Invio SMTP in uscita su porta 25 bloccato dopo cambio sottoscrizione, nonostante NSG consentente

Question

Invio SMTP in uscita su porta 25 bloccato dopo cambio sottoscrizione, nonostante NSG consentente

Domenico Console 20

Salve,

dopo aver trasferito le risorse su una nuova sottoscrizione Azure, non è più possibile inviare email dalla VM tramite SMTP sulla porta 25.

Dalla VM, le connessioni TCP verso la porta 25 falliscono anche effettuando test verso server pubblici (ad esempio gmail-smtp-in.l.google.com:25), mentre le connessioni in uscita su altre porte (come 443) funzionano correttamente.

Le regole di sicurezza in uscita del Network Security Group consentono il traffico verso Internet e non risultano presenti route table o firewall che blocchino la porta 25. Inoltre, la diagnostica di Azure per la connettività SMTP in uscita non segnala alcun problema di configurazione.

Prima del cambio di sottoscrizione (da Microsoft Action Pack a Successo per il Business), l’invio delle email dalla stessa VM funzionava regolarmente.

È possibile che l’invio SMTP in uscita sulla porta 25 sia bloccato a livello di piattaforma per questo tipo di sottoscrizione? In tal caso, potreste confermare qual è l’approccio supportato da Azure per l’invio di email applicative da VM in questa situazione?

Grazie per il supporto.

0 commenti

Risposta accettata dall'autore della domanda

0 risposte aggiuntive

Risposta

Answer 1

Ravi Varma Mudduluru 12,625 Personale Esterno Microsoft Moderatore

Sto traducendo le risposte dall'inglese, quindi vi prego di scusare eventuali errori grammaticali.

Hello @ Domenico Console,

Benvenuti sulla piattaforma Microsoft Q&A. Grazie per averci contattato e speriamo che stiate bene.

Azure non consente il traffico SMTP in uscita sulla porta 25 dalla maggior parte dei servizi Azure, e questa restrizione si applica a molti tipi di abbonamento per proteggere la reputazione IP globale delle risorse Azure.

Il metodo consigliato per inviare e-mail da macchine virtuali Azure o da Azure App Service è utilizzare un servizio di inoltro SMTP autenticato, che opera sulla porta TCP 587.

Follow the Recommended method of sending email from Azure VM User's image

Immagine dell'utente

Azure Communication Services offre un endpoint di inoltro SMTP autenticato.

Questi servizi contribuiscono a preservare la reputazione IP, essenziale per una consegna affidabile delle e-mail. Azure Communication Services fornisce un servizio di inoltro SMTP autenticato che potete utilizzare e, se necessitate di una maggiore velocità di trasmissione, potete richiedere l'aumento dei limiti tramite una richiesta di supporto. L'invio di e-mail tramite SMTP autenticato sulla porta 587 è completamente supportato e non soggetto a restrizioni in Azure per nessun tipo di abbonamento.

Riferimento: Azure Communication Services and authenticated SMTP relay service.

Vi preghiamo di farci sapere se le informazioni fornite sono utili o se avete bisogno di ulteriore assistenza.

Se le informazioni sono state utili, vi preghiamo di "Accettare" la risposta. Questo aiuterà noi e gli altri utenti della community.

Domenico Console 20 Punti di reputazione

2025-12-17T21:15:24.6333333+00:00

Grazie per la risposta e per le informazioni fornite.
Salve @ Domenico Console

Desidero però aggiungere un contesto importante. Da diversi anni utilizziamo con successo l’invio di email direttamente dalla VM Azure quando eravamo su Microsoft Action Pack (sottoscrizione non più disponibile da quest’anno). L’IP associato all’invio ha una reputazione consolidata, costruita nel tempo, senza segnalazioni di abuso o problemi di spam.

Il recente passaggio alla sottoscrizione “Successo per il Business”, con un costo anche superiore, si sta purtroppo trasformando in una vera e propria “Rovina per il Business”: da diversi giorni siamo completamente bloccati e tutti i siti web ospitati sulla VM non riescono più a inviare email (conferme d’ordine, comunicazioni operative, gestione quotidiana), causando danni concreti e immediati alla nostra attività.

Questa problematica non era prevista né comunicata al momento del cambio di sottoscrizione. Prima del passaggio, tutto funzionava correttamente con la stessa infrastruttura.

Comprendiamo le raccomandazioni generali sull’uso di SMTP autenticato su porta 587, ma in questo momento la nostra esigenza primaria è ripristinare quanto prima l’operatività dell’invio email, che è critica per il business.

Vi chiediamo quindi cortesemente se esiste qualsiasi possibilità di supporto, esenzione o soluzione alternativa per ripristinare l’invio della posta dalla VM, tenendo conto della nostra storicità, della reputazione IP e dell’impatto economico che stiamo subendo.

Grazie per l’attenzione e per qualsiasi ulteriore supporto possiate fornirci.
Ravi Varma Mudduluru 12,625 Punti di reputazione Personale Esterno Microsoft Moderatore

2025-12-17T21:41:23.6166667+00:00

Salve @ Domenico Console

Grazie per aver fornito un contesto dettagliato e per aver spiegato l'impatto di questo problema sulla vostra attività. Comprendo quanto sia importante la consegna ininterrotta delle e-mail per le conferme d'ordine, le comunicazioni con i clienti e le vostre operazioni quotidiane.

Per chiarire, il problema è dovuto a una restrizione a livello di piattaforma di Azure sul traffico SMTP in uscita sulla porta 25. Il vostro precedente abbonamento consentiva questa operazione grazie a permessi preesistenti, ma il nuovo tipo di abbonamento applica un blocco globale e non è prevista alcuna procedura di eccezione per questa categoria.

La vostra infrastruttura, la reputazione IP e le modalità di utilizzo sono rimaste invariate: l'unica differenza è la classificazione dell'abbonamento. Il blocco è una misura standard di protezione della piattaforma e non è correlato alla vostra reputazione IP.

Considerando la vostra necessità di continuità operativa, la soluzione più affidabile e supportata da Azure per ripristinare l'invio delle e-mail è la seguente:

Per aggirare la restrizione sulla porta 25 e proteggere la reputazione del vostro dominio, utilizzate un relay SMTP autenticato sulla porta 587.

Le opzioni consigliate includono Azure Communication Services, il relay SMTP Auth di Microsoft 365 o provider di terze parti come SendGrid, Mailgun o SMTP2GO. Queste soluzioni supportano SPF, DKIM e DMARC, mantengono l'identità del mittente e richiedono solo una modifica all'endpoint del relay nella vostra applicazione.

Attualmente, Azure applica un blocco in uscita sulla porta SMTP 25 per il vostro tipo di abbonamento. Non sono disponibili esenzioni o sblocchi manuali, indipendentemente dalla reputazione IP o dall'utilizzo precedente. Si tratta di una policy globale che interessa tutti gli abbonamenti più recenti o riclassificati e non è correlata allo stato del vostro account o alla cronologia di invio.

Si prega di notare che questo blocco è una misura di sicurezza standard della piattaforma e non riflette alcun problema con il vostro indirizzo IP o le vostre pratiche di invio.

Se la risposta è utile, fate clic su "Accetta risposta" e votatela positivamente. Per ulteriori domande su questa risposta, fate clic su "Commenta".