Abrindo "passagem" para clientes de correio

Xxoin

Este artigo é uma complementação a uma resposta que postei numa lista de discussão (Squid-br). Trata-se das configurações necessárias no iptables para que um cliente de correio (por exemplo, o Outlook), funcionando dentro de uma rede com IPs inválidos, se comunique com um provedor/servidor na Internet.

[ Hits: 24.062 ]

Por: Edson G. de Lima em 14/04/2005

0 0

Denuncie Favoritos Indicar Impressora

Um resumo de como funciona um cliente de correio

Lembrete: no protocolo TCP/IP uma aplicação irá se conectar a outra aplicação. Dentro deste raciocínio, abrimos nosso cliente de correio (exemplo: Outlook). Esta aplicação irá se conectar ao servidor de correio de nosso provedor (vamos admitir como exemplo o Postfix).

Este servidor estará escutando nas portas 25 (SMTP) para envio de mensagem e 110 (POP) para recebimento de mensagem.

Relembrando: estamos raciocinando que estamos em uma rede com IPs inválidos e queremos enviar e receber e-mail da Internet.

Escrevemos uma mensagem qualquer e clicamos em enviar...

Vamos descrever o "socket" desta conexão:

O protocolo de transporte é o TCP. Este "pacote" tem como origem uma máquina da rede com IP inválido; de uma porta alta aleatória; com destino a um IP/Domínio válido; para a porta 25; entra pela placa interna de nosso FW-Proxy e sai pela placa que está ligada ao modem.

A resposta a este pacote fará o inverso. Sairá do servidor pela porta 25 com destino a nossa porta que foi aberta, neste caso, uma porta alta; entrando pela placa ligada ao modem.

Agora vamos "baixar" as nossas mensagens que estão no servidor:

Clicamos em "receber"... Nossa requisição tem como origem a mesma máquina acima, só que abrindo uma porta alta aleatória com destino a porta 110. A resposta sairá do servidor pela porta 110 com destino a nossa porta alta.

Com o que temos até aqui, já se pode perceber que não é necessário permitir (no FW-Proxy) passagem/entrada de pacotes com destino às portas 25 e 110. Isto é, NÃO é necessário FORWARD com destino a nossa rede e muito menos INPUT com destino ao nosso FW-Proxy para as portas 25/110. Dizendo no "popular" - não precisamos aceitar conexões "entrantes".

Outro detalhe importante: como estamos falando de IPs inválidos, precisamos nos lembrar que nossa rede irá precisar ter acesso a um servidor de DNS externo e será necessário NAT para estas requisições de nossa rede. Porém, não desejamos abrir brechas em nosso filtro de conteúdos, o nosso proxy...

Vamos então para as regras que precisamos no iptables. Não estaremos abordando regras genéricas de segurança. As regras abaixo são para liberar um cliente de correio "pensando em segurança". As regras a seguir consideram que as Políticas para INPUT e FORWARD são DROP.

Página anterior Próxima página

Páginas do artigo

   1. Introdução
   2. Um resumo de como funciona um cliente de correio
   3. Regras necessárias no iptables

Outros artigos deste autor

Se o Linux fosse uma "marca"

Integrando Bind com Active Directory (AD)

Leitura recomendada

Firewall profissional

Roteamento de entrada/saída com iproute e iptables

Script de Firewall com redirecionamento de portas em Linux Debian

UFW e GuFW, firewall simples ao alcance de todos

Iptables + Layer7

Comentários

[1] Comentário enviado por Oni em 15/04/2005 - 15:33h

muito bom esse eseu artiigo.....e é bom saber que tem um conterraneo meu aki no site.....Parabens.

0 0

[2] Comentário enviado por naoexistemais em 15/04/2005 - 23:00h

Parabens pelo artigo é bem didático, simples e objetivo.

Tomara que veremos mais artigos de sua autoria...

Falou,

0 0

[3] Comentário enviado por brunolimaq em 02/12/2005 - 09:39h

SO uma dúvida no final quando vc diz :

Se você usa pppoe, coloque -j MASQUERADE.

É para Adcionar a regra no final, ou substituilá?

Obrigado! :D

0 0

[4] Comentário enviado por Xxoin em 02/12/2005 - 11:01h

Boa pergunta!!

Substituir!
Ficando: onde se lê "-j SNAT --to..." leia-se "-j MASQUERADE"

Abraços.

0 0

[5] Comentário enviado por nilton1 em 31/01/2006 - 09:48h

ola bom dia .
Eu estou utilizar o ipcop numa maquina que tem 2 placas de rede um para rede interna e outra para rede externa.entao o que esta acontecer é que o ipcop permite dentro da rede interna enviar msn somente de http por exemplo nao deixa enviar como smtp.
e no FIRRWALL no rederecionamento de portos esta pedir ip de origem e ip de destino.
quais sao esses ip.
obrigado.

0 0