rickstinson
Goto Top

Hotmail mit SPF Problemen?

Hallo,
komische Sache zum Freitag. Unsere Antispam Appliance blockiert derzeit Mails von @hotmail.com Absender, aufgrund von SPF. Bis dato haben sich drei Leute mit Hotmail gemeldet, die keine Mails an uns senden können.

H=mail-dbaeur03olkn2100.outbound.protection.outlook.com (EUR03-DBA-obe.outbound.protection.outlook.com) [40.92.58.100] X=TLS1.2:ECDHE-RSA-AES256-GCM-SHA384:256 CV=no F=<XXXXX@hotmail.com> rejected RCPT <user@domain.tld>: 40.92.58.100 is not allowed to send mail from hotmail.com (SPF failure)

Mails von @outlook.com Adressen erreichen uns.

Wenn man man die SPF Einträge von hotmail.com durchgeht (https://mxtoolbox.com/SuperTool.aspx?action=mx%3ahotmail.com&run=too ..), auch die includes, findet man keine Einträge für das betroffene IP Netz von 40.92.58.100.

Hat da MS wiedermal Mist gebaut? Jemand ähnliche Probleme?

LG Patrick

Content-Key: 41523435329

Url: https://administrator.de/contentid/41523435329

Printed on: April 13, 2024 at 14:04 o'clock

Member: Snuffchen
Snuffchen Aug 18, 2023 at 14:43:57 (UTC)
Goto Top
Der 40.80.0.0/12 Netzblock gehört seit 2015 Microsoft. Da wurde wohl "vergessen", die SPF-Records zu ergänzen, wenn man ihn nun aktiv zum Mailversand nutzt.
Member: LordGurke
LordGurke Aug 18, 2023 at 15:59:17 (UTC)
Goto Top
Hier validiert das - zumindest mittlerweile:
:~# rspamadm dnstool spf -i '40.92.58.100' --domain 'hotmail.com' 
Policy: pass
Network: 40.92.0.0/16
Original: ip4:40.92.0.0/16

Wir haben heute aber den Tag über keine E-Mails mit SPF-Fail aus dem Präfix 40.80.0.0/12 abgelehnt.
Allerdings waren die Mails auch alle gültig DKIM-signiert und die von Microsoft veröffentlichte DMARC-Policy fordert kein striktes Alignment. Es reicht unserem System daher aus, wenn DKIM validiert, auch wenn SPF fehlschlägt - was dann auch Problemen mit umgeleiteten E-Mails vorbeugt.
Von daher würde ich eurer Appliance in dem Fall eine gewisse Mitschuld geben, falls sie möglicherweise die E-Mails bereits ablehnt, bevor DKIM geprüft werden kann.
Member: rickstinson
rickstinson Aug 18, 2023 at 18:09:17 (UTC)
Goto Top
Hm, ja das mit DMARC ist ein Punkt. Ich kann das leider nicht kombinieren, nur SPF entweder prüfen oder nicht (bzw. ob strict behandelt oder halt durchlassen und taggen bei fails).

Naja, schauen wir mal wie es am Montag aussieht. Aber wahrscheinlich wird das Wochen dauern bis MS das fix.
Member: Celiko
Solution Celiko Aug 18, 2023 at 18:28:25 (UTC)
Goto Top
Moin,

https://www.reddit.com/r/sysadmin/comments/15u28tw/microsoft_seems_to_ha ...

Betrifft wohl mehrere, wird also eher an Microsoft liegen.
Einfach abwarten, die haben das bestimmt schon mitbekommen.

Vg
Member: rickstinson
rickstinson Aug 18, 2023 at 20:37:30 (UTC)
Goto Top
Danke!
Herrlich, verpfuschen ihre SPF Einträge und stellen im gleichen Zug von Softfail auf hardfail um.

Es summiert sich bei denen echt in letzter Zeit, und ich dachte das falsche SSL Zert für sharepoint.com war schon deren Meisterstück face-wink
Member: manuel-r
manuel-r Aug 19, 2023 at 08:41:11 (UTC)
Goto Top
Member: ASP.NET.Core
ASP.NET.Core Aug 20, 2023 at 18:41:17 (UTC)
Goto Top
Zitat von @rickstinson:
Es summiert sich bei denen echt in letzter Zeit, und ich dachte das falsche SSL Zert für sharepoint.com war schon deren Meisterstück face-wink
Das ist schon länger so, kommt nur nicht alles besonders breitflächig in den Medien. Der Exchange-GAU hat zB 40 Millionen Wählerdaten aus GB geleakt. Abgelaufene Zertifikate haben die seit Jahren immer mal wieder, das scheint auf der Liste des Praktikanten zu stehen. Die wahren Profis bei denen sind für z.B. BingBang verantwortlich, wo jeder MS Nutzer Adminrechte auf Bing/MSN und zig weitere interne Systeme hatte, u.a. ein Datensilo mit mehreren Exabytes [sic] an Daten: https://u-labs.de/portal/bingbang-hunderte-millionen-durch-azure-ad-konf ...

So Anfängerfehler wie Zertifikate oder zuletzt auch Sicherheitsupdates, die Exchange-Server mit anderer Sprache als Englisch kaputt machen, fallen bei dem Laden schon kaum mehr auf face-big-smile