IPtables allow cho mail server

English | Vietnamese

Rules

Main Forum

Portal

Member Listing

Statistics

Search

Reading Room
[Register]

Login [ | https ]

Forum Index

Thảo luận hệ điều hành *nix

IPtables allow cho mail server

[Question] IPtables allow cho mail server	17/05/2010 21:12:10 (+0700) \| #1 \| 211131

kyoshiroit
Member

Joined: 10/02/2009 20:27:56
Messages: 110
Location: VinPearl
Offline

Mình có cài mail server trên máy Linux. (postfix + thunder bird)
Trên đó có sử dụng iptables.
Mình đã add các rule cho phép mail server:
Code:

iptables -A INPUT -p tcp -m tcp --dport 25 -j ACCEPT
iptables -A INPUT -p tcp -m tcp --dport 110 -j ACCEPT
iptables -A OUTPUT -p tcp -m tcp --dport 25 -j ACCEPT
iptables -A OUTPUT -p tcp -m tcp --dport 110 -j ACCEPT

Nhưng sao iptables vẫn không cho mail server gửi và nhận vậy??
smilie

Luôn luôn lắng nghe, lâu lâu mới hiểu...

[Question] IPtables allow cho mail server	18/05/2010 02:21:01 (+0700) \| #2 \| 211144

Mr.Khoai
Moderator

Joined: 27/06/2006 01:55:07
Messages: 954
Offline

Có nhiều lý do, có thể trước đó đã có rule drop all. Hoặc cũng có thể có các lý do khác. Bạn có chắc là do iptables cản lại postfix không?

khoai

[Question] IPtables allow cho mail server	18/05/2010 06:05:44 (+0700) \| #3 \| 211146

kyoshiroit
Member

Joined: 10/02/2009 20:27:56
Messages: 110
Location: VinPearl
Offline

Mình đã bỏ các rule của iptables. Trong bảng Iptables không còn gì.
Lúc đó mình thêm 4 rules như trên vào, mail cũng không thể kết nối được với mail server (cùng là một máy).

Luôn luôn lắng nghe, lâu lâu mới hiểu...

[Question] IPtables allow cho mail server	18/05/2010 08:10:39 (+0700) \| #4 \| 211154

conmale
Administrator

Joined: 07/05/2004 23:43:15
Messages: 9353
Location: down under
Offline

Tại sao INPUT và OUTPUT rules đều có --dport? Em dự phỏng máy clients kết nối vô SMTP và POP3 server của em phải đi từ port 25 và 110 hay sao mà chỉ cho phép iptables trả lời (OUTPUT) đến --dport 25 và --dport 110?

Chưa nắm được nguyên tắc căn bản của ipables rồi em.

What bringing us together is stronger than what pulling us apart.

[Question] IPtables allow cho mail server	18/05/2010 10:07:25 (+0700) \| #5 \| 211160

kyoshiroit
Member

Joined: 10/02/2009 20:27:56
Messages: 110
Location: VinPearl
Offline

Em cấu hình cho máy client kết nối với máy server qua port 110 và 25 mà.
Có gì sai sao anh conmale.

Luôn luôn lắng nghe, lâu lâu mới hiểu...

[Question] IPtables allow cho mail server	18/05/2010 10:21:05 (+0700) \| #6 \| 211162

quanta
Moderator

Joined: 28/07/2006 14:44:21
Messages: 7265
Location: $ locate `whoami`
Offline

kyoshiroit wrote:

Em cấu hình cho máy client kết nối với máy server qua port 110 và 25 mà.

OUTPUT là đi từ đâu đến đâu?

Let's build on a great foundation!

[Question] IPtables allow cho mail server	18/05/2010 10:22:08 (+0700) \| #7 \| 211163

conmale
Administrator

Joined: 07/05/2004 23:43:15
Messages: 9353
Location: down under
Offline

kyoshiroit wrote:

Em cấu hình cho máy client kết nối với máy server qua port 110 và 25 mà.
Có gì sai sao anh conmale.

Client kết nối với server ở cổng 110 và 25 trên server. Vậy trên máy client, cổng dùng để kết nối cũng là 25 và 110 sao?

Nên phân biệt source port (trên máy client) và destination port (trên máy server).

What bringing us together is stronger than what pulling us apart.

[Question] IPtables allow cho mail server	20/05/2010 07:13:59 (+0700) \| #8 \| 211245

panfider
Member

Joined: 12/05/2010 01:51:04
Messages: 448
Offline

mình mù về iptable và config server
chi phí nghiên cứu Linux quá cao

[Unix] live free or die

[Question] IPtables allow cho mail server	20/05/2010 07:41:42 (+0700) \| #9 \| 211246

conmale
Administrator

Joined: 07/05/2004 23:43:15
Messages: 9353
Location: down under
Offline

panfider wrote:

mình mù về iptable và config server
chi phí nghiên cứu Linux quá cao

Chi phí gì mà cao bồ tèo?

What bringing us together is stronger than what pulling us apart.

[Question] IPtables allow cho mail server	20/05/2010 09:33:42 (+0700) \| #10 \| 211257

rongdennt
Member

Joined: 08/12/2007 10:19:36
Messages: 55
Offline

panfider wrote:

mình mù về iptable và config server
chi phí nghiên cứu Linux quá cao

Nghiên cứu linux là "rẻ" nhất rồi, toàn mã nguồn mở mà.
Theo mình thấy, bạn chưa hiểu về nguyên tắc các gói tin đi ra / vào trên mạng. Nói ngắn gọn là thế này:
- INPUT của bạn là từ client đến server
- OUTPUT là từ server đến client

Bạn cấu hình iptables input cho phép client kết nối đến port 25 và 110 như vậy là đúng vì như cấu hình trên thì iptables đã "cho qua" gói tin đến port 25 và 110. Nhưng về OUPUT thì bạn làm sai, client gửi request đến port 25 hoặc 110 của server nhưng port mà client mở ra để "giao lưu" là gì ? nó nằm trong khoảng 1024-65535 (port của client hay gọi là source port trong trường hợp của bạn), như vậy server sẽ trả lời đến máy client đến high-port đó.

Bạn thử cấu hình iptables như vậy xem:

Code:

iptables -A OUPUT -p tcp -m tcp --sport 25 --dport 1024:65535 -j LOG
iptables -A OUPUT -p tcp -m tcp --sport 110 --dport 1024:65535 -j LOG
iptables -A OUPUT -p tcp -m tcp --sport 25 --dport 1024:65535 -j ACCEPT
iptables -A OUPUT -p tcp -m tcp --sport 110 --dport 1024:65535 -j ACCEPT

2 dòng trên chỉ là ghi log lại cho bạn dễ kiểm tra, đây là rules đơn giản thôi, nếu bạn có nhiều card mạng nên (và luôn nên) chỉ ra card output là card nào, input là card nào bằng -o eth0 (hoặc -i eth0 cho input) eth0 là ví dụ.

Bạn có thể dùng tcpdump ghi lại lúc test và dùng wireshack để xem gói tin nó đi như thế nào.

Có gì sai sót, các bạn chỉ giúp nhé

Cổ nhân dạy: Vĩ nhân bàn ý tưởng, thường dân bàn sự kiện, tiểu nhân bàn con người.

Go to:

Users currently in here
1 Anonymous