Durch Zufall hat folgende E-Mail einen Umweg gemacht und erscheint nun hier:
<hr>
Betreff: Technische Umsetzung Sperrung SMTP Port 25 - Studentenwohnheime

Sehr geehrter Herr Mittag,
sehr geehrtes Team der AG DSN,

nach Zustimmung des ZIH Lenkungsausschuß bzgl. Mailversand der Studentenwohnheime (Sperrung SMTP Port 25) und Ankündigung im Dezember 07 wird die Sperrung STMP Port 25 zum 9.01.08 realisiert.
Mailversand aus den Studentenwohnheimen ist damit nur noch über dem Mailserver des ZIH, den Mailserver der Fakultät Informatik und über registrierte Mailserver der Studentenwohnheime möglich.

Die Sperrung wird auf den entsprechenden Routern innerhalb des Campus-Netzes vom ZIH durchgeführt, indem die nicht zugelassene TCP-Verbindung über Port 25 gesperrt wird.
Somit ist auch ein hoher Schutz innerhalb des Campus-Netzes möglich.

Beste Neujahrsgrüße,
Jens Syckor
<hr>
Soweit, so gut.
Nur:
1. Was bedeutet das für das Forschungsnetz und seine freie Nutzbarkeit?
2. Warum wurden die Nutzer nicht informiert resp. ist es nirgendwo dokumentiert?
3. Stimmt es, dass das ZIH einige Versäumnisse verzapft hat, die dazu führten, dass die Mailserver auf Blacklists großer Provider landeten und man nun auf diese Art&Weise die Konfigurations-Inkompetenz zu kompensieren versucht?

#a

yeah right, zufall

nun, ich moechte um diese zeit nicht grossartig auf die auswirkungen eingehen, moechte jedoch darauf hinweisen, dass es kein problem darstellt seinem hauseigenen system ssl beizubringen und die mails via port 995 in die freiheit zu entlassen. dies funktioniert soweit (und das schon wesentlich laenger, als besagtes problem ueberhaupt existiert) einwandfrei.
was die fragen, die unter 1., 2. und 3. aufgeworfen wurden angeht moechte ich mich, wie schon erwaehnt, um eben jene zeit nicht weiter aeussern, werde die diskussion, die ich mit offenen armen gespannt erwarte, jedoch weitestgehend verfolgen und mich dazu (als ag dsn nutzer) hoechstwahrscheinlich noch aeussern.

mfg, uni@warm&kuschelig

schön, dass man das auch mal erfährt...
daher konnte ich gestern keine Mails verschicken

echt genial, mit der inf-Adresse dauert es doch Jahre bis was ankommt
abgesehen davon möchte man vllt nicht jeden seine Uni-Adresse geben
(verbunden mit Name, Studiengang, Jahrgang)

du kannst deine mails doch auf ne andere adresse weiterleiten. das is zwar ein bißchen gefummel, aber du kannst damit deine web.de oder beliebige andere absender-adresse auch mit deinem mail programm weiter benutzen.

problem dabei könnte nur sein, dass deine mails öfter als spam deklariert werden, weil die adresse dann nicht mehr mit der adresse des mail servers überein stimmt.

Gestern war doch Vollversammlung, wa? Muss ich mal den Jupp fragen, was der dazu weiß...

Zum Thema DFN an sich. Natürlich können die nach und nach durch irgendwelche Maßnahmen versuchen, die Benutzung weitestgehend auf Forschung einzuschränken, aber dann werden wahrscheinlich immer mehr Leute auch in Wohnheimen auf irgendwelche billigen DSL Angebote umsteigen.

Internet ist heutzutage eben nun einmal in erster Linie Kommunikations- und Unterhaltungsplattform und als diese aus dem alltäglichen Leben nicht mehr wegzudenken. Wenn mir als AG DSN Nutzer und Admin diese Möglichkeiten in meinem privaten Umfeld (was ja mein Wohnheimzimmerchen ist) genommen werden, sehe ich bei den heutigen DSL-Preisen keinen Grund, weiterhin das DFN zu benutzen und ich bin mir ziemlich sicher, dass das vielen anderen auch so geht.
Für mich wird das DFN langsam zum Dienstleister, der zwar in der Forschung seinen Zweck erfüllt, sich aber in der privaten Sparte, die er ja auch zumindest momentan noch zu erfüllen hat, selber aus dem Markt schießt durch so dämliche Maßnahmen wie den Mailversand zu unterbinden...
Wenn noch weitere Maßnahmen folgen und die AG DSN weiter beim DFN bleibt sehe ich auf jeden Fall einen nicht zu unterschätzenden Nutzerschwund und somit auch früher oder später das Ende der AG DSN...

