ReSQL.ru
     
powered by simpleCommunicator - 2.0.59     © 2026 Programmizd 02
Мобильная версия    Контакт    Правила    FAQ    Помощь
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Доб. в избранное | Игнор. тему | Прикреп. тему | Пометить прочит. / непрочит. | Фильтр
Форумы / Unix-системы [игнор отключен] [закрыт для гостей] / iptables & e-mail
9 сообщений из 9, страница 1 из 1
iptables & e-mail
    #32911448
new_admin
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
new_admin
Гость
У меня такая проблема юзеры сквида не могут заходить на внешние почтовые ящики с помощью мылера(оутлук, бат и т.д.) только через веб-интерфейс.
я уже замучил iptables - без толку... Подскажите плиз.
...
Рейтинг: 0 / 0
11.02.2005, 09:11
| Ответить | Цитировать | Написать  
iptables & e-mail
    #32911474
Фотография Adekamer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Adekamer
Участник
кинь народу свои правила для iptables
сразу вопросы:
у тебя настроен нат/маскардинг ?
комп с иптаблесом/сквидом етс - прописан у клиентов как шлюз ?
...
Рейтинг: 0 / 0
11.02.2005, 09:28
| Ответить | Цитировать | Написать  
iptables & e-mail
    #32911490
new_admin
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
new_admin
Гость
правила в основном стандартные. Даю содержимое файла /etc/sysconfig/iptables
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Lokkit-0-50-INPUT - [0:0]
-A INPUT -j RH-Lokkit-0-50-INPUT
-A FORWARD -j RH-Lokkit-0-50-INPUT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 80 --syn -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 21 --syn -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 22 --syn -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 25 --syn -j ACCEPT
-A RH-Lokkit-0-50-INPUT -i lo -j ACCEPT
-A RH-Lokkit-0-50-INPUT -i eth0 -j ACCEPT
-A RH-Lokkit-0-50-INPUT -i eth1 -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p udp -m udp -s 81.1.235.17 --sport 53 -d 0/0 -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p udp -m udp -s 217.150.34.129 --sport 53 -d 0/0 -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p udp -m udp -s 212.20.30.124 --sport 53 -d 0/0 -j ACCEPT
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --syn -j REJECT
-A RH-Lokkit-0-50-INPUT -p udp -m udp -j REJECT
-A FORWARD -j ACCEPT -s 192.168.10.0/24 -d 81.1.235.21
-A FORWARD -j ACCEPT -d 192.168.10.0/24 -s 81.1.235.21
-A FORWARD -j DROP -s 192.168.10.0/24 -d 81.1.235.0/24
-A FORWARD -j DROP -d 192.168.10.0/24 -s 81.1.235.0/24
#-A RH-Lokkit-0-50-INPUT -s 192.168.10.1/24 -d 81.1.235.17 -p tcp --dport 25 -j ACCEPT
#-A RH-Lokkit-0-50-INPUT -s 81.1.235.17/24 -p tcp --sport 25 -d 192.168.10.1 -j ACCEPT
COMMIT
маскарада нет. ната тоже. ДНС есть
у юзеров сервер как шлюз прописан
...
Рейтинг: 0 / 0
11.02.2005, 09:38
| Ответить | Цитировать | Написать  
iptables & e-mail
    #32911745
Фотография Adekamer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Adekamer
Участник
ну пропиши себе такое правило :
/sbin/iptables -t nat -A POSTROUTING -p tcp -o eth0 -j SNAT --to-source <you out IP>
и будет тебе нат
а чтоб не лазилм за чем то еше окромя почты:
/sbin/iptables -t filter -A FORWARD -p TCP -s 192.168.0.0/24 -d ! 192.168.0.0/24 --dport 25 -j ACCEPT
/sbin/iptables -t filter -A FORWARD -p TCP -s 192.168.0.0/24 -d ! 192.168.0.0/24 --dport 110 -j ACCEPT
/sbin/iptables -t filter -A FORWARD -p TCP -s 192.168.0.0/24 -d ! 192.168.0.0/24 -j DROP
...
Рейтинг: 0 / 0
11.02.2005, 14:17
| Ответить | Цитировать | Написать  
iptables & e-mail
    #32912790
Фотография hell
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
hell
Участник
Adekamerну пропиши себе такое правило :
/sbin/iptables -t nat -A POSTROUTING -p tcp -o eth0 -j SNAT --to-source <you out IP>
и будет тебе нат
а чтоб не лазилм за чем то еше окромя почты:
/sbin/iptables -t filter -A FORWARD -p TCP -s 192.168.0.0/24 -d ! 192.168.0.0/24 --dport 25 -j ACCEPT
/sbin/iptables -t filter -A FORWARD -p TCP -s 192.168.0.0/24 -d ! 192.168.0.0/24 --dport 110 -j ACCEPT
/sbin/iptables -t filter -A FORWARD -p TCP -s 192.168.0.0/24 -d ! 192.168.0.0/24 -j DROP

