Re: [Comm] IPtables вопрос
Alexey S. Kuznetsov
=?iso-8859-1?q?buster_=CE=C1_vostok=2Enet=2Eua?=
Чт Ноя 11 16:33:04 MSK 2004
Hello!
Вы писали 11 листопада 2004 р., 15:22:41:
> Здравствуйте, community.
> На серваке (он же шлюз в интернет) есть почтовый сервер - две сетвухи
> - eth0 и eth1 - соответственно вовнутрь и наружу.
> Хочу сделать так, чтобы только этот сервер и только он мог ходить по
> 25 порту (SMTP), принимать запросы на 110-й (POP3) только изнутри сети
> и убивать все остальные запросы на eth1 относительно коннекта на
> 110-й порт.
> пишу:
> $IPT -A INPUT -p TCP -i $LOCAL_IFACE --destination-port 25 -j ACCEPT
> $IPT -A INPUT -p TCP -i $LOCAL_IFACE --destination-port 110 -j ACCEPT
> $IPT -A INPUT -p TCP -i $INET_IFACE --destination-port 25 -j ACCEPT
> $IPT -A INPUT -p TCP -i $INET_IFACE --destination-port 110 -j DROP
> Но закралась подленькая мыслишка: а не требуется ли еще и переброс
> портов делать с внешнего интерфейса на внутренний? Ну типа
> $IPT -A FORWARD -p TCP -i $INET_IFACE --destanation-port 25 \
> --destanation 192.168.0.65 -j ACCEPT
> $IPT -A FORWARD -p TCP -i $INET_IFACE --destanation-port 25 ACCEPT
> $IPT -t NAT -A PREROUTING -p TCP -i $INET_IFACE -dport 25:25 \
> --to-destination 192.168.0.65:25
> $IPT -t NAT -A PREROUTING -p TCP -i $LOCAL_IFACE -dport 25:25 \
> --destination $INET_ADDRESS -j DNAT --to-destination 192.168.0.65:25
> Это часом уже не бред попер?
пиши iptables -A INPUT -s !$INT_NET -d $INT_IP -p tcp --dport 25 -j ACCEPT
-//- --dport 110 -j ACCEPT
iptables -A input -s 0/0 -d $INET_IP -p tcp --dport 25 -j ACCEPT
iptables -A input -s 0/0 -d $INET_IP -p tcp --dport 110 -j REJECT
--
Sincerely,
Alexey S. Kuznetsov
AK2351-RIPE
Подробная информация о списке рассылки community