Contents

Introdução

Pré-requisitos

Requisitos

Verifique se uma regra de acesso TCPREFUSE ou REJECT está funcionando

Problema

Causa

Resolução

Pré-requisitos e limitações

Verificar com logs de e-mail

Resultado esperado

Verificar com captura de pacote

Resultado esperado

Informações Relacionadas

Resumo da comparação

Summary

Introdução

Este documento descreve como verificar se uma regra de acesso do Cisco Email Security Appliance (ESA) está operando como TCPREFUSE ou REJECT.

Pré-requisitos

Requisitos

- Dispositivo de segurança de e-mail (ESA) da Cisco

- Todas as versões do AsyncOS

Verifique se uma regra de acesso TCPREFUSE ou REJECT está funcionando

Use os logs de correio ou uma captura de pacote para confirmar o comportamento. REJECT retorna uma resposta 5XX SMTP ao MTA (Agente de Transferência de Mensagens) remoto. TCPREFUSE redefine a conexão enviando um pacote RST, ACK.

Problema

A confirmação é necessária para determinar se uma regra de acesso à Política de Fluxo de E-mail BLOQUEADO está operando como TCPREFUSE ou REJECT.

Causa

TCPREFUSE e REJECT são os dois comportamentos de conexão normalmente associados à Política de fluxo de e-mail bloqueado. REJECT bloqueia mensagens de um host remoto com uma notificação, também chamada de devolução forçada. TCPREFUSE desconecta a conexão.

Resolução

Utilize um destes métodos de verificação:

- Revise os logs de e-mail para confirmar se a regra foi disparada. Os logs de e-mail contêm entradas para TCPREFUSE somente quando o log de conexão detalhada está habilitado.

- Use um analisador de protocolo, como tcpdump, para monitorar a conversação no nível do pacote.

Pré-requisitos e limitações

- O log de conexão detalhado deve ser habilitado para registrar entradas TCPREFUSE nos logs de email.

- A captura de pacotes verifica a conversação da rede, mas não substitui a revisão do registro de e-mail.

Verificar com logs de e-mail

1. Examine os logs de email da tentativa de conexão do MTA (Agente de Transferência de Mensagens) remoto.

2. Confirme se a entrada log mostra TCPREFUSE ou REJECT.

Resultado esperado

As entradas do log de e-mail confirmam que a regra de acesso foi aplicada. Para TCPREFUSE, as entradas só aparecem quando o registro de conexão detalhado está habilitado.

Verificar com captura de pacote

1. Execute o comando tcpdump para capturar a conversação SMTP (Simple Mail Transfer Protocol).

2. Revise o fluxo do pacote e compare o resultado com o comportamento esperado para REJECT e TCPREFUSE.

Resultado esperado

REJECT retorna uma resposta SMTP 5XX. TCPREFUSE redefine a conexão enviando um pacote RST, ACK.

Informações Relacionadas

Consultar.

Note: Uma devolução forçada é uma rejeição SMTP permanente retornada ao sistema de envio. O registro detalhado de conexões registra detalhes adicionais de conexões nos logs de e-mail.

Resumo da comparação

REJEITAR o fluxo de pacotes entre o ESA e o Agente de Transferência de Mensagem (MTA) remoto:

SYN

Remote MTA -----------> ESA

SYN, ACK

ESA -----------> Remote MTA

ACK

Remote MTA -----------> ESA

5XX Code

ESA -----------> Remote MTA

FIN, ACK

ESA -----------> Remote MTA

ACK

Remote MTA -----------> ESA

FIN, ACK

Remote MTA -----------> ESA

ACK

ESA -----------> Remote MTA

Fluxo de pacotes TCPREFUSE entre o ESA e o MTA remoto:

SYN

Remote MTA -----------> ESA

SYN, ACK

ESA -----------> Remote MTA

ACK

Remote MTA -----------> ESA

RST, ACK

ESA -----------> Remote MTA

Summary

- REJECT: Retorna uma resposta SMTP 5XX e fecha a sessão.

- TCPREFUSE: Redefine a conexão enviando um pacote RST, ACK.