Názory k článku Za problémy s doručováním pošty ze sítě O2 je spamer i liknavost

O důvod více, proč posílat maily přes jiné SMTP servery než O2 a ještě mít SSL/TLS defaultně zapnuté. Pak O2 nám všem může políbit šos.

Kdybyste cetl poradne, tak by Vam mohlo dojit, ze bez TLS je samotne posilani pres jine SMTP servery pro kocku. Mail proxy ...

Ano, četl jsem pořádně. Proto jsem tvrdil, že posíláním ze sítě O2 přes cizí SMTP server se zapnutým TLS/SSL je řešením. Transparentní mail proxy se do tohoto nedostane a tímpádem žádné hlavičky nepřidá.

Takže o2 to žene přes svou proxy a přesto nejsou schopni poznat, že někdo masivně spammuje? Nám se to samé děje v síti UPC, taky jim někdo odesílá spam tak dlouho, až se na blacklist dostane postupně tak velký blok, že vezme i nás. UPC nic neřeší, zákazníci jsou obtížný hmyz, takže to řešíme druhým poskytovatelem, abychom měli záložní IP.

... a pak se druhý poskytovatel rozroste, i v jeho síti se objeví spousta botnetových PC ze kterých se odesílají spamy, časem se taky dostane na blacklist celý velký blok jeho IP adres, vy si najdete třetího providera ...

Tohle sice funguje, ale v principu jde o hack, ne o řešení :)

UPC uz skoro rok nemam, ale ...
Chlapecek doma usporadal LAN party a druhy den jsme meli zablokovany mail. Jeden z tech donesenych pocitacu byl totiz nakazeny a chrlil jeden spam za druhym. Az do dalsi akce jsem si nebyl jist, kdo byl ten hrisnik ... nicmene jsem preventivne zablokoval 25/tcp a povolil jen na overene MAC. Od te doby byl klid.

Takze nekdo tady ponekud keca, ne?

?? Jak souvisí tvůj případ se zablokováním bloku několika desítek tisíc adres UPC na spamhousu, které UPC vůbec neřešilo (byla tam podobná hláška o eskalaci, jako u O2)?

Jestli není problém spíš v tom, když se správci mailserverů spoléhají na blacklisty až do té míry, že podle nich hned odmítají poštu doručit (místo jejího pouhého označení za spam).

Resp. blacklisty jsou užitečná věc, ale nedá se to s nimi přece přehánět. A když má jeden záznam pro celý blok IP adres za následek že maily _od lidí z celé republiky_ jsou najednou označovány za spam, je IMHO něco dost zásadně špatně v použitém řešení :). Pokud pošlu někomu mail který je naprosto v pořádku, a cílový mailserver jen na základě IP adresy rozhodne že ho ani nezkusí doručit (přestože podle všech ostatních měřítek je mail OK), kde je chyba?

To samozřejmě neznamená že je v tom O2 nevinně. Každý kdo se dostane na blacklist, má obvykle tendenci udělat všechno proto aby se z něj co nejdřív dostal pryč -- nechápu proč to O2 trvalo tak dlouho.

Souhlas, blacklist má být jedno z kritérií a rozhodně jen přidávat score mailu, ne ho hned vrátit.

Oba zapominate na jeden maly, ale zcela zasadni detail. O prijeti nebo neprijeti mailu rozhoduje prijemce a je ciste jeho vec, jestli bude nebo nebude mail zpracovavat.
Ja taky u vsech svych zakazniku odmitam prijimat maily od serveru, ktere nemaji ani takovy detail, jako korektne nstavenou domenu. A ono jen toto kupodivu odstreli 90% spamu driv, nez by to musel resit filtr.
No a pokud se pak nekdo rozciluje, tak mu tak maxmalne napisu, ze po dalnici taky nemuze jezdit bez dalnicni znamky, a ze to "jde" neznamena, ze za to nekdy nekde nedostane preshubu.

> O prijeti nebo neprijeti mailu rozhoduje prijemce a je ciste jeho vec, jestli bude nebo nebude mail zpracovavat

Je otazka zda je mysleno prijemce jako adresat nebo prijemce jako spravce/provo­zovatel mailserveru, na kterem je cilova schranka.

