smtp op25b 25ポートにsmtp接続できてしまう

Question

前提・実現したいこと

smtpのop25bについての疑問があります。
自鯖でpostfixでsmtpサーバーを構築しています。外部のネットワーク(スマホのテザリング)から自宅のサーバーの25番ポートにtelnetで接続したところ、接続ができてしまいました...

1. 本来は外部のネットワークからの25ポートのsmtp接続は弾かれてしまうのではないのですか？？

接続できてしまうのはなぜでしょうか？？
今は、送信ポートとして,認証付きで465,587ポートが使用されているみたいですが...
あとは、port25はmta間の通信に利用されているみたいです。

1. port25番のsmtp接続は、ブロックされ、mta間のリレーはブロックされないということでしょうか？？

Answer 1

OP25Bとは、Outbound Port 25 Blocking の略称で、プロバイダーが家庭などからの上り(Outbound)の25番ポートをブロックしています。

インターネットから家庭へのインバウンドは関係ないです。

Comments

[Patao_program]

>プロバイダーが家庭などからの上り(Outbound)の25番ポートをブロックしています。
>インターネットから家庭へのインバウンドは関係ないです。
なぜこれだけでスパム対策になるのでしょうか？

調べてみます....

[otn]

25番が使えると、PC上の不正プログラムがメール出し放題です。
今は、Submissionポート（送信専用ポート）に認証付きでないとメールが送れないのでガードになっています。

[Patao_program]

25番は認証機能がなく、サブミッションを使うことは理解しています。
インターネットから家庭へのインバウンドはブロックとは関係ないということは、25番にsmtp接続できてしまうということですよね？
それは、スパム対策としてはどうなのかなと思ったんです。

[otn]

どういうリスクがあると思っていますか？

[maisumakun]

> インターネットから家庭へのインバウンドはブロックとは関係ないということは、25番にsmtp接続できてしまうということですよね？

一般的なプロバイダのユーザーはメールサーバなど立てませんし、メールサーバがあったところでそこからの転送は、今度こそOP25Bで不可能です。

[Patao_program]

>インターネットから家庭へのインバウンドはブロックとは関係ないということは、25番にsmtp接続できてしまうということですよね？

スパムメールの配送のために使われてしまうということじゃないんですか?

>インターネットから家庭へのインバウンドは関係ないです。
まず、インターネットから家庭へのインバウンドがなぜブロックされないのかがわからないので理由がわかれば理解が進む気がします。

[maisumakun]

> まず、インターネットから家庭へのインバウンドがなぜブロックされないのかがわからないので

特にブロックする必要がないからです（「通信内容に応じてブロックする」というほうが特殊な措置なので、意味もなくブロックすることはできません）。

[otn]

> スパムメールの配送のために使われてしまうということじゃないんですか?

使われません。

> まず、インターネットから家庭へのインバウンドがなぜブロックされないのかがわからないので理由がわかれば理解が進む気がします。

意味の無いブロックは行いません。

[Patao_program]

外部から、自鯖に接続し、自鯖のメールアドレスを宛先にしたときは、送信できました。
外部のドメインを宛先にしたときは、Relay access deniedになりました。
自鯖のメールは自鯖で処理するため送信できていたと分かりました。
自鯖へ送信できていたので、てっきり他のサーバーへのスパムも送信できてしまうと誤解していました。

今度は、自鯖から他のサーバーへの送信(yahoo)を試してみましたが、
yahooに対してうまく届きませんでした。外部から送信しているわけではないので、Relay access deniedは出ませんでしたが、下記のように通信できません...なぜでしょうか？？

-Queue ID- --Size-- ----Arrival Time---- -Sender/Recipient-------
6D54D1A379F 386 Thu Nov 18 22:07:38 patao-server@ドメイン
(connect to mx2.mail.yahoo.co.jp[124.83.142.118]:25: Connection timed out)
ユーザー名@yahoo.co.jp

-- 0 Kbytes in 1 Request.

