iptables op IPcop

[Tropos]

Situatie:
Ik heb een IPcop machine die als NAT-router / firewall / gateway dient voor een netwerk van 16 pc's. Eén van die pc's draait een mailserver die mail ontvangt voor een domein via batched SMTP vanaf een beperkte IP-range. De IPcop machine staat achter een DSL modem in bridge. De DSL provider heeft port 25 volledig open staan.

Probleem:
IPcop draait als een tierelier, maar biedt standaard geen firewalling voor intern naar internet. Dat is ook niet gewenst, de pc's op het interne netwerk moeten volledige internet toegang behouden. Om eventuele SPAM-blocks te voorkomen wil ik echter het gebruik van port 25 vanuit het interne netwerk dicht zetten. Dat betekent dat ik de iptables van de IPcop machine zelf zal moeten aanpassen. Helaas is mijn Linux en iptables kennis nogal beperkt.

Oplossing?:
Ik voer de volgende regel toe aan de IPcop-iptables-ruleset:

iptables -A CUSTOMINPUT -p tcp --destination-port 25 --source !ip.range.bsmtp.server/24 !de.interne.mail.server -j DROP

Waarbij "ip.range.bsmtp.server/24" dus staat voor de ip adressen waarvan mail op port 25 ontvangen mag worden en "de.interne.mail.server" dus het RFC1918 adres van de mailserver is.

Vraag:
Is dit een juiste oplossing?

[Verwijderd]

Tropos schreef op zondag 31 december 2006 @ 01:20:
[...]
Oplossing?:
Ik voer de volgende regel toe aan de IPcop-iptables-ruleset:

iptables -A CUSTOMINPUT -p tcp --destination-port 25 --source !ip.range.bsmtp.server/24 !de.interne.mail.server -j DROP

[...]

Ik denk dat je er hiermee niet zal komen.

De CUSTOMINPUT chain wordt in IPCop gebruikt om verkeer toe te laten in je router. Het al of niet toelaten van doorgaand verkeer wordt geregeld met de CUSTOMFORWARD chain.

Ik denk dat de volgende code je verder zal helpen:

code:

iptables -A CUSTOMFORWARD -p tcp -dport 25 -s !de.interne.mail.server -j DROP

Ik zou tevens je interface toevoegen waarop je lokaal netwerk is aangesloten op je router. Zo ben je zeker dat de regel er niet voor zorgt dat er extern verkeer geforward wordt naar je interne netwerk (het zou al een server moeten zijn met een gelijk ip-adres. theoretisch zou dat niet mogen maar ...).

Aldus wordt het:

code:

iptables -A CUSTOMFORWARD -i ethx -p tcp -dport 25 -s !de.interne.mail.server -j DROP

ethx vervang je door je interface

[Tropos]

Verwijderd schreef op zondag 31 december 2006 @ 14:28:
[...]

Ik denk dat de volgende code je verder zal helpen:

Met nog wat kleine aanpassingen heeft me dat inderdaad geholpen, bedankt!

[KillerAce_NL]

Je had ook de mod: BOT (Block Out Traffic) kunnen downloaden

[Tropos]

Nja, wat ik er van heb gelezen, blokkeert ie alles en kan je het zelf open gaan typen. Dat leek mij minder handig voor een enkele port block.