Dalo by se argumentovat, ze pokud provozovatel mailserveru bez vedomi adresata selektivne odmitne a zahodi nejakou postu pro nej, pak spacha trestni cin podle par. 182 (5c) (potlaceni dorucovane zpravy).

On nerozhoduje o přijetí příjemcem, ale o tom, že tento konkrétní server mu to nedoručí. Pokud je nastaven správně, tak při tom pouze odmítne zprávu převzít a je na odesílacím serveru, co s tím udělá.

Převzít zprávu a zahodit je samozřejmě vždy prasárna, zákon nezákon.

Naprosto trefne... guru ajtaci prece odmitnou postu co nema spravne nastavenou domenu...

Dokud budou firmy takovym expertum platit :) ubyvat jich nebude :)

Přesně tak. Není co dodat.

Po zkušenostech se Spamhausem, kdy zabokoval celou řadu IP a ani po opakovaných žádostech nebyl schopen to omezit jen na ty "spamerské", si myslím, že kecají - nikoho nekontaktují.

Vůbec se nedivím. Kontaktní adresy v whois má IOL zastaralé, kdykoliv jsem jim psal, že mají kompromitovaný stroj, tak buď se mi vrátila chybová zpráva o nedoručitelnosti, nebo se nikdo neobtěžoval ani odpovědět. A z druhé strany co by zákazník to stojí také za velké kulové. Zákazník sice dostane zvláštní e-mailovou schránku určenou pro sdělování zpráv ohledně IP sítě, ale když letos v létě dělali průzkum mezi zákazníky, tak samozřejmě dotaz poslali na úplně jinou adresu (a to dokonce dvakrát). Do vyhrazené schránky, kterou podle smlouvy má zákazník povinnost vybírat, za nikdy nepřišel ani jeden e-mail.

proptože to jsem nepochopil:
Jestliže se přes O2 internet spojím přes webový prohlížeč se svou schránkou na gmailu (nebo yahoo nebo někde jinde) a pošlu z ní mail, tak to znamená, že v hlavičce toho mailu bude jako odesílatel O2?

Ale ne, bude tem v pripade, ze mate mailserver v siti telecumu. Proste takova prasarna, kdy vsechny vase maily odchytej a presmerujou pres svuj server. To samo neplati, pokud posilate mail pres web.

Vaše první věta je podle mne chybná, pokusím se situaci shrnout jinak:

V hlavičce e-mailu se objeví záznam O2 při splnění 2 podmínek SOUČASNĚ:
1. do internetu je klient připojen prostřednictvím O2 jako providera;
2. odesílání probíhá protokolem SMTP (tedy se používá poštovní program typu Outlook, Thunderbird apod.)

Zda mailserver, tedy SMTP server, je či není v síti O2, nehraje roli. A u webmailu není splněn bod 2.

Ještě k bodu 2, odesílání musí probíhat přes NEŠIFROVANÝ SMTP, kdy se O2 může dostat do spojení.

No napr. Netbox se s tim nesere. okamzite po zacatku spamovani zablokuje veskerou komunikaci ven (dostanete se jen na svuj email do netboxu] Kde mate zpravu ze vas stroj odesila moc zprav a po odstraneni potizi telefonatem na infolinku vas odblokuji. 2 odblokovani v mesici je zadara, kdyz to nepomuze nabehne technik a za velke penize vam v lepsim pripade odstrani problem nebo vam preinstaluje system. Je to trosku brutalni reseni ale asi jedine ucinne. Maji to snad i v podminkach.

To by me zajimalo, jak odlisej to, ze posilate spam a to, ze posilate svym 100k zakaznikum informacni email (trebas o novym produktu, chybe, ...).

Firemni linky si po dohode mohou navysit score, je to otazka jednoho telefonatu.

Rad bych se optal autora, jak prisel na tu transparentni smtp proxy? Kdyz jsem se jeste o mailove serery staral, nikdy tam nic podobneho nebylo a ani se neplanovalo. Jina vec je pristup na cizi webmail a odeslani mailu pres nej. Tam se IP adresa odesilatele/klienta objevit muze, ale to prece neni smtp?

Já volal na hotline, tam mi to potvrdili, že je to tak - ještě před článkem. Mám totiž svůj smtp...

