Dotaz: Firewall nepropusti sluzbu SMTP

[Pan Tau]

Dobrej,

mam a big problem a chtel bych vas pozadat o konzultace

jaky je problem? Firewall zaboha nepropusti postu (z internetu do LAN - opacne no problem)...

Nejak ve strucnosti popisu schema:

Internet---ADSL Modem/Router----Firewall1----WWW/Mail brana/DNS---Firewall2---LAN

na Firewallu1 mam (krom jineho, coz funguje v poradku):

iptables -A FORWARD -p TCP --dport 25 -j ACCEPT
iptables -A FORWARD -p TCP --sport 25 -j ACCEPT

(zakladni politika je vsude DROP)

jak rikam: posta ven OK; posta dovnitr NEE v logu FORWARD se pise, ze to zahodil, ale proc, kdyz je to povoleny? ...

predem diiiiks

PT

Odpovědi

[VícNežNic]

Možná melu blbosti, moc tomu nerozumím, ale musí být zdrojový port vždy 25? Když se odstraní ten --sport 25 tak to funguje ?

Nebo (opět velké možná) to ničí nějaké jiné pravidlo výše?

[Pan Tau]

jine pravidlo to nicit nemuze - pac jsem v zacatcich a jedine co mam povolene je HTTP a SMTP (vse je OK az natu zatracenou postu) -- zdrojovy port 25? SMTP ho takovy prece ma?

[VícNežNic]

Naslouchá na 25, ale nevím jestli musí odesílatel také nezbytně odesílat z 25. Takže bych osobně vyzkoušel odstranit to --sport 25.

[VícNežNic]

Tak ne, čtu a chápu to celou dobu blbě, omlouvám se. No, je možné poslat celou FORWARD část firewall?

[Michal Marek (twofish)]

IMHO klient nemusí používat zdrojový port 25 a taky nemůže, protože a) ten mail může odesílat proces, který nemá a ani neměl roota aby se bindnul na port 25 (třeba to nemusí být ani MTA, ale MUA s podporou SMTP spuštěný běžným uživatelem), b) port 25 už používá "poslouchající" část toho MTA.

Snad jsem to popsal pochopitelně.

Ale proč to nefunguje nevím, asi zkuste poslat zbytek těch pravidel.

[Olda Plchot]

A co treba napred to PREROUTING pridat neco jako

iptables -t nat -A PREROUTING -p tcp -d sitovka_do_netu --dport 25 -j DNAT --to ip_pocitace_se_SMTP

a potom do FORWARD

iptables -A FORWARD -i sitovka_do_netu -o sitovka_do_LAN -p tcp -d adresa_pocitace_se_SMTP --dport 25 -j ACCEPT

Predpokladam, ze kdyz chcete propustit smtp do LANU, tak vam tam nekde bezi smtp server, tzn potrebujete presmerovat smtp z firewallu sem.

No snad jsem to nespletl

OLDA

[Pan Tau]

no ani takhle to nechodi - ja to se to budu snazit nejak sesumirovat (trosku detailneji) a poslu to sem co nejrychlejc, pac me to dost trapi a casu je ukrutne malo...

[ff]

co je dnat?

[MMMMMMMMM]

http://cs.wikipedia.org/wiki/Network_address_translation

[petr]

co tohle?

$IPTABLES -A INPUT -p TCP -i $INETDEV --dport 25 -j ACCEPT

$INETDEV = verejne rozhrani

[Petr Šobáň]

Musíš tam mět pouze pravidlo:

iptables -A FORWARD -p TCP --dport 25 -j ACCEPT

A pak tam taky musíš mít pravidlo které povolí průchod už navázaným spojením.

iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

Co takhle si nastudovat Seriál Stavíme firewall

A máš povolen vůbec forward v kernelu ?