Re: lug-bg: Sendmail&DNS: Dvuposochno preminavane na poshteski traffic prez edin "Smart host"

[vlk@xxxxxxxxxxxxxxxxx (Vesselin Kolev)]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Iskam samo da dopylnia neshto, zashtoto se setih, che mozhe
da ima batalni sceni sled prilaganeto na napisanoto tuk.

Po princip nedeite da izpolzvate PREROUTING i tablicata nat.
Napravete vsichko vyv verigata INPUT na tablicata filter. T.e.
praviloto da e ot roda na:

iptables -t filter -I INPUT -s ! $IP_IN_ISP_NET-p tcp -m tcp --dport 25:25 -j 
REJECT --reject-with icmp-port-unreachable

i da e v sila vyrhu SMTP servera.

Mozhete da ukazhete, che hosta e nedostizhim (a ne samo port 25/tcp):

iptables -t filter -I INPUT -s ! $IP_IN_ISP_NET-p tcp -m tcp --dport 25:25 -j 
REJECT --reject-with icmp-host-unreachable

Naposledyk sred mnogoto divotii, koito se nabliudavat v rodnoto internet
prostranstvo mnogo na moda izliza "modernata" zabrana za vsichko de shto
e ICMP. Obiknoveno zabranata se pravi na routera i vazhi za vytreshnite
mashini na mrezhata. Omryzna mi da govoria, che tova e malko efektivno i
zatova sega shte si spestia obiasneniata.

Shte imate problem, ako dostavchikyt vi ili vie ste zabranili izhodiashtite
ICMP paketi "TYPE 3". Ako te sa zabraneni shte se poluchi edin nepriaten
efect, koito shte oporochi obiasnenata predi tova shema. Eto i ilustracia na
efecta... Kogato vynshniat SMTP server se opita da vi predade vhodiasht za
vas elektronen poshtenski potok, toi shte podade zaiavka na 25/tcp za
inicirane na sesia. SMTP servera vi shte othvyrli paketa s ICMP otgovor
za nedostizhimost na mashinata ili porta. Ako ICMP paketa byde sprian ot
niakoi ot vashite routeri ili tozi na dostavchika vi, vynshnia SMTP server
niama da znae nishto za nedostizhimostta i shte opitva novi i novi opiti za
inicirane na vryzka. Tova shte dovede do zabaviane na pristigashtite
syobshtenia, zashtoto vyprosnia vynshen SMTP server shte se zabavi
s probite kym vashia server i niama da kontaktuva vednaga sys
sledvashtia v MX ierarhiata SMTP host.

Ako ICMP paketite ot tip 3 preminavat bezprepiatstveno i stignat do
vynshnia SMTP, koito se opitva da predade kym vas poshtesnki potok,
to togava vednaga sled poluchavaneto na ICMP paketa ot vashia 
server shte kontaktuva sys sledvashtia MX v ierarhiata i zalysnenieto
shte e minimalno (ot poriadyka na 1-2 secundi) v sravnenie s priakoto
predavane kym vashia SMTP pri idealni (zabelezhete) uslovia.

  Pozdravi
     Vesselin Kolev
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.1 (GNU/Linux)

iD8DBQE+TNPn+48lZPXaa+MRAmyrAJ46A2VvLPkDWr8/98pKh5fKIKkf0gCgqYia
DhpZvPs8ND/1iIcBnT3+pxY=
=6VsM
-----END PGP SIGNATURE-----

============================================================================
A mail-list of Linux Users Group - Bulgaria (bulgarian linuxers).
http://www.linux-bulgaria.org - Hosted by Internet Group Ltd. - Stara Zagora
To unsubscribe: http://www.linux-bulgaria.org/public/mail_list.html
============================================================================