The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка  RSS
"НЕ РАБОТАЕТ DNAT IPTABLES HELP ME PLZ..."
Вариант для распечатки Архивированная нить - только для чтения! 
Пред. тема | След. тема 
Форумы Информационная безопасность (Public)
Изначальное сообщение [Проследить за развитием треда]

"НЕ РАБОТАЕТ DNAT IPTABLES HELP ME PLZ..."
Сообщение от ncskiber emailИскать по авторуВ закладки on 31-Июл-02, 16:40  (MSK)
Всем привет!
Начальные данные:
ЛВС с разделенной внутренней сетью: DMZ и доверительной, внешний мир через шлюз.
1) Внешний Шлюз - машина под ASP Linux 7.2 (ker. 2.4x.).  На нем установлен брандмауэр iptables ver. 1.2.4. установлен кэширующий сервер (nscd и named на перенаправление на внутрений DNS-DMZ).
Интерфейсы/ip-адрес:  
eth0 – внешний (Интернет)/ 211.33.195.47
eth1 – внутрений (DMZ) 192.168.5.95
Iptables – устанавливался при установки системы (rpm), ядро не перекомпилировалось.
В ДМЗ установлен почтовый сервер (отдельная машина).
Для внешнего мира машина является почтовым сервером. DNS-провайдера поднят, машина отзывается.
Echo > 1 … ip_forward – сделано.
SNAT – поднят и работает. DNAT – не функционирует и как следует шлюз не пере направляет трафик на внутренний  почтовый сервер.

2) Почтовый сервер машина под ASP Linux 7.2 (ker. 2.4x.). Sendmail, imap4, IP-адрес 192.168.5.80. Письма передаются и принимаются в пределах локальной сети. База доступа разрешает домен внутренний и внешний. Письма передаются во внешний мир, но, к сожалению, не принимаются по причине ниже следующей.


Внимание!!!
ПРОБЛЕМА: Как сделать так, чтобы на шлюзе было перенаправления почтового трафика на машину (mail-serv) в ДМЗ. Sendmail на шлюзе - сразу неприемлемо.
Короче помогите настроить, очень прошу.

МОИ УСИЛИЯ:

СКРИПТ НЕ ВЫДАЕТ НИ КАКИХ ОШИБОК!!!
ДАЖЕ, ЕСЛИ ДЕЛАЕШЬ ПОЛИТИКУ ПО УМОЛЧАНИЮ В ТАБЛИЦЕ filter ACCEPT И ТОЛЬКО ПРАВИЛА NAT, ВСЕРАВНО НЕ РАБОТАЕТ:

КАК ПРОВЕРЯЛ:
telnet 211.33.195.47 25
Truing 211.33.195.47…
telnet: connect to address 211.33.195.47: Connection refused

netstat – тоже не чего не показывает…

Письмо отсылаешь сам себе, выдает ошибка сокета на узле.

И самое главное опция –C (генерация пакетов, проверка правил) в iptables выдает:
Iptables: Will be implemented real soon. I promise ;) – ну и как себя после этого чувствовать?!

В одном форуме узнал об утилите redir:
/usr/local/sbin/redir --lport="локальный порт" --laddr="локальный адрес" --cport="порт, куда редиректить" --caddr="адрес,куда редиректить"
http://sammy.net/~sammy/hacks/redir-2.2.1.tar.gz
Короче, откомпилировал, то работает, то нет и причем в не фоновом режиме, если добавляешь еще один порт для перенаправления, то тоже не работает.
ВЫВОД: Думаю может в ядре чего-нибудь нет? Может перекомпилир.? Или утилита iptables старая.

