Dotaz: Blokace Spamu z vnitřní sítě.

[gelehed]

Dobrý den, řeším teď problém, který se tu již diskutoval. Mám problém se spamery z vnitřní sítě, kteří využívají vlastní smtp servery. Popíšu situaci: Mám 2 servery. 1 jako Gateway s lokální ip 10.1.1.1 a verejnou 2.2.2.2 a SMTP server (Postfix,ClamAV,Spamassassin) na lokální ip 10.2.2.2 a verejné 3.3.3.3. Teoreticky je mě jasné, že musím na Gateway zakázat veškerý provoz na portu 25 a povolit jen svuj SMTP. Pokud toto udělám, tak sice port zakážu, ale poštu neodešlu přes vlastní smtp server. Mohli byste mi poradit jak toto udělat. Já zkoušel něco takového.

# Assume MTA on the gateway box, nothing from the LAN needs to contact
# the world on port 25 directly.

# Log packets trying to cross the interfaces.
iptables -A FORWARD -p tcp --dport 25 -j LOG

# Drop those packets
iptables -A FORWARD -p tcp --dport 25 -j DROP

# Assume MTA is inside the NAT and needs to be able to talk to the
# world, but not receive.

# Fill in this field
IP_OF_MTA_HOST1=10.2.2.2
IP_OF_MTA_HOST2=3.3.3.3
iptables -A FORWARD -p tcp -s $IP_OF_MTA_HOST1 --dport 25 -j ACCEPT
iptables -A FORWARD -p tcp -s $IP_OF_MTA_HOST2 --dport 25 -j ACCEPT

Děkuji za pomoc.

Odpovědi

[ZAH]

Myslím že postačí přehodit pořadí pravidel napřes ten ACCEPT potom DROP

[gelehed]

Takže chybu jsem našel. Když jsem si tracoval od klienta mail.smtpserver.cz tak to šlo

klient----mujGW----SMTP

Potřeboval bych teda pravidla aby veškerý provoz ktery přišel na moji GW byl zakázán a propustil jen ty ktere maji cilovou adresu mail.smtpserver.cz a lokalni 10.2.2.2. Díky za rady.

[gelehed]

Takže chybu jsem našel. Když jsem si tracoval od klienta mail.smtpserver.cz tak to šlo

klient----mujGW----SMTP

Potřeboval bych teda pravidla aby veškerý provoz ktery přišel na moji GW byl zakázán a propustil jen ty ktere maji cilovou adresu mail.smtpserver.cz a lokalni 10.2.2.2. Díky za rady.

[Petr Šobáň]

# Drop those packets
iptables -A FORWARD -p tcp --dport 25 -j DROP
iptables -A INPUT -p tcp --dport 25 -j DROP
iptables -A OUTPUT -p tcp --dport 25 -j DROP

# Fill in this field
IP_OF_MTA_HOST1=10.2.2.2
IP_OF_MTA_HOST2=3.3.3.3
iptables -A FORWARD -p tcp -d $IP_OF_MTA_HOST1 --dport 25 -j ACCEPT
iptables -A FORWARD -p tcp -d $IP_OF_MTA_HOST2 --dport 25 -j ACCEPT

[gelehed]

Taky ne :( Poslání zprávy selhalo....

[Petr Šobáň]

A z jakého PC ? S jakou IP ? Jaké pravidla tam máte, kde se to zasekne....

Jinak menší chybička samozřejmě nejdříve musíte povolit a potom co projde dál zakázat, Na pořadí záleží

# Fill in this field
IP_OF_MTA_HOST1=10.2.2.2
IP_OF_MTA_HOST2=3.3.3.3
iptables -A FORWARD -p tcp -d $IP_OF_MTA_HOST1 --dport 25 -j ACCEPT
iptables -A FORWARD -p tcp -d $IP_OF_MTA_HOST2 --dport 25 -j ACCEPT
iptables -A FORWARD -p tcp --dport 25 -j DROP

[gelehed]

Moc díky, takto to funguje. Jsem už z toho zmatený, že ani nevím co dělám... :( Ještě jednou díky.

[Petr Šobáň]

Já jsem si to taky hned neuvědomil.....

[tezkatlipoka]

proc posilas maily pres gateway, kdyz tvuj smtp ma svoji verejnou adresu? Tezko si to predstavuju jak to mas. Jinak zalezi na poradi pravidel, takze paket se pozuje podle prvniho pravidla kteremu vyhovaji, a na dalsi pravidla uz se nedostane, takze nemuzes nejdrive vsechno zakazat, a pak jednu adresu povolit, ale obracene.

[gelehed]

Ja chci samozrejme aby vsichni z lokalni site posilali postu pres muj SMTP, ale viry a podobna havet odesilaji spamy ze site pod IP adresou pod kterou vystupuji na internetu a to je IP GATEWAYe.

