Re: [mdk-re] iptables É postfix

Re: [mdk-re] iptables É postfix

[Roman S]

Цитирую John <john@rmts.donpac.ru>:

> Roman S wrote:
> 
> >>>iptables -P INPUT DROP
> >>>iptables -P OUTPUT DROP
> >>>iptables -P FORWARD DROP
> >>>iptables -A INPUT -i ppp0 -p TCP --dport smtp -j
ACCEPT
> >>>iptables -A INPUT -o ppp0 -p TCP --sport smtp -j
ACCEPT
> >>>
> >
> >Во первых:
> >Почему вы думаете, что исходящий трафик на SMTP пойдёт
> >с 25-го порта? Это не так.
> >
> А с какого?
C > 1024.
Общая политика должна быть такова (как _упрощенный_
вариант):
Входящий трафик
1) Запрещено всё кроме дальнейшего:
2) 0-1024 - открыто выборочно, по необходимости, что-то
может только с определённых адресов...
3) Открыт (при необходимости) в диапазоне >1024
диапазон для traceroute и прочих служб, по перечню.

Исходящий:
Как входящий, но:
Открыты порты > 1024, за вычетом портов по списку,
которым не положено.

> >
> >
> >Во вторых:
> >Откройте DNS.


Rgds!
Roman Savelyev

Re: [mdk-re] iptables и postfix

[Sergey Vlasov]

On Tue, 28 Aug 2001 14:58:32 +0400 (MSD)
Roman S <rromas@mailru.com> wrote:

> > >Во первых:
> > >Почему вы думаете, что исходящий трафик на SMTP пойдёт
> > >с 25-го порта? Это не так.
> > >
> > А с какого?
> C > 1024.

Кстати, при необходимости можно менять диапазон автоматически
выбираемых портов (/proc/sys/net/ipv4/ip_local_port_range).  Это имеет
смысл, например, если есть сервисы, живущие на портах выше 1024.