[решено] Проблема с портом

Здравствуйте.

Что имеем:

Сервер (Шлюз)
eth0 - ИНТЕРНЕТ - x.x.x.x;
eth1 - локалка - 192.168.50.1;

Почтовый сервак - 192.168.50.3;

Суть сети такая, всего 5 ПК имеют доступ к интернету:
192.168.50.3,
192.168.50.194,
192.168.50.198,
192.168.50.171,
192.168.50.157.
один из которых SmartTV телек, для него работает udproxy для iptv ниже в правилах будет видно, что к чему.

Остальные несколько компов при заходе на любой сайт пользуются услугами так называемого локального сайта.

Впрочем все это не очень важно, так для пояснения моей убогой таблицы iptables.

IPTABLES

Все работает нормально, кроме....

Суть проблемы

Значит ситуация такая, при таких правилах на почтовый сервак (192.168.50.3) письма приходят нормально, но не отправляются. С настройками там все ровно т.к. при выполнении с почтового сервака команду telnet 94.100.176.20 25, соединение отваливается по тайм-ауту. Если такуюже команду выполнить со шлюза, то соединение проходит нормально.

Убираю из вышеприведенных правил строки:

-A PREROUTING -p tcp -m tcp --dport 25 -j DNAT --to-destination 192.168.50.3:25
-A FORWARD -d 192.168.50.3/32 -p tcp -m tcp --dport 25 -j ACCEPT

Теперь 25 порт естественно закрыт и не пробрасывается, с почтового сервера теперь команда telnet на почтовик mail.ru проходит успешно и не отваливается по тайму, НО т.к. порт закрыт входящие письма не резолвятся.


Пожалуйста помогите решить мне эту делему с пробросом этого долбанного 25 порта, сутки не спал, гугл уже страниц 100 облистал, те варианты которые там были не заработали.

Тоисть ваш почтовик виден с наружы и он принимает письма, но не может их переслать если есть ети правила

"dirsex" написал:

-A PREROUTING -p tcp -m tcp --dport 25 -j DNAT --to-destination 192.168.50.3:25
-A FORWARD -d 192.168.50.3/32 -p tcp -m tcp --dport 25 -j ACCEPT

Верно?
Покажыте таблицу маршрутизацыи на шлюзе и на почтовике.

А форвард пакетов включён на шлюзе

echo 1 > /proc/sys/net/ipv4/ip_forward

И попробуйте ничего не меняя добавить такое правило

-A FORWARD -s 192.168.50.3/32 -o eth0 -j ACCEPT

Спасибо за ответ, думал уже никто не поможет.

Форвардинг конечно включен) Все остальное то по правилам работает, проблема тока в этом порте.

"kisil" написал:

И попробуйте ничего не меняя добавить такое правило

-A FORWARD -s 192.168.50.3/32 -o eth0 -j ACCEPT

Дык у меня там есть это правило.


Вот вывод шлюза

root@server:/opt# netstat -nr
Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
192.168.50.0    0.0.0.0         255.255.255.0   U         0 0          0 eth1
5.100.78.0      0.0.0.0         255.255.254.0   U         0 0          0 eth0
0.0.0.0         5.100.78.1      0.0.0.0         UG        0 0          0 eth0

вывод почтовика

[root@mail ~]# netstat -nr
Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
192.168.50.0    0.0.0.0         255.255.255.0   U         0 0          0 eth0
169.254.0.0     0.0.0.0         255.255.0.0     U         0 0          0 eth0
0.0.0.0         192.168.50.1    0.0.0.0         UG        0 0          0 eth0

"dirsex" написал:

Дык у меня там есть это правило.

Точно есть не досмотрел.

"kisil" написал:

Тоисть ваш почтовик виден с наружы и он принимает письма, но не может их переслать если есть ети правила

да именно так! Стоит убрать правила письма начнут отправляться НО он не будет их принимать!

Ну а сам почтовик может пинговать например какието адреса в интернете. Например

ping ukr.net

что говорит?

да конечно, доступ к интернету у него есть. Я весь софт из репозитория ставил.

[root@mail ~]# ping ukr.net -c4
PING ukr.net (195.214.195.105) 56(84) bytes of data.
64 bytes from 195.214.195.105: icmp_seq=1 ttl=48 time=177 ms
64 bytes from 195.214.195.105: icmp_seq=2 ttl=48 time=178 ms
64 bytes from 195.214.195.105: icmp_seq=3 ttl=48 time=178 ms
64 bytes from 195.214.195.105: icmp_seq=4 ttl=48 time=178 ms
--- ukr.net ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3182ms
rtt min/avg/max/mdev = 177.944/178.157/178.252/0.531 ms

Кажысь проблема может быть в этом правиле

-A PREROUTING -p tcp -m tcp --dport 25 -j DNAT --to-destination 192.168.50.3:25

Это мои мысли и они такие.
Что когда почтовик пробует конект в интернет но порт 25 он сперва идёт на шлюз и порт 25 и пробует узнать как ему попасть, например, на ukr.net:25, но шлюз видит конек по 25 порту и принимает решение о маршрутизацыи, а оно такое что нужно пакет послать на DNAT --to-destination 192.168.50.3:25, тоисть шлюз возвращает пакет назад. В цепочке PREROUTING принимаетса решение о маршрутизацыи ещё до того как пакет попадёт в цепочку filter и fоrward. Поетому мне кажытса нужно в ето правило добавить значение интерфейса с которого ждать соединение с наружы, тоисть -i eth0.

-A PREROUTING -p tcp -m tcp -i eth0 --dport 25 -j DNAT --to-destination 192.168.50.3:25

Попробуйте, я не знаю пройдёт ли такое правило, потому что сам такого не делал.

*THUMBSUP*

Спасибо большое добрый человек! Буду исправлять свои правила, все заработало как часики!

тема на 100% решена! =)))

Ну и хорошо. Пусть работает.