ВОТ МОЙ СКРИПТ:
#!/bin/sh
echo "Starting firewalling"
IPTABLES="/sbin/iptables"            # имя и место нахождение утилиты

# ВНЕШНИЕ ПАРАМЕТРЫ
EXT_IPADDR="211.33.195.47"               # внешний IP-адрес брандмауера
EXT_INTERF="eth0"                    # внешний интерфейс брандмауера
ANYWHERE="0/0"                       # произвольный ip-адрес
NAMESERVER_1="215.44.120.6"            # DNS-сервер 1 провайдера
NAMESERVER_2="195.78.143.5"            # DNS-сервер 2 провайдера

# DMZ ПАРАМЕТРЫ
LAN_DMZ="192.168.5.0/24"             # DMZ сеть
LAN_IPADDR_DMZ="192.168.5.95"        # DMZ адрес брандмауера
LAN_DMZ_INTERF="eth1"                # DMZ интерфейс брандмауера
# ВНУТРЕНЕЙ ПЕТЛИ ПАРАМЕТРЫ
LO_IFACE="lo"                        # петлевой интерфейс
LO_IP="127.0.0.0/8"                  # петлевой адрес
# Внутренние сервера
MAIL_IP="192.168.5.80"             # IP-адрес внутреннего почтового сервера
FTP_IP="192.168.5.80"              # IP-адрес внутреннего файлового сервера


# ДРУГИЕ ПАРАМЕТРЫ
CLASS_A="10.0.0.0/8"                 # адреса класса А, предназначенные
                                     # для внутреннего использования
CLASS_B="172.16.0.0/12"              # адреса класса B, предназначенные
                                     # для внутреннего использования
CLASS_C="192.168.0.0/16"             # адреса класса C, предназначенные
                                     # для внутреннего использования
CLASS_D="224.0.0.0/4"                # адреса класса D, предназначенные
                                     # для группового вещания               
BROADCAST_SRC="0.0.0.0"              # исходный широковещательный адрес
BROADCAST_DEST="255.255.255.255"     # целевой широковещательный адрес
PRIVPORTS="0:1023"                  # номера привилегированных портов
UNPRIVPORTS="1024:65535"             # номера непривилегированных портов
TRACEROUTE_SRC_PORTS="32769:65535"   # порты источника утилиты TRACEROUTE
TRACEROUTE_DEST_PORTS="33434:33523"  # порты источника утилиты TRACEROUTE

SSH_PORTS="1020:1023"                # число одновременных соединений

#|||||||||||||||||||||----ПОЕХАЛИ!!!!!----||||||||||||||||||||||||||||||||||||
# Прелюдия
# Включаем поддержку перенаправления пакетов
echo "1" > /proc/sys/net/ipv4/ip_forward

# Запрещаем фрагментированные пакеты
# $IPTABLES -A INPUT -F -o $LAN_DMZ_INTERF -j DROP

# Разрешить защиту TCP SYN cookie
echo 1 > /proc/sys/net/ipv4/tcp_syncookies

# Разрешить защиту от фальсификации IP-адресов.
# Включить проверку исходных адресов
for f in /proc/sys/net/ipv4/conf/*/rp_filter; do
echo 1 > $f
done

# Запретить ICMP-перенаправление
for f in /proc/sys/net/ipv4/conf/*/accept_redirects; do
        echo 0 > $f
done

# Запретить пакеты с маршрутом к источнику
for f in /proc/sys/net/ipv4/conf/*/accept_source_route; do
echo 0 > $f
done
# Удаление существующих правил из всех цепочек
$IPTABLES -F

#  
# Установка политики запрета по умолчанию
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP

# Разрешить неограниченный трафик через интерфейс петли
$IPTABLES -A INPUT -i $LO_IFACE -j ACCEPT
$IPTABLES -A OUTPUT -o $LO_IFACE -j ACCEPT

# Разрешить локальный интерфейс
$IPTABLES -A INPUT -i $LAN_DMZ_INTERF -j ACCEPT
$IPTABLES -A OUTPUT -o $LAN_DMZ_INTERF -j ACCEPT

##############################################
# Цепочки для обработки входящих ICMP-пакетов#
##############################################

# Входящие пакеты ping (8)
$IPTABLES -A INPUT -i $EXT_INTERF -p icmp \
          -s $ANYWHERE --icmp-type echo-reply -d $EXT_IPADDR -j ACCEPT

