Re: [FRnOG] [TECH] Outlook / MS smtp server sans reverse
Merci pour les retours. Si je comprends bien c'est plus un problème de compatibilité qu'un réel apport de sécurité. Vu que les opérateurs, même grand publics, génèrent des reverse pour toutes leurs IPs, çe n'est plus vraiment justifié de nos jours. Damien Le ven. 22 oct. 2021 à 22:36, Alain Bitschiné a écrit : > Bonjour, > > Beaucoup de spams sont envoyés de machines corrompues, perso ou serveur. > Ce contrôle permettait (c'est peut-être moins le cas maintenant) d'éliminer > beaucoup de ces machines. > > La configuration correcte de la résolution DNS inverse pour un serveur de > messagerie est essentielle. Je dirais même que c'est la base. C'est un > critère suffisant de rejet pour beaucoup de messageries... peut-être parce > que c'est un contrôle facile à mettre en place au niveau d'un MTA sans > avoir à installer un vrai antispam. > > Je n'ai pas re-testé récemment, mais Google/Gmail, entre autres, rejettait > les mails de serveurs sans résolution inverse valide. Chez d'autres, même > si ce n'est pas bloqué directement par le MTA, c'est pris en compte dans le > scoring du mail réalisé par les antispam. > > Il y a aussi des RBL qui utilisent ce critère... Même Microsoft demande > que la résolution inverse soit correcte pour pouvoir être retiré de leur > black list. > > Le nom de domaine du serveur qui envoie le mail n'a pas besoin de > correspondre à celui de l'émetteur du mail. En revanche, il y a d'autres > outils (SPF, DKIM, DMARC) qui permettent de vérifier qu'un serveur est > habilité. > > Alain > > Le 22/10/2021 21:50, Damien DUJARDIN a écrit : > > Bonsoir à tous, > > Connaissez-vous l'apport de ce contrôle en terme de sécurité ? > Vu qu'on ne contrôle pas que le reverse corresponde au domaine de l'email > emeteur, j'ai du mal à voir ce qu'on essaye d'empêcher ? > > Damien > > Le ven. 22 oct. 2021 à 19:15, David Ponzone a > écrit : > > Je suis une grosse feignasse, car j’utilise PowerDNS mais j’avais la > flemme de chercher. > Donc Paul, merci! > > Redoutable leur truc pour répondre une IP seulement si le service est up…. > > Le 22 oct. 2021 à 18:54, Paul Caranton a > > écrit : > > > Pour IPv6 (et IPv4), il est possible de générer des reverses à la volée > > avec PowerDNS et les enregistrements LUA : > https://doc.powerdns.com/authoritative/lua-records/ > > > Paul > > Le 22/10/2021 à 18:46, David Ponzone a écrit : > > Et j’ai tendance à penser qu’avec IPv6, ça va pas s’arranger. > Ou alors va falloir utiliser du DNS avec génération à la volée du > > reverse quand il n’y a aucun reverse spécifique configuré. > > Ca existe peut-être déjà, j’ai pas regardé…. > > Le 22 oct. 2021 à 18:33, me a écrit : > > > Sinon des ips sans reverse ça arrive de plus en plus en ce moment, > > j’ai de plus en plus ça ici > > > --- > Liste de diffusion du FRnOG > http://www.frnog.org/ > > > > --- > Liste de diffusion du FRnOG > http://www.frnog.org/ > > > > --- > Liste de diffusion du FRnOG > http://www.frnog.org/ > > > --- > Liste de diffusion du FRnOG > http://www.frnog.org/ > > --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [TECH] Outlook / MS smtp server sans reverse