IMHO lidova tvorivost. Mluvil jsem s postmastery a rikali, ze nic takoveho tam nemaji. Problem muze nastat, pokud nejaky uchyl nekontroluje jen adresu serveru, ze ktereho mu posta prichazi, ale i adresu klienta, ze ktereho byla posta odesilana. Pak mu budiz peklo milostivo.

No na můj smtp docházelo několik emailu z O2 co byly odmítnuty taky na základě BL. První IP adresa co byla klienta jako takového byla ok. Bohužel v hlavičče byl druhý krok právě přes "mail proxy" s IP na BL. Kontroloval jsem to s klientem a měl nastaveno přímo můj SMPT. Bohužel antispam kontrolu plně aplikujeme i na odchozí poštu...

A mohl bych videt tu hlavicku, kterou vlozila ona udajna proxy?

O2 asi nejsou žádní velcí borci, ale kdo měl někdy tu čest vyjednávat nějaký komplexnější problém s pány ze Spamhausu, ten ví, že to je opravdu banda hajzlíků.

- to my vás neblokujeme, to vás blokují jednotlivé mailservery
- to my s váma jednat nebudeme, to musí vyjednat váš isp
- to nebyl newsletter, to byl spam
- to my vás budeme ignorovat
- to my vám zablokujeme i vaše další mailservery, které s tím sice nemají nic společného a nikdy z nich nic neodešlo, ale jsou taky vaše
- to my zablokujeme maily i vašemu isp, za to že vás trpí ve své síti

atd. atd.

Souhlas, přesně tak se chovají. Moje osobní zkušenost.

Proč ten jejich blacklist tedy admini používají? Taky jsme na to narazili...

Třeba kvůli hlouposti/poho­dlnosti? Alias "nasadili jsme filtrování podle spamhaus-bl => chodí nám o 70 % méně spamů => nic víc neřešíme, úkol splněn" :)

A že se s tím sveze i spousta obyč. mailů? Chyba koncových uživatelů, nemají používat providera který je na SBL.

Odesilatel ma pouzivat takovy servis, aby se na blacklist nedostal. A pokud ma server v siti, jejiz spravce se z principu o nic nestara (coz plati bezvyhradne o vsech vetsich "koncovych" sitich) tak je to ciste jeho blbost a jeho problem.

Nehlede na to, ze ladovat smtp provoz natvrdo pres vlastni srv je prasarna, jaka se hned tak nekde nevidi.

No to je sice možný, ale to, že jsou na tom seznamu třeba i servery ruský mafie taky nesvědčí zrovna ve prospěch O2...

Priznam se, ze tomuhle prispevku nerozumim. Chcete rict, ze O2 ma hlidat, jestli se ji na ADSL nebo na mobilni Internet nepripojuje nekdo s ruskym prizvukem a bouli v podpazi? Take si chodite stezovat na postu, ze vam dorucila dopis s pismenky vystrihanymi z novin?

No, pokud tam mají strčenou proxinu a ta něco do těch mailů přidává, co způsobí pak nedoručitelnost, tak to je možná na úspěšnou žalobu na O2 za případnou škodu od toho, kdo takhle přišel o maily?
Aspoň zákon o některých službách informační společnosti toto řeší, pokud provede ISP změnu obsahu komunikace, zvláště pokud jejich server použít nechci, což přidání blbé hlavičky je, tak se stává odpovědný za obsah komunikace. V podstatě zákazník by to měl vnímat jako MiM útok na jeho spojení.

§ 3
Odpovědnost poskytovatele služby za obsah přenášených informací
(1) Poskytovatel služby, jež spočívá v přenosu informací poskytnutých uživatelem prostřednictvím sítí elektronických komunikací nebo ve zprostředkování přístupu k sítím elektronických komunikací za účelem přenosu informací, odpovídá za obsah přenášených informací, jen pokud
a) přenos sám iniciuje,
b) zvolí uživatele přenášené informace, nebo
c) zvolí nebo změní obsah přenášené informace.
(2) Přenos informací a zprostředkování přístupu podle odstavce 1 zahrnuje také automatické krátkodobě dočasné ukládání přenášených informací.

Je treba cist zakony. Dle zakona o elektronickych kominikacich nema zadny uzivatel narok na nahradu skody pokud neni elektronicka komunikace poskytnuta nebo je poskytnuta vadne. Maximalne se muzete dohadovat o sleve z pripadneho poplatku.

potíže se nedotkli

Řešení je jednoduché - používat SMTP server vně sítě O2 a připojovat se k němu pomocí SSL/TLS. Nějaké problémy jsou u nich tak často, že je to nezbytnost.

