Re[3]: [Comm] IPtables вопрос

[Alexey S. Kuznetsov]

Hello!

Вы писали 11 листопада 2004 р., 16:17:25:

> Здравствуйте, Alexey.

> Вы писали 11 ноября 2004 г., 16:33:04:

>> Hello!

>> Вы писали 11 листопада 2004 р., 15:22:41:

>>> Здравствуйте, community.

>>> На  серваке (он же шлюз в интернет) есть почтовый сервер - две сетвухи
>>> - eth0 и eth1 - соответственно вовнутрь и наружу.
>>> Хочу  сделать  так, чтобы только этот сервер и только он мог ходить по
>>> 25 порту (SMTP), принимать запросы на 110-й (POP3) только изнутри сети
>>> и  убивать  все  остальные  запросы  на  eth1 относительно коннекта на
>>> 110-й порт.

>>> пишу:

>>> $IPT -A INPUT -p TCP -i $LOCAL_IFACE --destination-port 25 -j ACCEPT
>>> $IPT -A INPUT -p TCP -i $LOCAL_IFACE --destination-port 110 -j ACCEPT
>>> $IPT -A INPUT -p TCP -i $INET_IFACE --destination-port 25 -j ACCEPT
>>> $IPT -A INPUT -p TCP -i $INET_IFACE --destination-port 110 -j DROP

>>> Но  закралась  подленькая  мыслишка:  а не требуется ли еще и переброс
>>> портов делать с внешнего интерфейса на внутренний? Ну типа

>>> $IPT  -A   FORWARD  -p  TCP  -i  $INET_IFACE  --destanation-port  25 \
>>> --destanation 192.168.0.65 -j ACCEPT
>>> $IPT -A FORWARD -p TCP -i $INET_IFACE --destanation-port 25 ACCEPT
>>> $IPT -t  NAT -A PREROUTING -p  TCP  -i  $INET_IFACE  -dport  25:25 \
>>> --to-destination 192.168.0.65:25
>>> $IPT -t  NAT -A  PREROUTING -p  TCP  -i $LOCAL_IFACE  -dport  25:25 \
>>> --destination $INET_ADDRESS -j DNAT --to-destination 192.168.0.65:25

>>> Это часом уже не бред попер?

>> пиши iptables -A INPUT -s !$INT_NET -d $INT_IP -p tcp --dport 25 -j ACCEPT
>>      -//- --dport 110 -j ACCEPT
> Тут точно ACCEPT а не DROP или REJECT ??? Это 110-й порт...
  сори немного не так. я ошибся выше:
       1. iptables -A INPUT -s $INT_NET -d $INT_IP -p tcp --dport 25 -j ACCEPT
       2. iptables -A INPUT -s $INT_NET -d $INT_IP -p tcp --dport 110 -j ACCEPT
       3. iptables -A INPUT -s 0/0 -d $INET_IP -p tcp --dport 25 -j ACCEPT
       4. iptables -A INPUT -s 0/0 -d $INET_IP -p tcp --dport 110 -j  REJECT

       а после этих правил можешь всем всё закрывать по этим портам.

>>      iptables -A input -s 0/0 -d $INET_IP -p tcp --dport 25 -j ACCEPT
>>      iptables -A input -s 0/0 -d $INET_IP -p tcp --dport 110 -j REJECT




-- 
Sincerely,
Alexey S. Kuznetsov
AK2351-RIPE