Bonjour, Beaucoup de spams sont envoyés de machines corrompues, perso ou serveur. Ce contrôle permettait (c'est peut-être moins le cas maintenant) d'éliminer beaucoup de ces machines. La configuration correcte de la résolution DNS inverse pour un serveur de messagerie est essentielle. Je dirais même que c'est la base. C'est un critère suffisant de rejet pour beaucoup de messageries... peut-être parce que c'est un contrôle facile à mettre en place au niveau d'un MTA sans avoir à installer un vrai antispam. Je n'ai pas re-testé récemment, mais Google/Gmail, entre autres, rejettait les mails de serveurs sans résolution inverse valide. Chez d'autres, même si ce n'est pas bloqué directement par le MTA, c'est pris en compte dans le scoring du mail réalisé par les antispam. Il y a aussi des RBL qui utilisent ce critère... Même Microsoft demande que la résolution inverse soit correcte pour pouvoir être retiré de leur black list. Le nom de domaine du serveur qui envoie le mail n'a pas besoin de correspondre à celui de l'émetteur du mail. En revanche, il y a d'autres outils (SPF, DKIM, DMARC) qui permettent de vérifier qu'un serveur est habilité. Alain Le 22/10/2021 21:50, Damien DUJARDIN a écrit : Bonsoir à tous, Connaissez-vous l'apport de ce contrôle en terme de sécurité ? Vu qu'on ne contrôle pas que le reverse corresponde au domaine de l'email emeteur, j'ai du mal à voir ce qu'on essaye d'empêcher ? Damien Le ven. 22 oct. 2021 à 19:15, David Ponzone a écrit : Je suis une grosse feignasse, car j'utilise PowerDNS mais j'avais la flemme de chercher. Donc Paul, merci! Redoutable leur truc pour répondre une IP seulement si le service est up…. Le 22 oct. 2021 à 18:54, Paul Caranton a écrit : Pour IPv6 (et IPv4), il est possible de générer des reverses à la volée avec PowerDNS et les enregistrements LUA : https://doc.powerdns.com/authoritative/lua-records/ Paul Le 22/10/2021 à 18:46, David Ponzone a écrit : Et j'ai tendance à penser qu'avec IPv6, ça va pas s'arranger. Ou alors va falloir utiliser du DNS avec génération à la volée du reverse quand il n'y a aucun reverse spécifique configuré. Ca existe peut-être déjà, j'ai pas regardé…. Le 22 oct. 2021 à 18:33, me a écrit : Sinon des ips sans reverse ça arrive de plus en plus en ce moment, j'ai de plus en plus ça ici --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [TECH] Outlook / MS smtp server sans reverse
Le 22/10/2021 à 21:50, Damien DUJARDIN a écrit : Bonsoir à tous, Connaissez-vous l'apport de ce contrôle en terme de sécurité ? Vu qu'on ne contrôle pas que le reverse corresponde au domaine de l'email emeteur, j'ai du mal à voir ce qu'on essaye d'empêcher ? Damien Aucune idée de la véritable raison. Ma théorie est que si ton reverse match ton forward, tu peux être considéré comme un émetteur "digne de confiance", vu que tout le monde ne peut pas modifier facilement son reverse (même si ce n'est plus très vrai aujourd'hui). Ça permet notamment d'éviter que n'importe qui avec une IP pour particulier puisse spammer tout le monde, de son plein gré ou à cause d'un virus (ou selon le point de vue, ça permet aussi d'interdire aux particuliers d'autohéberger leurs emails...). Je pense que la vérification est faite ainsi : Dans le cas de la réception d'un email, on demande le PTR de l'adresse IP du MTA de l'expéditeur, ce qui nous donne un nom de domaine (mail.test.com par exemple). Il suffit ensuite de demander l'enregistrement A (ou ) correspondant à ce nom de domaine, et de comparer le résultat à l'adresse IP du MTA. Si les deux sont identiques, c'est OK. C'est juste ma théorie bullshit mais je l'aime bien :) Paul --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [TECH] Outlook / MS smtp server sans reverse
