TCPREFUSEまたはREJECTアクセスルールがESAで機能しているかどうかの確認

問題

BLOCKED Mail Flow PolicyアクセスルールがTCPREFUSEまたはREJECTとして動作しているかどうかを確認する必要があります。

原因

TCPREFUSEとREJECTは、通常はBLOCKED Mail Flow Policyに関連付けられる2つの接続動作です。REJECTは、ハードバウンスとも呼ばれる通知を使用してリモートホストからのメッセージをブロックします。TCPREFUSEは接続をドロップします。

解決策

次のいずれかの検証方法を使用します。

• メールログを調べて、ルールがトリガーされたことを確認します。メールログにTCPREFUSEのエントリが含まれるのは、詳細接続ロギングが有効な場合だけです。
• tcpdumpなどのプロトコルアナライザを使用して、パケットレベルでカンバセーションを監視します。

前提条件と制限事項

• TCPREFUSEエントリをメールログに記録するには、詳細接続ロギングを有効にする必要があります。
• パケットキャプチャはネットワーク通信を確認しますが、メールログレビューを置き換えるものではありません。

メールログによる確認

1. リモートのMessage Transfer Agent(MTA)からの接続の試行に関するメールログを確認します。
2. ログエントリにTCPREFUSEとREJECTのどちらが表示されているかを確認します。

予想される結果

メールログエントリにより、アクセスルールが適用されたことが確認されます。TCPREFUSEの場合、エントリは詳細接続ロギングが有効な場合にのみ表示されます。

パケットキャプチャによる確認

1. tcpdumpコマンドを実行して、Simple Mail Transfer Protocol(SMTP)メッセージ交換をキャプチャします。
2. パケットフローをレビューし、その結果をREJECTおよびTCPREFUSEに対して予想される動作と比較します。

予想される結果

REJECTは、5XX SMTP応答を返します。TCPREFUSEは、RST、ACKパケットを送信して接続をリセットします。

関連情報

を参照。

注：ハードバウンスは、送信側システムに返される永続的なSMTP拒否です。詳細な接続ログは、追加の接続の詳細をメールログに記録します。

比較サマリー

ESAとリモートMessage Transfer Agent(MTA)間のパケットフローの拒否：

SYN
Remote MTA -----------> ESA
SYN, ACK
ESA -----------> Remote MTA
ACK
Remote MTA -----------> ESA
5XX Code
ESA -----------> Remote MTA
FIN, ACK
ESA -----------> Remote MTA
ACK
Remote MTA -----------> ESA
FIN, ACK
Remote MTA -----------> ESA
ACK
ESA -----------> Remote MTA

ESAとリモートMTAの間のTCPREFUSEパケットフロー：

SYN
Remote MTA -----------> ESA
SYN, ACK
ESA -----------> Remote MTA
ACK
Remote MTA -----------> ESA
RST, ACK
ESA -----------> Remote MTA

要約

• REJECT: 5XX SMTP応答を返し、セッションを閉じます。
• TCPREFUSE:RST、ACKパケットを送信して接続をリセットします。