[Comm] Почта через iptable

[Comm] Почта через iptable

[iLya Bryzgalow]

Hi!

Было:
Internet-DSL торчал в свиче.
w2k-сервер в сети получал-передавал почту от провайдера (один ящик).
Стало:
Воткнули Linux-сервер между DSL и сеткой.
На нем squid, iptable и пр.
Сеть на eth0
DSL на eth1

Подскажите, пожалуйста, что надо прописать в iptables чтобы win2k сервер
продолжал получать-передавать как раньше. Т.е. пропустить наружу 25 порт
и внутрь 143,110.
Я так понял надо маскарад настроить для внутреннего (win2k) сервера на
порты 25,110,143.
Что-то я заткнулся. 

-- 
=-iLya Bryzgalow aka iLL LinuxUser#301257-=
=-Linux-=-Astronomy-=-Krasnodar-=-Russia-=
I don't smoke, so wish to you!
   _    ___    ___  JID:ill@jabber.org
  (_)  /  /   /  /  http://www.krumn.oilnet.ru/
 /  / /  /__ /  /__ ftp://ftp.krumn.oilnet.ru/
/__/ /_____//_____/ mailto:ill@krumn.oilnet.ru
kernel-2.6.4-std26-up-alt3 ALT Linux Sisyphus (20040320)
 09:23:40  up 2 days, 22:57,  3 users,  load average: 0.29, 0.26, 0.25

Re: [Comm] Почта через iptable

[iLya Bryzgalow]

Mon, 22 Mar 2004 09:38:06 +0300 iLya Bryzgalow <ill@krumn.oilnet.ru>
сообщил:

> Hi!
> 
> Было:
> Internet-DSL торчал в свиче.
> w2k-сервер в сети получал-передавал почту от провайдера (один ящик).
> Стало:
> Воткнули Linux-сервер между DSL и сеткой.
> На нем squid, iptable и пр.
> Сеть на eth0
> DSL на eth1
> 
> Подскажите, пожалуйста, что надо прописать в iptables чтобы win2k
> сервер продолжал получать-передавать как раньше. Т.е. пропустить
> наружу 25 порт и внутрь 143,110.
> Я так понял надо маскарад настроить для внутреннего (win2k) сервера на
> порты 25,110,143.
> Что-то я заткнулся. 
> 
Если я поставил в /etc/sysconfig/iptables
*nat
-A POSTROUTING -o eth1 -p tcp -j SNAT --to-source <реаладресинет>
это достаточно?

-- 
=-iLya Bryzgalow aka iLL LinuxUser#301257-=
=-Linux-=-Astronomy-=-Krasnodar-=-Russia-=
I don't smoke, so wish to you!
   _    ___    ___  JID:ill@jabber.org
  (_)  /  /   /  /  http://www.krumn.oilnet.ru/
 /  / /  /__ /  /__ ftp://ftp.krumn.oilnet.ru/
/__/ /_____//_____/ mailto:ill@krumn.oilnet.ru
kernel-2.6.4-std26-up-alt3 ALT Linux Sisyphus (20040320)
 11:16:05  up 3 days, 49 min,  3 users,  load average: 0.27, 0.20, 0.35

Re[2]: [Comm] Почта через iptable

[Sodom]

Здравствуйте, iLya.

Вы писали 22 марта 2004 г., 11:21:32:

iB> Mon, 22 Mar 2004 09:38:06 +0300 iLya Bryzgalow <ill@krumn.oilnet.ru>
iB> сообщил:

>> Hi!
>> 
>> Было:
>> Internet-DSL торчал в свиче.
>> w2k-сервер в сети получал-передавал почту от провайдера (один ящик).
>> Стало:
>> Воткнули Linux-сервер между DSL и сеткой.
>> На нем squid, iptable и пр.
>> Сеть на eth0
>> DSL на eth1
>> 
>> Подскажите, пожалуйста, что надо прописать в iptables чтобы win2k
>> сервер продолжал получать-передавать как раньше. Т.е. пропустить
>> наружу 25 порт и внутрь 143,110.
>> Я так понял надо маскарад настроить для внутреннего (win2k) сервера на
>> порты 25,110,143.
>> Что-то я заткнулся. 
>> 
iB> Если я поставил в /etc/sysconfig/iptables
iB> *nat
iB> -A POSTROUTING -o eth1 -p tcp -j SNAT --to-source <реаладресинет>
iB> это достаточно?