Bonsoir à tous, Connaissez-vous l'apport de ce contrôle en terme de sécurité ? Vu qu'on ne contrôle pas que le reverse corresponde au domaine de l'email emeteur, j'ai du mal à voir ce qu'on essaye d'empêcher ? Damien Le ven. 22 oct. 2021 à 19:15, David Ponzone a écrit : > Je suis une grosse feignasse, car j’utilise PowerDNS mais j’avais la > flemme de chercher. > Donc Paul, merci! > > Redoutable leur truc pour répondre une IP seulement si le service est up…. > > > Le 22 oct. 2021 à 18:54, Paul Caranton a > écrit : > > > > Pour IPv6 (et IPv4), il est possible de générer des reverses à la volée > avec PowerDNS et les enregistrements LUA : > https://doc.powerdns.com/authoritative/lua-records/ > > > > Paul > > > > Le 22/10/2021 à 18:46, David Ponzone a écrit : > >> Et j’ai tendance à penser qu’avec IPv6, ça va pas s’arranger. > >> Ou alors va falloir utiliser du DNS avec génération à la volée du > reverse quand il n’y a aucun reverse spécifique configuré. > >> Ca existe peut-être déjà, j’ai pas regardé…. > >> > >>> Le 22 oct. 2021 à 18:33, me a écrit : > >>> > >>> > >>> Sinon des ips sans reverse ça arrive de plus en plus en ce moment, > j’ai de plus en plus ça ici > >>> > >> > >> --- > >> Liste de diffusion du FRnOG > >> http://www.frnog.org/ > > > > > > --- > > Liste de diffusion du FRnOG > > http://www.frnog.org/ > > > --- > Liste de diffusion du FRnOG > http://www.frnog.org/ > --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [TECH] Outlook / MS smtp server sans reverse
Je suis une grosse feignasse, car j’utilise PowerDNS mais j’avais la flemme de chercher. Donc Paul, merci! Redoutable leur truc pour répondre une IP seulement si le service est up…. > Le 22 oct. 2021 à 18:54, Paul Caranton a écrit : > > Pour IPv6 (et IPv4), il est possible de générer des reverses à la volée avec > PowerDNS et les enregistrements LUA : > https://doc.powerdns.com/authoritative/lua-records/ > > Paul > > Le 22/10/2021 à 18:46, David Ponzone a écrit : >> Et j’ai tendance à penser qu’avec IPv6, ça va pas s’arranger. >> Ou alors va falloir utiliser du DNS avec génération à la volée du reverse >> quand il n’y a aucun reverse spécifique configuré. >> Ca existe peut-être déjà, j’ai pas regardé…. >> >>> Le 22 oct. 2021 à 18:33, me a écrit : >>> >>> >>> Sinon des ips sans reverse ça arrive de plus en plus en ce moment, j’ai de >>> plus en plus ça ici >>> >> >> --- >> Liste de diffusion du FRnOG >> http://www.frnog.org/ > > > --- > Liste de diffusion du FRnOG > http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [TECH] Outlook / MS smtp server sans reverse
Pour IPv6 (et IPv4), il est possible de générer des reverses à la volée avec PowerDNS et les enregistrements LUA : https://doc.powerdns.com/authoritative/lua-records/ Paul Le 22/10/2021 à 18:46, David Ponzone a écrit : Et j’ai tendance à penser qu’avec IPv6, ça va pas s’arranger. Ou alors va falloir utiliser du DNS avec génération à la volée du reverse quand il n’y a aucun reverse spécifique configuré. Ca existe peut-être déjà, j’ai pas regardé…. Le 22 oct. 2021 à 18:33, me a écrit : Sinon des ips sans reverse ça arrive de plus en plus en ce moment, j’ai de plus en plus ça ici --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [TECH] Outlook / MS smtp server sans reverse
