Exchange 2007 Mails an nichtexistente Domänenbenutzer ablehnen

Hallo,

You can only do this if Exchange is receiving internet email directly.

If you have the Ex2007 Edge Transport go to:
Microsoft Exchange | Edge Transport | Anti-Spam

Otherwise for Ex2007 Hub Transport install the anti-spam agents:
http://support.microsoft.com/kb/555924
Next go to:
Microsoft Exchange | Organization Configuration | Hub Transport | Anti-Spam

Open the properties for Recipient Filtering and tick the checkbox:
'Block messages sent to recipients not listed in the Global Address List'

http://msdn.itags.org/exchange-server/124496/

Hallo,

was macht denn Exchange mit den Mails?
Normalerweise nimmt Exchange 2007 nämlich definitiv keine Mails an für Empfänger, die es nicht kennt, die aber zu seiner Domäne gehören. Vielleicht liegt hier das Problem: Die SMTP-Domäne muss als Authoritative konfiguriert sein (prüfen: Get-AcceptedDomain). Oder du hast auf dem Connector von extern her für alle das Relaying aktiviert (aber selbst dann ging es nicth mit unseredomaene.de)?

Aber die Frage von cyberjunkie halte ich noch nicht für beantwortet: Wie kommen die Mails überhaupt zu Exchange? Wenn sie soweit kommen ist doch offenbar schon etwas schief gelaufen. Vielleicht solltest du den Fehler auf der "Firewall" suchen?

Anti-Spam Agents oder Edge-Transport brauchst du dafür nicht.

Gruß

Filipp

Wenn diese Abfrage richtig funktionieren würde, dürfte doch im Umkehrschluß die Firewall die Mail eben nicht weiterleiten wenn der DC sagt: Empfänger existiert nicht.
Oder verstehe ich hier etwas falsch?

Hallo,

Das ist falsch. Authoritativ bedeutet: Alle Adressen, die es zu der Domäne gibt liegen in dem Exchange. Also aus Exchangesicht: "Wenn dir jemand eine Mail zustellen will an jemand, den du nicht kennst, dann sag ihm, das die Adresse nicht existiert und lehne die Mail ab". Internal Relay sagt dem Exchange "Ja, für die Domain hast du schon ein paar Adressen. Aber neben dir gibt es da noch jemand anderen. Also nimm die Mails erstmal alle an, und leite sie halt weiter, wenn du den Empfänger nicht kennst".
Achtung: Wenn du irgendwelche komischen Dinge wie einen POPConnector verwendest, oder auf einem anderen Mailsystem wirklich noch (dem Exchange unbekannte) Adressen hast, kannst du geg. nicht ohne weiteres auf Authoritative umschalten, ohne die zu beeinflussen.

Das mit der Accepted Domain ist definitiv ein Punkt, den du ändern solltest. Aber daneben tut auch die Firewall definitiv nicht das, was du uns hier beschreibst. Wenn sie ungültige Emfänger ablehnen würde kämen sie auch nicht bei Exchange an. Ist klar, oder?
Daneben schreibst du "Firewall". Grundsätzlich kann man eine solche Funktionalität in eine Firewall implementieren, das ist aber eher unüblich. Meist nimmt man hierzu ein Relay. Unterschied: Eine Firewall ist auf höheren Protokollebenen (SMTP) transparent. D.h. für einen externen Kommunikationspartner und Exchange sieht es so aus, als würden sie direkt miteinander kommunizieren. Ein Relay arbeitet auf SMTP-Protokollebene. Das Relay nimmt Mails von extern entgegen, speichert sie (scannt sie auf Viren, Spam etc) und leitet sie später an Exchange weiter.
Hast du wirklich eine transparente Firewall im Einsatz, so ist es nicht wirklich schlimm, wenn die Empfängerprüfung nicht funktioniert (bis auf Tatsache, dass es blöd ist, wenn sich Systeme nicht so verhalten, wie man sich das vorstellt). Handelt es sich um ein Relay (was die wahrscheinlichere Variante ist), so solltest du unbedingt darauf achten, dass ungültige Empfänger hier schon abgelehnt werden, da du sonst erhebliche Probleme mit Backscatter/Misdirected Bounces bekommen wirst.

Gruß

Filipp

Doppelpost

Hallo,

Ja, unbedingt. Du bekommst sonst genau das Problem mit dem Backscatter. Dein System nimmt die Mail erstmal an, und muss nachher einen NDR erzeugen.

Hm... was funktioniert denn dann jetzt? Eingangs beschriebenes Problem, nämlich das alle Mails angenommen werden, hast du ja dann immer noch.

Gegen wen hast du denn jetzt getestet? Die ominöse Firewall oder Exchange? Von intern oder extern? Wer stand denn im Greetings-Banner (also nach Aufbau der SMTP-Verbindung)?

Gruß

Filipp

Hallo,

Genau. Deine Firewall ist höchstwahrscheinlich keine einfache Firewall, sondern ein Relay.

Das ist klar. Die Frage ist nur, wer den NDR erzeugt. Und das wird deine Firewall im Dialog mit Exchange sein. Um Backscatter zu vermeiden sollte es aber der Absenderserver im Dialog mit der "Firewall" sein (die die Mail ablehnt).
Jedes bessere Relay sollte in der Lage sein noch vor dem Annehmen einer Mail (meist über LDAP) zu prüfen, ob der Empfänger überhaupt existiert. Und da die Funktion Sinn macht, solltest du dir das Handbuch deines Relays nochmal zur Hand nehmen...

Gruß

Filipp