#Aliases
EXT_R_IP="X.X.X.X"
LOCAL_IP="Y.Y.Y.Y"
PORT1="110"

iptables -t nat -A PREROUTING -p tcp -d $EXT_R_IP --dport $PORT1 -j DNAT --to-destination $LOCAL_IP:$PORT1
iptables -A FORWARD -i eth1 -d $LOCAL_IP -p tcp --dport $PORT1 -j ACCEPT -v

ну примерно так. И так для всех портов.
P.S. eth1  у меня внешний интерфейс. Если у Вас наоборот - просто
поменяйте.

P.P.S. если хотите увидеть в /var/log/messages что собсственно
происходит, сделайте так:

iptables -t nat -A PREROUTING -p tcp -d $EXT_R_IP --dport $PORT1 -j DNAT --to-destination $LOCAL_IP:$PORT1
iptables -A FORWARD -i eth1 -d $LOCAL_IP -p tcp --dport $PORT1 -j LOG --log-prefix "Incomimg POP3  "
iptables -A FORWARD -i eth1 -d $LOCAL_IP -p tcp --dport $PORT1 -j ACCEPT -v

ну и tail -f /var/log/messages | grep POP3
-- 
С уважением,
 Sodom                          mailto:sodom@sodom.ru

Re: Re[2]: [Comm] Почта через iptable

[iLya Bryzgalow]

Mon, 22 Mar 2004 11:33:26 +0300 Sodom <sodom@sodom.ru> сообщил:

> Здравствуйте, iLya.
> 
> Вы писали 22 марта 2004 г., 11:21:32:
 iB> Если я поставил в /etc/sysconfig/iptables
 iB> *nat
 iB> -A POSTROUTING -o eth1 -p tcp -j SNAT --to-source <реаладресинет>
 iB> это достаточно?

> 
> #Aliases
> EXT_R_IP="X.X.X.X"
> LOCAL_IP="Y.Y.Y.Y"
> PORT1="110"
> 
> iptables -t nat -A PREROUTING -p tcp -d $EXT_R_IP --dport $PORT1 -j \
> DNAT --to-destination $LOCAL_IP:$PORT1
Не понял! Разве DNAT для доступа из ЛВС наружу?
По "iptables-tutorial-1.1.19":
 Действие  DNAT  (Destination  Network  Address Translation)
 производит преобразование   адресов назначения  в  заголовках  пакетов.
 Другими словами, этим действием производится перенаправление пакетов на
 другие адреса, отличные от указанных в заголовках пакетов.             
 SNAT  (Source  Network Address Translation) используется для изменения 
 исходных  адресов  пакетов.  С  помощью этого  действия  можно скрыть  
 структуру локальной сети, а заодно и разделить единственный внешний IP 
 адрес  между компьютерами локальной сети для выхода в Интернет. В этом 
 случае брандмауэр, с помощью SNAT, автоматически производит прямое и   
 обратное преобразование адресов, тем самым давая возможность выполнять 
 подключение к серверам в Интернете с компьютеров в локальной сети.
По идее должно быть:
iptables -t nat -A POSTROUTING -p tcp -s $LOCAL_IP --dport $PORT1 -j \
   SNAT --to-source $EXT_R_IP
Самое интересное на другой сети_с_выходом_в_инет (которая рядом и я могу
на ней проверить) заработало как я написал (не POP3, а ssh, но это не
важно). А на той, на виндах не пингуется почтовый сервер. Это надо UDP53
пробрасывать через iptables или запустить на Linux-е DNS?
> 
> -- 
> С уважением,
>  Sodom                          mailto:sodom@sodom.ru
> 
> _______________________________________________
> Community mailing list
> Community@altlinux.ru
> http://www.altlinux.ru/mailman/listinfo/community