[otn]

> 自鯖へ送信できていたので、てっきり他のサーバーへのスパムも送信できてしまうと誤解していました。

中継を許可するかどうかはSMTPサーバーの設定であり、ネットワークのフィルタリングとは無関係です。普通は中継不可にしますが、中継許可に設定することも可能。

> 下記のように通信できません...なぜでしょうか？？
それが、OP25Bですね。
自宅SMTPサーバーから外にメールを送りたければ、認証付きでサブミッションポートに送るように設定します。

[Patao_program]

> 外部のドメインを宛先にしたときは、Relay access deniedになりました。
これはop25b以前に、中継の設定でまず弾かれているということですね。mynetworksの設定ですか。
> それが、OP25Bですね。
接続元(ispの内外)は関係なく、弾かれてしまうんですね！

それだと、port25は受信だけに使用するということですよね??

[maisumakun]

> それだと、port25は受信だけに使用するということですよね??

一般のユーザーはそもそもport25を利用しません。メール受信はPOPやIMAPといった、全く別のプロトコルで行われます。

[Patao_program]

すみません言い方が悪かったです。
送信用のメールサーバーと送信先(受信するメールサーバー)メールサーバーのやり取りは、port25でやりとりされるということですよね？

[maisumakun]

> 接続元(ispの内外)は関係なく、弾かれてしまうんですね！

そうではありません、OP25BはISPの契約者→外部だけ弾きます。

[Patao_program]

> そうではありません、ISP→外部だけ弾きます。
接続元とは、自鯖に接続するtelnetの接続元のことを言ってました。
telnetの接続元によっては中継で弾かれて(Relay access denied)、中継で弾かれなくてもそもそもispの内側からport25での送信なので、弾かれると理解しています。

[maisumakun]

> telnetの接続元によっては中継で弾かれて(Relay access denied)

これは立てたメールサーバの設定なので、プロバイダには全く関係のない話です。

[otn]

> > それが、OP25Bですね。
> 接続元(ispの内外)は関係なく、弾かれてしまうんですね！

最初の回答に書いたとおり、家庭からプロバイダ回線経由インターネット向けの25番ポートのみブロックされます。
ispの内外とは何のことを言ってますか？

> それだと、port25は受信だけに使用するということですよね??

Aサーバー→BサーバーのSMTPメール送信でAから見れば送信だし、Bから見れば受信。

家庭内SMTPサーバーから、インターネット上の相手サーバー25番ポートへの通信は使用できないです。
インターネットから家庭内SMTPサーバー25番ポートへの通信は可能。
インターネット上のSMTPサーバーから、インターネット上の相手サーバー25番ポートへの通信は可能です。

[Patao_program]

>これは立てたメールサーバの設定なので、プロバイダには全く関係のない話です。
これは理解しています。mynetworksの設定ですよね?

[Patao_program]

>ispの内外とは何のことを言ってますか？
自鯖があるispのネットワークの内外です。
>家庭内SMTPサーバーから、インターネット上の相手サーバー25番ポートへの通信は使用できないです。
>インターネット上のSMTPサーバーから、インターネット上の相手サーバー25番ポートへの通信は可能です。
家庭内SMTPサーバーとインターネット上のSMTPサーバーでは、何が違うんですか？？
インターネット上のSMTPサーバーからのport25番への通信はブロックされないんですか？

[maisumakun]

> インターネット上のSMTPサーバーからのport25番への通信はブロックされないんですか？

それも、プロバイダとは無縁の世界です。

[Patao_program]

> それも、プロバイダとは無縁の世界です。
確かにispを介していないですね。
それでは、家庭のsmtp鯖を使いメールを送信する場合は、家庭のパソコンから、自鯖のメールサーバーにはサブミッションポートで接続し、メールの送信を依頼し、送信先のメールサーバーへ配送するときもサブミッションポートを使用するということでしょうか？

[maisumakun]

> 家庭のsmtp鯖を使いメールを送信する場合は

それをさせないためのOP25Bです。何らかの事情でメールサーバ運用が必要なら、外してもらうなり、プロバイダと無関係なVPSを借りるなりするのが適切です。

[Patao_program]

> それをさせないためのOP25Bです。
サブミッションポートを使っても家庭内からだとだめっていうことですよね？
port 465or587で接続 port 25で送信先に送信
自宅pc ------------->> 自鯖smtp-----弾かれる---->>送信先smtp
この理解で正しいですかね？

[Patao_program]

送信元smtpサーバは、そもそもインターネット上に置くべきで、サブミッションポートは、送信元のメールサーバーにメールの配送依頼をするために使われているということで、smptサーバーがispの中にあると、依頼を受け付けるのはいいものの、送信先のメールサーバーに送る時にport25で弾かれてしまうということですか?