# Входящие данные, передаваемые при определении размера узла,
# что узел или сервер недоступны; отклик traceroute (3)
$IPTABLES -A INPUT -i $EXT_INTERF -p icmp \
          -s $ANYWHERE --icmp-type destination-unreachable -d $EXT_IPADDR -j ACCEPT

# Входящие запросы с требованием замедления передачи (4)
$IPTABLES -A INPUT -i $EXT_INTERF -p icmp \
          -s $ANYWHERE --icmp-type source-quench -d $EXT_IPADDR -j ACCEPT
  
# Входящие сообщения о тайм-ауте, а также TTL-сообщения traceroute (11)
$IPTABLES -A INPUT -i $EXT_INTERF -p icmp \
          -s $ANYWHERE --icmp-type time-exceeded -d $EXT_IPADDR -j ACCEPT

# Входящие сообщения об ошибках (12)
$IPTABLES -A INPUT -i $EXT_INTERF -p icmp \
          -s $ANYWHERE --icmp-type parameter-problem -d $EXT_IPADDR -j ACCEPT

###############################################
# Цепочки для обработки изходящих ICMP-пакетов#
###############################################
#
# Исходящие пакеты ping (8)
$IPTABLES -A OUTPUT -o $EXT_INTERF -p icmp \
          -s $EXT_IPADDR --icmp-type echo-request -d $ANYWHERE -j ACCEPT

# Исходящие данные, передаваемые при определении размера узла,
# что узел или сервер недоступны; отклик traceroute (3)
$IPTABLES -A OUTPUT -o $EXT_INTERF -p icmp \
          -s $EXT_IPADDR --icmp-type destination-unreachable -d $ANYWHERE -j ACCEPT

$IPTABLES -A OUTPUT -o $EXT_INTERF -p icmp \
          -s $EXT_IPADDR --icmp-type fragmentation-needed -d $ANYWHERE -j ACCEPT

# Исходящие запросы с требованием замедления передачи (4)
$IPTABLES -A OUTPUT -o $EXT_INTERF -p icmp \
          -s $EXT_IPADDR --icmp-type source-quench -d $ANYWHERE -j ACCEPT
# Исходящие сообщения о тайм-ауте, а также TTL-сообщения traceroute (11)
$IPTABLES -A OUTPUT -o $EXT_INTERF -p icmp \
          -s $EXT_IPADDR --icmp-type time-exceeded -d $ANYWHERE -j ACCEPT

# Исходящие сообщения об ошибках (12)
$IPTABLES -A OUTPUT -o $EXT_INTERF -p icmp \
          -s $EXT_IPADDR --icmp-type parameter-problem -d $ANYWHERE -j ACCEPT


# Фальсификация пакетов и недопустимые адреса
#

# Запретить пакеты, в которых в качестве адреса источника указан IP-адрес
# вашего брандмауера
$IPTABLES -A INPUT -i $EXT_INTERF -s $EXT_IPADDR -j DROP
# Запретить пакеты, в которых в качестве адреса источника указан IP-адрес
# петли
$IPTABLES -A INPUT -i $EXT_INTERF -s $LO_IP -j DROP
# Запретить пакеты, которые содержат адрес источника,
# принадлежащий классу А
$IPTABLES -A INPUT -i $EXT_INTERF -s $CLASS_A -j DROP

# Запретить пакеты, которые содержат адрес источника,
# принадлежащий классу B
$IPTABLES -A INPUT -i $EXT_INTERF -s $CLASS_B -j DROP

# Запретить пакеты, которые содержат адрес источника,
# принадлежащий классу C
$IPTABLES -A INPUT -i $EXT_INTERF -s $CLASS_C -j DROP

# Запретить пакеты, которые содержат адрес источника,
# принадлежащий классу D
$IPTABLES -A INPUT -i $EXT_INTERF -s $CLASS_D -j DROP
# Запретить некоторые широковещательные пакеты
$IPTABLES -A INPUT -i $EXT_INTERF -s $BROADCAST_DEST -j DROP
$IPTABLES -A INPUT -i $EXT_INTERF -s $BROADCAST_SRC -j DROP
#&&&&&&&&&&&&&&&&&&&

