Comments on E-arquitectura: El Sillón de Don Otto y la Neutralidad de la Red

Bueno, al menos GTD-Manquehue no bloquea el puerto...

2008-06-30T21:42:00.000-04:00

Bueno, al menos GTD-Manquehue no bloquea el puerto 587 TCP y configurar un MTA para que acepte peticiones ahí es trivial.

Ahora bien, deberían haber avisado del bloqueo pero es una práctica habitual en los ISP, justificada en buena medida por razones ya descritas anteriormente. Gmail hace lo mismo también...

Hola MAZ,

aclarando por qué dije que no est...

2008-06-26T04:25:00.000-04:00

Hola MAZ,

aclarando por qué dije que no estaba de acuerdo, es porque al menos yo interpreté que sugerías que ningún ISP bloquee el puerto 25 de salida para sus clientes. Puede que mi interpretación no sea correcta, y en ese caso estaríamos de acuerdo. De todas maneras hace falta mayor difusión.

Ahora mismo, estoy en la ESO en alemania, y tienen bloqueados los puertos 25 y 465 de salida. Pero dejan abierto el 587, que es el standard para envío de mensajes. El problema es que de mis proveedores, solamente uno (que manejo yo mismo, pero en estos momentos no está disponible por problemas de red) tiene habilitado el servicio de envío de mensajes por el puerto 587.

Disculpa por el offtopic, pero me llamó la atenció...

2008-06-25T18:07:00.000-04:00

Disculpa por el offtopic, pero me llamó la atención el tema de los Don Otto en Chile.
Y lo bien que encaja este personaje en los problemas históricos ( drogas, delincuencia, educación, salud, crisis de representatividad ) que tiene el país.

Saludos

@micronauta, @Mig e @Isa: Gracias por sus comentar...

2008-06-25T12:20:00.000-04:00

@micronauta, @Mig e @Isa: Gracias por sus comentarios.

@Jens: Gracias por el tiempo invertido y explicar varios temas técnicos en los cuales no me quise meter en el artículo, y que de partida, deberían ser parte de una política de difusión y capacitación hacia el mercado.

Pero no veo el por qué partes tu comentario, expresando que estás en desacuerdo con lo que planteo con el artículo. Más bien reafirmas varios de los conceptos que expreso.

De hecho, con la respuesta que le voy a dar a @Walala quedará más claro. Por supuesto que estoy de acuerdo con el tema de autenticación de clientes y las recomendaciones que planteas.

Pero como parte de una política de servicio ordenada, informada y clara.

@Walala: Todos los servidores de correo que utilizo tienen autenticación y no soportan Open Relay. De hecho (y aprovecho de contestar la preocupación de Jens) los servidores que utilizo SI la aplican, pero en diversas formas (como todo en Internet, hay más de una forma). El punto es (por lo que averigué esta mañana, ya que todavía tenía algunos problemas con un par de servidores), es que el bloqueo es a nivel de IPs.

Y eso se contradice con el uso de otros protocolos o mecanismos de autenticación. Y eso es definitivamente una mala implementación.

En cualquier caso, siguen siendo válidos mis comentarios de que la forma de implementación y el modelo de servicio a clientes en modalidad Opt Out en forma desinformada, es pésima, y que por otro lado, es una solución para el tema del SPAM vendiendo el sillón de Don Otto (al menos en parte). :-)

En este caso, mi rol como cliente es por lo menos exigir un buen nivel de servicio.

el 70% de los mensajes que recibe mi servidor de c...

2008-06-25T09:54:00.000-04:00

el 70% de los mensajes que recibe mi servidor de correo son spam. de esos spams, cerca de la mitad es de produccion nacional, generado por computadores domiciliarios que corren programitas para mandar mails masivos a bases de datos de correos. los isp deben tomar medidas, y tomarlas ya.

por otro lado, si tu server de correo de tu empresa no está usando autenticacion, y estás mandando correos desde tu casa, eres openrelay, probablemente tambien te usen para mandar spam y termines bloqueado.

Estimado MAZ, en este caso no estoy de acuerdo con...

2008-06-25T05:33:00.000-04:00

Estimado MAZ, en este caso no estoy de acuerdo contigo. Creo que el tema es bastante más complejo, y lo estás viendo únicamente desde tu punto de vista.

Primero que nada, coincido en que el cliente debiera estar claramente informado cuáles son las restricciones de acceso (las reglas que se usan para filtrar).

