Forum |  HardWare.fr | News | Articles | PC | S'identifier | S'inscrire | Shop Recherche
1123 connectés 

  FORUM HardWare.fr
  Linux et OS Alternatifs
  réseaux et sécurité

  Passerelle avec iptables : problème de SMTP

 
 


 Mot :   Pseudo :  
 
Bas de page
Auteur Sujet :

Passerelle avec iptables : problème de SMTP

n°712631
moon06
Ignorance is bliss
Posté le 28-07-2005 à 19:16:08  profilanswer
 

Bonjour tout le monde  :hello:  
 
J'ai commencé il y a (déjà !) quelques jours à installer une passerelle Linux pour mon réseau local et l'accès à Internet, correspondant au schéma ci-dessous :
 
http://img160.imageshack.us/img160/5558/schemareseaubureau2gc.jpg
 
La passerelle tourne sous Fedora Core 3, noyau 2.6.9.
 
Voici le script que j'utilise pour mettre en place les règles Iptables :
 

Code :
  1. #!/bin/sh
  3. IFACE_INTERNET = "eth1" # Interface connectée à Internet
  4. IP_INTERNET = "82.228.123.123"
  6. IFACE_LOCALE = "eth0" # Interface connectée au LAN
  7. IP_LOCALE = "192.168.1.1" # IP Passerelle
  8. RESEAU_LOCAL = "192.168.1.0/24"
  10. SERVEUR_MAIL = "192.168.1.5"
  11. SERVEUR_HTTP = "192.168.1.5"
  13. echo 1 > /proc/sys/net/ipv4/ip_forward
  15. ### Par défaut on refuse tout ###
  16. /sbin/iptables -P INPUT DROP
  17. /sbin/iptables -P OUTPUT DROP
  18. /sbin/iptables -P FORWARD DROP
  20. ### Accepte tout ce qui concerne l'interface loopback ###
  21. /sbin/iptables -A INPUT -i lo -j ACCEPT
  23. ### On accepte tout sur l'interface du réseau interne ###
  24. /sbin/iptables -A FORWARD -i $IFACE_LOCALE -j ACCEPT
  25. /sbin/iptables -A FORWARD -o $IFACE_LOCALE -j ACCEPT
  27. ### On accepte ce qui va vers l'exterieur ###
  28. /sbin/iptables -A OUTPUT -o $IFACE_INTERNET -j ACCEPT
  30. ### On accepte de forwarder vers l'exterieur ###
  31. /sbin/iptables -A FORWARD -o $IFACE_INTERNET -j ACCEPT
  33. ### On ouvre certains ports ###
  34. /sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT
  35. /sbin/iptables -A INPUT -p tcp --dport 25 -j ACCEPT
  36. /sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT
  37. /sbin/iptables -A INPUT -p tcp --dport 110 -j ACCEPT
  39. ### Redirection de ports ###
  40. /sbin/iptables -t nat -A PREROUTING -d $IP_INTERNET -p tcp --dport 80 -j DNAT --to-destination $SERVEUR_HTTP:80
  41. /sbin/iptables -t nat -A PREROUTING -d $IP_INTERNET -p tcp --dport 25 -j DNAT --to-destination $SERVEUR_MAIL:25
  42. /sbin/iptables -t nat -A PREROUTING -d $IP_INTERNET -p tcp --dport 110 -j DNAT --to-destination $SERVEUR_MAIL:110
  44. ### Masquerade ###
  45. /sbin/iptables -t nat -A POSTROUTING -o $IFACE_INTERNET -j MASQUERADE


 
(aussi disponible sur http://pastebin.com/323950 pour la coloration et numérotation des lignes)
 
 
Le problème
 
Oui c'était trop beau, tout ne peut pas marcher du premier coup ... ma machine 192.168.1.5 fait tourner un serveur SMTP et un serveur POP.
 
Le serveur SMTP gère actuellement un domaine exemple.net et un seul compte est en place, postmaster@exemple.net.
 
Le fichier /etc/tcp.smtp contient une ligne :
 

127.:ALLOW,RELAYCLIENT=""


 
Le fichier rcpthosts contient une entrée :
 

exemple.net


 
Donc, en bref je peux :
 
- Envoyer des mails depuis l'extérieur via un SMTP quelconque vers postmaster@exemple.net et les relever à distance en POP
- Envoyer des mails depuis l'extérieur via le SMTP que je fais tourner, vers postmaster@aliosphere.net et les relever à distance avec POP
- Envoyer des mails depuis la machine (commande mail) vers l'extérieur (adresse quelconque)
 
Mais je ne peux PAS :
 
- Envoyer des mails depuis l'extérieur via le SMTP que je fais tourner, vers l'extérieur (une adresse mail quelconque, @free.fr ou @gmail.com par ex.)
 
______
 
Ce que je voudrais savoir c'est déjà si ma configuration iptables est cohérente (les règles) pour l'utilisation précitée, mais aussi d'où pourrait provenir le problème ...
 
 
Merci à tous de votre aide par avance :jap: !


