LinuxForum.Fans
Тема

не пускает на почту mail и yandex

Автор: Dormidont3 17 сообщений 4805 просмотров
01.04.2013 09:34 · отредактировано #312678

С доступом происходит какая то беда и я не могу даже придумать в какую сторону смотреть.

Не пускает на почту в mail и yandex пишет - соединение закрыто удалённым сервером. При чём не пускает 100% школьный сервак, потому что во первых при подключении не через него на почту заходит, во вторых если зайти на сервер при помощь ssh и там воспользоваться links то зайти разрешает, то есть что то не пускает на внутреннем интерфейсе.

На сервере установлен
прозрачный squid на порту 3128
контентфильтр dansguardian порт 8081
настроены не моного iptables
адреса раздаются dhcp

Что странно если в настройках браузера указать порт 8081, то зайти можно, если указано без прокси, то не пускает на почту, а на остальные сайты без проблем...

Пробовал скидывать iptables на стандартные настройки, не помогло.

Чистил кэш сквида, не помогло...

Даже не догадываюсь в каких логах и что смотреть

новая информация. Если в настройках браузера указать без прокси, то на почту не пускает, пишет время ожидания истекло, а если вручную указать адрес и порт, хоть 3128 хоть 8081 то на почту заходит без проблем.

01.04.2013 10:20 #312683

Ещё такая же проблема при попытке открыть google.com

01.04.2013 11:10 · отредактировано #312695

У вас не пускает по протоколу https. Эти сайты для доступа к почтовым сервисам используют его для безопасности. А до этого времени работало или вы тока настраиваете сервер.???
Покажыте лог сквида в той части где вы пробуете получить доступ к почте по https.
И ещё покажіте правила iptables

01.04.2013 11:37 · отредактировано #312712

Дак меня и на google.com не пускает, а там то не https.

При доступе к этим сайтам в логах доступа squid не появляется ни одной строчки.

А правила iptables вот

eth0 не подключон ни к чему
eth1 внешний
eth2 внутренний
ppp1 на сколько я понимаю VPN

filter/INPUT

text
-P ACCEPT
-f -j DROP
-m state --state ESTABLISHED,RELATED -j ACCEPT
-j ULOG --ulog-nlgroup 1 --ulog-cprange 48 --ulog-qthreshold 50 --ulog-prefix "icount"
-i eth1 -p tcp --dport 8080 -j ACCEPT
-i eth1 -p tcp --dport 25 -j ACCEPT
-i eth1 -p udp --dport 25 -j ACCEPT
-i eth1 -p tcp --dport 465 -j ACCEPT
-i eth1 -p tcp --dport 587 -j ACCEPT
-i eth1 -p udp --dport 587 -j ACCEPT
-i eth1 -p tcp --dport 80 -j ACCEPT
-i eth1 -p udp --dport 80 -j ACCEPT
-i eth1 -p tcp --dport 443 -j ACCEPT
-i eth1 -p udp --dport 443 -j ACCEPT
-i eth1 -p tcp --dport 2222 -j ACCEPT
-i eth1 -p icmp -j ACCEPT
-i eth1 -p tcp --dport 25 -j ACCEPT
-i eth1 -j DROP

filter/OUTPUT

text
-P ACCEPT
-f -j DROP
-m state --state ESTABLISHED,RELATED -j ACCEPT
-j ULOG --ulog-nlgroup 1 --ulog-cprange 48 --ulog-qthreshold 50 --ulog-prefix "ocount"

filter/FORWARD

text
-P ACCEPT
-f -j DROP
-m state --state ESTABLISHED,RELATED -j ACCEPT
-j ULOG --ulog-nlgroup 1 --ulog-cprange 48 --ulog-qthreshold 50 --ulog-prefix "fcount"
-i eth1 -d 10.2.70.0/24 -j ACCEPT
-m physdev --physdev-is-bridged -j ACCEPT
-i eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT
-i eth1 -j DROP

