lug-bg: Sendmail&DNS: Dvuposochno preminavane na poshteski traffic prez edin "Smart host"

[vlk@xxxxxxxxxxxxxxxxx (Vesselin Kolev)]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Zdraveite,
   Tova e malko stara tema (za naikoi :)) e bolna). No mislia, che po neia ne
e pisano v grupata, a e dobre da se napravi.

  Ideiata za "Smart host" se exploatira predi vsichko ot klienti na ISP. Tia
se systoi v slednoto: klientskiat MTA ne obsluzhva predavaneto na 
izhodiashtia elektronen poshtenski potok do krai, a go prepredava za
celta na SMTP host na dostavchika, koito vmesto nego izvyrshva
obrabotkata do krai. Izpolzvaneto na "Smart host" ima tova predimstvo,
che ako klientyt ima kanal s goliam kapacitet do svoia ISP, no malyk
izhodiasht kanal (kym mrezhi vynshni na tezi ot ISP), to toi mozhe da
oblekchi mnogo izhodiashtia si kanal (obiknoveno toi e malyk).

  ISP pyk taka si oblekchava managiraneto na traffica po protocoli i
si spestiava mrynkania ot strana na klienti.

  Taka stoiat neshtata ot gledna tochka na izhodiashtia poshtenski
traffic. Neka sega da opishem edna shema, pri koiato vhodiashtia kym
klienta poshtenski traffic se obrabotva ot SMTP servera na dostavchika.

  Pri votrata shema klienta ne tovari svoia vhodiasht kanal, a izpolzva
SMTP - servera na dostavhika i za priemane na vhodiashtia elektronen
poshteski potok. T.e. ako se nalaga da se poluchi pismo za potrebitel na
klienta, to se priema ot SMTP servera na dostavchika i se prepredava
po kanala s goliam kapacitet do SMTP servera na clienta.

  Za da se napravi tova e nuzhno da se izpolzvat DNS trikove i iptables.
Informaciata v DNS za klienstkia domain traibva da e takava, che nai-
visoko v ierarhiata na MX zapisite da stoi SMTP servera na klienta.

  Naprimer za domaina example.dom mozhe da ima slednata iaerarhia:

$ORIGIN example.dom.
                MX	0	mail
                MX	10 	smtp.isp.dom.

Tazi ierarhia ukazva na tova, che ako mail.example.dom e nedostypen,
to vhodiashtia (!!!) elektronen poshtesnki potok shte se priema ot
smtp.isp.dom.

Sledovatelno triabva da napravire mail.example.dom nedostypen za
vsichki SMTP serveri, koito ne sa v mrezhata s goliam kapacitet na
vasheto ISP. Tova mozhete da napravite, kato zabranite dostypa do
25/tcp port s pomoshtta na iptables. Samo ne izpolzvaite politika DROP.
Mnogo e vylgarno:)) i vodi do zakysnenia na pristigashtia mail. Za
gyvkavost izpolzvaite politika REJECT pridruzhena ot ICMP syobshtenie
za nedostypnost na port 25/tcp:

iptables -t nat -I PREROUTING -s ! $IP_IN_ISP_NET -p tcp -m tcp --dport 25:25 
- -j REJECT --reject-with icmp-port-unreachable

S tova shemata e veche rabotosposobna.

  Pozdravi
     Vesselin Kolev
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.1 (GNU/Linux)

iD8DBQE+TLAZ+48lZPXaa+MRApz2AKCFPy3TUM5YGsfq9gcoWTvXgXZ2RQCgulM7
octEbvVRtwjFl19IlEZO1mo=
=JkA8
-----END PGP SIGNATURE-----

============================================================================
A mail-list of Linux Users Group - Bulgaria (bulgarian linuxers).
http://www.linux-bulgaria.org - Hosted by Internet Group Ltd. - Stara Zagora
To unsubscribe: http://www.linux-bulgaria.org/public/mail_list.html
============================================================================