Problème envoi mail SMTP

FLippO

Bonjour,

Tout d'abord voici un bref résumé de ma configuration :

| | PFSENSE 1.2.3 | |
| | | |
LIVEBOX |–---------| havp <-> squidguard <-> squid | -----------| CLIENTS WIFI
| | | |
| | | |

Mes clients wifi ne parviennent pas à envoyer des emails via un serveur SMTP.
Le paramétrage de messagerie des clients n'est pas remis en cause car cela fonctionne sur n'importe quel autre point d'accès wifi (Freebox, LiveBox...)

En utilisant toujours le même email :

Cas 1 : serveur sortant gmail port 465 (SSL) ==> OK
Cas 2 : serveur sortant orange port 25 ==> OK
Cas 3 : serveur sortant free port 25 ==> KO
Cas 4 : serveur sortant entreprise port 587 (TLS) ==> KO
Cas 5 : serveur sortant hotmail port 587 (TLS) ==> KO
Cas 6 : webmail hotmail ==> OK
Cas 7 : webmail entreprise ==> KO

L'erreur est toujours : Temps d'attente dépassé.

J'ai testé hors squid, même problème.
J'ai testé sans havp, même problème.

Je ne comprends pas…. ???

Encore plus bizarre, dans les cas 3, 4, 5 et 7, un mail vide arrive bien à destination, un mail contenant plus deux 2 caractères génère la même erreur.

Quels tests puis-je effectuer ?

jdh

Ce qui est connu :

une Livebox accepte 25/tcp à destination de serveurs smtp Orange
une Livebox laisse passer le reste

Autrement dit, pour le port 25/tcp, la Livebox n'autorise que vers les serveurs smp Orange.

smtp = 25/tcp, submission = 587/tcp, smpts = 465/tcp, donc aucun rapport avec Squid/SquidGuard/Havp !

ccnet

Cas 2 : serveur sortant orange port 25 ==> OK

Cas 3 : serveur sortant free port 25 ==> KO

Je ne suis pas complètement surpris qu'une livebox ne laisse pas passer du TCP/25 vers Free. Le contraire m'aurait étonné.

linuxlibre

Bonjour,

Vous ne pourrez pas envoyer des mails venant du serveur SMTP de FREE alors que vous êtes abonnés chez Orange !!!! Il faut configurer votre client de messagerie avec le serveur SMTP d'orange et cela fonctionnera. Pour free ou autre procéder ainsi :

Compte free (avec thunderbird)

login free : compte_free
MDP : mot de passe du compte free

pop.free.fr
smtp.orange.fr

Si tout est configuré normalement, vous devriez pouvoir envoyer du courrier avec votre compte orange avec une adresse compte@free.fr

Cdlt,

FLippO

Merci à tous pour vos réponses :)

Orange ne laisse donc pas passer les requêtes sur le port 25 à part à destination de son SMTP, d'accord ! Mais je ne comprends toujours pas pourquoi je ne peux pas faire de SMTPS sur le port 587 ? ???

(Après test telnet sur le port 587, erreur 554 de ***.wanadoo.fr. Visiblement orange bloque également le port 587)

Hélas je suis obligé de travailler avec une Livebox sachant qu'avec une Freebox il est possible de passer par n'importe quel SMTP (à condition d'avoir cocher la case SMTP sortant sur sa box).

ccnet

Cas 1 : serveur sortant gmail port 465 (SSL) ==> OK

Cas 2 : serveur sortant orange port 25 ==> OK

Cas 3 : serveur sortant free port 25 ==> KO

Cas 4 : serveur sortant entreprise port 587 (TLS) ==> KO

Cas 5 : serveur sortant hotmail port 587 (TLS) ==> KO

Cas 6 : webmail hotmail ==> OK

Cas 7 : webmail entreprise ==> KO

et

Mais je ne comprends toujours pas pourquoi je ne peux pas faire de SMTPS sur le port 587 ?

Je ne vois pas de test vers Orange.

Hélas je suis obligé de travailler avec une Livebox sachant qu'avec une Freebox il est possible de passer par n'importe quel SMTP (à condition d'avoir cocher la case SMTP sortant sur sa box).

Je ne vois pas le rapport entre l'obligation d'utiliser une Livebox et le fait que le smtp sortant puisse être libre sur une Freebox.

Tout cela est décidément très brouillon.

FLippO

@ccnet:

Je ne vois pas de test vers Orange.

Hélas je suis obligé de travailler avec une Livebox sachant qu'avec une Freebox il est possible de passer par n'importe quel SMTP (à condition d'avoir cocher la case SMTP sortant sur sa box).