##########################################################################
# DNS #                                                                  #
#######

# DNS1 в режиме клиента  

$IPTABLES -A OUTPUT -o $EXT_INTERF -p udp \
  -s $EXT_IPADDR --sport $UNPRIVPORTS \
  -d $NAMESERVER_1 --dport 53 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p udp \
          -s $NAMESERVER_1 --sport 53 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

# DNS-сервер в режиме кэширования и перенаправления
$IPTABLES -A OUTPUT -o $EXT_INTERF -p udp \
  -s $EXT_IPADDR --sport 53 \
  -d $NAMESERVER_1 --dport 53 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p udp \
          -s $NAMESERVER_1 --sport 53 \
          -d $EXT_IPADDR --dport 53 -j ACCEPT                        
#########
$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --sport $UNPRIVPORTS \
  -d $NAMESERVER_1 --dport 53 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $NAMESERVER_1 --sport 53 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT
#####

# DNS2 в режиме клиента  

$IPTABLES -A OUTPUT -o $EXT_INTERF -p udp \
  -s $EXT_IPADDR --sport $UNPRIVPORTS \
  -d $NAMESERVER_2 --dport 53 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p udp \
          -s $NAMESERVER_2 --sport 53 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

# DNS-сервер в режиме кэширования и перенаправления
$IPTABLES -A OUTPUT -o $EXT_INTERF -p udp \
  -s $EXT_IPADDR --sport 53 \
  -d $NAMESERVER_2 --dport 53 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p udp \
          -s $NAMESERVER_2 --sport 53 \
          -d $EXT_IPADDR --dport 53 -j ACCEPT                        
#########
$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --sport $UNPRIVPORTS \
  -d $NAMESERVER_2 --dport 53 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $NAMESERVER_2 --sport 53 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

######################################################################

# HTTP-клиент (80)

$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --source-port $UNPRIVPORTS \
  -d $ANYWHERE --dport 80 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $ANYWHERE --source-port 80 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

# SSL-клиент (443) (защищенные web)

$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --source-port $UNPRIVPORTS \
  -d $ANYWHERE --dport 443 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $ANYWHERE --source-port 443 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

# POP (110) - Получение почты посредством POP-клиента

$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --source-port $UNPRIVPORTS \
  -d $ANYWHERE --dport 110 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $ANYWHERE --source-port 110 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

# IMAP (143) - Получение почты посредством POP-клиента

$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --source-port $UNPRIVPORTS \
  -d $ANYWHERE --dport 143 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $ANYWHERE --source-port 143 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

# SMTP (25) - клиент

$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --source-port $UNPRIVPORTS \
  -d $ANYWHERE --dport 25 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $ANYWHERE --source-port 25 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

# SSH (22) - клиент (защищенный Telnet)

$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --source-port $UNPRIVPORTS \
  -d $ANYWHERE --dport 22 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $ANYWHERE --source-port 22 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --source-port $SSH_PORTS \
  -d $ANYWHERE --dport 22 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $ANYWHERE --source-port 22 \
          -d $EXT_IPADDR --dport $SSH_PORTS -j ACCEPT

# FTP (20, 21) - Обращение клиентов к удаленным FTP-серверам

# Исходящий запрос
$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --source-port $UNPRIVPORTS \
  -d $ANYWHERE --dport 21 -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $ANYWHERE --source-port 21 \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

# Режим нормального канала данных (normal data channel port mode)
$IPTABLES -A INPUT -i $EXT_INTERF -p tcp \
          -s $ANYWHERE --source-port 20\
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp ! --syn \
  -s $EXT_IPADDR --source-port $UNPRIVPORTS \
  -d $ANYWHERE --dport 20 -j ACCEPT

# Режим пассивного канала данных (passive data channel mode)

$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
  -s $EXT_IPADDR --source-port $UNPRIVPORTS \
  -d $ANYWHERE --dport $UNPRIVPORTS -j ACCEPT