Netestoval jsem to, nejsem teď na o2, ale podle mě do hlavičky pořád může zasáhonut ne? Nutně obsah číst nemusí, ale možná nějakým způsobem může přidat informaci o pohybu emailu... Nevím.. nicméně vysvětluj běžným uživatelům, že existuje něco jako smtp.-) ...

Když je mezi počítačem a SMTP serverem vytvořený šifrovaný SSL/TLS tunel, tak provider vůbec netuší, co jím prochází.

Do SSL spojení (pokud tomu protokolu věříme oprávněně :) fakt nezasáhnou. Vůbec se divím, že to lidi (zřejmě) nepoužívají, když se jich dotkly tyhle problémy...

O2 v posledních letech nakoupila spoustu menší lokálních providerů včetně jejich sítí. Týkají se problémy i takovýchto připojení? Já jsem jedním z podobných případů, problémy s doručováním zpráv jsem nezaznamenal. Jako SMTP mám server "původní firmy", nikoliv přímo Telefonicu. Netýkají se ty problémy třeba jen mobilního a ADSL připojení?

Ono zalezi na tom v jaky fazi je asimilace koupeny site. Kazdopadne nejlepsi reseni je necekat na zazrak a kalupem jinam.

...pokud jste s původním providerem nesepsali smlouvu na 2 roky měsíc před tím, než ho O2 donutila k odprodeji...

Podepisovat s jakymkoli ISP smlouvu na roky je znamka choromyslnosti. Za velmi vyhodnych podminek sem ochoten kaceptovat 3 mesicni vypoved, ale za standard povazuju mesic. Za pul roku budou totiz zakoupitelne parametry linky nekde uplne jinde.

Jo jo, za půl roku bude u nás na vsi ADSL _až_ 8/16/20/... Mbps, ale v reálu pořád jen těch 3,7 Mbps.

Takže deprese ze vzrůstajícího rozdílu mezi reklamou a realitou člověka nakonec donutí se chorobomyslně upsat wifi poskytovateli a aspoň dostat zadarmo mikrotik na střechu.

Známka choromyslnosti (přesněji jeden z příznaků duševní nemoci) je například nerespektování reality.
A realita je na mnoha místech naší země taková, že můžete vzít velmi pomalé ADSL (protože jste daleko od ústředny). A tam záleží, jakou mají zrovna v O2 akci - co dostanete protihodnotou za dvouletý úpis.
A pokud nechcete to ADSL, tak zbývá pouze místní WiFi poskytovatel, který má několikaletý úpis u nového zákazníka velmi často jako podmínku. A pokud nechcete, tak máte buď smůlu, nebo vám občas povolí mít krátkou výpovědní lhůtu, ale musíte si zaplatit instalaci připojení k vám (která je jinak zdarma, nebo se značnou slevou). Což je řádově tak 5000 Kč. Ale může to klidně být i 10 000 Kč.

Další realita je ta, že parametry linky, které v daném místě budete moci zakoupit nebudou za půl roku úplně jinde. Nebudou jinde ani za 2 roky. Jenom jednou dojde ke kvalitativnímu skoku, až ten váš jediný možný wifi poskytovatel přejde z 2,4 GHz na 5 GHz. Ještě by se zakoupitelné parametry linky mohly zvednout tím, že O2 vybuduje ústřednu někde blíže, ale šance, že se to stane do půl roku je, ehm, zanedbatelná.

Klasická super rada. Já jsem s jejich netem spokojený, ve srovnání s místní konkurencí mají i lepší ceny i pokrytí.
Navíc já se neptal jak od nich odejít, ptal jsem se jestli se problém týká i takových koupených lokálních providerů.

Provozujeme SMTP server přímo doma a jsme připojeni k O2. Zatím jsem žádné problémy nezaznamenal. Pokud to protistrana umí, použije náš SMTP server SMTPS. Tedy v takovém případě má asi mail proxy smůlu (pravda ověřování klíčů neděláme, ale doufám, že O2 nedělá man in the middle).