-- 
=-iLya Bryzgalow aka iLL LinuxUser#301257-=
=-Linux-=-Astronomy-=-Krasnodar-=-Russia-=
I don't smoke, so wish to you!
   _    ___    ___  JID:ill@jabber.org
  (_)  /  /   /  /  http://www.krumn.oilnet.ru/
 /  / /  /__ /  /__ ftp://ftp.krumn.oilnet.ru/
/__/ /_____//_____/ mailto:ill@krumn.oilnet.ru
kernel-2.6.4-std26-up-alt3 ALT Linux Sisyphus (20040320)
 13:22:12  up 3 days,  2:55,  3 users,  load average: 0.48, 0.65, 0.54

Re[4]: [Comm] Почта через iptable

[Sodom]

Здравствуйте, iLya.

Вы писали 22 марта 2004 г., 13:52:09:

iB> Mon, 22 Mar 2004 11:33:26 +0300 Sodom <sodom@sodom.ru> сообщил:

>> Здравствуйте, iLya.
>> 
>> Вы писали 22 марта 2004 г., 11:21:32:
 iB>> Если я поставил в /etc/sysconfig/iptables
 iB>> *nat
 iB>> -A POSTROUTING -o eth1 -p tcp -j SNAT --to-source <реаладресинет>
 iB>> это достаточно?

>> 
>> #Aliases
>> EXT_R_IP="X.X.X.X"
>> LOCAL_IP="Y.Y.Y.Y"
>> PORT1="110"
>> 
>> iptables -t nat -A PREROUTING -p tcp -d $EXT_R_IP --dport $PORT1 -j \
>> DNAT --to-destination $LOCAL_IP:$PORT1
iB> Не понял! Разве DNAT для доступа из ЛВС наружу?
iB> По "iptables-tutorial-1.1.19":
iB>  Действие  DNAT  (Destination  Network  Address Translation)
iB>  производит преобразование   адресов назначения  в  заголовках  пакетов.
iB>  Другими словами, этим действием производится перенаправление пакетов на
iB>  другие адреса, отличные от указанных в заголовках пакетов.  
iB>  SNAT  (Source  Network Address Translation) используется для изменения
iB>  исходных  адресов  пакетов.  С  помощью этого  действия  можно скрыть
iB>  структуру локальной сети, а заодно и разделить единственный внешний IP
iB>  адрес  между компьютерами локальной сети для выхода в Интернет. В этом
iB>  случае брандмауэр, с помощью SNAT, автоматически производит прямое и
iB>  обратное преобразование адресов, тем самым давая возможность выполнять
iB>  подключение к серверам в Интернете с компьютеров в локальной сети.
iB> По идее должно быть:
iB> iptables -t nat -A POSTROUTING -p tcp -s $LOCAL_IP --dport $PORT1 -j \
iB>    SNAT --to-source $EXT_R_IP

Да, по идее все так, но работает. Я уж не помню, откуда пример брал...

iB> Самое интересное на другой сети_с_выходом_в_инет (которая рядом и я могу
iB> на ней проверить) заработало как я написал (не POP3, а ssh, но это не
iB> важно). А на той, на виндах не пингуется почтовый сервер.

ээ... не понял, а как Вы его пинговать собрались, если Вы только 110
порт выкинули наружу? telnet [gateway_host] 110 если только...
Или я чего-то не допонял?

iB>  Это надо UDP53
iB> пробрасывать через iptables или запустить на Linux-е DNS?