[maisumakun]

> サブミッションポートを使っても

サブミッションポートは、そのドメインでの契約者などからしかメールを出せないようになっています。メールを中継して投げ込めるものではありません。

[Patao_program]

> サブミッションポートは、そのドメインでの契約者などからしかメールを出せないようになっています。メールを中継して投げ込めるものではありません。
認証して、送る人を制限しているのは分かります。

[maisumakun]

> smptサーバーがispの中にあると、依頼を受け付けるのはいいものの、送信先のメールサーバーに送る時にport25で弾かれてしまうということですか?

そのとおりです。顧客が勝手にメールサーバを立てて迷惑メールをばらまかないためのOP25Bです。

[Patao_program]

なるほど！！
だからさっきおっしゃったように、家庭内でsmtp鯖を運用したい場合は、プロバイダさんに連絡する必要が出てくるということですね〜

[Patao_program]

あと最後にもう一つすみません。
スマホのテザリングでport25で自鯖にsmtp接続できたのは、モバイル回線がispとは関係のないものだからですか?

[maisumakun]

> スマホのテザリングでport25で自鯖に接続できたのは、モバイル回線がispとは関係のないものだからですか?

何回目かわからないですが、契約者「へ」の接続にOP25Bは無関係です。

[otn]

> だからさっきおっしゃったように、家庭内でsmtp鯖を運用したい場合は、プロバイダさんに連絡する必要が出てくるということですね〜

サブミッションポートで送信するようにしておけば別にプロバイダーに相談する必要ないです。
サブミッションポートでの接続先は、プロバイダーのSMTPサーバーである必要もなく、アカウントがあればGmailやyahooメールのサーバーでも良いです。まあ、プロバイダーのSMTPサーバーを使わない理由もないので、普通はそれを使うと思いますが。

[otn]

> スマホのテザリングでport25で自鯖に接続できたのは、モバイル回線がispとは関係のないものだからですか?

携帯回線の場合は、携帯回線会社がISPです。下記を見る限り、３大キャリアはOP25B導入済みのようです。
https://www.dekyo.or.jp/soudan/contents/taisaku/i2-phone.html
3社以外の場合は、お使いの回線会社のサイトで調べてみましょう。

> スマホのテザリングでport25で自鯖に接続できたのは、
自鯖って、家庭内SMTPサーバーのことですよね？何をどうテザリングして、何から何にどういう経路で通信したのでしょうか？

[Patao_program]

削除

[Patao_program]

> サブミッションポートで送信するようにしておけば別にプロバイダーに相談する必要ないです。
これだと、家庭内のsmtpサーバから、相手の接続先メールサーバーにport25で送信することになるので、家庭内のクライアントpcから送信元メールサーバー間をサブミッションポートで接続してもだめな気がするのですが...
>プロバイダーのSMTPサーバーである必要もなく、アカウントがあればGmailやyahooメールのサーバーでも良いです。
これだと独自ドメインのメアドで運用できるのですか？
> 自鯖って、家庭内SMTPサーバーのことですよね？
はい
> 何をどうテザリングして、何から何にどういう経路で通信したのでしょうか？
mac->スマホのテザリング-> 家庭内smtpサーバー
これでtelnetでsmtp接続しました。

[Patao_program]

楽天モバイルですが、ob25pには対応していませんでした。

[otn]

> > サブミッションポートで送信するようにしておけば別にプロバイダーに相談する必要ないです。
> これだと、家庭内のsmtpサーバから、相手の接続先メールサーバーにport25で送信することになるので、

？？何故port25？？
サブミッションポートと書いたのですが。

> 家庭内のクライアントpcから送信元メールサーバー間をサブミッションポートで接続してもだめな気がするのですが...