nat/POSTROUTING

text
-o eth1 -j MASQUERADE

nat/PREROUTING

text
-s 192.168.1.192/26 -p tcp --dport 80 -j REDIRECT --to-port 8081

-i eth0 -p tcp --dport 21 -j REDIRECT --to-port 3128
-i eth2 -p tcp --dport 21 -j REDIRECT --to-port 3128
-i ppp1 -p tcp --dport 21 -j REDIRECT --to-port 3128
-i eth0 -p tcp --dport 70 -j REDIRECT --to-port 3128
-i eth2 -p tcp --dport 70 -j REDIRECT --to-port 3128
-i ppp1 -p tcp --dport 70 -j REDIRECT --to-port 3128
-i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128
-i eth2 -p tcp --dport 80 -j REDIRECT --to-port 3128
-i ppp1 -p tcp --dport 80 -j REDIRECT --to-port 3128
-i eth0 -p tcp --dport 777 -j REDIRECT --to-port 3128
-i eth2 -p tcp --dport 777 -j REDIRECT --to-port 3128
-i ppp1 -p tcp --dport 777 -j REDIRECT --to-port 3128

nat/OUTPUT пусто

01.04.2013 11:41 #312714

школьные админы тоже верят в 1 апреля :D

01.04.2013 12:19 #312726

Вам нужно такое правило

text
-i eth0 -p tcp --dport 443 -j REDIRECT --to-port 3128
01.04.2013 12:43 · отредактировано #312729

Попробуйте пингануть все адреса на которые не заходит. Посмотрите ip адреса недоступных ресурсов.

"kisil⇓" написал:
-i eth0 -p tcp --dport 443 -j REDIRECT --to-port 3128

Не стоит так https через сквид бросать.

01.04.2013 12:47 #312730

А когда сквид настраиваетса не прозрачно и в настройках браузера прописываетса чтоби для https использовать прокси то так тоже нельзя?

01.04.2013 13:43 #312743
kisil написал:
А когда сквид настраиваетса не прозрачно и в настройках браузера прописываетса чтоби для https использовать прокси то так тоже нельзя?

Да если он даже прозрачно настроен, но в браузере указан адрес и порт, то пускает.

01.04.2013 13:44 · отредактировано #312744
marikk написал:
Попробуйте пингануть все адреса на которые не заходит. Посмотрите ip адреса недоступных ресурсов.

[quote="kisil⇓"]-i eth0 -p tcp --dport 443 -j REDIRECT --to-port 3128

Не стоит так https через сквид бросать.[/quote]

Не проходят пакеты

k420@k420-desktop:~$ ping google.com
PING google.com (74.125.232.195) 56(84) bytes of data.
^C
--- google.com ping statistics ---
6 packets transmitted, 0 received, 100% packet loss, time 5038ms

k420@k420-desktop:~$

01.04.2013 13:59 #312747

Вот тут посмотрите на 10 пост

02.04.2013 08:51 #312900

Народ, не знаю что произошло и на сколько это правильно, но после войны с iptables у меня через прозрачный прокси, без настройк в браузере стало возможным попасть на сайты через протокол https

вот настройки
filter/INPUT

text
-P ACCEPT
-f -j DROP
-m state --state ESTABLISHED,RELATED -j ACCEPT
-j ULOG --ulog-nlgroup 1 --ulog-cprange 48 --ulog-qthreshold 50 --ulog-prefix "icount"
-i eth1 -p tcp --dport 8080 -j ACCEPT
-i eth1 -p tcp --dport 20 -j ACCEPT
-i eth1 -p udp --dport 20 -j ACCEPT
-i eth1 -p tcp --dport 21 -j ACCEPT
-i eth1 -p udp --dport 21 -j ACCEPT
-i eth1 -p tcp --dport 110 -j ACCEPT
-i eth1 -p udp --dport 110 -j ACCEPT
-i eth1 -p tcp --dport 995 -j ACCEPT
-i eth1 -p udp --dport 995 -j ACCEPT
-i eth1 -p tcp --dport 25 -j ACCEPT
-i eth1 -p udp --dport 25 -j ACCEPT
-i eth1 -p tcp --dport 465 -j ACCEPT
-i eth1 -p tcp --dport 587 -j ACCEPT
-i eth1 -p udp --dport 587 -j ACCEPT
-i eth1 -p tcp --dport 80 -j ACCEPT
-i eth1 -p udp --dport 80 -j ACCEPT
-i eth1 -p tcp --dport 443 -j ACCEPT
-i eth1 -p udp --dport 443 -j ACCEPT
-i eth1 -p icmp -j ACCEPT
-i eth1 -p tcp --dport 25 -j ACCEPT
-i eth1 -j DROP
-i ppp1 -p tcp --dport 8080 -j ACCEPT
-i ppp1 -p tcp --dport 20 -j ACCEPT
-i ppp1 -p udp --dport 20 -j ACCEPT
-i ppp1 -p tcp --dport 21 -j ACCEPT
-i ppp1 -p udp --dport 21 -j ACCEPT
-i ppp1 -p tcp --dport 110 -j ACCEPT
-i ppp1 -p udp --dport 110 -j ACCEPT
-i ppp1 -p tcp --dport 995 -j ACCEPT
-i ppp1 -p udp --dport 995 -j ACCEPT
-i ppp1 -p tcp --dport 25 -j ACCEPT
-i ppp1 -p udp --dport 25 -j ACCEPT
-i ppp1 -p tcp --dport 465 -j ACCEPT
-i ppp1 -p tcp --dport 587 -j ACCEPT
-i ppp1 -p udp --dport 587 -j ACCEPT
-i ppp1 -p tcp --dport 80 -j ACCEPT
-i ppp1 -p udp --dport 80 -j ACCEPT
-i ppp1 -p tcp --dport 443 -j ACCEPT
-i ppp1 -p udp --dport 443 -j ACCEPT
-i ppp1 -p icmp -j ACCEPT
-i ppp1 -p tcp --dport 25 -j ACCEPT
-i ppp1 -j DROP

