邮件服务器-邮件系统-邮件技术论坛(BBS)

标题: 怎样关闭冒充别人发信 [打印本页]

作者: ivanex2003 时间: 2008-7-7 13:52
标题: 怎样关闭冒充别人发信
大家好！

我这里使用的是Exchange 2003 SP1.
只有一个默认的SMTP虚拟服务器，没有启动筛选器。

现在问题是，外站同事冒充其它域的发件人来发送邮件。

应该如何关闭？谢谢！

作者: ivanex2003 时间: 2008-7-8 09:47
Help me, Tks!

作者: 流浪的鱼 时间: 2008-7-8 09:48
我也想知道，哪位大侠帮忙解释下，谢谢！

作者: suipf 时间: 2008-7-8 14:02
为什么没人来讲解一下那？钉子发话呀。。。。

作者: 钉子 时间: 2008-7-8 23:29
外站同事冒充其它域的发件人来发送邮件。
－－我不知道楼上几位有没有看明白楼主的问题，我看了几次，也不得其意，最后这句话的意思我个人理解成了两种，不知道这样楼主是不是这个意思？：

1）有一个外地的同事。他用自己在AD中的用户名和密码验证后，用其它域的发件人邮件地址向外部发送邮件？如何禁止这种行为？
－－－这是Exchange 在SMTP服务上的设计使然。在用户使用SMTP中继发送邮件时只验证用户名和密码，不验证发件人地址字段。

2）有一个外部域名，且第三方服务器的用户。他用自己在服务器发送邮件，但发件人邮件地址是冒充他人的地址，向楼主的服务器发送邮件？如何禁止这种行为？
－－－SMTP接收第三方来的邮件，也是不验证发件人地址的。虽然Exchange 2003中引入了 Sender ID的策略。但是如果被冒用的域名没有建立SPF记录。也就无从验证了。也就是即使用了Sender ID的策略。也是无效的。

所以严格的说来，两种情况都很难防范。可能需要专业的反垃圾产品来实现。

如果楼主是第三个意思，请明确指出，以利大家分析。

作者: ivanex2003 时间: 2008-7-9 15:34
谢谢钉子大哥！

我来详细说明下我的情况吧。

本公司有2台Exchange 2003服务器，分别在台北(a.com.tw)和上海(a.com.cn)。上海服务器SMTP虚拟服务器的智能主机IP为台北服务器的外网IP，即上海服务器发送的全部外部邮件都是通过台北服务器来帮忙发送的，主要是避免国内IP容易被SPAM组织封锁的问题等。

现在问题是：
对于上海站内部用户（Outlook配置成Exchange连接方式），发件人可以冒充台北(a.com.tw)来发信给客户；但发件人不可以冒充其它的域来发信给客户;
对于上海站之外的大陆区外站用户（Outlook配置成POP3连接方式），发件人不但可以冒充台北(a.com.tw)来发信给客户，还可以冒充其它的域（比喻：xxx@163.com）来发信给客户

钉子大哥，如有好的解决方案和产品，请告之。谢谢~！

作者: nicktang 时间: 2008-7-9 16:24
Exchange安装完成默认情况，应该是不允许代理发送的，确认自己有没有做过什么更改；
而提供给用户使用的SMTP虚拟服务器应该取消匿名访问，通过身份验证的用户才允许进行中继。

作者: 钉子 时间: 2008-7-9 23:49
标题: 回复 6楼的帖子
对于上海站内部用户（Outlook配置成Exchange连接方式），发件人可以冒充台北(a.com.tw)来发信给客户；但发件人不可以冒充其它的域来发信给客户;
－－－能不能详细说一下它是怎么冒充的，操作的过程是什么？

对于上海站之外的大陆区外站用户（Outlook配置成POP3连接方式），发件人不但可以冒充台北(a.com.tw)来发信给客户，还可以冒充其它的域（比喻：xxx@163.com）来发信给客户
－－－这问题应该是5楼上说的第一种。

作者: ivanex2003 时间: 2008-7-10 13:37
标题: 回复Nick
Nick，谢谢你的帮助！

“Exchange安装完成默认情况，应该是不允许代理发送的，确认自己有没有做过什么更改；”什么是代理发送？这个具体怎么检查？

“而提供给用户使用的SMTP虚拟服务器应该取消匿名访问，通过身份验证的用户才允许进行中继。”
如果取消匿名访问，那么外域（客户）的邮件会不会没法收进来？
你的意思，是不是要做2个SMTP虚拟服务器，一个对内一个对外，象文章http://bbs.5dmail.net/viewthread.php?tid=155370&extra=&highlight=smtp%D0%E9%C4%E2%B7%FE%CE%F1%C6%F7&page=1说的一样。

作者: ivanex2003 时间: 2008-7-10 13:39
标题: 谢谢钉子大哥
对于上海站内部用户（Outlook配置成Exchange连接方式），发件人可以冒充台北(a.com.tw)来发信给客户；但发件人不可以冒充其它的域来发信给客户;
－－－能不能详细说一下它是怎么冒充的，操作的过程是什么？

新建邮件，打开“发件人”栏，在这里输入地址xxx@a.com.tw

作者: nicktang 时间: 2008-7-10 14:38
查看一下用户的安全中，哪些用户具有“另外发送为”的权限。

如果SMTP虚拟服务器是对用户服务的，那么就不要用来接收外部邮件。

2008-7-10 14-13-10.png (1.15 KB, 下载次数: 3)

作者: ivanex2003 时间: 2008-7-10 17:28
标题: 谢谢Nick
Nick，我查了台北和上海的Server上Account Operators / Administrators / Domain Admins / Enterprise / SYSTEM / SELF 这几个都是有“另外发送为”和“另外接收为”的权限，我该关闭哪个？有的SELF是开的，有些是关闭的，是SELF吗？

SMTP虚拟服务器我打算还是要建2个，一个对自己的用户，一个对外收发邮件。

作者: nicktang 时间: 2008-7-10 22:19
“另外发送为”权限似乎没有问题。
所有普通用户都可以以@a.com.tw的地址发送邮件？可以以@a.com.cn地址发送邮件吗（非自己的邮件地址）？

[ 本帖最后由 nicktang 于 2008-7-11 08:42 编辑 ]

作者: ivanex2003 时间: 2008-7-14 09:28
标题: to nick
是的。
所有上海服务器（a.com.cn）上的用户都可以用a.com.cn和a.com.tw（在“发件人”栏填a.com.tw）的来发送邮件。

作者: plane 时间: 2008-7-14 15:58
能否介绍你的域环境？

按照我的理解，tw 和cn 应该是不同的域才对。

如果说，你的AD域环境只有一个，但是却设置了2个不同的smtp域名，这样就造成了用户可以用tw或者cn发信。
这样地话，需要到用户属性，以及exchange更改。
具体我还要检验下。

作者: ivanex2003 时间: 2008-7-16 13:41
标题: Reply to plane
plane,谢谢你的回复

tw和cn是完全独立的2个域。分别位于台北和上海，2端做了Site-to-Site 的VPN。上海发出去的
全部邮件通过台北发送（上海SMTP虚拟服务器的智能主机IP为台北）。

作者: 钉子 时间: 2008-7-23 00:17
看了后续的问答，我还是建议楼主看看我5，8楼的解析。

欢迎光临邮件服务器-邮件系统-邮件技术论坛(BBS) (http://bbs.5dmail.net/)