejsc docelowych i, jeśli to możliwe, drugą autoryzowaną ścieżkę sieciową. Niepowodzenie w dotarciu do wielu miejsc docelowych na jednej ścieżce, a pomyślnie na innej ścieżce, potwierdza hipotezę dotyczącą konkretnej ścieżki, ale nie identyfikuje dokładnej reguły urządzenia lub dostawcy. Zanim zadeklarujesz, że dostawca blokuje port 25, sprawdź odpowiedni zapis zapory ogniowej lub aktualne zasady dostawcy usług hostingowych. Nie skanuj dowolnych hostów na dużą skalę.
Zinterpretuj hipotetyczne porównanie ścieżek
Załóżmy, że upłynął limit czasu tego samego hosta wysyłającego do dwóch zatwierdzonych miejsc docelowych MX , podczas gdy inna autoryzowana sieć dociera do tych punktów końcowych. Wspiera to badanie specyficzne dla ścieżki, ale nie identyfikuje odpowiedzialnego urządzenia. Dziennik lokalnej zapory sieciowej lub ograniczenia hostingu specyficzne dla konta bieżącego dostarczyłyby mocniejszych dowodów na przyczynę.
Załóżmy teraz, że protokół TCP łączy się, ale partner natychmiast się rozłącza przed 220. To inna obserwacja: ustanowienie połączenia powiodło się, podczas gdy dostępność usługi SMTP nie. Nie oznaczaj go ponownie jako zablokowanego portu TCP, aby dopasować się do pierwotnej hipotezy.
Są to wymyślone przypadki diagnostyczne, a nie wykonane skany lub zmierzone zasady dostawcy. Jeśli właściciel sieci potwierdzi zamierzone ograniczenia ruchu wychodzącego, poproś o zatwierdzoną architekturę wysyłania. Nie traktuj innego portu, serwera proxy lub trasy jako pozwolenia na ominięcie tego ograniczenia.
Wybierz autoryzowaną naprawę
Jeżeli dostawa bezpośrednia jest dozwolona i konieczna, należy współpracować z odpowiedzialnym właścicielem sieci, aby skorygować udokumentowane ograniczenie w ramach normalnego procesu. Jeśli środowisko celowo tego zabrania, użyj zatwierdzonej architektury przekaźnika wychodzącego lub zmień projekt wdrożenia. Nie wyłączaj szeroko kontroli bezpieczeństwa ani nie omijaj ograniczeń organizacyjnych bez autoryzacji.
Migracja przekaźnika zmienia nie tylko łączność. Inwentaryzacja usługi nadawca kopertowy zachowanie, DKIM podpis, widoczny od wyrównanie, dozwolone tożsamości nadawców i limity wysyłania. Sprawdź je na podstawie aktualnej dokumentacji serwisowej i kontrolowanego komunikatu. Przekaźnik, który akceptuje połączenie, może nadal odmówić nieautoryzowanemu nadawcy lub odbiorcy zewnętrznemu.
Sprawdź osobno łączność i dostawę
Po zatwierdzeniu zmiany zapisz pomyślne połączenie i, w stosownych przypadkach, uwierzytelnione lub autoryzowane przez łącznik przesłanie. Następnie prześledź autoryzowaną wiadomość przez przekaźnik do strony odbierającej. Potwierdź opróżnienie kolejki i sprawdź, czy nie ma duplikatów z poprzednich prób. Powodzenie protokołu TCP nie powoduje uwierzytelnienia domeny, ostatecznego dostarczenia ani umieszczenia skrzynki odbiorczej. Zachowaj każdy wynik dołączony do jego rzeczywistej warstwy i przetestowanego zakresu odbiorców.
Wybierz dozwoloną architekturę wysyłania
- Wymagana dostawa Direct MX : potwierdź aktualne zasady sieciowe u jej właściciela.
- Celowo ograniczona dostawa bezpośrednia: uzyskaj zgodę na obsługiwany projekt przekaźnika.
- Wybrano przekaźnik: sprawdź dozwolonych nadawców, poświadczenia lub zakres łącznika, podpisywanie i limity.
- Po zmianie: osobno zarejestruj połączenie, autoryzowane przesłanie, uwierzytelnienie domeny i wynik odbiorcy.