Attention hein, un reverse du type ip-1-0-0-127.domain.tld est souvent considéré comme suspect comme bot pour spam … Spamassassin ou rspamd il me semble qui fais ce genre de Check (?) Microsoft et Yahoo aussi fait perdre des points > Le 22 oct. 2021 à 18:47, David Ponzone a écrit : > > Et j’ai tendance à penser qu’avec IPv6, ça va pas s’arranger. > Ou alors va falloir utiliser du DNS avec génération à la volée du reverse > quand il n’y a aucun reverse spécifique configuré. > Ca existe peut-être déjà, j’ai pas regardé…. > >> Le 22 oct. 2021 à 18:33, me a écrit : >> >> >> Sinon des ips sans reverse ça arrive de plus en plus en ce moment, j’ai de >> plus en plus ça ici >> > --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [TECH] Outlook / MS smtp server sans reverse
Et j’ai tendance à penser qu’avec IPv6, ça va pas s’arranger. Ou alors va falloir utiliser du DNS avec génération à la volée du reverse quand il n’y a aucun reverse spécifique configuré. Ca existe peut-être déjà, j’ai pas regardé…. > Le 22 oct. 2021 à 18:33, me a écrit : > > > Sinon des ips sans reverse ça arrive de plus en plus en ce moment, j’ai de > plus en plus ça ici > --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [TECH] Outlook / MS smtp server sans reverse
Bonsoir, Beaucoup font ça : - Orange - La poste Mais Microsoft c’est beaucoup du « fais ce que je dit, pas ce que je fais » … Heureusement que certains provider sont là pour répondre quand tu contacte (cc vadesecure) Sinon des ips sans reverse ça arrive de plus en plus en ce moment, j’ai de plus en plus ça ici > Le 22 oct. 2021 à 18:27, Mickael Monsieur a > écrit : > > > >> Le 22 oct. 2021 à 18:18, Jarod G. via frnog a écrit : >> >> Salut, >> >> Oui c'est toujours une bonne pratique, juste que MS n'a jamais été bon élève >> en mail... > > Ah bon? Il est bon élève dans quelle branche alors, je ne vois pas … > > Pour la part, il n’y aura aucune exception, pas de PTR -> reject. Mais moi au > moins j’émets des codes erreur qui disent pourquoi. Pas comme M$ qui accepte > et le supprime. > >> >> Jarod G. >> >>> Le 22 octobre 2021 18:02:19 GMT+02:00, Laurent-Charles FABRE >>> a écrit : >>> Bonjour la liste, >>> >>> mail à l'attention des SMTP admin >>> >>> MS nous envoie des mails via un range IP sans DNS inverse. (52.101.62/24) >>> >>> Est ce une bonne pratique révolue que de demander un résolution inverse >>> valide sur un outbound SMTP ? >>> >>> Si je souhaite conserver ce garde fou basique, la seule solution est elle >>> de whitelister tout le bloc MS 52.96/16 ? >>> (whitelist sur le check reverse uniquement, je précise :-) >>> >>> Je passe le fait que les host passés dans le helo SMTP résolve en 127.0.0.1 >>> (ex. na01-obe.outbound.protection.outlook.com) >>> Ca on s'en arrange ;-) >>> >>> Merci de vos conseils avisés. >>> >>> Laurent-Charles FABRE >>> >>> --- >>> Liste de diffusion du FRnOG >>> http://www.frnog.org/ >> >> --- >> Liste de diffusion du FRnOG >> http://www.frnog.org/ > > > --- > Liste de diffusion du FRnOG > http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [TECH] Outlook / MS smtp server sans reverse
> Le 22 oct. 2021 à 18:18, Jarod G. via frnog a écrit : > > Salut, > > Oui c'est toujours une bonne pratique, juste que MS n'a jamais été bon élève > en mail... Ah bon? Il est bon élève dans quelle branche alors, je ne vois pas … Pour la part, il n’y aura aucune exception, pas de PTR -> reject. Mais moi au moins j’émets des codes erreur qui disent pourquoi. Pas comme M$ qui accepte et le supprime. > > Jarod G. > > Le 22 octobre 2021 18:02:19 GMT+02:00, Laurent-Charles FABRE > a écrit : >> Bonjour la liste, >> >> mail à l'attention des SMTP admin >> >> MS nous envoie des mails via un range IP sans DNS inverse. (52.101.62/24) >> >> Est ce une bonne pratique révolue que de demander un résolution inverse >> valide sur un