$IPTABLES -A INPUT -i $EXT_INTERF -p tcp ! --syn \
          -s $ANYWHERE --source-port $UNPRIVPORTS \
          -d $EXT_IPADDR --dport $UNPRIVPORTS -j ACCEPT

###&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&&###
#          ВНУТРЕННИЕ СЕРВЕРА ДМЗ

# SMTP 1 Получение сообщений, предназначенных для локальных машин
$IPTABLES -A INPUT -i $EXT_INTERF -p tcp \
          -s $ANYWHERE --source-port $UNPRIVPORTS \
          -d $EXT_IPADDR --dport 25 -j ACCEPT
$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp ! --syn \
          -s $EXT_IPADDR --source-port 25 \
          -d $ANYWHERE --dport $UNPRIVPORTS -j ACCEPT
$IPTABLES -A OUTPUT -o $LAN_DMZ_INTERF -p tcp \
          -s $ANYWHERE --source-port $UNPRIVPORTS \
          -d $MAIL_IP --dport 25 -j ACCEPT
$IPTABLES -A INPUT -i $LAN_DMZ_INTERF -p tcp ! --syn \
          -s $MAIL_IP --source-port 25 \
          -d $ANYWHERE --dport $UNPRIVPORTS -j ACCEPT
# SMTP 2 Сервер ДМЗ посылает письма с локальных машин на удаленные узлы.
$IPTABLES -A INPUT -i $LAN_DMZ_INTERF -p tcp \
          -s $MAIL_IP --source-port $UNPRIVPORTS \
          -d $ANYWHERE --dport 25 -j ACCEPT
$IPTABLES -A OUTPUT -o $LAN_DMZ_INTERF -p tcp ! --syn \
          -s $ANYWHERE --source-port 25 \
          -d $MAIL_IP --dport $UNPRIVPORTS -j ACCEPT

$IPTABLES -A OUTPUT -o $EXT_INTERF -p tcp \
          -s $EXT_IPADDR --source-port $UNPRIVPORTS \
          -d $ANYWHERE --dport 25 -j ACCEPT
$IPTABLES -A INPUT -i $EXT_INTERF -p tcp --syn \
          -s $ANYWHERE --source-port 25 \
          -d $ANYWHERE --dport $UNPRIVPORTS -j ACCEPT


#------------------------------------------------------------------------------
# Цепочка перенаправления из ИНТЕРНЕТ в ДМЗ
# Конфигурация входящего и исходящего почтового сервера

$IPTABLES -t nat -A PREROUTING -p TCP -i $EXT_INTERF -d $EXT_IPADDR --dport 25 \
-j DNAT --to-destination $MAIL_IP

# ИЛИ ТАК, всеравно не работает
#$IPTABLES -t nat -A PREROUTING -p TCP -i $EXT_INTERF -d $EXT_IPADDR --dport #25 \
#-j DNAT --to-destination $MAIL_IP:25

$IPTABLES -t nat -A PREROUTING -p TCP -i $EXT_INTERF -d $EXT_IPADDR --dport 143 \
-j DNAT --to-destination $MAIL_IP
$IPTABLES -t nat -A PREROUTING -p TCP -i $EXT_INTERF -d $EXT_IPADDR --dport 110 \
-j DNAT --to-destination $MAIL_IP
# Конфигурация файлового сервера
$IPTABLES -t nat -A PREROUTING -p TCP -i $EXT_INTERF -d $EXT_IPADDR --dport 21 \
-j DNAT --to-destination $FTP_IP
$IPTABLES -t nat -A PREROUTING -p TCP -i $EXT_INTERF -d $EXT_IPADDR --dport 20 \
-j DNAT --to-destination $FTP_IP

# Цепочка NAT из ДМЗ в ИНТЕРНЕТ
$IPTABLES -t nat -A POSTROUTING -o $EXT_INTERF -j SNAT --to-source $EXT_IPADDR
#------------------------------------------------------------------------------