Mail proxy u O2 je pro mne novinka. Mohl by sem někdo dát příklad co přesně je do hlavičky mailu vloženo. Opravdu stačí jakákoliv nešifrovaná SMTP komunikace ze sítě O2, aby to šlo přes jejich mail proxy?

Proste se v hlavicce objevi zaznam, ze mail prosel pres nejaky SMTP server. Tedy IMHO ...

To píší i v článku...

Já bych rád viděl konkrétní případ. Může sem konečně někdo dát tokový mail s celou hlavičkou? Respektive může sem někdo dát alespoň konkrétní řádky hlavičky co si ta mail proxy tam přidává?

Priklad u odesilatele, ktery ma u sebe ve firme vlastni SMTP server (ktery se ptal po nasem serveru), nicmene mail od nej zjevne prebrali chlapci z O2...

Received: from antivir5.iol.cz (unknown [192.168.30.212]) by smtp-out3.iol.cz
(Postfix) with ESMTP id 367B4BE0128; Tue, 11 Oct 2011 13:23:44 +0000 (UTC)
Received: from localhost (antivir5.iol.cz [127.0.0.1])
by antivir5.iol.cz (Postfix) with ESMTP id F32641E80BC;
Tue, 11 Oct 2011 15:23:43 +0200 (CEST)
X-Virus-Scanned: amavisd-new at iol.cz
Received: from antivir5.iol.cz ([127.0.0.1])
by localhost (antivir5.iol.cz [127.0.0.1]) (amavisd-new, port 10224)
with LMTP id it+ehS+uXzCb; Tue, 11 Oct 2011 15:23:43 +0200 (CEST)
Received: from port3.iol.cz (unknown [192.168.30.93])
by antivir5.iol.cz (Postfix) with ESMTP id 687FF1E80B7;
Tue, 11 Oct 2011 15:23:43 +0200 (CEST)

Tohle je mail, ktery odchazi standardne pres servery O2. Klient pouzil adresu smtp.iol.cz nebo neco podobneho. Co te vede k nazoru, ze se pokousel jit naprimo na tvuj server?

Ted jsem si zkusil pres telnet (cili zadne sifrovani) poslat mail na svuj postovni server mimo sit O2 a zadne hlavicky O2 SMTP proxy tam nejsou. Pouze IP odesilatele, coz je normalni.

Videl uz nekdy nekdo nejakou hlavicku O2 SMTP proxy?
Pokud by to byla pravda, tak je to ze strany O2 pekna cunarna.

Překonal jsem svoji lenost a zkusil to též.

telnet na port 25 z O2 na SMTP server mimo O2... Žádná hlavička co by tam dodalo O2 tam nepřibyla. Položka "Received:" je tam jediná a odpovídá tomu telnetu co jsem prováděl.

Tedy buď to nyní nedělají a nebo to nikdy nedělali. Zatím spíše věřím, že v článku jde o zmatečnou informaci. To co sem dal Sebi je také nějaké zmatené - zdá se mi divné, že by tam figurovaly IP adresy vnitřních sítí...

Redakce máte tu informaci o transparentní mail proxy nějak potvrzenou nebo to bylo vycucáno z prstu?

Já si říkám, jestli to není tak, že antispamy kontrolují v blacklistech _všechny_ adresy v Received: a na blacklistu je IP adresa O2 NATu...

Pak je zde další věc - Telefonica O2 sama je jeden velký spamer. Já sám jsem její nevyžádané reklamní e-maily označoval jako SPAM několikrát.

"firmou, která je existenčně závislá na tom, aby maily dorazily"

Tohle celkem staci ... maily dorazit nemusi, naprosto bez ohledu na to, jak moc blbe funguje vas ISP. Maily funguji NAPROSTO stejne, jako papirova posta - hodite je do cerny diry a doufate, ze dojdou.

Se musim smat, jak jsou nekteri naivni a dokonce na skutecnosti "doruceni emailu" stavi firmu.

Pokud je to tak, musite pouzit vlastni server, ktery bude nastaven tak, aby odesilal primo na cilovy server. Jeste stale jsem presvedcen o tom, ze ta chimericka globalni proxy je blbost. Mimo jine i kvuli takovehle situaci...