「送信元メールサーバー」とは？
プロバイダーのSMTPサーバーのことであればサブミッションポートで接続すると言う風にプロバイダーのウェブサイトで案内されていると思いますが？？

> >プロバイダーのSMTPサーバーである必要もなく、アカウントがあればGmailやyahooメールのサーバーでも良いです。
> これだと独自ドメインのメアドで運用できるのですか？

GmainlのSMTPサーバーを使って、Fromが@gmail.com以外で送信できるか？
という意味の質問ならYESですが、Gmailは独特なので具体的にはググってください。
yahooは普通に出来るはず。

> 楽天モバイルですが、ob25pには対応していませんでした。

それは驚き。まあ、いずれは対応するでしょう。

[otn]

> それでは、家庭のsmtp鯖を使いメールを送信する場合は、家庭のパソコンから、自鯖のメールサーバーにはサブミッションポートで接続し、メールの送信を依頼し、送信先のメールサーバーへ配送するときもサブミッションポートを使用するということでしょうか？

家庭内LANであればport25はブロックされる訳ないので、家庭内パソコンから家庭内SMTPサーバーへはport25でもOKです。

[otn]

> 送信元smtpサーバは、そもそもインターネット上に置くべきで、サブミッションポートは、送信元のメールサーバーにメールの配送依頼をするために使われているということで、smptサーバーがispの中にあると、依頼を受け付けるのはいいものの、送信先のメールサーバーに送る時にport25で弾かれてしまうということですか?

「送信元smtpサーバ」とはあなたが管理するSMTPサーバーのことですかね？
それはインターネット上でも家庭内でもかまいません。

方法1：家庭内に置く
中継先サーバーとしてプロバイダーのSMTPサーバーを指定して、サブミッションポートで、認証して中継するように設定します。
・・・・なんか同じ事を何度も書いている気がするが。

方法2： VPNを借りるなりしてインターネット上に置いて、ポート25で宛先SMTPサーバーに送信する
宛先ドメインでDNSを引いてそのサーバーにポート25で接続して送信します。多分postfixのデフォルトでOK。ただし、自分のIPアドレスがブラックリストに載っていて相手から拒否される可能性があります。
（例えば同じVPN会社に、悪人がサーバーを借りてスパムメールを送りまくったとかがあるとブラックリストに載るかもしれない）

方法3：インターネット上に置いて、信頼されているSMTPサーバーにサブミッションポートで接続して、認証して中継する
自宅SMTPサーバーの時と同様の設定。メジャーなプロバイダーSMTPサーバーやGmailSMTPサーバーに中継してもらえばブラックリストに載っている心配は無い。

[Patao_program]

> 中継先サーバーとして
中継するんのですね。

自分のイメージを描いて見ました。写真を追加しました。
これでよろしいですか?

[otn]

後述の「外部の端末」以外は間違ってはいないです。
ISP内のSMTPサーバーと、自宅をひとくくりに「ISP内」としているのが、今まで理解の妨げになっていたかも。
自宅内LANと、ISPを別の箱にして、その間の線の上りだけがOB25Pです。それ以外の部分ではport25通信問題なし。

「外部の端末」から「自宅内SMTPサーバー」への線って何ですかね？自宅内SMTPサーバーへは、Wifiや有線で自宅内LAN直結か、インターネット側からプロバイダー経由で入ってくるか、どちらかしか無いです。

[Patao_program]

> Wifiや有線で自宅内LAN直結か、
これにあたるのが、自宅のpcです。
> インターネット側からプロバイダー経由で入ってくる
これに当たるのが、外部の端末です。

独自のドメインを使って(fromに独自ドメインがくる)送信する場合は、自宅のsmtpサーバー(独自ドメインを割り当てたサーバー)を通す必要があるんですよね？

[otn]

