Passerelle avec iptables : problème de SMTP

Passerelle avec iptables : problème de SMTP - réseaux et sécurité - Linux et OS Alternatifs

Marsh Posté le 28-07-2005 à 19:16:08    

Bonjour tout le monde  :hello:  
 
J'ai commencé il y a (déjà !) quelques jours à installer une passerelle Linux pour mon réseau local et l'accès à Internet, correspondant au schéma ci-dessous :
 
http://img160.imageshack.us/img160/5558/schemareseaubureau2gc.jpg
 
La passerelle tourne sous Fedora Core 3, noyau 2.6.9.
 
Voici le script que j'utilise pour mettre en place les règles Iptables :
 

Code :
  1. #!/bin/sh
  3. IFACE_INTERNET = "eth1" # Interface connectée à Internet
  4. IP_INTERNET = "82.228.123.123"
  6. IFACE_LOCALE = "eth0" # Interface connectée au LAN
  7. IP_LOCALE = "192.168.1.1" # IP Passerelle
  8. RESEAU_LOCAL = "192.168.1.0/24"
  10. SERVEUR_MAIL = "192.168.1.5"
  11. SERVEUR_HTTP = "192.168.1.5"
  13. echo 1 > /proc/sys/net/ipv4/ip_forward
  15. ### Par défaut on refuse tout ###
  16. /sbin/iptables -P INPUT DROP
  17. /sbin/iptables -P OUTPUT DROP
  18. /sbin/iptables -P FORWARD DROP
  20. ### Accepte tout ce qui concerne l'interface loopback ###
  21. /sbin/iptables -A INPUT -i lo -j ACCEPT
  23. ### On accepte tout sur l'interface du réseau interne ###
  24. /sbin/iptables -A FORWARD -i $IFACE_LOCALE -j ACCEPT
  25. /sbin/iptables -A FORWARD -o $IFACE_LOCALE -j ACCEPT
  27. ### On accepte ce qui va vers l'exterieur ###
  28. /sbin/iptables -A OUTPUT -o $IFACE_INTERNET -j ACCEPT
  30. ### On accepte de forwarder vers l'exterieur ###
  31. /sbin/iptables -A FORWARD -o $IFACE_INTERNET -j ACCEPT
  33. ### On ouvre certains ports ###
  34. /sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT
  35. /sbin/iptables -A INPUT -p tcp --dport 25 -j ACCEPT
  36. /sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT
  37. /sbin/iptables -A INPUT -p tcp --dport 110 -j ACCEPT
  39. ### Redirection de ports ###
  40. /sbin/iptables -t nat -A PREROUTING -d $IP_INTERNET -p tcp --dport 80 -j DNAT --to-destination $SERVEUR_HTTP:80
  41. /sbin/iptables -t nat -A PREROUTING -d $IP_INTERNET -p tcp --dport 25 -j DNAT --to-destination $SERVEUR_MAIL:25
  42. /sbin/iptables -t nat -A PREROUTING -d $IP_INTERNET -p tcp --dport 110 -j DNAT --to-destination $SERVEUR_MAIL:110
  44. ### Masquerade ###
  45. /sbin/iptables -t nat -A POSTROUTING -o $IFACE_INTERNET -j MASQUERADE


 
(aussi disponible sur http://pastebin.com/323950 pour la coloration et numérotation des lignes)
 
 
Le problème
 
Oui c'était trop beau, tout ne peut pas marcher du premier coup ... ma machine 192.168.1.5 fait tourner un serveur SMTP et un serveur POP.
 
Le serveur SMTP gère actuellement un domaine exemple.net et un seul compte est en place, postmaster@exemple.net.
 
Le fichier /etc/tcp.smtp contient une ligne :
 

127.:ALLOW,RELAYCLIENT=""


 
Le fichier rcpthosts contient une entrée :
 

exemple.net


 
Donc, en bref je peux :
 
- Envoyer des mails depuis l'extérieur via un SMTP quelconque vers postmaster@exemple.net et les relever à distance en POP
- Envoyer des mails depuis l'extérieur via le SMTP que je fais tourner, vers postmaster@aliosphere.net et les relever à distance avec POP
- Envoyer des mails depuis la machine (commande mail) vers l'extérieur (adresse quelconque)
 
Mais je ne peux PAS :
 
- Envoyer des mails depuis l'extérieur via le SMTP que je fais tourner, vers l'extérieur (une adresse mail quelconque, @free.fr ou @gmail.com par ex.)
 
______
 
Ce que je voudrais savoir c'est déjà si ma configuration iptables est cohérente (les règles) pour l'utilisation précitée, mais aussi d'où pourrait provenir le problème ...
 
