Загадочный SPAM.

Извините, если не понял сути (много написано), но почту можно отправлять не только через 25 порт.

Есть еще 587 порт SMTP+STARTTLS

Если я правильно понял вас, то отправлять то почту можно хоть с порта 22 если у вас есть рутовые полномочия на сервере, однако преимущественное большинство серверов принимают почту именно на порту 25 (по этому выглядит как-то так: ВашСервер.com:любой порт -> google.com:25), это предусмотрено разными стандартами и.т.п.... по этому исходящий порт роли не играет, а вот подключится куда бы то ни было на 25й порт... вроде бы как возможности быть не должно, стало быть отправить почту на нормальный почтовый сервер так же не должно быть возможности, но какой-то прикол таки поселился... вот гадаю сижу.

https://en.wikipedia.org/wiki/Opportunistic_TLS#SSL_ports

Вам все правильно сказали, отправлять почту можно в т.ч. через SSL, для этого стандартом предусмотрены порты 465 и 587.

Да, посыпаю голову пеплом, SMTPS возможен, но это не оно....

Вскрыл одну из машинок на которую залита некая backend часть...

.jar файлик и парочка архивов, запускается бекенд на java, который строит GRE тунели с использованием внутренних адресов типа 10./8 а внутрь заворачивает судя по всему выданные мною ИП,

Тунель строится на ИП 209.170.75.27..... (*Telia), судя по всему на той стороне нет антиспуф протекшона никакого и там можно хоть от имени google рассылать пакеты? Вопрос в том , куда они возвращаются.....

На стороне машины расположенной у меня, поднят только tun0 интерфейс, а так же "основной IP", дополнительне IP просто перечислены в одном из конфигов этого ПО.... я так понимаю происходит некое асинхронное хождение трафика что ли ? Какой-то чувак поворачивает мои ИП адреса в Telia, при этом откуда-то (может и не из Telia) шлет почту от моих адресов (спуф я так понимаю) а возврат может быть даже каким-то образом и обрабатывает в этом java backend....

---------- Добавлено 19.05.2016 в 03:15 ----------

Интересная штука, внутри тунеля GRE происходит общение.....

---------- Добавлено 19.05.2016 в 04:22 ----------

Судя по всему, все оказывается достаточно просто, люди стоят GRE тунель и на дальней стороне от меня поднимают мои ИП адреса, а оттуда шлют как бы спам как положено.... Тут даже spoof не нужен, так что ли получается?

Как не подменяй на дальней стороне IP, хост принимающий почту запишет в received реальный IP сервера, который ему передал почту.

Другое дело что есть глупые RBL, которые пихают все received, но тут уже такое дело...

SpamCop обычный....

Так если провайдер например разрешает любые IP на исход... ничего не мешает человеку поднять на интерфейсе по сути любой адрес и с него слать.... возврат будет в оригинальное место конечно....

Я таким образом тестировал как-то у себя, пингал от имени 8.8.8.8 себя :))) забавно :)

В общем пока понятно что есть GRE тунель и в нем происходит спам на второй стороне, подрезал GRE, жду реакции ;)

Какая-то нереально сложная схема ради простого спама, только чтобы обойти ваши ограничения на SMTP ? Может там ddos-или раньше еще и в этом их главная цель.

Так им не все ли равно каким способом туннель поднять ? Поднимут openvpn значит, снова будет спам .

Тут ARIN надо закрывать. В Прогрессивной Европе ( в юрисдикции RIPE) все зарегулировано и магистральные провайдеры действительно серьезнее подходят к трафику. А про ARIN периодически всплывают всякие такие заметки.

Может, как-то договориться с сетевиками по этой конкретной проблеме ?

В том то и дело, что кроме спама пока ничего.

В принципе да конечно, но тогда будет Cancel ;)

Не совсем понял при чем тут ARIN...

С какими сетевиками?

С каким-нибудь. Такой трафик не должен проходить. У каждого ошибочного пакета есть поля Имя Отчество и Фамилия.