> 独自のドメインを使って(fromに独自ドメインがくる)送信する場合は、自宅のsmtpサーバー(独自ドメインを割り当てたサーバー)を通す必要があるんですよね？

別に、普通のメールソフトでプロバイダーのSMTPサーバーに認証して送信すれば、Fromは何でも可能ですよ。
全プロバイダーがそうかわかりませんが、so-netやNIFTYは問題ないです。

[Patao_program]

>Fromは何でも可能ですよ。
それだと簡単に送信元偽造できそうな気がするんですが....自由に送信元のメアドを指定できるというわけですから
その場合は(独自ドメインを送信元として使う)、送信するときに、どこのメールサーバーを使ってもいいということですか?fromは何でも可能ということは

あと、外部の端末から、25番で自宅のsmtpに接続してメールを送信しようとした時に、勝手にプロバイダのメールサーバーに(587or465ポートを使用し)中継されてしまうことはないですかね？
もし、中継されてしまうとop25bの意味がなくなってしまう事になりそうですが。
外部の端末から自宅のsmtpサーバーに、サブミッションポートで接続した時のみ中継することが理想です！

[otn]

> それだと簡単に送信元偽造できそうな気がするんですが....自由に送信元のメアドを指定できるというわけですから

できますよ。メールのFromとはそういうものです。郵便物の差出人の記載と同じ。
ただし、送信認証に使ったアカウントの情報がヘッダに埋め込まれることが多いと思いますので、誰が差し出したかの推測は出来ます。

> その場合は(独自ドメインを送信元として使う)、送信するときに、どこのメールサーバーを使ってもいいということですか?fromは何でも可能ということは

そうですね。そういうのを特別に拒否しないサーバーであればどこでも。

> あと、外部の端末から、25番で自宅のsmtpに接続してメールを送信しようとした時に、勝手にプロバイダのメールサーバーに(587or465ポートを使用し)中継されてしまうことはないですかね？
> 外部の端末から自宅のsmtpサーバーに、サブミッションポートで接続した時のみ中継することが理想です！

リレーを拒否する設定になっていれば、25番ポートで受信したメールを外部へは転送しないでしょう。

[Patao_program]

> できますよ。メールのFromとはそういうものです。郵便物の差出人の記載と同じ。
なるほど！最低限、メアドを独自ドメインで相手とやりとりするだけだったら、自宅のsmtpサーバーは受信(送られてきたメールをサーバーのメールボックスに入れる)だけできれば、あとはこちらから送信するときは、外部のメールサーバーを送信用のサーバーとして使えばいいというわけですかー

> リレーを拒否する設定になっていれば、25番ポートで受信したメールを外部へは転送しないでしょう。
そうでしたね、リレー拒否で弾かれますね！

25番はリレーで弾かれますが、正規の利用者である、サブミッションポートで接続し、認証されたユーザーのメールが自宅のsmtpに送信を依頼した場合、
これも外部からのリレーですが、mynetworksやmynetworks_styleの設定で弾かれないですむんでしょうか？
調べてもリレーを許可するネットワークを制限するとしかなく、サブミッションポートからだと、弾かれないかが気になります。

[otn]

> 調べてもリレーを許可するネットワークを制限するとしかなく、サブミッションポートからだと、弾かれないかが気になります。

そういう設定は調べたことは無いですが、そういうサーバーがあるので、出来るのでしょう。
家庭内SMTPサーバーであれば、家庭内のIPアドレスをmynetworkにして信頼して、家庭内からは25番ポートでも転送するようにするのが簡単かと思います。

[Patao_program]

> そういうサーバーがあるので、出来るのでしょう。
もうちょっと調べて見ようと思います。

> 家庭内SMTPサーバーであれば、家庭内のIPアドレスをmynetworkにして信頼して、家庭内からは25番ポートでも転送するようにするのが簡単かと思います。
それは既に行ってます。
外部からのサブミッションポートでの接続の場合のみ中継を可能にすることをゴールにしているので、なんとか実装できるか試します！

[Patao_program]

長らくお付き合いいただきありがとうございました！
だいぶ理解が進みました。