 
Merci à tous de votre aide par avance :jap: !


---------------
- Si les cons volaient, il ferait nuit tout le temps ! -
Reply

Marsh Posté le 28-07-2005 à 19:16:08   

Reply

Marsh Posté le 29-07-2005 à 08:25:30    

Puisque tu peux

Citation :

- Envoyer des mails depuis l'extérieur via le SMTP que je fais tourner, vers postmaster@aliosphere.net et les relever à distance avec POP  


AMHA cela ne vient pas de ton firewall mais plutot de ta configuration de ton SMTP


Message édité par l0ky le 29-07-2005 à 08:27:41
Reply

Marsh Posté le 29-07-2005 à 11:09:15    

ah bizzare ... j'utilise Qmail comme serveur SMTP, mais je ne vois pas quel paramètre je pourrais changer pour résoudre cela ... à part rajouter mon IP dans /etc/tcp.smtp mais bon ça voudrait dire rajouter toutes les IP, et donc plus d'intérêt pour le fichier listant les domaines autorisés par la machine ! non ?  :cry:


Message édité par moon06 le 29-07-2005 à 11:09:35

---------------
- Si les cons volaient, il ferait nuit tout le temps ! -
Reply

Marsh Posté le 29-07-2005 à 11:13:55    

Je ne connais pas QMail mais si tu arrives à initier une connection TCP port 25 de l'extérieur sur ton serveur, et que ton serveur peux en initier sur des serveur SMTP externes, il est clair que ca ne vient pas de ton firewall...
 
Il faudrait que tu le configures comme relais SMTP...

Reply

Marsh Posté le 29-07-2005 à 11:21:31    

ah ... ça me dit pas grand chose relais SMTP, je vais essayer de trouver des infos mais si tu peux (ou quelqu'un d'autre :))  m'éclairer, pourquoi pas !
 
sinon, petit détail auquel je viens de penser, dois-je ouvrir le port 25 en UDP aussi ou seulement TCP pour un serveur SMTP ??
 
A distance, aucun problème pour la commande : telnet 82.228.123.123 25  
je reçois le mess de bienvenue etc ...


Message édité par moon06 le 29-07-2005 à 11:22:13

---------------
- Si les cons volaient, il ferait nuit tout le temps ! -
Reply

Marsh Posté le 29-07-2005 à 11:26:31    

seulement TCP port 25

Reply

Marsh Posté le 29-07-2005 à 11:28:48    

ok !
 
je viens de faire un essai à distance avec telnet et voici le résultat :
 

220 mail.exemple.net ESMTP
MAIL From : postmaster@exemple.net
250 ok
RCPT To : test@wanadoo.fr
553 sorry, that domain isn't in my list of allowed rcpthosts (#5.7.1)


---------------
- Si les cons volaient, il ferait nuit tout le temps ! -
Reply

Marsh Posté le 29-07-2005 à 11:32:49    

Reply

Marsh Posté le 29-07-2005 à 11:35:31    

J'ai peut etre mal saisie mais  
il vaut mieux que ton serveur smtp refuse l'envoi de mail exterieur vers l'exterieur car ton serveur serait open relay donc un bon outil pour les spammeurs.


Message édité par nikson le 29-07-2005 à 11:35:52
Reply

Marsh Posté le 29-07-2005 à 11:38:03    

mais je bug sur un détail alors : quand j'envoie des mails à travers le serveur SMTP de mon serveur dédié, je peux le faire de n'importe où, le serveur n'étant pas pour autant en open-relay ... :/


---------------
- Si les cons volaient, il ferait nuit tout le temps ! -
Reply

Marsh Posté le 29-07-2005 à 11:38:03   

Reply

Marsh Posté le 29-07-2005 à 11:39:35    

Si tu authentifies les utilisateurs pour utiliser le serveur il n'y a plus de problemes de spammeurs...

Reply

Marsh Posté le 29-07-2005 à 11:39:58    

http://www.haking.pl/fr/index.php?page=pobierz
l'aricle telechargable  "comprendre l'envoi de spam" est tres bien fait pour comprendre le fonctionnement des serveurs open relay

Reply

Marsh Posté le 29-07-2005 à 11:42:53    

oki je vous remercie !
 
en fait je viens de cocher dans mon client Mail (Outlook) qu'il faut m'identifier sur le serveur SMTP avec les mêmes paramètres que mon compte et POP .. et ... ça marche ! :)


---------------
- Si les cons volaient, il ferait nuit tout le temps ! -
Reply

Sujets relatifs:

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed