Ощущается как +34

2 м/с юго-зап..

Новая тема

Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.

Список тем

НАтройки iptables для пересылки почты на другой сервер

Сисадминское

С друзьями на NN.RU

У вас пока нет друзей на NN.RU, поэтому ссылка на тему не может быть отправлена.

Воспользуйтесь поиском, чтобы найти новых друзей.

В социальных сетях

Sanja

11.08.2010

Вообщем есть шлюз на нем сейчас стоит почта. Решили убрать почтовый сервер внутрь локлаьнйо сети. Чтобы не обегать всех пользователей и не менять настройки smtp и pop хочется завернуть весь почтовый трафик на внутренний сервер.
Вообщем прописал такие правила.
# ##### M A I L ########
#Forward mail
-A FORWARD -d 192.168.1.233 -p tcp -m tcp --dport 110 -j ACCEPT
-A FORWARD -d 192.168.1.233 -p tcp -m tcp --dport 25 -j ACCEPT
# Do SNAT mail maping
-A POSTROUTING -p tcp -s 192.168.1.233 --dport 25 -j SNAT --to-source 192.168.1.1
-A POSTROUTING -p tcp -s 192.168.1.233 --dport 110 -j SNAT --to-source 192.168.1.1
#DO DNAT maping mail
-A PREROUTING -p tcp -m tcp --dport 25 -j DNAT --to-destination 192.168.1.233:25
-A PREROUTING -p tcp -m tcp --dport 110 -j DNAT --to-destination 192.168.1.233:110

192,168,1,233 mail сервер
192,168,1,1 внутренний ip шлюза

Почта ходит везде кроме отправки в мир
При отправки в мир приходит ДВА раза вот такое сообщение

This is the mail system at host mail.domain.ru
to have to inform you that your message could not be delivered to one or more recipients. It's attached below.
For further assistance, please send mail to postmaster.
If you do so, please include this problem report. You can delete your own text from the attached returned message.
The mail system
<123456@mail.ru>: mail for mail.ru loops back to myself

Помогайте:)

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Мерзавец

11.08.2010

завернуть весь почтовый трафик на внутренний сервер.
Завернули.... внутренний ip шлюза это хорошо... а где в правилах то что, *за шлюзом* ?

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Sanja

11.08.2010

-A POSTROUTING -o eth1 -j SNAT --to-source X.X.X.X
X.X.X.X внешний адрес шлюза

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Сейчас читают

Тема Просмотров

Тайны НПФ 65

Промерзающие бараки, построенные в Шахунье в качестве квартир для сирот, стали причиной возбуждения уголовного дела 260

Как похудеть ? 845

За то скакав Майдан! 705

Суды: более 80% отцов воспитывают не своих детей 1225

Почему многие подростки ходят в черном и мешковатом? 2465

pl17

11.08.2010

# Do SNAT mail maping
-A POSTROUTING -p tcp -s 192.168.1.233 --dport 25 -j SNAT --to-source 192.168.1.1
-A POSTROUTING -p tcp -s 192.168.1.233 --dport 110 -j SNAT --to-source 192.168.1.1

что-то я не догоняю, это здесь зачем? какую роль оно выполняет? в чем его цель

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Sanja

11.08.2010

Это я читал сттейку про настройку web севрера и ершил что мне такая схема тоже нужна

вот

А теперь посмотрим, что произойдет, если почта посылается с узла, расположенного в той же локальной
сети. Для простоты изложения примем адрес клиента в локальной сети равным $LAN_BOX.

Пакет покидает $LAN_BOX.
Поступает на шлюз.
Производится подстановка адреса назначения, однако адрес отправителя не подменяется, т.е. исходный
адрес остается в пакете без изменения.

Пакет покидает шлюз и отправляется на mail сервер.

mail сервер, готовясь к отправке ответа, обнаруживает, что клиент находится в локальной сети (поскольку
пакет запроса содержал оригинальный IP адрес, который теперь превратился в адрес назначения) и поэтому
отправляет пакет непосредственно на $LAN_BOX.

Пакет поступает на $LAN_BOX. Клиент "путается", поскольку ответ пришел не с того узла, на который
отправлялся запрос. Поэтому клиент "сбрасывает" пакет ответа и продолжает ждать "настоящий" ответ.

Проблема решается довольно просто с помощью SNAT.
Это правило вынуждает mail сервер передавать ответы на наш шлюз, которые затем будут
переданы клиенту.

Вот как то так!!!

Может я конечно не прав!

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

pl17

11.08.2010

есть пара моментов
1) да такой косяк должен существовать, теоретически. точной проверки я не проводил, но ряд наблюдений говорят об отсутствии данной проблемы
2) если же это действительно существует, то проблема в том, что клиент стучится на внешний адрес сервера где идет перенаправление вовнутрь, это надо решать не СНАТом ибо это костыль применяемый в условиях ограниченных возможностей и дает доп нагрузку на шлюз. лучше настроить правильно ДНС, чтобы внутренние клиенты не оказывались в такой ситуации
3) если уж решаете надуманную проблему СНАТом, то уж натьте правильно, там надо подставлять внешний адрес, а не внутренний. и уж тем более там в ответе будет -s (правильно) но и --sport (--dport неправильно)

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Sanja

11.08.2010

НАдо вечерком без SNAT попробывать,я без этих правил чесно говря и ен пробывал.

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

pl17

11.08.2010

еще проблема в том что правило неправильное и не видно остальных правил, чтобы понять поведение шлюза
но очевидно одно, если что и мешает работе то это первое првило из этих двух ненужных

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Sanja

11.08.2010

ну если почтовик запушенные непоредтсвенно на шлюзе работает нормально и если не прописывать правила для заворачивания почты. То новый почтовик который вынесенв локальную сеть тож работает номрально. все дело в этих шести правилах!

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

pl17

11.08.2010

еще бы узнать, когда активируется правило НАТ, которое преобразует адреса когда вы ходите в инет
и если оно идет после этих почтовых, тогда все становится абсолютно банально

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Sanja

12.08.2010

Ну да оно идет после этих правил . НУ всмысле в цепочке построутинга правило выхода в инет последнее
-A POSTROUTING -o eth1 -j SNAT --to-source X.X.X.X

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

pl17

12.08.2010

тогда все просто.
на сколько я помню, в ipt срабатывает именно первое правило
поэтому, когда почтовик пытается отправить почту наружу, он стучится на 25 порт внешнего сервера, шлюз видит пакет с адресом отправителя почтовика и портом назначения 25 (как указано в правиле) и подменяет адрес отправителя на свой внутренний, что естественно полная глупость, поэтому ничего работать и не должно, тк в дальнейшую обработку SNAT он не попадает

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Sanja

11.08.2010

На а в целом то эти правила правильные ну кроме SNAT или может что-то ещё надо сделать

Ответить

Ссылка на сообщение

открыть ссылку в новом окне

В социальных сетях

Новая тема

Список тем

Последние темы форумов

Форум Тема (Автор) Последний ответ Ответов

Техно-форум Использовать маршрутизацию вместо NAT - DimaXA 11.07.2025 в 18:51:07 14

Объявления на НН.РУ - Техника

Добавить объявление

Оперативная память Corsair XMS3 CMX8GX3M2A1600C9

Оперативная память Corsair XMS3 CMX8GX3M2A1600C9 Отправка в регионы после оплаты. Продаются сразу обе. Цена за обе 2000 руб....
Цена: 1 000 руб.

Принтер лазерный HEWLETT PACKARD HP-6L

Принтер лазерный HEWLETT PACKARD HP-6L Отправка в регионы после оплаты. 3штуки БУ. Внешний вид из магазина простояли на складе...
Цена: 4 500 руб.

Материнские платы на запчасти и не только

Материнские платы на запчасти и не только Материнские платы и другие комплектующие Отправка в регионы после оплаты. Транспортной...
Цена: 3 000 руб.

Сетевой фильтр APC Surge Arrest

Сетевой фильтр APC Surge Arrest для радиолюбителя.и не только Отправка в регионы после оплаты. ЦЕНА 3000 руб. В рабочем состоянии....
Цена: 3 000 руб.