🚀 go-pugleaf

Michał Klawon wrote:
> 
> Witam!
> Postanowilem zabezpieczyc serwer pocztowy (sendmail) na Linuxie za pomoca
> firewalla filtrujacego pakiety. Chodzilo o to, aby "wpuszczal" pakiety
> tylko kilku podstawowych uslug. Posluzylem sie przy tym opisem
> zaproponowanym w Firewall-HOWTO, przy czym tam opisano jak skonfigurowac
> forwarding (IPFWADM -F). Zastosowalem proponowane ustawienia dla opcji
> input filtering (IPFWADM -I).
> Zgodnie z tym wlaczylem:
> 1.wpuszczanie poczty z innych MTA (tcp na porcie 25);
> 2. wchodzenie POP2, POP3 i IMAP
> 3. akceptacje wszystkiego dla 127.0.0.1
> 4. akceptacje wszystkiego dla domeny lokalnej
> 5. wchodzenie pakietow ruchu DNS.
> Oczywiscie nie ma zadnych warunkow dla pakietow out i forward (accept all).
> Wszystko z grubsza chodzi dobrze, przy czym moj serwer ma problemy z
> przesylaniem poczty do innych MTA. Podejrzewam zla konfiguracje zapisu
> dotyczacego ruchu DNS.
> Czy ktos orientuje sie, pakiety jakich uslug (services) systemu Linux musza
> konieczne "dochodzic" do serwera, aby tego typu zabezpieczenie serwera
> poczty moglo funkcjonowac?

Mam pewna sugestie - otoz niektore serwery pocztowe probuja
sprawdzac tozsamosc nadawcy przez ident. Jezeli ustawiles
w firewall'u policy dla portu auth na deny, to ich zapytanie
zostanie 'pochloniete' przez firewall i beda one czekac
na odpowiedz az do timeout'u - ok. kilkudziesieciu
sekund (do tego czasu sesja 'wisi'). Jesli to jest powodem,
zmien w regulach deny na reject (bedzie zwracal komunikat
ze port jest niedostepny i druga strona nie bedzie czekac).