Dotaz: nekdo ze site spamuje

[Karel Borkovec]

Dobrý den. Narazil jsem na problém, někdo ze vnitřku sítě spamuje přes svůj vlastní SMTP server (zrejme maji klienti zavirovane pc a podobne). Můj SMTP server je nastaven na SASL autentifikaci, coz je v poradku... Zatim to resim tak ze jsem pomoci iptables presmeroval vse co bezi na portu 25, aby vse slo pres nas SMTP server a zamezilo to spamovani... Je to dobre reseni nebo se to resi nejak jinak? Dekuji

Odpovědi

[Petr Šobáň]

Přesně tak v forward zakázat přístup na smtp tj port 25 a povolit pouze na inputu na svůj vlastní smtp server.

A ještě nastavit ten svůj smtp server aby přijímal pouze od strojů s IP z tvé sítě a nebo pokud je správa určena pro tvůj smtp.

[Karel Borkovec]

Přesně tak v forward zakázat přístup na smtp tj port 25 a povolit pouze na inputu na svůj vlastní smtp server.

Takže jsem přidal tento řádek:

iptables -t nat -A PREROUTING -p tcp --dport 25 -j REDIRECT

A ještě nastavit ten svůj smtp server aby přijímal pouze od strojů s IP z tvé sítě a nebo pokud je správa určena pro tvůj smtp.

Potřebuji, aby se dalo posílat přes toto SMTP i zvenku po autentizaci... Takže to nastavovat nebudu...

[Karel Borkovec]

A takhle to mam blbe, protoze mi postfix neprijme zadnou postu pro nikoho z venku... Mohl by mi prosim nekdo poradit s temi iptables...

[M]

iptables -t nat -A PREROUTING -i $lan_if -s ! $lan_ip_serveru -p tcp --dport 25 -j REDIRECT

nepomohlo by? (nebo mozna jeste nejak upravit:)

[Karel Borkovec]

To je presne ono, diky!

[Karel Borkovec]

Jeste jsem narazil na jeden problem... Potreboval bych, aby se toto pravidlo NEaplikovalo u 2 IP adres... Je to mozne?

[trekker.dk]

Jasně - dát před to pravidlo, které se bude vztahovat jenom na ty dvě adresy.

Například:

iptables -t nat -A PREROUTING -i $lan_if \
  -s to.co.chces.povolit -p tcp --dport 25 -j ACCEPT

[Karel Borkovec]

Diky

[Ondřej Čečák]

Vcelku ano, zkuste zvazit, jestli neni dobry napad komunikaci ven na port 25 zakazat uplne.