Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 2 replies
  • Subscribers 1 subscriber
  • Views 1473 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Host-based relaying not working in 8.3

JonEtkins
I use the SMTP proxy in internal mode, with "Internal networks" specified under Mail Security - SMTP - Relaying - Host-based Relay - Allowed hosts/networks to allow my internal SMTP server to send outbound emails, and any visiting mail clients on the local network to connect directly to external SMTP servers.

This was working perfectly under 8.203, but since upgrading to 8.301 this afternoon, all outbound mail is being rejected by ASG:

2012:03:10-23:08:52 astaro exim-in[6452]: 2012-03-10 23:08:52 SMTP connection from [192.168.0.4]:62010 (TCP/IP connection count = 1)
2012:03:10-23:08:52 astaro exim-in[25464]: 2012-03-10 23:08:52 H=sniktevista.snikte.net ([127.0.0.1]) [192.168.0.4]:62010 F= rejected RCPT : Relay not permitted
2012:03:10-23:08:52 astaro exim-in[25464]: 2012-03-10 23:08:52 SMTP connection from sniktevista.snikte.net ([127.0.0.1]) [192.168.0.4]:62010 closed by DROP in ACL


I tried removing "Internal networks" and replacing it with specific host definitions, but nothing seems to work - everything is rejected unless it's addressed to one of my internal mail domains, in which case it's forwarded back to my internal server (as it should be).

The only way I've been able to get outbound mail going again is to add "Internal networks" to Mail Security - SMTP - Advanced - Transparent Mode - Skip transparent mode hosts/nets and check "Allow SMTP traffic for listed hosts/nets".  This works, but I regard it as suboptimal because I would still like outbound mails to be scanned for spam / virus / etc, in case a local host were to be compromised.  And besides, it damned well oughta work! [:)]

I consider this to be a bug (or at the very least, an undocumented regression), but I'm not a paying customer so I can't raise a ticket.  Anyone else seeing similar behavior?


This thread was automatically locked due to age.
Parents
  • 0
    I have to admit that I haven't tried this...  Are you sure you want to allow outbound SMTP not coming from your mail server?  What if someone get's infected with a spambot trojan?  Your IP could be blacklisted for your business email - or, is this just from your home?

    You could provide SMTP relaying more-securely to your internal clients by selecting 'Allow authenticated relaying' - that reduces your exposure a bit as the sender must authenticate.  If you wanted to keep the transparent skip, you could SNAT traffic from internal networks (not from the SMTP Proxy as the source of those packets is "External (Address)") out from an Additional Address on the External interface.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Reply
  • 0
    I have to admit that I haven't tried this...  Are you sure you want to allow outbound SMTP not coming from your mail server?  What if someone get's infected with a spambot trojan?  Your IP could be blacklisted for your business email - or, is this just from your home?

    You could provide SMTP relaying more-securely to your internal clients by selecting 'Allow authenticated relaying' - that reduces your exposure a bit as the sender must authenticate.  If you wanted to keep the transparent skip, you could SNAT traffic from internal networks (not from the SMTP Proxy as the source of those packets is "External (Address)") out from an Additional Address on the External interface.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Children
  • 0 in reply to BAlfson
    Hi, Bob.

    Thanks for your concern; yeah, I'm pretty sure I want to do this. [:)]  This is my home network, which includes a separate guest AP that provides internet access for friends and guests.  I don't want them to have to reconfigure their mail clients while they're here, nor do I want to have to set up accounts for them.  The transparent proxy has always worked fine in the past with Internal Networks allowed under Host-based Relaying, so I'd like to keep it that way.  And it should still work that way.

    But more importantly, this also prevented my internal mail server from being able to send anything outbound, until I changed the ASG config to to skip the transparent proxy for traffic from the internal networks.  It's this that makes me surprised that nobody else has noticed this problem - surely I can't be the only person running an internal mail server that is (or was) not completely bypassing outbound processing?
Cookie Information Banner