Squid и почта через NAT

Вобщем начну, проблема с почтой. стоит squid , настроил правила через nat чтобы пропускал порты 25 и 110, но почта к сожалению никак не работает. прочитал много форумов, но решения пока не найдено.

ниже некоторые настройки сети:
прокси сервер на базе openSuse 11.4 ,

ip выхода в интернет 79.171.125.199,
ip выхода в локальную сеть 10.0.0.0/24

на локальны машинах интернет через прокси работает.

iptables -L выдает следующее :
____________________________________________________
Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain FORWARD (policy ACCEPT)
target prot opt source destination
ACCEPT tcp -- 10.0.0.0/24 vps190215.ukrdomen.com tcp dpt:smtp
ACCEPT tcp -- vps190215.ukrdomen.com 10.0.0.0/24 tcp spt:smtp
ACCEPT tcp -- 10.0.0.0/24 vps190215.ukrdomen.com tcp dpt:pop3
ACCEPT tcp -- vps190215.ukrdomen.com 10.0.0.0/24 tcp spt:pop3

Chain OUTPUT (policy ACCEPT)
target prot opt source destination
_________________________________________________________________

для разрешения портов использовал команды:

linux-lz44:~ # echo "1" >/proc/sys/net/ipv4/ip_forward

linux-lz44:~ # iptables -A FORWARD -p tcp -s 10.0.0.0/24 -d mail.cl.com.ua --dport 25 -j ACCEPT

linux-lz44:~ # iptables -A FORWARD -p tcp -s mail.cl.com.ua -d 10.0.0.0/24 --sport 25 -j ACCEPT

linux-lz44:~ # iptables -A FORWARD -p tcp -s 10.0.0.0/24 -d mail.cl.com.ua --dport 110 -j ACCEPT

linux-lz44:~ # iptables -A FORWARD -p tcp -s mail.cl.com.ua -d 10.0.0.0/24 --sport 110 -j ACCEPT

linux-lz44:~ # iptables -t nat -A POSTROUTING -p tcp -s 10.0.0.0/24 --dport 110 -j MASQUERADE

linux-lz44:~ # iptables -t nat -A POSTROUTING -p tcp -s 10.0.0.0/24 --dport 25 -j MASQUERADE

linux-lz44:~ # sysctl net.ipv4.ip_forward=1


но к сожалению почта так и не отправляется с локальных компьютеров. Просьба помочь. что еще и где посмотреть

эм... как повашему связаны смтп с поп3 и прокси?

хотя если по сути, то согласно iptables. у вас порты пробрасываются корректно... вроде бы... проверьте, резолвятся ли адреса у клиентов, ибо скорее всего проблема в этом

По памяти не скажу, но завтра выложу свой конфиг iptables при котором у меня и почта ходит по портам и нэт через сквид.

kisil написал:

По памяти не скажу, но завтра выложу свой конфиг iptables при котором у меня и почта ходит по портам и нэт через сквид.

спасибо, буду благодарен.

osorkon написал:

эм... как повашему связаны смтп с поп3 и прокси?

никак не связан, поэтому описываю проброс через iptables.

а какие адреса проверить, вы имеете ввиду?

Прошу прощения что не скинул скрипт, забегалса на работе. Если не спешно обязательно скину в воскресенье.

kisil написал:

Прошу прощения что не скинул скрипт, забегалса на работе. Если не спешно обязательно скину в воскресенье.

спасибо, все еще будет полезно посмотреть Ваш скрипт

Я сделал вот так

Вот так и у меня это прекрасно работает.

maybik написал:

[quote=osorkon]эм... как повашему связаны смтп с поп3 и прокси?

никак не связан, поэтому описываю проброс через iptables.

а какие адреса проверить, вы имеете ввиду?[/quote]

адреса поп3 и смтп сервера
просто на клиентской машине сделайте nslookup <smtp_server> и nslookup <pop3/imap_server>
если адреса резолвятся корректно, тогда я бы tcpdump'ом прослушал оба интерфейса в момент попытки принять/отправить почту. если пакетики видны на локальном интерфейсе но не видны на "внешнем" то причина правила iptables или ip_forward 0

osorkon написал:

[quote=maybik][quote=osorkon]эм... как повашему связаны смтп с поп3 и прокси?

никак не связан, поэтому описываю проброс через iptables.

