Blog de Pablo Vernocchi

Hace un tiempo ya que este mecanismo de Spamming es frecuente, junto con otros como por ejemplo el Spam de NDRs. Lo que pretendo explicar en este artículo son dos estrategias que podemos implementar para evitar el correo no deseado (SPAM) con direcciones de correo de nuestro propio dominio. Ambas se pueden implementar por separado, o en conjunto.

Método 1: Exchange 2003 y superiores

Este primer método consiste en implementar SenderID. Esta tecnología anti spam permite a los administradores crear un registro en el DNS público donde se declaran las direcciones IP de los servidores de mail que pueden enviar correos para nuestro dominio. De esa manera sería la primer configuración para evitar lo que comunmente se denomina domain spoofing.

Este método no sólo evita que recibamos SPAM de nuestro propio dominio, sino que también sirve para evitar SPAM y virus de otros dominios.

Configuraciones necesarias para SenderID

Nosotros tenemos que configurar el DNS para que los antispam de terceros puedan validar este registro, y también para nosotros mismos.

¿Cómo configurar el DNS?

Sencillo. Existen distintos websites con asistentes para la creación del registro TXT. A continuación les paso los que más frecuentemente uso:

• http://www.microsoft.com/mscorp/safety/content/technologies/senderid/wizard/
• http://www.openspf.org (tiene distintas herramientas)
• http://old.openspf.org/wizard.html

¿Cómo configurar Exchange 2003?

No es necesario tener creado el registro TXT para que Exchange utilice la comprobación de SenderID, pero sí es necesario si queremos evitar recibir correos de SPAM de nuestro dominio.

Para habilitar las comprobaciones, es necesario habilitar el filtro AntiSpam de SenderID. Para ello, dentro de la consola de administración de Exchange, vamos a Global Settings –> Message Delivery –> Properties

Dentro de las propiedades, seleccionamos la solapa Sender ID Filtering y seleccionamos la opción Reject. De esa manera, todos los correos que no pasen la validación no ingresarán a nuestro sistema:

Por último, tenemos que asegurarnos que en el SMTP Virtual Server se estén ejecutando las validaciones de Sender ID. Para ello, debemos ingresar a las propiedades del SMTP Virtual Server que está de cara a Internet (por las dudas que tengamos más de uno):

Entrar a la sección Advanced:

Y asegurarnos que esté marcado Sender ID Filtering o marcarla nosotros:

¿Cómo configurar Exchange 2007?

En el caso que la infraestructura no cuente con un Edge Transport Server, primero debemos instalar los agentes de Antispam. Para ello pueden seguir los pasos descritos en este artículo: Cómo instalar los agentes Antispam en un Hub Transport. Si ya contamos con un Edge, no hace falta este paso.

Dentro de la consola de Exchange, ir a Organization Configuration –> Hub Transport. Luego ir a la solapa Anti-Spam y seleccionar el filtro Sender ID.

Seleccionar la opción Reject message de la lista:

De esa manera, tanto en Exchange 2003, 2007 o 2010 estaremos evitando la entrada de mensajes de SPAM enviados con cuentas ficticias de nuestro propio dominio. En la segunda parte, cubriremos una alternativa para hacerlo con permisos en el receive connector y sin agentes AntiSpam.

>>Pablo Vernocchi

Navegando por la web, encontré este software que parece una buena alternativa a las implmentaciones de ISA Server y TMG que requieren la edición del Formulario de Autenticación (para la publicación de Exchange, por ejemplo) para agregar el logo de la compañía, modificar la fuente, color, etc.

Si les parece interesante, pueden descargarlo desde FBA Editor version 1.0

>> Pablo Vernocchi

Hola a todos,

El grupo de producto de Exchange creó un website donde se pueden realizar todo tipo de pruebas de conectividad remota hacia nuestra red.

Me pareció una herramienta muy piola para compartir con ustedes.

NOTA: No usen datos de usuarios reales en el website, creen uno especialmente para estas pruebas.

El sitio web en cuestión es: http://www.testexchangeconnectivity.com/

Saludos,
Pablo D. Vernocchi
Microsoft Exchange MVP
MCSE + M / MCSE + Sec
https://mvp.support.microsoft.com/profile/Pablo

Microsoft lanzó, recientemente, las herramientas administrativas de Exchange 2003 para Windows Vista. Están disponibles desde:

http://www.microsoft.com/downloads/details.aspx?familyid=3403d74e-8942-421b-8738-b3664559e46f&displaylang=en

Saludos,
Pablo Vernocchi
Microsoft Exchange MVP
MCSE + M / MCSE + Sec
https://mvp.support.microsoft.com/profile/Pablo

Gente,

En esta oportunidad veremos cómo limitar usuarios para que no puedan enviar correos a Internet.

Antes de empezar tendremos que tener en cuenta la modificación de una clave en el registro. Para eso, abrimos el regedit, y vamos a HKEY_LOCAL_MACHINE/System/CurrentControlSet/Services/Resvc/Parameters/, agregamos un valor del tipo:

Value Name: CheckConnectorRestrictions
Data Type: REG_DWORD
Radix: Hexadecimal
Value: 1

Una vez que tengamos hecho eso, empezaremos a configurar todo.

Como primer paso, creamos un grupo donde alojaremos los usuarios que no puedan enviar correos (por ejemplo “Sin mail Saliente”).

Luego, abrimos el administrador de sisitema, expandimos servidores, expandimos nuestro server y, sobre conectores hacemos clic con el botón secundario –> nuevo conector SMTP. Le ponemos el nombre que querramos.

Ahora debemos asociar ese conector con un servidor virtual SMTP, para ello hacemos clic en el botón “Agregar” que está abajo a la derecha. Veremos una lista de servidores virtuales SMTP, seleccionamos el que corresponda y hacemos clic en Aceptar.

Luego tendremos que asociar ese conector con un grupo de direcciones a las que afectará. En nuestro caso será * (asterisco) ya que valdrá para todos los dominios en Internet.

Nos vamos a la solapa llamada “Restricciones de entrega” y veremos las configuraciones por defecto. Tendremos que agregar nuestro grupo (“Sin mail Saliente”) en el campo “Rechazar mensajes de”.

Listo, ahora lo que falta es reiniciar dos servicios, SMTP y Microsoft Exchange Routing Engine para que apliquen las configuraciones del registro que cambiamos al principio.

Espero que les sirva,
Vernocchi Pablo.

NOTA: Antes de implentar los cambios recomendados en este artículo, les recomiendo leer estos dos artículos de Microsoft por efectos secundarios:

Mail delivery is slow after you configure delivery restrictions that are based on a distribution list:
http://support.microsoft.com/kb/812298

In Exchange Server 2003, message delivery to local mailboxes and to external mailboxes is slower than you expect after you configure delivery restrictions based on distribution groups
http://support.microsoft.com/kb/895407/