中继设置里的身份验证到底什么作用?

dushuru

看了论坛里关于SMTP验证和relay的讨论,有一个问题没想明白:
中继设置------有一个"身份验证"的语句.我的理解就是验证AD的用户名和密码.
既然exchange2003默认存在SMTP认证了,何必再加一个"身份认证"呢?SMTP认证不就是验证了邮箱的用户名与密码吗?
我觉得再进行身份验证不会有什么额外的效果呀?请高人指点!

钉子

对于你提到的这个问题，很多朋友也曾问过我，而且很多人都认为把它去除了后就是非中继了．我建议大家看＜＜Exchange 2000 Server上阻隔垃圾邮件的方法＞＞（http://www.5dmail.net/html/2003-11-3/2003113101711.htm　）这个文章，我引用出有关中继部分的内容（虽是ex2k版本下的，但是ex2k3这部分内容是一样的），如下：

1．防止恶意转发
这里的恶意转发（Relay）是指一个Internet上的SMTP服务器连接到你的邮件服务器来试图发送邮件到另外一个外部的电子邮件域。例如，你公司的邮件服务器A负责接收的是a.com的邮件地址，如果一台Internet上的外部SMTP服务器B连到你的服务器，并想通过你的邮件服务器来转发一封到c.com的邮件，这就是一种Relay。如果你的邮件服务器允许这种转发，那么它就处于Open-Relay状态；若不允许，就是Closed-Relay。
垃圾邮件的散播和恶意转发是两个不同但却又相关的概念。上面我们已经介绍了什么是恶意转发，这里再简单介绍一下垃圾邮件的主要散播途径。许多垃圾邮件散播者并不用他们自己的邮件服务器来发送垃圾邮件，而是寻找Internet上那些Open-Relay的邮件服务器来以大量群发的方式转发垃圾邮件。这样他们自己的邮件服务器可以在一定程度上被隐藏起来，而真正受害的将是那些被用来恶意转发垃圾邮件的Open-Relay服务器。
默认情况下Exchange不是，也不应该是Open-Relay。处于Open-Relay状态的邮件服务器会造成很大的危害性，主要有两点。第一，收信方会认为你的邮件服务器在散播垃圾邮件，从而在他们的服务器端阻隔所有来自你的服务器或域的连接请求。这样你的服务器就不能向那些域发信了。而且更糟的是你的邮件服务器的IP地址还很有可能会被加入到Internet上公开的Open-Relay服务器黑名单（Black List）上，所造成的后果是你会发现许多外部域都拒收来自你服务器的邮件，你需要花费一定的人力财力才能将自己的服务器从黑名单上去除。第二，一般一封垃圾邮件是群发的，收件人会有成百上千个。垃圾邮件散播者通过你的邮件服务器转发垃圾邮件，他们只需用很少的网络带宽向你的服务器发一封信，然后你的服务器若是允许转发，那么它将会占用大量的网络带宽来将这份信转发到所有的外部收信人那里。由于正常的网络带宽被过度占用，情况严重时会造成服务器停止响应，影响内部用户邮件的正常使用。
我们可以通过以下的步骤来确保Exchange服务器不处于Open-Relay状态：
（1）．打开Exchange System Manager。
（2）．在左边的窗口中，找到Servers -> "你的服务器名" -> Protocols -> SMTP -> Default SMTP Virtual Server。右击鼠标打开Default SMTP Virtual Server的属性对话框。
（3）．在Access选项卡上，点击Relay按钮。
（4）．在弹出的Relay Restriction对话框中（如图1），选中"Only the list below"选项。这也是Exchange的默认设置。这样所有外部的服务器就不能通过这台Exchange服务器来转发邮件。若是我们要允许一些特定的服务器（如你的子公司或合作伙伴的服务器）通过你的服务器转发邮件，我们可以点击Add按钮把那些特定的服务器加到下面的列表中。


（5）．最下面的"Allow all computers which successfully authenticate to relay, regardless of the list above"为可选项。如果你有用户要通过POP3或IMAP4的方式来访问服务器上的邮箱，那么这个选项一定要选中。选中这个选项后，Exchange服务器并没有处于Open-Relay状态，这个选项只是用于让那些能够提供正确用户名和密码的POP3或IMAP4合法用户来转发邮件，Internet上其他未经认证的服务器仍然不能转发。若是我们没有POP3或IMAP4用户，这个选项可以不选中。
　　除了在Default SMTP Virtual Server上要防止Open-Relay之外，我们还需要注意SMTP Connector上的设置。虽然Exchange 2000无需SMTP Connector就已经能够通过SMTP Virtual Server来收发Internet的邮件，但许多公司还是会创建一个或多个SMTP Connector来更好地细化和定义对外发信的路由。通常会有一个SMTP Connector的地址空间（Address Space）是*，表示发向Internet上所有外部域的邮件都可以通过这个SMTP Connector出去。在Exchange System Manager中打开这个SMTP Connector属性对话框，为了不使服务器处于Open-Relay状态，在Address Space选项卡上（如图2）确保底部的"Allow messages to be relayed to these domains"选项没有被选中。

dushuru

选中这个选项后，Exchange服务器并没有处于Open-Relay状态，这个选项只是用于让那些能够提供正确用户名和密码的POP3或IMAP4合法用户来转发邮件，Internet上其他未经认证的服务器仍然不能转发。

对于上面这段话,还望指点:
选中这个选项,就意味着如果其他服务器猜到你邮件某个账户的用户名和密码,那他就可以把你的服务器当作中继了,即使你上面有only the list below 的限制也没用,因为有regardless.对不对?
我也因为这个顾虑,才没选这个选项,只在上面的LIST中做了内网地址段的限制,客户端POP3收邮件也一切正常.能说说我这样会有什么缺点吗?

everyboy

這樣就能防止中繼嗎？和使用雙宿主(兩個SMTP）哪個效果好點？

钉子

１．如果知道你的用户和密码了，当然就可以收发邮件了．
２．这样做的话，可能会有的影响：a.用户出差在外；b.smtp,IMAP4发邮件．

钉子

双宿主可以分开来设定，增强了安全性，当然，性能也会下降．操作起来也麻烦．甚至有一些朋友连哪个文章都没看明白．