Na mal gucken...!

Ich frag mich auch was das soll! Habe auch gestern mehrmals versucht Mails zu versenden und es ging nicht. Ich hätte wahrscheinlich noch Tage rumgegrübelt und es sicher auf alles geschoben, nur nicht darauf, dass hier irgendwas gesperrt wird.
Das Sperren an sich finde ich schon eine Sauerei! Bei irgendwelchen P2P-Ports hätte ich es verstanden, aber bei E-Mails????????? Kann mir wenigstens wer erklären, warum gerade das unsicher sein soll oder den genauen Grund der Sperrung nennen? Die Mail oben hab ich nicht verstanden -.-
Und das man dann nicht ein mal Bescheid gibt....

Ich denke, dass das ZIH nur auf die Versäumnisse einiger Sektionen der AG DSN reagiert hat. Aus dem Netz der HSS war z.B. bis vor kurzem unauthorisierter Mailversand möglich. Spammers Paradise....
Das die Nutzer nicht informiert wurden, könnte auch an der Informationspolitik der AG DSN und ihrer einzelnen Sektionen liegen, denn da es registrierte Mailserver der AG DSN zu geben scheint, muss man dort ja auch davon gewusst haben. Meine Mutmassung ;D

@mcnesium
stimmt, da haste Recht. Das Problem bleibt aber dass die Mails ewig brauchen, bis die mal ankommen. Ich könnte mich theoretisch auch in gmx & co einloggen und ab da versenden, da kann ich aber pgp wiederum nich benutzen und hab blöde Werbung drunter...

alles doof
Jetz kann ich hier alles wieder neu einrichten *hmpf

@ fuckfish fullack

und die Leute, die nichts mit AGDSN zu tun haben aber trotzdem in einem Wohnheim sitzen wurden auch nicht benachrichtig, sonst steht sowas immer zumindest als Zettel an der Tür. Auf der Wohnheimsseite steht auch nix und das Forum geht schon ewig nicht...

Kann nur für unsere Wohnheimadmins sprechen, bzw. nur für RobzZz und mich, wir wussten nix davon, ich hab's heut durch eXma erfahren und bin gespannt, was Jupp und Pitschi dazu zu sagen haben. Vielleicht liegt's daran, dass ich nich im AG DSN Verteiler hänge... (wurde es da denn bekannt gegeben, weiß das jemand) ;-)
Aber normalerweise herrscht hier auch Kommunikation zwischen den Admins, keine Ahnung, warum das an uns vorüber ging.

Also mein Mitbewohner, seines Zeichens auch Admin, wusste davon auch nichts.
Sein Workaround, falls ihr externe Mailanbieter weiter nutzen wollt: Die meisten Anbieter können auch mit Port 587 genutzt werden.

Irgendwann ist sicher erwähnt worden, denn die AG DSN ist nach meinem Wissensstand schon vor geraumer Zeit aufgefordert worden, die Ips ihrer Mailserver mitzuteilen. Obs im Verteiler stand weiß ich nicht, die mails lese ich kaum noch ;D

geht denn ssl über 465 noch? dann isses doch halb so wild und eigentlich sogar noch viel besser..

Hmm, das nützt aber nichts, wenn es der externe Anbieter nicht unterstützt.

,,Geraume Zeit'' trifft es ganz gut, der fraglich Zeitraum duerfte bei mehr als 10 Jahren liegen.



Welcher DSL-Provider bietet denn symmetrische 100 Mbit und eine statische IP fuer 2,50 im Monat?



Das war im gesamten Uni-Netz moeglich. Und genau deshalb ist jetzt Port 25 dicht, damit man (von irgendwelchen Umwegen abgesehen) nur noch ueber das mailgate Mails versenden kann.

Moin!
Was ist denn das für eine Informationspolitik?