а какие адреса проверить, вы имеете ввиду?[/quote]

адреса поп3 и смтп сервера
просто на клиентской машине сделайте nslookup <smtp_server> и nslookup <pop3/imap_server>
если адреса резолвятся корректно, тогда я бы tcpdump'ом прослушал оба интерфейса в момент попытки принять/отправить почту. если пакетики видны на локальном интерфейсе но не видны на "внешнем" то причина правила iptables или ip_forward 0[/quote]

спасибо за разъяснение, буду пробовать . о результате отпишусь

kisil написал:

Я сделал вот так

Показать

IPT="/usr/sbin/iptables"
INET_IFACE="ppp0"
INET_IP="ххх.ххх.ххх.ххх"

LAN="192.168.0.0/24"

echo 1 > /proc/sys/net/ipv4/ip_forward

$IPT -F
$IPT -X

$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT ACCEPT
#обратная петля пропускаем
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A OUTPUT -o lo -j ACCEPT
#отбрасываем плохие пакеты
$IPT -A INPUT -m state --state INVALID -j DROP
$IPT -A FORWARD -m state --state INVALID -j DROP
#принимаем хорошые
$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

#Принимаем пакеты от внутреней сети, ведь по умолчанию политика на входное соединение DROP
$IPT -A INPUT -p tcp -i eth1 -s $LAN -j ACCEPT
$IPT -A INPUT -p udp -i eth1 -s $LAN -j ACCEPT
$IPT -A INPUT -p icmp -i eth1 -s $LAN -j ACCEPT
$IPT -A INPUT -p tcp -s $LAN -i eth1 --dport 53 -j ACCEPT
$IPT -A INPUT -p udp -s $LAN -i eth1 --dport 53 -j ACCEPT

#А вот это именно разрешение ходить определёным компютерам на определёные порты в нет напримую
$IPT -A FORWARD -p tcp -s 192.168.0.57 --dport 25 -o ppp0 -j ACCEPT
$IPT -A FORWARD -p tcp -s 192.168.0.57 --dport 110 -o ppp0 -j ACCEPT
$IPT -A FORWARD -p tcp -s 192.168.0.177 --dport 25 -o ppp0 -j ACCEPT
$IPT -A FORWARD -p tcp -s 192.168.0.177 --dport 110 -o ppp0 -j ACCEPT
$IPT -A FORWARD -p tcp -s 192.168.0.145 --dport 25 -o ppp0 -j ACCEPT
$IPT -A FORWARD -p tcp -s 192.168.0.145 --dport 110 -o ppp0 -j ACCEPT
#Этому компу вообще открытый выход в интернет через NAT
$IPT -A FORWARD -s 192.168.0.4 -o ppp0 -j ACCEPT

# И собственно сам NAT
$IPT -t nat -A POSTROUTING -o $INET_IFACE -j SNAT --to-source $INET_IP

Вот так и у меня это прекрасно работает.

а у Вас squid transparent или нет? в этом может быть загвоздка?

судя по скрипту прокси у человека нет вообще. да и не имеет он никакого отношения к работе почты в целом и к вашей проблеме в частности. проверяйте пробрасываются ли у вас 25й и 110й порт. проблема 98% в этом.

osorkon написал:

судя по скрипту прокси у человека нет вообще. да и не имеет он никакого отношения к работе почты в целом и к вашей проблеме в частности. проверяйте пробрасываются ли у вас 25й и 110й порт. проблема 98% в этом.

та это понятно что не пробрасывается порты 25 и 110, и nslookup это доказал. не находит почтовый сервер. вот еще возник вопрос. восстановил значения firewall по-умолчанию, прописал правила для портов 25 и 110 , а когда запустил iptables -L выдало следующий текст:

смутила строчка перед которой идут мои правила, насчет Drop all . Возможно из-за нее не идет?..Хотя вроде нет, вроде не должно это мешать.

я, по равде говоряя, мало что понял из листинга по той простой причине что мне привычнее смотреть на правила в скрипте а не в выводе iptables. но то что я понял достаточно что бы сделать вывод: "так никто не строит"(с)
1. нет смысла ставить для цепочки политику по умолчанию дропать и тут же писать

ACCEPT     all  --  anywhere             anywhere

2. насколько я знаю icmp имеют state только new и estableshed так что строка

ACCEPT     icmp --  anywhere             anywhere            ctstate RELATED

теряет смысл.
3. дурным тоном является ставить разрешающие правила ПЕРЕД запрещающими... лучше наоборот.
4. проброс 25/110 портов я увидел. гда маскарадинг?
5. проблема с резолвом ip <-> fqdn вы решили?
будьте последовательны в решении проблемы и все будет ок

maybik выше скрипт если выполнить на шлюзе то почта должна работать.
Прозрачный прокси легко добавив токо одну строку в тот скрипт.

Не забываем ещё для почты открывать 993 порт.

Чуть не забыл не забываем править под себя и включить смекалку.