Je ne vois pas le rapport entre l'obligation d'utiliser une Livebox et le fait que le smtp sortant puisse être libre sur une Freebox.

Tout cela est décidément très brouillon.

Je confirme c'est brouillon mais j’essaye d’éclaircir la chose… ::)

Je ne peux pas tester sur le SMTP Orange port 587 car cette connexion nécessite des identifiants.
(Sur une Freebox il est possible d'utiliser n'importe quel SMTP et donc d'utiliser un client lourd et son SMTP préféré, pas sur la livebox)

J'aimerais que les clients connectés sur le réseau Wifi Pfsense puissent utiliser leur client de messagerie habituel sans modifier leur configuration.
En clair, je souhaite pouvoir utiliser le serveur SMTP de mon entreprise pour envoyer mes mails et non utiliser le SMTP de Orange (mails professionnel donc soucis de confidentialité).

Et c'est là que vous allez me répondre Webmail :)
En effet ça sera la seule solution proposée si avec un client lourde ce n'est pas possible.

ccnet

Je ne peux pas tester sur le SMTP Orange port 587 car cette connexion nécessite des identifiants.

Normal et donc ?

J'aimerais que les clients connectés sur le réseau Wifi Pfsense puissent utiliser leur client de messagerie habituel sans modifier leur configuration.

C'est quoi la configuration du "client habituel" ?

En clair, je souhaite pouvoir utiliser le serveur SMTP de mon entreprise pour envoyer mes mails

Pour un besoin professionnel il faut un FAI professionnel, c'est aussi simple que cela. On y ajoute les bons réglages dns, la présence d'un relai en dmz et tout roule.

et non utiliser le SMTP de Orange (mails professionnel donc soucis de confidentialité).

Si vous avez un réel besoin de confidentialité il y a deux niveaux de solutions.
1. Ne pas utiliser la messagerie dès lors qu'il y a du smtp. Il est totalement illusoire de maintenir la confidentialité sur un système de messagerie utilisant à un moment smtp dans l'acheminement.
2. Si l'on accepte une partie du risque il faut utiliser d'autres solutions comme la protection des contenus (PGP ?). Ce qui n'exclue pas de réfléchir aussi à SSL/TLS. Avez vous considéré, dans votre votre besoin de sécurité, la question de l'authentification du serveur avec lequel vous allez établir une connexion smtp ?

Une partie de votre problème vient ce que :

votre besoin de sécurité n'est pas correctement identifié et quantifié.
l'impact de la réalisation du risque n'est probablement pas évalué.
le niveau de risque résiduel que vous êtres prêts à supporter n'est pas défini.

Comme beaucoup, vous prenez le problème à l'envers. Vous rechercher des solutions techniques (avec des outils qui semblent inadaptés) alors que vous ne savez pas exactement quel est le problème.
Commencez par éclaircir tout cela et ensuite recherche des solutions techniques qui pourraient répondre à vos exigences de sécurité. Envisager les compromis possibles en fonction du risque résiduel que vous accepterez.
Dès lors que vous parlez de client wifi j'ai tendance à penser que votre besoin de sécurité est tout relatif.

Pas de politique de sécurité, pas de vision claire possible des solution techniques.

FLippO

@ccnet:

Je ne peux pas tester sur le SMTP Orange port 587 car cette connexion nécessite des identifiants.

Normal et donc ?

C'est juste une constatation.

@ccnet:

J'aimerais que les clients connectés sur le réseau Wifi Pfsense puissent utiliser leur client de messagerie habituel sans modifier leur configuration.

C'est quoi la configuration du "client habituel" ?

La configuration utilisée par la majorité de mes clients Wifi : Client Thunderbird, serveur SMTP avec authentification (STARTTLS) sur le port 587.
J'ai également des clients utilisant Outlook ou Thunderbird avec leur smtp FAI (orange, free, sfr, numericable)

@ccnet:

En clair, je souhaite pouvoir utiliser le serveur SMTP de mon entreprise pour envoyer mes mails

Pour un besoin professionnel il faut un FAI professionnel, c'est aussi simple que cela. On y ajoute les bons réglages dns, la présence d'un relai en dmz et tout roule.

C'est justement une livebox Pro, c'est pour cela que je suis étonné du blocage SMTP.
Peut être essayer de mettre mon serveur PFSense dans la DMZ de la livebox ?

@ccnet:

et non utiliser le SMTP de Orange (mails professionnel donc soucis de confidentialité).