filtr/OUTPUT

text
-P ACCEPT
-f -j DROP
-m state --state ESTABLISHED,RELATED -j ACCEPT
-j ULOG --ulog-nlgroup 1 --ulog-cprange 48 --ulog-qthreshold 50 --ulog-prefix "ocount"

filter/FORWARD

text
-P ACCEPT
-f -j DROP
-m state --state ESTABLISHED,RELATED -j ACCEPT
-j ULOG --ulog-nlgroup 1 --ulog-cprange 48 --ulog-qthreshold 50 --ulog-prefix "fcount"
-i eth1 -d 10.2.70.0/24 -j ACCEPT
-m physdev --physdev-is-bridged -j ACCEPT
-i eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT
-i eth1 -j DROP
-m physdev --physdev-is-bridged -j ACCEPT
-i ppp1 -m state --state ESTABLISHED,RELATED -j ACCEPT
-i ppp1 -j DROP

nat/POSTROUTING

text
-o eth1 -j MASQUERADE
-o ppp1 -j MASQUERADE

nat/PREROUTING

text
-i eth0 -p tcp --dport 21 -j REDIRECT --to-port 3128
-i eth2 -p tcp --dport 21 -j REDIRECT --to-port 3128
-i eth0 -p tcp --dport 70 -j REDIRECT --to-port 3128
-i eth2 -p tcp --dport 70 -j REDIRECT --to-port 3128
-i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128
-i eth2 -p tcp --dport 80 -j REDIRECT --to-port 3128
-i eth0 -p tcp --dport 777 -j REDIRECT --to-port 3128
-i eth2 -p tcp --dport 777 -j REDIRECT --to-port 3128

nat/OUTPUT Пусто


Все настройки стандартные, настроены из вебморды.

02.04.2013 09:00 #312902
"Dormidont3⇓" написал:
-i eth0 -p tcp --dport 21 -j REDIRECT --to-port 3128
-i eth2 -p tcp --dport 21 -j REDIRECT --to-port 3128
-i eth0 -p tcp --dport 70 -j REDIRECT --to-port 3128
-i eth2 -p tcp --dport 70 -j REDIRECT --to-port 3128
-i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128
-i eth2 -p tcp --dport 80 -j REDIRECT --to-port 3128
-i eth0 -p tcp --dport 777 -j REDIRECT --to-port 3128
-i eth2 -p tcp --dport 777 -j REDIRECT --to-port 3128

https порт 443. Вы его просто не заворачиваете на прокси. Он у вас открыт на все.

"Dormidont3⇓" написал:
-i eth1 -p tcp --dport 443 -j ACCEPT
-i eth1 -p udp --dport 443 -j ACCEPT
02.04.2013 09:39 #312906

Спасибо за объяснение :)

Ну по крайней мере работает :) Это меня радует :)

02.04.2013 13:17 #312926

Да у вас политика форвард стоит ACCEPT и потому https работает напримую через шлюз минуя сквид.

02.04.2013 22:34 #313000

А на сколько это плохо и чем мне это грозит?

03.04.2013 00:10 #313029
"Dormidont3" написал:
А на сколько это плохо и чем мне это грозит?
"Dormidont3" написал:
С доступом происходит какая то беда и я не могу даже придумать в какую сторону смотреть.
"kisil" написал:
Да у вас политика форвард стоит ACCEPT и потому https работает напримую через шлюз минуя сквид.
Войдите или зарегистрируйтесь, чтобы ответить.