2015.03.28. 11:10 keltezéssel, [email protected] írta:
On 03/28/2015 09:57, Istvan Nagel wrote:
Remélem így már jó lesz:
iptables -A FORWARD -o $EXTERNAL_IF -p tcp --dport 25 -j DROP
valamire biztosan. ugyanakkor felmerult nehany kerdes/eszrevetel,
amire nem valaszoltal, igy aztan az, hogy a fenti segiteni fog-e
rajtad, nem ismert.
miutan az informacio koztudottan annal jobban modosul, minel tobb
csomoponton halad at, valamint az eredeti problema nem ismert (bocs,
de en nem fogok ket napnyi postfix logot soronkent atnyalazni) igy
ketseges, hogy a fenti sornak van-e ertelme egyatalan.
ha igaza van annak, aki felvetette, hogy hostingolt gep nem szokott
atjaro lenni masoknak (szokott, de a felvetes valid), akkor az is
igaz, hogy a fenti sor ha nem _halozati ertelemben_ vett athalado
forgalom, akkor nem segit semmit.
Ezt én nem értem túl filozófikus:)
Ettől függetlenül alap igazság hogy a kliens gépeknek nem szabad
engedni, hogy direktben forgalmazzanak a 25-s cél portra. Internet
szolgáltatók is
tiltják a kimenő forgalmat a 25-s porton. Levelet küldeni mindig csak az
adott szolgáltató SMTP szerverén keresztül lehet.
Sok nemkívánatos program van, ami spam küldésre használja a
megfertőzött gépet. Így a fertőzött gépek folyton besározzák a publikus
IP címet, amin keresztül kijutnak a net -re. Vagyis amíg ez nincs
megakadályozva addig felesleges túrni a postfix logokat. Már csak azért
sem, mert így sokkal több támadási kísérletnek van kitéve minden
szolgáltatás ami ezen a publikus címen elérhető.
Ez pl nálam azt mondja, hogy a kliens PC -k nem mehetnek direktben a
NET-re a 80,8080,3128,25 portokon,
ha a kimenő interface az eth1 (wan kapcsolat):
-A FORWARD -p tcp -m tcp -m multiport -o eth1 -j REJECT --dports
80,8080,3128,25
_______________________________________________
Techinfo mailing list
[email protected]
Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo
Illemtan: http://www.szag.hu/illemtan.html
Ügyfélszolgálat FAQ: http://sulinet.niif.hu/