Si vous avez un réel besoin de confidentialité il y a deux niveaux de solutions.
1. Ne pas utiliser la messagerie dès lors qu'il y a du smtp. Il est totalement illusoire de maintenir la confidentialité sur un système de messagerie utilisant à un moment smtp dans l'acheminement.
2. Si l'on accepte une partie du risque il faut utiliser d'autres solutions comme la protection des contenus (PGP ?). Ce qui n'exclue pas de réfléchir aussi à SSL/TLS. avez vous considéré votre besoin de sécurité la question de l'authentification du serveur avec lequel vous allez établir une connexion smtp ?

Une partie de votre problème vient ce que :

votre besoin de sécurité n'est pas correctement identifié et quantifié.

l'impact de la réalisation du risque n'est probablement pas évalué.

le niveau de risque résiduel que vous êtres prêts à supporter n'est pas défini.

Comme beaucoup, vous prenez le problème à l'envers. Vous rechercher des solutions techniques (avec des outils qui semblent inadaptés) alors que vous ne savez pas exactement quel est le problème.
Commencez par éclaircir tout cela et ensuite recherche des solutions techniques qui pourraient répondre à vos exigences de sécurité. Envisager les compromis possibles en fonction du risque résiduel que vous accepterez.
Dès lors que vous parlez de client wifi j'ai tendance à penser que votre besoin de sécurité est tout relatif.

Pas de politique de sécurité, pas de vision claire possible des solution techniques.

Houaaa quel tableau défaitiste, à vous écouter je peux arrêter tout de suite le carnage et changer de métier ;D :P

J'avoue question sécurité le projet est flou et contradictoire dans le choix des solutions.
Hélas, je fais avec les « billes » que me l'on donne. On m'a imposé la connexion Internet existante (livebox Pro), on m'a imposé la solution PFSense.
Et avec tous ça je dois broder pour arriver à mes fins.

En omettant le soucis de sécurité et confidentialité, je souhaite simplement éviter que les clients Wifi doivent modifier leur configuration, si ce n'est pas possible je ferais sans.

Merci Ccnet pour le temps consacré en tous cas ;)

ccnet

C'est justement une livebox Pro

Les trois dernières lettres qui changent tout. J'ai au moins un client avec une Livebox pro. Le schéma est le suivant pour la messagerie des collaborateurs.
Client mail (machine dans le réseau interne) -> dépôt des mails sur le serveur de l'entreprise (réseau interne) -> celui ci transmet le mail au relai (un Postfix en dmz) -> le relai contact directement le mx du domaine destinataire.

Pas d'utilisateur n'ayant pas leur mail pro dans l'entreprise. Pour ceux qui ont des mails perso ailleurs c'est en effet le webmail. Il est de toute façon impossible de déposer un mail sortant sur le smtp de Free en étant abonné Orange et ainsi de suite.

Il serait en effet judicieux que l'interface Wan de Pfsense soit connectée à l'interface dite dmz de la Livebox Pro. Je ne suis pas un spécialiste de la (des ?) Livebox pro, je les évite autant que possible, ni des contrats Orange, mais cela semble être la meilleure configuration, surtout si vous avez un paramétrage possible de cette "dmz" en l'ouvrant totalement. Tout le filtrage sera géré sur Pfsense, ce qui est la logique.

Pour le reste :

Houaaa quel tableau défaitiste

Nullement. J'essaye de débroussailler, d'apporter un peu de méthodologie.

à vous écouter je peux arrêter tout de suite le carnage et changer de métier

Ou simplement vous intéresser à la démarche sécurité en comprenant que la technique vient en dernier et ne fait que traduire un besoin de sécurité correctement exprimé. sur le plan technique vous ne semblez pas très armé. Mais rien de très grave, cela s'apprend.

Et avec tous ça je dois broder pour arriver à mes fins.

Lesquelles, là est le problème.

jdh

Une anecdocte vécue :

Pour une entreprise, avec environ 35 utilisateurs nomades, avec une messagerie en POP, avec des clients Outlook et Thunderbird, il a bien fallu gérer le mail sortant en mode nomade.
Le smtp authentifié (TLS) sur le port 587 convient bien pour passer au travers de n'importe quelle box … quand la messagerie était chez Orange.

Mais nous avons changé de lignes SDSL et donc d'hébergeur de messagerie ! (Passage à SFR).

La procédure a été bien balisée : bascule le vendredi soir des MX, une dernière récup le lundi matin puis modif des serveurs POP.

Mais SFR ne proposait pas alors smtp authentifié !

Il a bien fallu monter une Debian avec un Postfix + SASL Auth + les mêmes identifiants/mots de passe (dans une base SQL) et relais via SDSL vers SFR pour y arriver :
9 jours pour savoir que SFR ne propose pas smtp authentifié, 1/2 journée pour monter la solution !

Pour les nomades en POP, il faut un SMTP qui traverse n'importe quelle box : soit l'hébergeur sait le faire, soit vous le faites. C'est simple.