🚀 go-pugleaf

In article <hpn7o7$b92$1@elara.iridium.ch>, news2009-1@iridium.ch says...
>
>Claus v. Wolfhausen <use-reply-to-mail-me@remove-this.com> wrote:
>
>> Eben genau das ist eine weitl�ufige Fehleinsch�tzung.
>> Das Problem wenn infizierte Kisten Spam versenden ist bei offenem Port 25
>> da� eben so ein Bot mehrere hunderttausend Spammails pro Stunde absetzen 
kann.
>> Wenn der Port 25 gesperrt ist, k�nnen Mails eben nur noch via Smarthosts 
z.B. 
>> �ber Port 587 versendet werden. Hierdurch entsteht eine Art Nadel�hr. 
>
>In der Zwischenzeit haben auch die Botnetz-Betreiber hinzugelernt und setzen
>keine 100'000 Spam-Mails von einem Client mehr ab. 
>1. landen diese Clients ganz schnell auf entsprechenden Blacklists
>2. F�llt es zu schnell auf und man will den Client nicht verbrennen
>3. F�llt soviel Traffic selbst dem normalen User auf.

Das ist so nicht ganz richtig.
Nat�rlich versuchen Botnetz Betreiber nicht mehr mit aller Gewalt das Maximum
an Traffic aus jeder einzelnen infizierten Kiste rauszuholen.
Es ist aber immer noch auff�llig genug weshalb ja auch die entsprechenden 
Blacklists immer noch sehr effizient sind.
DAUs die es schaffen ihren Rechner mit derartiger Malware zu infizieren merken
im H�chstfall da� ihre Kiste weniger Performance hat und nicht selten kaufen 
sie dann einfach eine neuere. 

>> Spammer werden also durch diese Ma�nahme massiv eingeschr�nkt.
>
>Wie gesagt, die Zeit sind IMHO vorbei. Kommt sicher noch ab und zu vor, aber
>immer seltener.

Wir sehen t�glich noch mehr als genug :-)

>> Fakt ist, da� es wirklich keinen vern�nftigen Grund gibt, Kunden mit 
>> dynamischen IP's den Port 25 offen zu lassen au�er Spammern die M�glichkeit 
zu
> 
>> geben, die Maschinen unvorsichtiger Kunden als Botnetze zu mi�brauchen.
>
>Auch von dynamischen IPs werden externe Mailserver genutzt (In der Regel mit
>Smtpauth) um Mails abzusetzen. Die k�nnen Firmenmailserver sein, wie auch
>andere, welche von Mitarbeitern genutzt werden.

Solche Mailserver sollten aber seit geraumer Zeit SMTP-Submission anbieten.
RFC 2476 existiert immerhin seit 1998.
Alle g�ngigen Freemailer bieten das seit langem an, und es spricht auch nichts 
dagegen, Port 587 auf einem Firmenserver zur Verf�gung zu stellen, sofern 
Mitarbeiter von extern Mail dar�ber versenden m�ssen.

>Es gibt also sehr wohl Gr�nde. Ebenfalls kann ich als Kunde immer noch selbst
>bestimmen, ob ich meine Mails direkt einliefern will oder �ber den MTA meines
>Providers. Ob das dann auf der Empfangsseite klappt ist ein anderes Thema. Nur
>bin ich grunds�tzlich dagegen, wenn der Kunde bevormundet wird, ohne das er
>Informiert wurde und er, wenn er es will, aus diesem Schutzfunktion
>herauskommen kann. (Und zwar ohne Mehrkosten)

Im Prinzip sollte jeder Provider das so �hnlich handhaben wie es das DFN macht.
Wenn Du z.B. einen DSL-Zuganz bei Shuttle hast, dann ist Port 25 per Default 
geschlossen und nicht nur der, sondern auch 135 usw.

Ungefilterten Zugang erh�lt man ohne Aufpreis allerdings nur dann, wenn man 
dies explizit beantragt und noch dazu unterschreibt, im Mi�brauchsfall 
entstehende Mehrkosten zu tragen.

Daus w�rden das nie beantragen und schon gar nicht unterschreiben, weil sie 
vielzu viel Angst h�tten, auf den Kosten zu sitzen, wenn was passiert.

Den Beweis wie gut sowas funktioniert trete ich gerne an:

http://www.uceprotect.net/de/rblcheck.php?asn=680

Wie viele Provider mit 8,4 Millionen IP's kennst Du, bei denen lediglich 44 
pro Woche wegen Abuse auffallen?