Это уж Ваше право. Но я бы не рисковал кривой днс наружу вытаскивать
:-)


>> 
>> -- 
>> С уважением,
>>  Sodom                          mailto:sodom@sodom.ru
>> 
>> _______________________________________________
>> Community mailing list
>> Community@altlinux.ru
>> http://www.altlinux.ru/mailman/listinfo/community





-- 
С уважением,
 Sodom                          mailto:sodom@sodom.ru

Re: Re[4]: [Comm] Почта через iptable

[iLya Bryzgalow]

Mon, 22 Mar 2004 14:03:13 +0300 Sodom <sodom@sodom.ru> сообщил:

> iB> iptables -t nat -A POSTROUTING -p tcp -s $LOCAL_IP --dport \
> $PORT1 -j SNAT --to-source $EXT_R_IP
Спасибо всем, все заработало.
> 
>  Да, по идее все так, но работает. Я уж не помню, откуда пример
>  брал...
> 
>  iB> Самое интересное на другой сети_с_выходом_в_инет (которая рядом и
>  я могу iB> на ней проверить) заработало как я написал (не POP3, а
>  ssh, но это не iB> важно). А на той, на виндах не пингуется почтовый
>  сервер.
> 
>  ээ... не понял, а как Вы его пинговать собрались, если Вы только 110
>  порт выкинули наружу? telnet [gateway_host] 110 если только...
>  Или я чего-то не допонял?
> 
>  iB>  Это надо UDP53
>  iB> пробрасывать через iptables или запустить на Linux-е DNS?
> 
>  Это уж Ваше право. Но я бы не рисковал кривой днс наружу вытаскивать
>  :-)
Кривой? В смысле BIND кривой?

-- 
=-iLya Bryzgalow aka iLL LinuxUser#301257-=
=-Linux-=-Astronomy-=-Krasnodar-=-Russia-=
I don't smoke, so wish to you!
   _    ___    ___  JID:ill@jabber.org
  (_)  /  /   /  /  http://www.krumn.oilnet.ru/
 /  / /  /__ /  /__ ftp://ftp.krumn.oilnet.ru/
/__/ /_____//_____/ mailto:ill@krumn.oilnet.ru
kernel-2.6.4-std26-up-alt3 ALT Linux Sisyphus (20040320)
 14:56:25  up 3 days,  4:30,  3 users,  load average: 0.90, 0.44, 0.27

Re[6]: [Comm] Почта через iptable

[Sodom]

Здравствуйте, iLya.

Вы писали 22 марта 2004 г., 14:59:51:

iB> Mon, 22 Mar 2004 14:03:13 +0300 Sodom <sodom@sodom.ru> сообщил:

skip...
>>  iB>  Это надо UDP53
>>  iB> пробрасывать через iptables или запустить на Linux-е DNS?
>> 
>>  Это уж Ваше право. Но я бы не рисковал кривой днс наружу вытаскивать
>>  :-)
iB> Кривой? В смысле BIND кривой?

в смысле у тукея днс кривой.


-- 
С уважением,
 Sodom                          mailto:sodom@sodom.ru

[Comm] Совместимость

[44]

Друзья, а работают ли по Win4Lin (W95) такие программы как FineReader,
Promt, голосовой синтез и т.п.?
Здесь http://mdlin.by.ru/lin1c.html говорят, что и 1C ?
Спасибо.

Re: [Comm] Совместимость

[iLya Bryzgalow]

Mon, 22 Mar 2004 13:28:33 +0200 "44" <allfast2@mail.ru> сообщил:

> Друзья, а работают ли по Win4Lin (W95) такие программы как FineReader,
> Promt, голосовой синтез и т.п.?
> Здесь http://mdlin.by.ru/lin1c.html говорят, что и 1C ?
> Спасибо.
Win4Lin это что? Это для запуска кривых прог от Некрософт под Linux?
:-))) Щютка.
DosEmu - юзал, Wine - юзал, WMWare - юзал, Win4Lin -
не юзал.