---------------
- Si les cons volaient, il ferait nuit tout le temps ! -
mood
Publicité
Posté le 28-07-2005 à 19:16:08  profilanswer
 

n°712731
l0ky
Posté le 29-07-2005 à 08:25:30  profilanswer
 

Puisque tu peux

Citation :

- Envoyer des mails depuis l'extérieur via le SMTP que je fais tourner, vers postmaster@aliosphere.net et les relever à distance avec POP  


AMHA cela ne vient pas de ton firewall mais plutot de ta configuration de ton SMTP


Message édité par l0ky le 29-07-2005 à 08:27:41
n°712812
moon06
Ignorance is bliss
Posté le 29-07-2005 à 11:09:15  profilanswer
 

ah bizzare ... j'utilise Qmail comme serveur SMTP, mais je ne vois pas quel paramètre je pourrais changer pour résoudre cela ... à part rajouter mon IP dans /etc/tcp.smtp mais bon ça voudrait dire rajouter toutes les IP, et donc plus d'intérêt pour le fichier listant les domaines autorisés par la machine ! non ?  :cry:


Message édité par moon06 le 29-07-2005 à 11:09:35

---------------
- Si les cons volaient, il ferait nuit tout le temps ! -
n°712816
l0ky
Posté le 29-07-2005 à 11:13:55  profilanswer
 

Je ne connais pas QMail mais si tu arrives à initier une connection TCP port 25 de l'extérieur sur ton serveur, et que ton serveur peux en initier sur des serveur SMTP externes, il est clair que ca ne vient pas de ton firewall...
 
Il faudrait que tu le configures comme relais SMTP...

n°712822
moon06
Ignorance is bliss
Posté le 29-07-2005 à 11:21:31  profilanswer
 

ah ... ça me dit pas grand chose relais SMTP, je vais essayer de trouver des infos mais si tu peux (ou quelqu'un d'autre :))  m'éclairer, pourquoi pas !
 
sinon, petit détail auquel je viens de penser, dois-je ouvrir le port 25 en UDP aussi ou seulement TCP pour un serveur SMTP ??
 
A distance, aucun problème pour la commande : telnet 82.228.123.123 25  
je reçois le mess de bienvenue etc ...


Message édité par moon06 le 29-07-2005 à 11:22:13

---------------
- Si les cons volaient, il ferait nuit tout le temps ! -
n°712824
l0ky
Posté le 29-07-2005 à 11:26:31  profilanswer
 

seulement TCP port 25

n°712826
moon06
Ignorance is bliss
Posté le 29-07-2005 à 11:28:48  profilanswer
 

ok !
 
je viens de faire un essai à distance avec telnet et voici le résultat :
 

220 mail.exemple.net ESMTP
MAIL From : postmaster@exemple.net
250 ok
RCPT To : test@wanadoo.fr
553 sorry, that domain isn't in my list of allowed rcpthosts (#5.7.1)


---------------
- Si les cons volaient, il ferait nuit tout le temps ! -
n°712829
l0ky
Posté le 29-07-2005 à 11:32:49  profilanswer
 
n°712831
nikson
Posté le 29-07-2005 à 11:35:31  profilanswer
 

J'ai peut etre mal saisie mais  
il vaut mieux que ton serveur smtp refuse l'envoi de mail exterieur vers l'exterieur car ton serveur serait open relay donc un bon outil pour les spammeurs.


Message édité par nikson le 29-07-2005 à 11:35:52
n°712833
moon06
Ignorance is bliss
Posté le 29-07-2005 à 11:38:03  profilanswer
 

mais je bug sur un détail alors : quand j'envoie des mails à travers le serveur SMTP de mon serveur dédié, je peux le faire de n'importe où, le serveur n'étant pas pour autant en open-relay ... :/


---------------
- Si les cons volaient, il ferait nuit tout le temps ! -
mood
Publicité
Posté le 29-07-2005 à 11:38:03  profilanswer
 

n°712834
l0ky
Posté le 29-07-2005 à 11:39:35  profilanswer
 

Si tu authentifies les utilisateurs pour utiliser le serveur il n'y a plus de problemes de spammeurs...

n°712836
nikson
Posté le 29-07-2005 à 11:39:58  profilanswer
 

http://www.haking.pl/fr/index.php?page=pobierz
l'aricle telechargable  "comprendre l'envoi de spam" est tres bien fait pour comprendre le fonctionnement des serveurs open relay

n°712838
moon06
Ignorance is bliss
Posté le 29-07-2005 à 11:42:53  profilanswer
 

oki je vous remercie !
 
en fait je viens de cocher dans mon client Mail (Outlook) qu'il faut m'identifier sur le serveur SMTP avec les mêmes paramètres que mon compte et POP .. et ... ça marche ! :)


---------------
- Si les cons volaient, il ferait nuit tout le temps ! -

Aller à :
Ajouter une réponse
  FORUM HardWare.fr
  Linux et OS Alternatifs
  réseaux et sécurité

  Passerelle avec iptables : problème de SMTP

 

Sujets relatifs
NetInstall Sarge + Probleme Lilosecuriser iptables
securiser iptablesProblème de script linux!
[squid] Problème en Mode transparent[mandriva le 2005] probleme connexion 9online
debian - xorg probleme clavierprobleme mx secondaire
probleme NTFS DEBIAN mount point does not existmov to avi avec mjpegtools (yuvsacler probleme)
Plus de sujets relatifs à : Passerelle avec iptables : problème de SMTP

Forum MesDiscussions.Net, Version 2010.2
(c) 2000-2011 Doctissimo
Page générée en 0.051 secondes

Copyright © 1997-2022 Hardware.fr SARL (Signaler un contenu illicite / Données personnelles) / Groupe LDLC / Shop HFR