[gelehed]

Tak povedlo se me ze pokud u klienta dam lokalni ip smtp serveru, tak postu odesle. Ale pokud tam ma mail.smtpserver.cz tak email neodesle i kdyz je stejne povoleny jako lokalni ip :(

[gelehed]

Abych se priznal, tak nechapu proc to nefunguje. Protoze provoz smtp jde

klient----smtp server----GW od ISP 

a data jdou

 klient----MUJ GW----GW od ISP 

Coz znamena ze provoz smtp vubec nema jit pres moji GW, ale stejne kdyz zakazuj port 25 na GW a u klientu nastavim mail.smtpserver.cz tak to nefici. Velice nelogicke, nekde bude bota.

[Petr Šobáň]

Nějak nechápu co je za problém.

FORWARD zakaž port 25 vše, na tom stroji nemá co procházet port 25.

No a potom povol INPUT z rozsahu tvých IP na tvůj SMTP.

iptables -A INPUT -p tcp -s tvůj_rozsah_ip -d IP_tveho_SMTP --dport 25 -j ACCEPT

A povol odchozi spojení pouze z tveho SMTP

iptables -A OUTPUT -p tcp -s tvuj_SMTP --dport 25 -j ACCEPT

Samozřejmě toto je na tom SMTP ve firewallu.

Pokud máš někde na cestě firewall no tak tam zakaž FORWARD portu 25 a povol pouze na tvuj smtp.

# Drop those packets
iptables -A FORWARD -p tcp --dport 25 -j DROP

# Fill in this field
IP_OF_MTA_HOST1=10.2.2.2
IP_OF_MTA_HOST2=3.3.3.3
iptables -A FORWARD -p tcp -d $IP_OF_MTA_HOST1 --dport 25 -j ACCEPT
iptables -A FORWARD -p tcp -d $IP_OF_MTA_HOST2 --dport 25 -j ACCEPT

[gelehed]

Já tam problém taky nevidím, ale prostě to nefunguje. Když klient použije 3.3.3.3(verejna ip smtp server), tak data tecou klient-MUJGW-SMTP server - GW ISP Takže mi stačí snad dát na mojem GW aby zakázal 25ku a povolil jen ip které prochází na IP mého SMTP. Takže:

#LOGOVAT port 25
iptables -A FORWARD -p tcp --dport 25 -j LOG
#ZAKAZAT PRUCHOZI 25
iptables -A FORWARD -p tcp --dport 25 -j DROP
#POVOLIT JEN PRUCHOD PRO MUJ SMTP
IP_OF_MTA_HOST1=10.2.2.2
IP_OF_MTA_HOST2=3.3.3.3
iptables -A FORWARD -p tcp -d $IP_OF_MTA_HOST1 --dport 25 -j ACCEPT
iptables -A FORWARD -p tcp -d $IP_OF_MTA_HOST2 --dport 25 -j ACCEPT

Může to takto být?

[svaca]

Nejlepsi bude kdyz to udelas takto:

Rekneme, ze NIC nechces forwardowd do vnitrni site ... Zajma nas pouze cesta ven:

takze celkovy zapis forward bude vypadat takto:

#Pravidla
iptables -P FORWARD DROP

# Povolene sluzby z LAN do NETU
iptables -A FORWARD -o ${WAN} -p tcp --dport 21 -j ACCEPT
iptables -A FORWARD -o ${WAN} -p tcp --dport 143 -j ACCEPT
iptables -A FORWARD -o ${WAN} -p tcp --dport 110 -j ACCEPT
iptables -A FORWARD -o ${WAN} -p tcp --dport 995 -j ACCEPT
iptables -A FORWARD -o ${WAN} -p tcp --dport 993 -j ACCEPT
iptables -A FORWARD -o ${WAN} -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -o ${WAN} -p tcp --dport 5190 -j ACCEPT
iptables -A FORWARD -o ${WAN} -p tcp --dport 5222 -j ACCEPT
iptables -A FORWARD -o ${WAN} -p udp --dport 5222 -j ACCEPT

iptables -A FORWARD -o ${WAN} -p icmp --icmp-type echo-request -j ACCEPT
iptables -A FORWARD -i ${LAN} -o ${WAN} -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m limit --limit 12/h -j LOG --log-prefix "forward drop: "
iptables -A FORWARD -o ${WAN} -j DROP

toto je CELY zapis pro forward ... TZN, pri tomto zapisu NENI mozne pouzit zadne sluzby (jen ty co jsou vypsane) a NENI mozne NIJAK komunikovat na portu 25 .... do internetu ...

[svaca]

Jo a jeste to toho meho dopis:

iptables -A FORWARD -s 10.2.2.2 -o ${WAN} -j ACCEPT

dopis to do toho prnviho sloupce nakonec ...

jeste jedna rada ..

Pokud mas sit a na ni klienty za natem + na stejne siti mas SMTP server, tak VZDY blokuj port 25 !!!!

Jinak si zadelavas na problemy ... Protoze az bude nejaky zkurveny windows zavirovany, a bude spamovat, tak semozrejme zablokujou, spamcop a pod zluzby, TVUJ SMTP ..

[svaca]

tento zapis je blbe ... pravidla jsou obracene ...

[svaca]

Mslim MINULY prispevek, ne ten muj ..