Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 29 replies
  • Subscribers 1 subscriber
  • Views 17380 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Outgoing SMTP Proxy ONLY | NO Incoming

Alvin
Hi All,  

I used to be able to configure SMTP Proxy for my LAN to scan Outgoing mails and then the SMTP Proxy -> ISP SMTP Server. 
This is perfect in the 6.x version as no SMTP Ports is opened to external.

Since the 7.x, I have never been able to do that.
The SMTP ports are always open as long as SMTP Proxy is enabled but cannot be used as a relay as I did not configure any domains, I only set my LAN to allow relay. But I do not like the fact port scan shows the port open.

I tried to block manually by setting firewall rules on top to block incoming but it remains open, i think it is some auto rules thus my block rules does not apply.

PORT 25, 465, 587.


I reinstalled 7.402 from Scratch as I could not figure our what I missed and at a stage, I noticed something.

On the Basic Setup Wizard, there is stage for e-mail security that says
" Email traffic can be scanned for spam, viruses and spyware. If you want to use the ASG as an SMTP relay for your internal email clients, enable the outbound SMTP Relay. If you want to scan incoming SMTP Traffic for malware and spam, enable the inbound SMTP relay.

[] Enable POP3 Poxy
[] Enable Inbound SMTP Relay

BUT There is NO Enable Outbound SMTP Relay on the screen which is what I need.

Please advice, thank you.[:S]


This thread was automatically locked due to age.
  • 0 in reply to Alvin
    Hi All

    Recall I mentioned I did the DNAT as suggested by all the gurus, and the theory is DNAT is on top of Proxy etc. ( How I hope we can see all these "invisible" rules to troubleshoot better).

    Anyway originally, Port 25 is really always OPEN with DNAT.

    I came up with the idea, maybe the SMTP Proxy is "holding" to it thus DNAT cannot "take it"

    Thus I turned OFF SMTP and DNAT.

    ON the DNAT First, then the SMTP and now Port 25 is Closed ! [:D]

    Feels so great now...

    Question: Under Domains Routing: Should I put STATIC or Route by MX ?

    THANK YOU All for the help, really learned a lot such as can use DNAT to block, I always have the concept it is to open only.
  • 0 in reply to Alvin
    Port 25 remains Open with DNAT.

    Added Block Rule on Top in Packet Filter still remains open.

    Just to confirm my DNAT is right, I disable DNAT and other ports open, so I am doing correctly just that somehow the other 2 ports will close but somehow 25 remains Open.

    Question just to make sure I do correctly.

    Routing should I set to

    1) MX Records
    2) STATIC -> Empty Domain List -> Blackhole Hostname which is Non exist IP.

    Which is better?

    The disturbing part is it started as 100% Empty, now I cannot make it 100% empty as it simply won't accept.

    One last port 25 to go.
  • 0 in reply to Alvin
    It used to be Static Host List but after I tried to play around, I can no longer set it back to Static Host List which is empty thus I choose MX Records

    Something is not right and the webadmin is not behaving as it should. Just for FYI, I always use static host in there since it saves the firewall from making one extra query and saves on another point of failure. But that point is moot in your case since you are not allowing any from outside.

    You have stated that the port is stealth if you turn off smtp all together on grc.com? In my limited testing, DNAT made port 25 stealth on 7.401 (haven't taken the plunge to 7.402) on grc. Are you sure your router doesn't have smtp port. 

    Just out of curiosity, how were you blocking incoming smtp on v6 without DNAT if you had smtp proxy running?

    Added Block Rule on Top in Packet Filter still remains open.

    Builtin rules are always and have always been applied before manually added packet filter rules even in v6.
  • 0 in reply to Billybob
    Hi Billybob.

    1) As I went thru the 7.402 setup from scratch several times. I am very sure this is the behavior.
    1.1) During the Basic Setup Wizard, I did Not check Allow Incoming SMTp.
    1.2) When log into Web Admin, the Routing is STATIC with Domain Empty and the Host List Empty.
    1.3) As part of my attempt to find the right configuration, I changed to MX Record and saved sucessfully, saw that it did not meet my requirements and wanted to change back.
    1.4) Now when I try to change back to Static, I can leave the list of domains empty But the Host List is a must to set something before it will save. So I set it to the "Blackhole" Hostlist I created to do the DNAT.

    2) I do not have a seperate Router, Astaro is my router. It is connected to Cable Modem directly.
    2.1) Yes all ports are simply closed when I disabled SMTP Proxy, absolutely sure of this.

    3) During the V6, It was simple, I remember I just state I use a SMART Host and that is it.
    [:)]
  • 0 in reply to Alvin
    Have you tried to set a smarthost in the current version?
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to Billybob
    Hi Alvin,
    I have just finished a basic security scan of my ASG with the same website you refer to in your message and not found any open ports. I will try again with the IPS disabled and see what happens.

    Ian M

    I ran the "No Risk Audit". It returned one intermediate threat ??, 3 minors and 6 others. The 3 minors were all about my non existent e-mail server which happens to be my hp7150 printer. The "others" were informational only "no risk".

    I did forget to add in my configuration post that I block all packet filter traffic below 1024 to ensure everything goes through the proxy. Some applications are very dumb and can't work with a proxy even when they have the ability to. I then put specific packet filter rules to allow them to talk to specific sites eg microsoft update, adobe update, Australian Tax Office (e-tax) etc.
  • 0 in reply to RFCat_vk_01
    Hi

    Balfson - Yes I added my ISP SMTP to the smarthost and looking at headers, yes it is working fine.

    RFCat_vk - Ensure your port scan detection under IPS is disabled.

    [:D]
  • 0 in reply to Alvin
    Hi Alvin,
    yes, I had detect portscan disabled, I also disabled the DOS rules as well.

    Put them all back after I finished the tests.

    Ian M
  • 0 in reply to RFCat_vk_01
    RFCAT_VK

    So did your SMTP Ports shows Open?
  • 0 in reply to Alvin
    Ok I have repeated the same test multiple times on grc.com. All tests with antiportscan turned off

    SMTP Proxy on, all ports are stealth, port 25 open
    SMTP proxy off, all ports are stealth
    SMTP proxy on, DNAT to no existing IP, ALL Ports Stealth Again.

    Again this is all with astaro 7.401.
Cookie Information Banner