Wenn wir uns dagegen Provider ansehen, die glauben das Problem Botnetze ginnge 
sie nichts an wie etwa ARCOR/Vodafone dann f�llt einem schnell auf, da� die 
Zeiten vorbei sind, indem man als Provider jedem DAU einen unbeschr�nkten 
Zugang zur Verf�gung stellen konnte.

http://www.uceprotect.net/de/rblcheck.php?asn=3209

37000 Abuser pro Woche bei nur 6 Mio IP's sind IMHO mehr als ein deutlicher 
Beweis daf�r, da� man endlich t�tig werden mu�.


>> Wer einen eigenen Mailserver betreiben will, braucht ja nur eine statische 
IP 
>> und einen individuellen PTR beantragen, dann wird der Port 25 ganz sicher 
nich
>t 
>> geschlossen.
>
>Dem ist leider nicht so. Es gibt in der Zwischenzeit einige ISP die Port 25
>einfach dicht machen, auch f�r Kunden mit statischer IP. Auch bieten viele
>ISPs wenig Flexibilit�t in solchen Fragen und bezahlbare fixe IPs und kleine
>geroutet Subnetze gibt es im xDSl und Kabel Umfeld leider mehr als selten.
>(Eigentlich sind die zum Teil massiven Kostenvorstellungen f�r fixe IPs
>einiger ISPs etwas arg seltsam.) 

Der einzige Sinn einer statischen IP ist es Serverdienste anbieten zu k�nnen.
Wenn also einige Provider (mir w�ren solche jetzt nicht bekannt) ihren  
Bestandskunden mit statischen IP's den Port 25 sperren w�rden, w�re dies ein 
klarer Grund f�r eine fristlose K�ndigung.

Ich habe allerdings grunds�tzlich nichts dagagen, wenn man auch Neukunden auch 
mit statischen IP's den Port 25 nur auf ausdr�cklichen Wunsch zur Verf�gung 
stellt.

Teuer ist immer etwas relatives :-) Was f�r den einen teuer ist, kann jemand 
anderem durchaus g�nstig erscheinen.

Soweit ich das wei� kostet bei AS 44038 eine statische IP 9.- CHF pro Monat 
oder? Das w�rde ich jetzt nicht als teuer bezeichnen. 


>Es ist klar, das die Masse keinen Bedarf an Port 25 hat und im Default Setup 
ein
>solcher Port geschlossen werden kann, nur muss er dann auch ohne Probleme
>vom Kunden wieder ge�ffnet werden k�nnen und der Kunde muss im Vorfeld dar�ber
>informiert sein. 
>In diesem Fall von Swisscom war die Information am Anfang wohl praktisch nicht
>vorhanden und die Fehlermeldung ziemlich unbrauchbar. Der Port konnte zu
>Beginn wohl auch nicht wieder f�r Kunden, welche dies wollten, freigeschaltet
>werden. Sollte nun ja besser klappen, nehme ich mal an.

Da stimme ich vollkommen zu.

>Aber egal was man �ber diese Port 25 Sperrung nun denkt oder nicht. Es ist
>reine Symptom-Bek�mpfung, statt das Problem beim Kunden endlich einmal besser
>zu l�sen. Ein Bottnetz-Client macht noch einiges anderes und es kann nicht
>angehen, das man solche Clients verseucht l�sst, sondern diese Kunden m�ssen
>Ihrer Verantwortung nachkommen. Notfalls eben auch mit dem notwendigen Druck
>durch den ISP.

Das ist ebenfalls richtig

>> H�here Performance weil die Bots in der Nachbarschaft nicht l�nger die 
ganzen 
>> Leitungen ausbremsen.
>
>Siehe oben. Schau nur mal ein paar Logfiles an, was von den diversen Bots
>alles ausgeht und nicht nur auf Port 25.
>Wie gesagt, das Problem muss mal direkt angegangen werden und die Kunden in
>Ihre Verantwortung genommen werden.

Das ist ja der Grund, warum man bei uns nicht nur wegen Spamming im Level 1 
gelistet werden kann, sondern bereits f�r einen Portscan...

Siehe: http://www.uceprotect.net/de/index.php?m=3&s=3

-- 
Claus von Wolfhausen
Technical Director
UCEPROTECT-Network
http://www.uceprotect.net