##############
# TRACEROUTE #
##############
$IPTABLES -A OUTPUT -o $EXT_INTERF -p udp \
          -s $EXT_IPADDR --source-port 32769:65535 \
  -d $ANYWHERE --dport 33434:33523 -j ACCEPT
# Цепочка FORWARD
#$IPTABLES -A FORWARD -i $LAN_DMZ_INTERF -j ACCEPT
#$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

$IPTABLES -A FORWARD -i $LAN_DMZ_INTERF -o $EXT_INTERF -j ACCEPT
$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -p TCP -i $EXT_INTERF -o $LAN_DMZ_INTERF \
          -d $MAIL_IP --dport 110 -j ACCEPT
$IPTABLES -A FORWARD -p TCP -i $EXT_INTERF -o $LAN_DMZ_INTERF \
          -d $MAIL_IP --dport 143 -j ACCEPT

$IPTABLES -A FORWARD -p TCP -i $EXT_INTERF -o $LAN_DMZ_INTERF \
          -d $MAIL_IP --dport 25 -j ACCEPT      

# ИЛИ ТАК, всеравно не работает
#$IPTABLES -A FORWARD -p TCP -i $EXT_INTERF -o $LAN_DMZ_INTERF \
#         -s $EXT_INTERF --sport 25 \
#         -d $MAIL_IP --dport 25 -j ACCEPT
#

#------------------------------------------------------------------------------

echo "DONE!!!"
exit 0


БОЛЬШОЕ СПАСИБО ЗА ВАШЕ ВНИМАНИЕ


С уважением,
Ncskiber

Если нужно:
me mail: ncskiber@mail.ru

  Рекомендовать в FAQ | Cообщить модератору | Наверх

 Оглавление

Индекс форумов | Темы | Пред. тема | След. тема
Сообщения по теме

1. "RE: НЕ РАБОТАЕТ DNAT IPTABLES HELP ME PLZ..."
Сообщение от oViX emailИскать по авторуВ закладки on 31-Июл-02, 22:54  (MSK)
Правило прероутинга, например, для SMTP у тебя это будет:

# SMTP_SERVER
iptables -t nat -A PREROUTING -p tcp -i $EXT_INTE -s any/0 --sport 1024:65535 -d $EXT_IPADDR --dport 25 -j DNAT --to-destination $MAIL_IP

У тебя не было явно указано "от кого".

Остальное не смотрел, но скажу, что далее пропиши forward для 25 порта и postrouting на интерфейс к DMZ

  Рекомендовать в FAQ | Cообщить модератору | Наверх

2. "RE: НЕ РАБОТАЕТ DNAT IPTABLES HELP ME PLZ..."
Сообщение от ncskiber emailИскать по авторуВ закладки on 01-Авг-02, 11:05  (MSK)
>Правило прероутинга, например, для SMTP у тебя это будет:
>
># SMTP_SERVER
>iptables -t nat -A PREROUTING -p tcp -i $EXT_INTE -s any/0 --sport
>1024:65535 -d $EXT_IPADDR --dport 25 -j DNAT --to-destination $MAIL_IP
>
>У тебя не было явно указано "от кого".
>
>Остальное не смотрел, но скажу, что далее пропиши forward для 25 порта
>и postrouting на интерфейс к DMZ

Спасибо, попробую, о новостях сообщу!

  Рекомендовать в FAQ | Cообщить модератору | Наверх

3. "RE: НЕ РАБОТАЕТ DNAT IPTABLES HELP ME PLZ..."
Сообщение от ncskiber emailИскать по авторуВ закладки on 01-Авг-02, 13:58  (MSK)
К сожалению, ваш совет не помог.
На этом форуме в параллельном разделе 'OpenNET: Виртуальная конференция'
Sampan дал свои рекомендации, но и они не помогли, если интерес к проблеме не пропал, то я там дал дополнительную (стат.) информацию.

P.S. Каким дистрибутивом на брандмауэре пользуютись (название, версия,) и iptables у Вас какая версия? Если делали DNAT у себя для перенаправления скинти ваши правила плз...

Спасибо за внимание!


