В кратце ситуация: имеем классический вариант - локалка фирмы, локалка провайдера и впн канал для инета от того же провайдера. В качестве шлюза стоит машина под управлением CentOS 5. Настроил впн, прописал маршруты, прописал правила в iptables, настроил маскарадинг на инет и эснат на локалку провайдера, вобщем инет в локалку фирмы раздается, из локалки фирмы видно сервера локалки провайдера и ДНСы но...Проблема: у фирмы есть почтовые доменные имена, скажем userX@firma.com, на эти ящики почта приходит без проблем. Для исходящей почты провайдер предоставляет релей smtp.provider.com (к примеру) через который почта на любой адрес отказывается уходить и аргументирует свой отказ "553 sorry, that domain isn't in my list of allowed rcpthosts (#5.7.1)"
В основном при такой ошибке сервера рекомендуют включить аутентификацию и т.д. - не помогло.
На машине с линухом стоит еще WinXP под которой если в свойствах впн соединения поставить галку "Разрешить другим пользователям использовать подключение к инету данного компьютера", то инет в локалку фирмы раздается и почта через smtp.provider.com отправляется без проблем без всякой аутентификации.
Под линухом в правилах файервола разрешены все соединения по 25 порту на адрес релея, прописан к нему маршрут... telnet соединяется с релеем по 25 порту без проблем и отвечает на команды...Вопрос: есть идеи в чем может быть проблема? Раз из под винды почта отправляется, значит нужно копать в сторону линуха, но если линух соединяется с релеем, но не отправляет почту, значит возможно релей как-то по разному реагирует на ОС?..
>[оверквотинг удален]
>данного компьютера", то инет в локалку фирмы раздается и почта через
>smtp.provider.com отправляется без проблем без всякой аутентификации.
>Под линухом в правилах файервола разрешены все соединения по 25 порту на
>адрес релея, прописан к нему маршрут... telnet соединяется с релеем по
>25 порту без проблем и отвечает на команды...
>
>Вопрос: есть идеи в чем может быть проблема? Раз из под винды
>почта отправляется, значит нужно копать в сторону линуха, но если линух
>соединяется с релеем, но не отправляет почту, значит возможно релей как-то
>по разному реагирует на ОС?..линкус точно правильно ресолвит адрес релея?
и ходит ровно на тот же адрес что и вынь?
>
>линкус точно правильно ресолвит адрес релея?
>и ходит ровно на тот же адрес что и вынь?точно, у провайдера ДНС, он же релей, он же еще куча всего и все на одном айпишнике
пробовал и по айпи обращаться - результат тот же...трейсроут до релея добивает сразу через шлюз прова, пинги идут, коннект через телнет есть...
может SNAT не прокатывает и релей ругается, потому что отправитель не в той подсети?.. подсеть фирмы 192.168.0.0/24, локалка прова в которой релей - 10.0.0.0/8
хотя tcpdump показывает что айпишник подменяется нормально...правило - IPTABLES -t nat -A POSTROUTING -p ALL -o eth0 -j SNAT --to-source $PROVIDER_IP
и еще - у провайдера стоит привязка по мак адресу на инет, но привязано не на мак линуховой машины, поэтому с помощью ifconfig подменяю адрес при старте. Под виндой тоже подменяю через диспетчер устройств... но не думаю, что это как-то влияет...
техподдержка весьма слабовата в этом вопросе
>и еще - у провайдера стоит привязка по мак адресу на инет,
>но привязано не на мак линуховой машины, поэтому с помощью ifconfig
>подменяю адрес при старте. Под виндой тоже подменяю через диспетчер устройств...
>но не думаю, что это как-то влияет...
>
>
>техподдержка весьма слабовата в этом вопросеесли доступ во вне естЬ, то мак тут не причем, пров вас пропускает...
используется ли ваш локальный МТА или почта отправляется непосредственно с МТА провайдера?
если минуя ваш - покажите логи tcpdump, где происходит nat.
>используется ли ваш локальный МТА или почта отправляется непосредственно с МТА провайдера?
>
>если минуя ваш - покажите логи tcpdump, где происходит nat.своего почтового сервера на машине с линухом нет
в свойствах почтового клиента просто прописан адрес смтп релея провайдера
лог выложу как только доберусь до места трагедии :)
>(к примеру) через который почта на любой адрес отказывается уходить и
>аргументирует свой отказ "553 sorry, that domain isn't in my list
>of allowed rcpthosts (#5.7.1)"
>Вопрос: есть идеи в чем может быть проблема? Раз из под винды
>почта отправляется, значит нужно копать в сторону линуха, но если линухПроверьте, с какого ip идет коннект к smtp провайдера. Судя по вашему описанию - идет с локального IP, а должен с vpn. Т.е. дорога до smtp провайдера должна идти через vpn.
> Проверьте, с какого ip идет коннект к smtp провайдера. Судя по
>вашему описанию - идет с локального IP, а должен с vpn.в данный момент нет доступа к пациенту :), но по памяти коннект идет с адреса, который выдал провайдер для своей локальной сети, т.е. айпишник клиентской машины из локалки фирмы (192.168.0.0/24) меняется на адрес интерфейса, смотрящего в локалку провайдера 10.101.237.27
>Т.е. дорога до smtp провайдера должна идти через vpn.
не могли бы поподробнее с этого момента?.. почему через впн?
как я уже писал ранее смтп релей - он же и ДНС сервер провайдера и к нему прописан роут через шлюз 10.101.237.1
Еще один ньюанс забыл упомянуть - под виндой никаких статических маршрутов не прописывал, а под линухом создал скрипт с маршрутами к ДНСам, к локалке провайдера, к впн-серверу и к адресу интерфейса ррр0, который назначается при поднятии туннеля впн
>Еще один ньюанс забыл упомянуть - под виндой никаких статических маршрутов не
>прописывал, а под линухом создал скрипт с маршрутами к ДНСам, к
>локалке провайдера, к впн-серверу и к адресу интерфейса ррр0, который назначается
>при поднятии туннеля впнну вот и решение:
убрать из скрипта маршрутами к ДНСамвинда по умолчанию через vpn весь трафик гонит
>ну вот и решение:
>убрать из скрипта маршрутами к ДНСам
>
>винда по умолчанию через vpn весь трафик гонитспасибо за совет
попробую и обязательно отпишусь о результате
Спасибо всем, кто ответил. Проблема действительно решилась после того, как пустил пакеты к релею через впн
тема закрыта :)
>Спасибо всем, кто ответил. Проблема действительно решилась после того, как пустил пакеты
>к релею через впн
>тема закрыта :)553 sorry, that domain isn't in my list of allowed rcpthosts (#5.7.1) - это был явный ответ, коннект шел с неразрешенного для relay ip-адреса или домена, если провайдер ведет зоны для серых ip-адресов.
>553 sorry, that domain isn't in my list of allowed rcpthosts (#5.7.1)
>- это был явный ответ, коннект шел с неразрешенного для relay
>ip-адреса или домена, если провайдер ведет зоны для серых ip-адресов.согласен, просто почему-то зациклился на nat'е, думал, что подменяю адрес неправильно, а на маршрутизацию думал в последнюю очередь :)
надеюсь на такие грабли уже не наступлю...