From mboxrd@z Thu Jan  1 00:00:00 1970
Return-Path: <rromas@mailru.com>
Message-Id: <200108281058.f7SAwW076538@www1.mailru.com>
From: Roman S <rromas@mailru.com>
To: mandrake-russian@altlinux.ru
MIME-Version: 1.0
Content-Type: text/plain; charset="koi8-r"
Content-Transfer-Encoding: 8bit
X-Mailer: Free WebMail HotBOX.ru
X-Originating-IP: [194.84.146.9]
Subject: Re: [mdk-re] iptables и postfix
Sender: mandrake-russian-admin@altlinux.ru
Errors-To: mandrake-russian-admin@altlinux.ru
X-BeenThere: mandrake-russian@altlinux.ru
X-Mailman-Version: 2.0
Precedence: bulk
Reply-To: mandrake-russian@altlinux.ru
List-Help: <mailto:mandrake-russian-request@altlinux.ru?subject=help>
List-Post: <mailto:mandrake-russian@altlinux.ru>
List-Subscribe: <http://altlinux.ru/mailman/listinfo/mandrake-russian>,
	<mailto:mandrake-russian-request@altlinux.ru?subject=subscribe>
List-Id: Linux-Mandrake RE / ALT Linux discussion list <mandrake-russian.altlinux.ru>
List-Unsubscribe: <http://altlinux.ru/mailman/listinfo/mandrake-russian>,
	<mailto:mandrake-russian-request@altlinux.ru?subject=unsubscribe>
List-Archive: <http://altlinux.ru/pipermail/mandrake-russian/>
Date: Tue Aug 28 14:56:11 2001
X-Original-Date: Tue, 28 Aug 2001 14:58:32 +0400 (MSD)
Archived-At: <http://lore.altlinux.org/community/200108281058.f7SAwW076538@www1.mailru.com/>
List-Archive: <http://lore.altlinux.org/community/>
List-Post: <mailto:mandrake-russian@linuxteam.iplabs.ru>

Цитирую John <john@rmts.donpac.ru>:

> Roman S wrote:
> 
> >>>iptables -P INPUT DROP
> >>>iptables -P OUTPUT DROP
> >>>iptables -P FORWARD DROP
> >>>iptables -A INPUT -i ppp0 -p TCP --dport smtp -j
ACCEPT
> >>>iptables -A INPUT -o ppp0 -p TCP --sport smtp -j
ACCEPT
> >>>
> >
> >Во первых:
> >Почему вы думаете, что исходящий трафик на SMTP пойдёт
> >с 25-го порта? Это не так.
> >
> А с какого?
C > 1024.
Общая политика должна быть такова (как _упрощенный_
вариант):
Входящий трафик
1) Запрещено всё кроме дальнейшего:
2) 0-1024 - открыто выборочно, по необходимости, что-то
может только с определённых адресов...
3) Открыт (при необходимости) в диапазоне >1024
диапазон для traceroute и прочих служб, по перечню.

Исходящий:
Как входящий, но:
Открыты порты > 1024, за вычетом портов по списку,
которым не положено.

> >
> >
> >Во вторых:
> >Откройте DNS.


Rgds!
Roman Savelyev