outbound SMTP ? >> >> Si je souhaite conserver ce garde fou basique, la seule solution est elle >> de whitelister tout le bloc MS 52.96/16 ? >> (whitelist sur le check reverse uniquement, je précise :-) >> >> Je passe le fait que les host passés dans le helo SMTP résolve en 127.0.0.1 >> (ex. na01-obe.outbound.protection.outlook.com) >> Ca on s'en arrange ;-) >> >> Merci de vos conseils avisés. >> >> Laurent-Charles FABRE >> >> --- >> Liste de diffusion du FRnOG >> http://www.frnog.org/ > > --- > Liste de diffusion du FRnOG > http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [TECH] Outlook / MS smtp server sans reverse
Salut, Oui c'est toujours une bonne pratique, juste que MS n'a jamais été bon élève en mail... Jarod G. Le 22 octobre 2021 18:02:19 GMT+02:00, Laurent-Charles FABRE a écrit : >Bonjour la liste, > >mail à l'attention des SMTP admin > >MS nous envoie des mails via un range IP sans DNS inverse. (52.101.62/24) > >Est ce une bonne pratique révolue que de demander un résolution inverse >valide sur un outbound SMTP ? > >Si je souhaite conserver ce garde fou basique, la seule solution est elle >de whitelister tout le bloc MS 52.96/16 ? >(whitelist sur le check reverse uniquement, je précise :-) > >Je passe le fait que les host passés dans le helo SMTP résolve en 127.0.0.1 >(ex. na01-obe.outbound.protection.outlook.com) >Ca on s'en arrange ;-) > >Merci de vos conseils avisés. > >Laurent-Charles FABRE > >--- >Liste de diffusion du FRnOG >http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/
[FRnOG] [TECH] Outlook / MS smtp server sans reverse
Bonjour la liste, mail à l'attention des SMTP admin MS nous envoie des mails via un range IP sans DNS inverse. (52.101.62/24) Est ce une bonne pratique révolue que de demander un résolution inverse valide sur un outbound SMTP ? Si je souhaite conserver ce garde fou basique, la seule solution est elle de whitelister tout le bloc MS 52.96/16 ? (whitelist sur le check reverse uniquement, je précise :-) Je passe le fait que les host passés dans le helo SMTP résolve en 127.0.0.1 (ex. na01-obe.outbound.protection.outlook.com) Ca on s'en arrange ;-) Merci de vos conseils avisés. Laurent-Charles FABRE --- Liste de diffusion du FRnOG http://www.frnog.org/
RE: [FRnOG] [BIZ] Recherche trunk SIP (puis FTTO) pour porter des numéros de différentes pays
Salut Jérôme, J'espère que tu vas bien, on fait ça pour des clients Français présent ailleurs. On peut aussi fournir des numéros : on respecte les contraintes réglementaires de chaque pays. Pour les tuyaux à l'étranger, pour l'instant on ne fait pas. @+ Xavier -Message d'origine- De : Jérôme Nicolle Envoyé : mercredi 20 octobre 2021 16:20 À : frnog@frnog.org Objet : [FRnOG] [BIZ] Recherche trunk SIP (puis FTTO) pour porter des numéros de différentes pays Plop, Pour un groupe Européen donc le cœur de réseau est en France, je cherche un fournisseur de trunk capable de porter des numéros PL, HU, CZ dans un premier temps, puis FR, UK, IT, BE, PT, NL, SE et NO dans quelques mois. Idéalement avec la possibilité d'attribuer quelques numéros de chaque pays avant la porta pour tester le routage interne. Qui sait fournir ça ? Pour un peu plus tard je vais aussi avoir besoin de tuyaux sur tous ces pays (fibres 100Mbps et plus, toujours redondées). Y a t il un one-stop shop présent sur tous ces pays (tendance wholesaler hein, les taros du retail B2B sont plus tenables). Merci ! -- Jérôme Nicolle +33 6 19 31 27 14 --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [TECH] Lociciel de looking-glass