  Рекомендовать в FAQ | Cообщить модератору | Наверх

4. "RE: НЕ РАБОТАЕТ DNAT IPTABLES HELP ME PLZ..."
Сообщение от oViX emailИскать по авторуВ закладки on 01-Авг-02, 18:26  (MSK)
1. Это не было написано, поэтому: у провайдера мэйловый релей на твой почтовик как прописан? Надо, чтоб запись была по ip твоего файрвола во вне ($EXT_INTERF, 211.33.195.47 ), - от его имени твой почтовик работает с Инетом.
2. Проверить правильность можно удаленно зателнетившись на 25 порт:
#telnet 211.33.195.47 25

Если все нормально, то почтовик доступен, разбирайса с провайдерами по поводу MX.

3.Правила FW
# PREROUTING
iptables -t nat -A PREROUTING -p tcp -s any/0 --sport 1024:65535 -d $EXT_INTERF --dport 25 -j DNAT --to-destination $MAIL_IP

# FORWARD
iptables -A FORWARD -p tcp -i $EXT_INTERF -s any/0 --sport 1024:65535 -d $MAIL_IP --dport 25 -j ACCEPT
iptables -A FORWARD -p tcp -o $EXT_INTERF -s $MAIL_IP --sport 25  -d any/0 --dport 1024:65535 -j ACCEPT

#       POSTROUTING
iptables -t nat -A POSTROUTING -p tcp -s any/0 --sport 1024:65535 -d $MAIL_IP --dport 25 -j ACCEPT

ПРопиши их вначале всех правил, чтоб они РАБОТАЛИ, может какое-то правило их забивает.

УДАЧИ.

  Рекомендовать в FAQ | Cообщить модератору | Наверх

5. "RE: НЕ РАБОТАЕТ DNAT IPTABLES HELP ME PLZ..."
Сообщение от ncskiber emailИскать по авторуВ закладки on 08-Авг-02, 18:40  (MSK)
>1. Это не было написано, поэтому: у провайдера мэйловый релей на твой
>почтовик как прописан? Надо, чтоб запись была по ip твоего файрвола
>во вне ($EXT_INTERF, 211.33.195.47 ), - от его имени твой почтовик
>работает с Инетом.
>2. Проверить правильность можно удаленно зателнетившись на 25 порт:
>#telnet 211.33.195.47 25
>
>Если все нормально, то почтовик доступен, разбирайса с провайдерами по поводу MX.
>
>
>3.Правила FW
># PREROUTING
>iptables -t nat -A PREROUTING -p tcp -s any/0 --sport 1024:65535 -d
>$EXT_INTERF --dport 25 -j DNAT --to-destination $MAIL_IP
>
># FORWARD
>iptables -A FORWARD -p tcp -i $EXT_INTERF -s any/0 --sport 1024:65535 -d
>$MAIL_IP --dport 25 -j ACCEPT
>iptables -A FORWARD -p tcp -o $EXT_INTERF -s $MAIL_IP --sport 25  
>-d any/0 --dport 1024:65535 -j ACCEPT
>
>#       POSTROUTING
>iptables -t nat -A POSTROUTING -p tcp -s any/0 --sport 1024:65535 -d
>$MAIL_IP --dport 25 -j ACCEPT
>
>ПРопиши их вначале всех правил, чтоб они РАБОТАЛИ, может какое-то правило их
>забивает.
>
>УДАЧИ.

В вобщем DNAT работает... Я ПРОБЛЕМУ НАШЕЛ В ДРУГОМ, А ИМЕННО В SENDMAIL ПИСЬМО ХОДИТ ПО КРУГУ: Я ЭТО ОБРЕСОВАЛ В НОВОЙ ТЕМЕ (Знатокам Sendmail, DNS, IPTABLES...)

Спасибо...

  Рекомендовать в FAQ | Cообщить модератору | Наверх


Удалить

Индекс форумов | Темы | Пред. тема | След. тема
Пожалуйста, прежде чем написать сообщение, ознакомьтесь с данными рекомендациями.




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей 		Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру