Newsgroup: it.comp.os.linux.iniziare
Titolo: Re: regola iptables per l'smtp.

 --dport 25?
http://www.google.it/search?q=iptables+howto
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 --dport 25?
Non si riesce (o non riesco) a capire che cosa ti serve o che cosa vuoi
fare.
Se la tua macchina è un desktop che deve accedere a servizi esterni e non
permettere l'accesso dall'esterno a servizi locali sulla tua macchina, ti
conviene semplicemente sfruttare lo stateful (opzione state) per permettere
qualsiasi traffico in uscita, e consentire il solo traffico relativo a
connessione iniziate (in uscita), lasciando perdere su quale porta operare.
Per esempio:
N.B. è una sintesi con modifiche delle impostazioni del mio sistema, 
prendile solo come esempio.
WAN_IFACE="ppp0"
# Imposta le politiche di default dei built-in chains.
iptables -P INPUT DROP
# Controlla il traffico relativo a nuove connessioni
iptables -A INPUT -i ! $WAN_IFACE -m state --state NEW -j ACCEPT
# Accetta il traffico relativo a connessioni già iniziate
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# Reject delle conferme di connessioni non iniziate
iptables -A INPUT -m state --state INVALID -j REJECT
Eventualmente se vuoi puoi sempre gestire una porta specifica come una
eccezzione alla regola di cui sopra.

 E' un mail server.
iptables -A INPUT -p tcp --dport 25 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 25 -j ACCEPT
bastano, avanzano e funzionano.


 E' un mail server.
Ah, grazie per aver contribuito all'usura della sfera di cristallo, segue
fattura.
Estensione dell'esempio:
- sostituisci ppp0 con eth0 o quello che usi.
- aggiungi iptables -A INPUT -p tcp --dport 25 -j ACCEPT
- potresti consentire in OUTPUT solo le porte dei servizi che rendi
disponibili.
- potresti consentire in OUTPUT il solo traffico relativo a connessione già
stabilite (dipende se la macchina deve anche usare servizi esterni).

 -j ACCEPT
Spiegheresti a che serve l'ultima? Se è per i pacchetti di ritorno della
seconda allora è superflua perché già coperta dallo stato ESTABLISHED
della seconda. Anche il RELATED è superfluo in questo caso, essendo SMTP
basato su una sola connessione TCP/IP.


 25.
No, le connessioni dagli altri smtp server è da porta >1024 a 25.
Il source port 25 servirebbe qualora non avessi un firewall stateful
(ovvero senza il modulo conntrack) e serve per il ritorno dei pacchetti
che TU invii verso gli altri smtp server


 a spedire posta? 
Sei sicuro di aver caricato il modulo conntrack?


 Sei sicuro di aver caricato il modulo conntrack?
Si:
lsmod
Module                  Size  Used by
ipt_state               1728  12
ip_conntrack           31440  1 ipt_state
iptable_filter          2368  1
ip_tables              16672  2 ipt_state,iptable_filter

 I RELATED non servono, puoi toglierli.
Sì, alla fine i related servono solo per protocolli particolari come FTP
e IRC che non usano una sola porta per offrire il servizio.


 iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT
Pardon, hai ragione :-o
In effetti avevo dimenticato di mettere la policy di default a DROP,
ecco perché andava.
Forse è utile che ricontrolli un po' meglio prima di postare :-)