Por otra parte, está el problema de que se use el mismo puerto (el 25) para dos servicios que son diferentes en su naturaleza. Me explico. Para enviar un mail en general hay al menos 2 pasos. Primero, el cliente de correo le entrega el mensaje a su servidor "de salida". En el segundo paso, este servidor de salida se encarga de buscar el destino final o uno intermedio, reintentar si fuese necesario, y entregar el mensaje al siguiente paso en el camino. Finalmente debiera llegar al destino, que es el servidor que lo almacena hasta que el destinatario del mail se lo pida para verlo.

El problema con SMTP es que para ambos pasos (enviar desde el cliente al servidor de salida, y luego entre los servidores) se usa el mismo protocolo y por ende el mismo puerto. Pero los servicios son diferentes, ya que por ejemplo en el primer paso tiene sentido autenticar al cliente que hace el envío. En cambio, si bien es posible pensar en autenticación en el segundo paso, tiene consecuencias que finalmente harían del correo una herramienta menos poderosa y posiblemente controlada por los "grandes" proveedores.

Desde el año 1998 existe la habilitación del puerto 587 (submission), que se debiera utilizar para el envío desde un cliente hacia el servidor, y que un ISP no debiera tener que bloquear. Es básicamente el mismo protocolo que el puerto 25, pero funciona en otro puerto y siempre se utiliza un mecanismo de autenticación previo a que el servidor acepte un mensaje por parte del cliente (actúe como "relay").

También está la posibilidad de que un ISP permita que, previa autenticación, un cliente suyo envíe correos con cualquier header "From". De hecho, la gran mayoría de los spambots dejan de funcionar cuando se agrega autenticación. Y si algún spambot tiene acceso a los datos para autenticarse, se puede identificar la cuenta y denegarle el acceso hasta corregir el problema.

La alternativa de proxying transparente no es muy recomendable, porque hace que todo el tema quede aún más oscuro y difícil de manejar. Es mejor que si se restringe se haga de una vez y abiertamente, y que existan las alternativas.

En resumen, bloquear el puerto 25 puede ser razonable, siempre y cuando se cumplan algunas condiciones:

1. que se informe adecuadamente
2. que se use autenticación para enviar mails desde los clientes del ISP (permitir relay en base al número IP hace que el filtrado no sirva de nada). Alternativamente puede ser cómodo que los ISPs permitan relay para todas las redes internas con usuario @el.isp pero requiera autenticación para otros "From".
3. que no se filtre el servicio SMTP en el puerto 587 (en algunos casos se usa también el 465, pero ese también se puede utilizar entre servidores, y la autenticación es opcional), que se usa justamente para lo que tú necesitas.

Atenta contra la neutralidad de la red? Pues en estricto rigor, si. Pero mientras se cumpla con informar abiertamente lo que se está bloqueando, así como las razones, alternativas y excepciones, los usuarios pueden tomar decisiones informadas como por ejemplo, utilizar el puerto 587, que es lo que te debieran haber dicho en tu ISP en lugar de recomendar que usaras el correo que ellos proveen.

Personalmente no veo que, bajo las condiciones puestas, bloquear ese puerto particular atente contra el proyecto de ley de neutralidad de la red que se discute en el congreso. Probablemente se deba permitir alguna forma, ojalá automática, para que un usuario pueda solicitar el no bloqueo de su salida por el puerto 25, asumiendo la responsabilidad, que no es poca. Probablemente también tenga sentido que en esos casos la dirección IP asignada sea fija. Pero sigue siendo un problema que las listas negras de spam incluyan subredes completas en la lista cuando se identifica que un número IP es utilizado para enviar spam. Aquí hay un compromiso entre poder entregar un servicio adecuado (tanto el servicio de correo para los usuarios del ISP, como evitar que la subred donde se encuentran todos los que tienen libre acceso al puerto de salida 25 caiga en listas negras), y evitar cualquier tipo de filtrado.

uffff,

odio llamar por temas tecnicos a mi ...

2008-06-25T01:57:00.000-04:00

uffff,

odio llamar por temas tecnicos a mi ISP por que muchas veces el que esa al otro lado no tiene idea de que le estoy hablando.

Si lo que les preocupa es el spam y salir en listas negras, por que no usan soluciones tipo "proxy trasparente" que haga ese chequeo? Ahhh, verdad que sale mas barato cerrarlos y listo.

GTD bloqueo hace como un mes el puerto 25...

2008-06-24T15:22:00.000-04:00
GTD bloqueo hace como un mes el puerto 25...

:-(

Si, creen que uno es wn.

Te puedo contar q...

2008-06-24T13:35:00.000-04:00

Si, creen que uno es wn.

Te puedo contar que ni en Clarochile (WCDMA) ni en Telefónica (ADSL) ni en VTR (cable), que son los tres proveedores de acceso que uso habitualmente, he tenido problemas con SMTP.