[問題] iptables如何設定使別人無法使用port 25發內部信

看板Linux作者 (ChiuCS)時間16年前 (2009/08/14 23:55), 編輯推噓0(0011)
留言11則, 2人參與, 最新討論串1/1
最近正在學習Linux, 架設Mail Server. 使用固定的public IP, 也有申請.com的網域. 因為有對外, 因此不想成為別人的發信站(??) 但仍有一些不明處, 希望高手解惑一下 我設定 /etc/mail/access (有Make成.db) 只有 Connect:localhost RELAY 這是第一道防線 有設定iptables policy INPUT DROP OUTPUT ACCEPT FORWORD DROP (當然有加lo ACCEPT, ssh ACCEPT, ptivate ip DROP) 這不算是第二防線,但安全點 問題來了, 要如何開放 smtp 的連線才安全(適當)呢? 有試過依書本上教的 $IPTABLES -A INPUT -p tcp --dport smtp --syn -m state --state NEW -j ACCEPT 但這樣的情形下, 使用另一台PC(另一個public IP)試試使用 telnet 我Server網域.com 25 是可以連上(好像合理啊) 問題是,別人就可以用我的Server對我內部亂發信了啊 (如發給root,而root的信會轉給系統管理者) 這我要如何設定iptables(or sendmail)才可以 防止別人使用我的Mail Server對內部發信呢? 因為這種信很難過濾 我是一個新手, 問題如有不清楚/不合適的請多包含 -- Sincerely Yours, I_Love_Linux 如有離題,請略過;如有錯誤,請回報;如有不懂,請再問;如有幫助,請享用;如有感謝,請告知 -- ※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 123.204.208.126

08/15 14:40, , 1F
看來你應該是使用sendmail的MTA...
08/15 14:40, 1F

08/15 14:41, , 2F
目前新的MTA部份,都已經關閉OpenRelay~的部份
08/15 14:41, 2F

08/15 14:41, , 3F
目前用iptables來做管制是無效的~
08/15 14:41, 3F

08/15 14:42, , 4F
而是要透過Mail Relay的部份,並且搭配MailScanner的機制
08/15 14:42, 4F

08/15 14:42, , 5F
這樣的管制行為之下~ 才能夠有效的管控垃圾郵件~
08/15 14:42, 5F

08/15 14:42, , 6F
發給內部的信 沒辦法檔 因為不用Relay
08/15 14:42, 6F

08/15 14:42, , 7F
只要設定好Mail Relay的區域~ 通常就可以拒絕不少垃圾郵件
08/15 14:42, 7F

08/15 14:43, , 8F
除非你設定Mail server在寄信的時候要帳號密碼
08/15 14:43, 8F

08/15 14:44, , 9F
忘記提到也要做好驗證機制~ 看是要用先用POP3驗證OK才能寄
08/15 14:44, 9F

08/15 14:44, , 10F
或者得透過MTA自身的驗證機制來驗證用戶端
08/15 14:44, 10F

08/15 14:48, , 11F
我是可以建議你可以將你的Mail Relay的信任端除了localhos
08/15 14:48, 11F
文章代碼(AID): #1AXOa02M (Linux)