-- 
=-iLya Bryzgalow aka iLL LinuxUser#301257-=
=-Linux-=-Astronomy-=-Krasnodar-=-Russia-=
I don't smoke, so wish to you!
   _    ___    ___  JID:ill@jabber.org
  (_)  /  /   /  /  http://www.krumn.oilnet.ru/
 /  / /  /__ /  /__ ftp://ftp.krumn.oilnet.ru/
/__/ /_____//_____/ mailto:ill@krumn.oilnet.ru
kernel-2.6.4-std26-up-alt3 ALT Linux Sisyphus (20040320)
 15:00:47  up 3 days,  4:34,  3 users,  load average: 0.66, 0.56, 0.35

Re: [Comm] Совместимость

[John A. Gladkikh]

[-- Attachment #1: Type: text/plain, Size: 758 bytes --]

Когда-то Mon, 22 Mar 2004 15:05:44 +0300
iLya Bryzgalow <ill@krumn.oilnet.ru> писал(а):

> Mon, 22 Mar 2004 13:28:33 +0200 "44" <allfast2@mail.ru> сообщил:
> 
> > Друзья, а работают ли по Win4Lin (W95) такие программы как FineReader,
да
> > Promt, 
да
>> голосовой синтез и т.п.?
> > Здесь http://mdlin.by.ru/lin1c.html говорят, что и 1C ?
> > Спасибо.
> Win4Lin это что? Это для запуска кривых прог от Некрософт под Linux?
> :-))) Щютка.
> DosEmu - юзал, Wine - юзал, WMWare - юзал, Win4Lin -
> не юзал.
> 

-- 

Best regards.
John A. Gladkikh.

   .~.	         Registered Linux User
   /U\	         # 315336
  // \\	         
 /(___)\     
  ^   ^
public GnuPG key: http://pgp.mit.edu:11371/pks/lookup?op=get&search=0xF62D0E88

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] Совместимость

[some_x]

44 пишет:

>Друзья, а работают ли по Win4Lin (W95) такие программы как FineReader,
>Promt, голосовой синтез и т.п.?
>Здесь http://mdlin.by.ru/lin1c.html говорят, что и 1C ?
>Спасибо.
>  
>
Промт, у меня работал, остальное наверное работать будет но медленно, 
т.к требует значительных процессорных затрат.

Re: [Comm] Совместимость

[Alexander Mayorov]

В сообщении от Wednesday 24 March 2004 03:48 some_x написал(a):
> 44 пишет:
> >Друзья, а работают ли по Win4Lin (W95) такие программы как FineReader,
> >Promt, голосовой синтез и т.п.?
> >Здесь http://mdlin.by.ru/lin1c.html говорят, что и 1C ?
> >Спасибо.
>
> Промт, у меня работал, остальное наверное работать будет но медленно,
> т.к требует значительных процессорных затрат.
У меня прекрасно работал FineReader. Особых граблей при установке не помню

Александр

Re: [Comm] Почта через iptable

[Alexey Morsov]

iLya Bryzgalow wrote:
> Hi!
> 
> Было:
> Internet-DSL торчал в свиче.
> w2k-сервер в сети получал-передавал почту от провайдера (один ящик).
> Стало:
> Воткнули Linux-сервер между DSL и сеткой.
> На нем squid, iptable и пр.
> Сеть на eth0
> DSL на eth1
> 
> Подскажите, пожалуйста, что надо прописать в iptables чтобы win2k сервер
> продолжал получать-передавать как раньше. Т.е. пропустить наружу 25 порт
> и внутрь 143,110.
Возможно вам поможет следующее:

#iptables -t nat -A POSTROUTING -s <ваша сетка> -o eth1 -j MASQUERADE

#iptables -P FORWARD DROP

и далее для каждого нужного вам порта
#iptables -A FORWARD -p tcp -i eth0 -o eth1 -s <ваша сетка> 
--dport <порт> -j ACCEPT
#iptables -A FORWARD -p tcp -i eth1 -o eth0 -d <ваша сетка> 
--sport <порт> -m state --state ESTABLISHED,RELATED -j ACCEPT
> Я так понял надо маскарад настроить для внутреннего (win2k) сервера на
> порты 25,110,143.
> Что-то я заткнулся. 
> 

-- 
С наилучшими пожеланиями,
Алексей.