<p>I beg to respectfully disagree.</p>
<p>Message submission (as opposed to message transfer) is defined in rfc4409 as being on port 587. It is true however that smtp-auth (RFC2554) does not specifically indicate which port should be used. Hence, you *can* do authentication on port 25, but it is supposed to be for transfer, not submission.</p>
<p>There is a good explanation here http://en.wikipedia.org/wiki/Simple_Mail_Transfer_Protocol#Outgoing_mail_SMTP_server</p>
<p>So, I would rather stick to standards and use 587 for submission. This is what most MUAs will do by default anyway if you define your outgoing SMTP server as requiring authentication. TLS, as defined in RFC3207, is essentially port-agnostic, and can be on 25 and/or 587.</p>
<p>However, we must realize that ISPs run a service for a population that is, in its vast majority, clueless regarding how to protect themselves and others of security threats. In this case, blocking outgoing on port 25 has proved to be effective. The 0.5% of experts will know how to work around the limitations. </p>
<p>Patrick</p>
<p> </p>
<p> </p>
<p>On Wed, 11 Nov 2009 09:51:27 +0200, Ed Tric <eduard.tric@isoc.ro> wrote:</p>
<blockquote style="border-left: 2px solid #1010ff; padding-left: 5px; margin-left: 5px; width: 100%;"><!-- html ignored --><!-- head ignored --><!-- meta ignored --> TLS adds encryption on the standard port 25 , there is no need to use other port to send securely smtp messages.<br /> We use TLS with smtp-auth on our server. The main Adsl provider Romtelecom allows outgoing messages on 25 , but some cable providers prohibit it.<br /> >From a user point of view ( having no clue about it ) it's a denial of service to block legitimate ports.<br /> Hackers can use other other posrts than 25 to install their backdors in order to send spam. Security within obscurity is never a good solution, so i concur with Marcin.<br /> Let users act as users and experts as experts. If you want users to act like experts we are going into a wrong direction:)<br /> Ed<br /> Patrick Vande Walle a écrit :
<blockquote>
<pre>Marcin,<br /><br />I concur with Franck and others. I am actually surprised the main Polish<br />ISP did not implement this earlier. <br /><br />Over here, ISPs generally accept port 25 traffic on their main outgoing<br />SMTP relay from their customers, but block SMTP traffic going outside their<br />network for residential customers. Outgoing e-mail traffic on port 587 or<br />465 goes through with no problem. <br /><br />This is the good way to block e-mail traffic generated by virus-infected<br />Windows boxes.  Anyway, most serious e-mail service providers will not<br />accept any SMTP connection from dynamic IP blocks, using lists like<br />Spamhaus PBL <a class="moz-txt-link-freetext" href="http://www.spamhaus.org/pbl/index.lasso">http://www.spamhaus.org/pbl/index.lasso</a><br /><br />I am much more concerned with ISPs blocking *incoming* connections. I know<br />of one in Belgium which blocks incoming connections to all ports below<br />1024. This prevents users from hosting their blog on a home machine, for<br />example. It is becoming realistic to do so on garden variety DSL/cable<br />connections where the return channel can be as high as 1 Mbit. <br /><br />Patrick<br /><br /><br /><br /><br />On Wed, 11 Nov 2009 02:42:34 +0000, Marcin Cieslak <a class="moz-txt-link-rfc2396E" href="mailto:saper@saper.info"></a><br />wrote:<br />  </pre>
<blockquote>
<pre>Telekomunikacja Polska - the largest broadband Internet access provider<br />    </pre>
</blockquote>
<pre>in<br />  </pre>
<blockquote>
<pre>Poland<br />(and the incumbent telecom operator) plans to block traffic outgoing on<br />the tcp/25<br />port effective December, 1st 2009. This port is used for the Simple Mail<br />Transfer<br />Protocol (SMTP) traffic.<br /><br />Mail submission (tcp/587) from RFC 4009  and SMTP over SSL (tcp/465) are<br />going<br />to be the recommended ways for their customers to send email using<br />third-party<br />SMTP relays.<br /><br />This change will affect their home (consumer) DSL access customer, <br />This will affect I think over 2 million customers.<br /><br />1. How many of providers in your region implement such a measure?<br /><br />2. If so, do customers have an option to lift the block on request for<br />their <br />access line? (Assuming customer authentication via MAC-address or PPP<br />and variants is used).<br /><br />3. How does that change influcence customers? Does that change limit<br />amount of spam being sent, and if so, to what extent?<br /><br />4. To all: Do you think local ISOC chapter should respond to blocking<br />of SMTP traffic? If yes, how?<br /><br />--Marcin<br />_______________________________________________<br />Chapter-delegates mailing list<br /><a class="moz-txt-link-abbreviated" href="mailto:Chapter-delegates@elists.isoc.org">Chapter-delegates@elists.isoc.org</a><br /><a class="moz-txt-link-freetext" href="http://elists.isoc.org/mailman/listinfo/chapter-delegates">http://elists.isoc.org/mailman/listinfo/chapter-delegates</a><br />    </pre>
</blockquote>
<pre>  </pre>
</blockquote>
<br /></blockquote>
<p> </p>
<div>
<pre>-- <br />Blog: http://patrick.vande-walle.eu<br />Twitter: http://twitter.vande-walle.eu<br />Identica: http://identica.vande-walle.eu</pre>
</div>