Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 2 replies
  • Subscribers 1 subscriber
  • Views 803 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

ASG220 - Config as smarthost only

codeslayer
Hi,

I'm using my ASG220 gateway since about 2 weeks and possibly have a problem understanding the mail security settings.
I already configured our internal mailserver (Zimbra) to use the gateway as a smarthost for incoming and outgoing mail and the mx of our domain is set to the external address of the ASG220 gatway.

Additionally I would like to provide an additional SMTP server for my users to let them send inbound and outbound mail from home or their mobile devices. The mail server solution I sue (Zimbra) provides an authenticated and TLS protected SMTP service and I already created a DNAT entry for SMTP:

DNAT [Inbound NAT for IMAP on Mail Server]
Traffic selector: Any → IMAP → External (WAN) [WAN Mail] (Network)
Destination translation: Internal Mail Server

Now it's possible to connect to the SMTP port on the WAN address from outside but it seems that this connection is being automatically routed through the gateway's Mail security SMTP proxy since I get this message:

telnet mail.xyzdomain.com 25
Trying x.x.x.x...
Connected to mail.xyzdomain.com.
Escape character is '^]'.
220 gateway.xyzdomain.com ESMTP ready.

Is it possible to use the gatway only as a dedicated smarthost/mx without the feature of catching and monitoring all SMTP traffic?

The reason for that is that I wan't to let the user's authenticate directly on my internal mailserver when they use it as an SMTP.

Would it help when I create a DNAT with the 587 port on the WAN address and route it to 25 on the internal server?


This thread was automatically locked due to age.
Parents
  • 0
    Hi, codeslayer, and welcome to the User BB!

    It looks like you already have an Additional Address "WAN Mail" on the External interface.  In the DNAT above, just change the IMAP service to a Service Group that includes IMAP, SMTP and SMTP-SSL.  That will let your users connect to the internal mail server.

    Are you sure you want to open your server up to the world?  Do you have any accounts like info@ or sales@ that have easily-guessed passwords, or ones that might be breakable by brute force?  I plead guilty to paranoia, but, instead of the DNAT, I'd probably insist that folks connect via Remote Access to send mail from your company server.

    That brings up another problem - no one should connect to Remote Access if they don't have good anti-virus on their PC, but that's a bit outside this topic. [:)]

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Reply
  • 0
    Hi, codeslayer, and welcome to the User BB!

    It looks like you already have an Additional Address "WAN Mail" on the External interface.  In the DNAT above, just change the IMAP service to a Service Group that includes IMAP, SMTP and SMTP-SSL.  That will let your users connect to the internal mail server.

    Are you sure you want to open your server up to the world?  Do you have any accounts like info@ or sales@ that have easily-guessed passwords, or ones that might be breakable by brute force?  I plead guilty to paranoia, but, instead of the DNAT, I'd probably insist that folks connect via Remote Access to send mail from your company server.

    That brings up another problem - no one should connect to Remote Access if they don't have good anti-virus on their PC, but that's a bit outside this topic. [:)]

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Children
  • 0 in reply to BAlfson
    Hi Bob,

    thank you for your quick reply.
    I must admit that I just overlooked that I only created DNAT entries just for IMAP and forgot to do the same for SMTP. Next time I will have a closer look at the entries before I ask such obvious questions ;-)

    I also appreciate your advise regarding opening the SMTP server to the world but I guess I have to take the risk and the users are already used to keep the passwords on a secure level.
    Surely the remote access would be more secure but it's not available on all mobile devices and I have to keep some kind of balance between security and usability. The "easy to guess" mailboxes have quite strong passwords, too.
Cookie Information Banner