Osobně používám ve firmě Google Apps a mail řeším na vlastní doméně přes Gmail a webové rozhraní, když si člověk ještě aktivuje Google Labs, tak to nabízí úžasné fičurky a vychytávky :-)
Navíc se mi líbí, jak mi to několik giga mailů dokáže proletět během sekundy a najít přesně to, co chci - naproti tomu Outlook vždy chroustá hromadu času (což chápu, protože výkon CPU notebooku a cloudu se nedá srovnávat a taky outlook nejspíš moc nepoužívá indexování)

Co ale nechápu je, proč v dnešní době ještě někdo používá klasické poštovní klienty. Přece jen web rozhraní jsou dnes už hodně pokročilá a nabízí řadu výhod... A jsou dostupná odkudkoli, kde je prohlížeč, což super věc :-)

Super a kdyz vam zdechne net, tak jak zjistite co ze to ten clovek chtel?

Máme záložní připojení - dokonce 2. No a kdyby nefungovalo žádné, tak už opravdu e-maily zákazníků a dodavatelů řešit nemusíme :-)

Protože buď už bychom byli jenom jako mastné fleky a stíny na zdi nebo by byl výpadek způsoben něčím, co lidstvu vzalo víc než e-maily. Takže kdyby se to stalo, zahazuji PC a jdu rabovat obchody "zbraně-střelivo", pak potraviny, ukradnu si první pojízdné auto a pojedu se zabarikádovat někam na venkov - ve městech by se stejně žít nedalo kvůli infekcím, gangům a nemocem. :-)

Podle těch obrázků nejde o někoho kdo odesílá "pár e-mailů s extra výhodnou nabídkou" ale o ruskou mafii.

Asi takto, volali mi tři nezávislí klienti - pravda, že všichni byli asi v okolí Prahy. Kontroloval jsem s nimi nastavení OT. Správně měli náš smtp server. Také jsem ověřoval jejich IP na ip.iol.cz, vzdy měli jinou IP adresu. Stav byl ale takový, že se jim vracelo said: 554 5.7.1
Service unavailable; Client host [194.228.2.91] blocked using
Já to ověřoval na lince TP o2 a tam mi to potvrdili, že poštu takto filtrují a je to dlouhodobý stav, nic nového... Těžko říct, kde je pravda. Ale pokud to říká o2... a pán řekl, že nastavení cizího (našeho) SMTP to nevyřeší pokud servery použivají tento BL, tak asi k tomu měl důvod... Pochopil, bych kdyby tam byla blokace na IP klienta, ale ta byla jiná.

Tak to asi nemeli nastaveny vas smtp server. Tohle je jedna z adres serveru, pres ktere posta standardne odchazi, pokud jde pres smtp.iol.cz. Posta se samozrejme filtruje, ale pouze ta, ktera chodi pres smtp servery Telefoniky; rozhodne ne veskery provoz, ktery jde po jejich siti a miri zrovna na port 25. Nemaji ti klienti cirou nahodou nejakou transparentni proxy u sebe? I kdyby to bylo treba v podobe nejakeho uzasneho 'osobniho firewallu', co pokrade veskerou odchozi postu a pak ji teprve posle na server, ktery ma ve sve konfiguraci?

No, potom asi musí poučit své "techniky" na hotline... napadlo mě ještě - nemohl to dělat ten jejich "antivirus", že on dělal tu proxy? Nevím zda to ti uživatelé měli naintalované...

Nemam tuseni. Mozne to je, ale to by musel nekdo prijit az k zakaznikovi a podivat se do konfiguraci, pripadne si sednout se snifferem k routeru.

Ono je klidne mozne (spekulace) ze provoz na port 25 blokuji, takze i kdyz mate vlastni server, nezbyva vam, nez vse preposilat pres ten jejich. Takovych "takyisp" uz sem par potkal taktez.

SMTP proxy je IMHO kravina. Problém je v tom, že spamhaus.org blokuje pekelně velký rozsah adres (aktuálně např. 90.182.160.0/19 - http://www.spamhaus.org/sbl/sbl.lasso?query=SBL114068), což je podle mě konina - jednotlivé přidělené rozsahy jsou vždy nmenší než /24. Spamhaus prostě sází na to, že zákazníci svého ISP "přitlačí". Druhá věc je, že blokovat podle jednoho blacklistu je na straně příjemce taky konina - spíš by to mělo přidávat score. No jo no ...