Bonjour, https://github.com/gmazoyer/looking-glass ? Cordialement, Le jeu. 21 oct. 2021 à 03:42, Michel Py via frnog a écrit : > Bonjour à toutes et à tous, > > Je cherche un logiciel pour faire un looking-glass BGP. > > Cahier des charges : > - Que ça ne me prenne pas trop la tête à installer. > - Open-source. > - 2-3 full-feeds reçus par 2 Cisco ASR plus 100K préfixes en interne; > c'est pas un backbone de tier-1. > - S'il faut que ça devienne un pair iBGP des deux Cisco c'est OK, mais si > ça peut les interroger directement ça marcherait aussi. > - Clickodrome destiné à être utilisé par le support : on tape l'adresse IP > et on clique "OK". > - Volume de requêtes : extrêmement faible. > - Présentation sympa optionnelle mais bienvenue. > > Je suis un peu sec sur la question; 2 possibilités dans ma tête : > > - Un script qui se connecte sur le routeur et qui met le contenu de "show > ip bgp $val" dans une page. > - Bird ? il parait qu'il y a un module de looking-glass http. > > Bon donc s'il faut monter une VM capable de prendre 2 full-feeds c'est > faisable, j'étudie les possibilités. > > Merci pour vos retours ! > > Michel. > > > --- > Liste de diffusion du FRnOG > http://www.frnog.org/ > -- Gauthier DOUCHET --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [MISC] libreNMS
> Le 22 oct. 2021 à 09:04, Cécile Martron via frnog a écrit : > > C'est bien connu enfin. > Etre beta tester sur l'environnement de prod, c'est une superbe idée :P > (vendredi trolldi) Je crois qu’ils ont volé l’idée à Microsoft. > > Cécile Martron > CCIE Datacenter > Ingénieure Systéme Réseaux et Télécommunication > +33 (0) 6 85 44 33 38 > >> Le 20/10/2021 à 23:10, Mickael MONSIEUR a écrit : >>> Le mer. 20 oct. 2021 à 18:57, Pierre Colombier via frnog >>> a écrit : >>> +1 >>> >>> On 20/10/2021 16:45, Jarod G. via frnog wrote: J'ai du mal à comprendre pourquoi c'est pas en stable par défaut, je sais que git pull master au lieu de checkout des tags stables c'est à la mode mais quand même... >> https://docs.librenms.org/General/Releases/ >> >>> We appreciate everyone that runs this branch as you are in essence >>> secondary testers to the automation and manually testing that is done >>> during the merge stages. >> Tout le monde est par défaut beta tester comme cela. >> >> >>> >>> --- >>> Liste de diffusion du FRnOG >>> http://www.frnog.org/ >> >> --- >> Liste de diffusion du FRnOG >> http://www.frnog.org/ > --- > Liste de diffusion du FRnOG > http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/
Re: [FRnOG] [MISC] libreNMS
C'est bien connu enfin. Etre beta tester sur l'environnement de prod, c'est une superbe idée :P (vendredi trolldi) Cécile Martron CCIE Datacenter Ingénieure Systéme Réseaux et Télécommunication +33 (0) 6 85 44 33 38 Le 20/10/2021 à 23:10, Mickael MONSIEUR a écrit : Le mer. 20 oct. 2021 à 18:57, Pierre Colombier via frnog a écrit : +1 On 20/10/2021 16:45, Jarod G. via frnog wrote: J'ai du mal à comprendre pourquoi c'est pas en stable par défaut, je sais que git pull master au lieu de checkout des tags stables c'est à la mode mais quand même... https://docs.librenms.org/General/Releases/ We appreciate everyone that runs this branch as you are in essence secondary testers to the automation and manually testing that is done during the merge stages. Tout le monde est par défaut beta tester comme cela. --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/ --- Liste de diffusion du FRnOG http://www.frnog.org/
