iptables и интернет.

Долгое время выискивал причину того, что блокирует SMTP-шные порты. Дело оказалось в DHCP-серваке (на котором установлен XenServer с виртуальной машиной netmaster) (ставили его до меня, и связаться с теми, кто ставил этот серв нет возможности). Управление серваком осуществляется через PuTTY. Так вот, одна из машин (192.168.0.10) добавлена в исключения, и на ней не блокируются порты:

Показать

Добавили её в исключения опять-таки до меня.
Попробовал отключить этот фаервол (service iptables stop) -- через некоторое время (менее минуты) начинает тормозить интернет внутри нашей локалки, и затем вовсе не грузит страницы.

Добавил в исключения другую машину таким макаром:
[console]iptables -I FORWARD -s 192.168.0.13 -j ACCEPT[/console]
Аналогичная ситуация. По SMTP почта кое-как отправляется, а вот инет глохнет намертво.
Приходится ребутить сервер. Так как iptables до ребута я не сохраняю, всё становится как и прежде - почтовые порты блокирутся, зато инет работает.

Подскажите, как быть в такой ситуации?

А что вы хотите заблокировать.?
Покажите но сюда вывод
[console]iptables -S
iptables -t nat -S[/console]

А что вы хотите заблокировать.?

Вот как раз наоборот хочу разблокировать все порты на конкретной машине. Но почему-то при этом пропадпает интернет.

Покажите но сюда вывод

iptables -S
[console]-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A INPUT -s 192.168.0.0/24 -d 192.168.0.1/32 -p udp -m udp --dport 123 -j ACCEPT
-A INPUT -s 192.168.0.0/24 -d 192.168.0.1/32 -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -s 192.168.0.0/24 -d 192.168.0.1/32 -i eth0 -p udp -m udp --sport 68 --dport 67 -j ACCEPT
-A INPUT -s 0.0.0.0/32 -d 255.255.255.255/32 -i eth0 -p udp -m udp --sport 68 --dport 67 -j ACCEPT
-A INPUT -s 192.168.0.0/24 -p tcp -m state --state NEW -m tcp --dport 8080 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A INPUT -p tcp -m tcp --sport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --sport 587 -j ACCEPT
-A FORWARD -s 192.168.0.10/32 -j ACCEPT
-A FORWARD -s 192.168.0.0/26 -p tcp -m tcp --dport 110 -j ACCEPT
-A FORWARD -s 192.168.0.0/26 -p tcp -m tcp --dport 25 -j ACCEPT
-A FORWARD -i eth1 -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
-A OUTPUT -s 192.168.0.1/32 -d 192.168.0.0/24 -o eth0 -p udp -m udp --sport 67 --dport 68 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 587 -j ACCEPT
[/console]

iptables -t nat -S
[console]-P PREROUTING ACCEPT
-P POSTROUTING ACCEPT
-P OUTPUT ACCEPT
-A POSTROUTING -s 192.168.0.0/26 -o eth1 -j SNAT --to-source 192.168.1.2
[/console]

Айпи этой машыны что вы хотит добавить в исключение 192.168.0.13?
А теперь обясниче что не работает на этой машыне с айпи 192.168.0.13 и что вы хотите сделать???

Айпи этой машыны что вы хотит добавить в исключение 192.168.0.13?

Ага.

"kisil" написал:

А теперь обясниче что не работает на этой машыне с айпи 192.168.0.13 и что вы хотите сделать???

Не работает отправка по SMTP (587, 2525, 25) в почтовых клиентах, а юзать браузер для почты трудоёмко, ибо массивы писем достаточно большые.
Вот я и хочу разлочить порты на той машыне (192.168.0.13).
Для 192.168.0.10 уже были разлочены ранее. Отправка работает только с неё.

А что говорит
[console]telnet smtp.ukr.net 465[/console]
с той машыны что вам нужно???
И какие у вас параметры подключения к почтовику можете привести. Может ваш SMTP использует шыфрование, тогда он по 25 порту не работает.

"kisil" написал:

с той машыны что вам нужно???

Там вроде бы ещё один почтовый ящик закреплён... Лучше его не трогать.

"kisil" написал:

И какие у вас параметры подключения к почтовику можете привести.

С машыны 192.168.0.10 SMTP работает и по 587-му и по 2525-му портам. (и не только с неё, пробовал у себя дома отправлять, тоже всё нормально пашет)

P.S. пробовал разные почтовые клиенты (thunderbird и ещё какие-то, названия с ходу не вспомню ), аналогично -отправка работает только на 192.168.0.10 , а на остальных машынах нашей подсети -- ни в какую.

Не понятно, почему при добавлении [iptables -I FORWARD -s 192.168.0.13 -j ACCEPT] пропадает интернет. Сейвнуть iptables перед ребутом, боязно, вдруг после ребута всё так же будет отсутствовать связь с инетом.
10-ая машына примерно таким же образом была добавлена.

С машыны с айпи 192.168.0.13 покажыте но вывод
[console]telnet ВАШ_SMTP_SERVER 587[/console]
Проходит ли соединение или нет.
Просто в правилах фаервола на шлюзе все политики ACCEPT и интересно почему не работает.

А такое правило сломает шлюз
[console]iptables -А FORWARD -s 192.168.0.13 -j ACCEPT[/console]