Мне вот всегда интересно было, чем руководствуются администраторы, делая такие правила? 1 порт открыл и любой юзер может сделать через него туннель :-)
...
Рейтинг: 0 / 0
12.02.2005, 11:18
| Ответить | Цитировать | Написать  
iptables & e-mail
    #32913059
Фотография Adekamer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Adekamer
Участник
А я тебе скажу - у меня вот нельзя так сделать - но человеку нужно организовать доступ к почтовым серверам вне своей сети. Более того - ненужно много мозгов - чтоб понять на приведенном мною примере как сделать доступ только к определенным почтовым серверам.
А насчет тунеля - ню-ню - я посмотрю как любой юзер сделает тунель по 25 и 110 порту.
Ведь тогда этому юзеру придется иметь свой комп присутствующий в инете - да еще и со спец ПО позволяющем сделать тунель (а нафига ему вообще такой тунель ?)
а это подразумевает уже несколько иной уровень знаний - чем нежели ЛЮБОЙ ЮЗЕР( тем более уже ипсек не катит - тк идет перезапись заголовков).
Более того - если нет ничего кроие хттп прокси - уже можно сделать свой тунель - имея свой комп в инете. И тунель будет через хттп прокси.
НО ЭТО ВСЕ ТЕМА ОТДЕЛЬНОЙ БЕСЕДЫ - ИТ БЕЗОПАСТНОСТИ. Тема сложная и неодназначная - так что нефига выпендриваться.
...
Рейтинг: 0 / 0
12.02.2005, 20:29
| Ответить | Цитировать | Написать  
iptables & e-mail
    #32913599
new_admin
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
new_admin
Гость
Народ! У меня на сервере кроме компов на проксятнике есть еще машины с реальными адресами. с них-то все ОК. без всякого ната
...
Рейтинг: 0 / 0
14.02.2005, 07:05
| Ответить | Цитировать | Написать  
iptables & e-mail
    #32913625
sanek842
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
sanek842
Участник
интересно как выбраны правила
по умалчанию FORWARD ACCEPT
получается что с серых адресов блокируется транзит лишь сюда 81.1.235.0/24
Остальное все пропускается в т.ч. и порты 25/110
Т.о. если
юзеры сквида не могут заходить на внешние почтовые ящики с помощью мылера(оутлук, бат и т.д.) только через веб-интерфейс
значит iptables тут нипричем
а значит см. сам squid

P.S.
а с реальных адресов еще бы неработало и нафига им nat
...
Рейтинг: 0 / 0
14.02.2005, 08:02
| Ответить | Цитировать | Написать  
iptables & e-mail
    #32913750
new_admin
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
new_admin
Гость
Вот я и спрашиваю - какое место сквида рассматривать? чего ему не хватает?
...
Рейтинг: 0 / 0
14.02.2005, 09:44
| Ответить | Цитировать | Написать  
9 сообщений из 9, страница 1 из 1
Форумы / Unix-системы [игнор отключен] [закрыт для гостей] / iptables & e-mail
Найденые пользователи ...
Разблокировать пользователей ...
Читали тему (0):
Читали форум (0):
Пользователи онлайн (0):
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]