Nirgends eine Ankündigung! Von jetzt auf sofort wird "einfach" der Port gesperrt.
Das ZIH hätte doch rechtzeitig, so nen Monat vorher, die Nutzer informieren können.

Echt unverständlich! Auf der Seite vom ZIH habe ich auch keine Infos gefunden.

Sehr seltsam das Ganze!

Wie in jeder WG kannste dir den Internetzugang natürlich mit Mitbewohnern teilen. Klar wird's wahrscheinlich trotzdem bissel teurer, aber wenigstens kannste machen was du willst... Und die Datenrate is schon nett, aber braucht man auch nur in Ausnahmefällen, oder man geht halt in's Rechenzentrum. Wenn ich mal von der Zeunerstraße ausgehe, wir ham hier 60 Nutzer an nem 11MBit Wlan-Netz dranhängen, ich würde mich über DSL freuen. ;-) Scheiß ZIH, haben schon ewig nen Antrag auf Glasfaser laufen...

Steht doch da, dass im Vormonat die Nutzer informiert wurden. Ist vermutlich in der ganzen Spamflut untergegangen.

Die Verteilermail, die das Wiederaufgreifen des Themas zum Inhalt hatte, kam am 30.10.2007 rum. Hier ein kleiner Auszug:

Selbst das Linkpartnerprogramm ist davon betroffen, was ich aus vertrauten Kreisen gehoert habe, denn dort wird per E-Mail mit den teilnehmenden Studenten korrespondiert.

Fuer die Medien-/Informatiker: Probiert mal einen Port-Forward per SSH-Tunnel ins FRZ einzurichten. Vielleicht klappt es ja dann wieder damit.

lies dir mal den 2. post im thread durch
ssl funzt standardmaessig ueber 995. was die externen mailanbieter bezueglich ssl-unterstuetzung angeht muss man sich eventuell informieren - gmx unterstuetzt ssl jedenfalls.
zu der informationspolitik: scheisse is es definitiv gelaufen, das seh ich ein, allerdings gehoere ich zu den gluecklichen ag-dsn nutzern der sektion wundtstrasse und auf der atlantis wurde frueh genug vorgewarnt.

soda, hier mal ein kleiner anfang:

alle angaben fuer datenuebertragung via ssl
gmx pop3 und smtp port 995
web.de pop3 port 995 smtp leider port 25 (faellt also aus)
google mail pop3 port 995 smtp ports 465/587
arcor pop3 port 995 smtp auch port 25
yahoo pop3 port 995 smtp port 465
lycos bietet pop3/smtp nur gegen aufpreis

Auch eine Art und Weise, die Studenten zu verschaukeln: Seit Jahren geht es darum, den Studenten lebenlange E-Mail-Adressen zuzusichern (Mitte 2006 hatte ich diverse persönliche Mails auch mit der Leitung des ZIH, wo bereits auf vergangene "Diskussionen zu dem Thema" verwiesen wurde)...bislang ohne einen erkennbaren Fortschritt. Jetzt werden die Studenten aufgrund von Unfähigkeit innerhalb des ZIH (zunächst nur) partiell dazu gezwungen, genau diese nur begrenzt valide E-Mail-Adresse als einzige (mit lokalen E-Mail-Clients) zu benutzen?! Ich weiß beim besten Willen nicht, wie man so erreichen will, dass sich Studenten (wenn möglich auch nach dem Studium) noch mit der TU-Dresden identifizieren - m.M.n. schreckt so ein bekanntgewordenes Verhalten doch potenzielle Studenten eher ab...und die, die aus den technischen Richtungen abgehen werden sich in der Zukunft (>5 Jahre, wenn also die "Herkunft" nicht mehr soooo viel ausmacht) auch nur noch begrenzt an die TU "erinnern" (geldmäßig (Zuwendungen), eigene Kinder zum Studium nach Dresden "schicken", politische Entscheidungen usw.).

wie du ja selbst auflistest: der standard-ersatz-smtp-port ist 465 nicht 995. wer einen seriösen mailanbieter hat, bei dem ist das auch möglich, alles andere ist kein argument.

hm... port 22 sollte auch endlich mal gesperrt werden.
ssh wird ja auch ständig für recht böse sachen benutzt.

Das wärs... wenn die Port 22 sperren dreh ich frei. Dann muss ich eben für alles den VPN-Tunnel nehmen und dann sich aufregen dass zu viel Traffic darüber geleitet wird...

Das ist leider nicht ganz korrekt, die Info ist teilweise nicht weitergeleitet worden.


Niemand zwingt dich die Uni-Adresse zu nutzen, man kann den Uni-SMTP auch mit anderen E-Mail-Adressen (Web.de, GMX, etc.) nutzen. SMTP ist unabhängig von POP3 bzw. IMAP.

Interessanterweise ist bisher niemand richtig auf meine Fragen im Ausgangsbeitrag eingegangen... - als alter Querulant würde mich ja besonders eure Meinung zu Frage 1 interessieren. [Oder rafft das niemand mehr im Schäuble-Zeitalter? :P ]

abaping

Die freie Nutzbarkeit zu Forschungszwecken ist nicht eingeschränkt. Wer unbedingt Port 25 braucht, kann sich den separat freischalten lassen. Seh ich irgendwo wie Linux. Alle Features, die du _nicht_ brauchst, und die das System instabil werden lassen, sind standardmäßig abgeschaltet und können aktiviert werden, wenn man sie braucht.

Den Erfahrungen einiger hier scheint anders zu sein (SMTP beispielsweise bei web.de funktioniert so nicht mehr, da die 25 zu ist -> deutlich weniger Komfort, da Webmail genutzt werden muss). Das Vorgehen des ZIH zeugt dennoch von erheblicher Inkompetenz.

Zu Forschungszwecken ist das DFN nur noch eingeschränkt nutzbar (aber das ist bei JEDER Porteinschränkung so und nicht nur auf Port 25 begrenzt). Wenn es jedoch wirklich diese Sonderregelung gibt, wie Chris meint, dann ist die Lehre und Forschung durch das Vorgehen des ZIH zwar behindert, aber nicht verhindert (denn auf Antrag kann man das ja auch wieder nutzen)...aber ich schätze mal ein, dass Port 25 wirklich nur zur Blacklisting-Verhinderung geblockt wurde...und wenn es eine gewisse Masse von "Ausnahmeregelungsanträgen" geben WÜRDE, die (unwahrscheinlich) auch noch begründet wären, dann würde man im ZIH wohl auch nochmal umdenken...

Stimmt so nicht, smtp.web.de lässt sich auch über Port 587 ansprechen.

Du scheinst es nicht zu verstehen: Der ZIH-SMTP funktioniert auch, wenn du über eine Web.de-Adresse verschickst. Du musst den Webmailer nicht nutzen. Und wie bereits erwähnt funktioniert darüberhinaus noch Port 587. Dementsprechend ist die einzige Einschränkung hier das Ändern des Ports von 25 auf 587 oder der SMTP-Adresse auf den des ZIH (gilt natürlich nur für TUD-Angehörige).

Ich denke sogar, dass der Forschungsauftrag noch eher erfüllt wird, weil es den Wissenschaftlern wieder möglich ist, über das DFN zu kommunizieren. Ohne die Portsperrung landen täglich Mails von tausenden Wissenschaftlern im Spamordner anderer Wissenschaftler, nur weil irgendwelche Studenten sich im Uninetz einen Spam-Trojaner eingefangen haben.

Und ich wüsste nicht, warum es eine Masse an Ausnahmeanträgen für Port 25 geben sollte. An neuen Mailtechnologien für Port 25 werden die wenigsten im DFN Bereich der TUD arbeiten und Port 25 ist nunmal für Mail vorgesehen. Klar, dass es für den Zugriff auf web.de oder ähnlichem keine Ausnahmeregelung geben wird.

-

Wer seine Web.de Mails ueber den SMTP des ZIH rausschickt wird aber hoechstwahrscheinlich beim Empfaenger im Spam landen, da Spammer ihre Mails auch immer ueber fremde Mailserver verschicken, die nicht kontrollieren ob die Absenderadresse ueberhaupt von ihnen selbst betreut wird (siehe SPF).

Ja, das ist u.U. leider so, aber danach hatte ja keiner gefragt.

SPF ist nur eine Technologie, die gegen Spam genutzt werden kann. Um SPF sinnvoll zu implementieren, müssten eine große Menge von Mailservern darauf umgestellt werden und genau darin liegt das Problem. Es ist ein typisches Henne-und-Ei - problem. Verlässt man sich einzig auf SPF, werden die vielen tausend, Relay-Server ausgesperrt (die SPF nicht implementieren) und damit geht potenziell neben vielen Spam auch sehr viel Ham verloren und das kann sich kein großer Anbieter im Businessbereich leisten.

Nutzt man SPF aber nur als ein Kriterium zur Bewertung ob eine Mail Spam oder Ham ist, geht die Nutzbarkeit stark gegen null, da sich in solchen Fällen DNSRBLs (in denen eben die "bösen" Relays stehen, die ohne Authentifizierung relayen) viel besser eignen.

Fazit: Nutzt man den Uni-Mailserver zum Relayen, sollte das kein Problem darstellen. In meinem Nebenjob relayen wir auch über T-Online und haben keine Probleme, dass unsere Mails nicht ankommen würden.

Ich wage zu bezweifeln, dass überhaupt viele große wichtige Anbieter gibt (GMX, Strato), die sich auf SPF als einzige Technologie verlassen würden.

Den ganzen Sermon über die Einschränkung der Forschungsfreiheit halte ich für Quatsch. Nur wenn Port 25 gesperrt ist, wird die Welt nicht zusammenbrechen und falls man es wirklich für die Forschung (und nicht eben nur für die Bequemlichkeit das der Student sein Emailprogramm mit Standardeinstellungen versieht) braucht, kann man das sicherlich beantragen.

Sicherlich, verglichen mit anderen Internetprovidern, ist es schon eine Einschränkung, aber dem sollte man sich vor Augen halten, dass man für die Datendienste des DFN im Vergleich zur anderen freien Anbietern lächerlich wenig bezahlt.

Wenn einzelne Sektionen der AG DSN in der Lage waren die Sperrung anzukündigen, dann sehe ich das Versäumnis eher bei einzelnen Admins, als beim ZIH.

Letztendlich muss man eine Kosten/Nutzenabwägung machen und die sieht für mich so aus - wenn durch die Sperrung vom Port, der Versand von SPAM aus dem Uninetz massiv zurückgeht, dann ist damit der Uni und dem Netz mehr geholfen, als den Studenten, die einfach nur ihr Mailprogramm umstellen müssen.

C'ya,

Christian

Der Witz an SPF ist doch gerade, dass man kein Henne-Ei Problem hat. Der Besitzer einer Mailadresse (besser gesagt der Domain) gibt an, welche Server alles in seinem Namen Mails verschicken koennen. Der Empfaenger einer Mail kann dann beim Absender verifizieren, ob die Mail tatsaechlich aus seinem "Einflussbereich" stammt. Wenn der Absender dagegen kein SPF laufen hat, dann kann man einfach keine Aussage treffen und muss auf andere Techniken zum Spamschutz zurueckgreifen. Daraus ergibt sich keine Benachteiligung.

Okay, das hab ich dann etwas anders verstanden.

In der Tat scheint es so zu sein, dass GMX SPF bei seinen eigenen Domains einsetzt, man also bei SPF-fähigen Mailservern Probleme bekommt, wenn man GMX-Adressen relayt.

Ich denke aber trotzdem mal, dass die meisten Server auch diese Mail annehmen, da die Menge an SPF-fähigen Servern nicht so hoch ist und SPF alleine eben auch nicht der Weisheit letzter Schluss ist und man als Spammer natürlich auch selber sich für Spottpreise Domains beschaffen kann, die SPF-fähig sind.

Hier helfen dann doch wieder DNSRBLs.

Muss ich bei Gelegenheit einfach mal testen.

C'ya,

Christian

SPF ist doch Müll, es gibt einfach Standardfälle in denen SPF versagt (siehe Weiterleitung) und macht es somit für einen produktiven einsatz untauglich.

einfach nen EHLO, PTR check, dann noch gegen 2-3 blacklisten checken und das ganze dann gewichten und man ist 95% des spams los. (policyd-weight für postfix macht das).
natürlich ist das keine technik um spam präventiv zu verhindern, aber da gibt es für mich noch keine wirklich gute. meiner meinung nach gehen domainkeys aber eher in die richtige richtung

Ich habe auch nie behauptet, dass SPF allen Spam los wird. In Kombination mit anderen Verfahren denke ich aber schon, dass es ein guter Ansatz ist.