Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Сетевые технологии (http://forum.oszone.net/forumdisplay.php?f=31)
-   -   [решено] Закрыть 25 исходящий порт (http://forum.oszone.net/showthread.php?t=235850)

Redew 02-06-2012 23:34 1926965
Закрыть 25 исходящий порт
 
Здравствуйте. Подскажите, как в Windows 2003 sp 2 закрыть для локальной сети через службу RRAS или другими способами исходящие соединения на 25 порт, оставив при этом возможность подключения на локальный smtp сервер?
Дело в том, что в RRAS есть два варианта фильтрации: можно заблокировать все соединения на 25 порт или прописывать правила для работы всех портов и протоколов. В первом случае отсутствует возможность разрешить один или несколько адресов для соединения на 25 порт. Во втором случае нужно создать кучу правил, чтобы интернет в локальной сети полноценно работал. Это займет физически дня два и скорее всего, будет сильно есть ресурсы.
Пробовал портированную версию wipfw, но она не работает с NAT.
Какие могут быть варианты. Пожалуйста, подскажите. Спасибо.

exo 03-06-2012 00:08 1926978
Цитата:
Цитата Redew
wipfw, но она не работает с NAT »
а если почитать документацию?

Redew 03-06-2012 00:16 1926980
exo, что, работает? Честно, не нашел. Как раз и в интернете пишут, что портированная под Windows версия nat не поддерживает. Локально при этом все работает.

exo 03-06-2012 00:43 1926985
Цитата:
Цитата Redew
Как раз и в интернете пишут »
http://sourceforge.net/projects/wipf.../topic/1475065
Цитата:
you can try do NAT over server OS resurses
wipfw сам не создаёт НАТ

Redew 03-06-2012 00:57 1926992
Ну хорошо. Nat у меня через RRAS. Вот я установил wipfw и прописал команду
Код:
ipfw add 00101 allow tcp from 192.168.0.1 1-65535 to 10.4.81.32 25 out
ipfw add 00102 deny from 192.168.0.1 1-65535 to any 25 out
Локально доступа нет, все нормально, через nat все работает. Может, версия не та, или синтаксиса не хватает?

exo 03-06-2012 01:07 1926999
Цитата:
Цитата Redew
Локально доступа нет »
не совсем понимаю

вы хотите, что бы для всех кроме одного сервера был закрыт доступ?

Redew 03-06-2012 01:12 1927001
Да может и я перегрелся :)
192.168.0.1 это шлюз для клиентов локальной сети.
Соответственно, логика такова, что пакеты от ip шлюза как-бы должны фильтроваться wipfw. Может, я ошибаюсь?
То есть, если локально установить этот wipfw на компьютер из локальной сети, при аналогичной раскладке все работает. При установке на шлюзе через нат не работает. Вот и загвоздка.

exo, я хочу, чтобы компьютеры из локальной сети, могли подключаться только к одному smtp серверу - в данном случае локальному. Просто через нат можно подключиться к любому smtp серверу.

exo 03-06-2012 01:17 1927003
Цитата:
Цитата Redew
Соответственно, логика такова, что пакеты от шлюза как-бы должны фильтроваться wipfw. Может, я ошибаюсь? »
всё правильно.
Цитата:
Цитата Redew
при аналогичной раскладке все работает »
я так и не понял вашей задачи. Что вам нужно в итоге? только не в общих словах, а в конкретных примерах, пожалуйста.

Redew 03-06-2012 01:25 1927008
Смотрите. Есть почтовый сервер в локальной сети. Его ip 10.4.81.32.
И есть много других почтовых серверов в интернете.
На серере-шлюзе настроена служба RRAS - один интерфейс смотрит в интернет, другой в локальную сеть.
Интернет ip 10.4.81.32
ip интерфейса в локальную сеть 192.168.0.1

У клиентов локальной сети шлюз 192.168.0.1

Клиент локальной сети может у себя настроить отправку писем через любой почтовый сервер, а нужно, чтобы мог отправлять почту только через 10.4.81.32

Вот такая задача. Если я ставлю wipfw на клиентский компьютер, и прописываю выше приведенные команды, естественно с заменой ip все работает, клиент не может достучаться никуда, кроме как на 10.4.81.32. Стоит прописать это же на шлюзе, у клиента все работает.
Может быть, действительно версия wipfw не та?

exo 03-06-2012 01:29 1927009
Цитата:
Цитата Redew
Смотрите. »
Цитата:
Цитата Redew
сервер в локальной сети. Его ip 10.4.81.32. »
Цитата:
Цитата Redew
На серере-шлюзе настроена служба RRAS - один интерфейс смотрит в интернет, другой в локальную сеть.
Интернет ip 10.4.81.32 »
не понимаю... сервер в локальной сети и в тоже время в "интернет" сети.
Локальная сеть у вас 192-ая...

читали эту тему? http://forum.oszone.net/thread-137467.html

Redew 03-06-2012 01:32 1927010
Цитата:
Цитата exo
Интернет ip 10.4.81.32 »
Ладно, проехали :) Действительно, чего-то я немного напутал. Это адрес почтового сервера. Я имел в виду ip адрес, который выдает провайдер. Условно 192.168.1.2

exo 03-06-2012 01:37 1927013
Цитата:
Цитата Redew
прописываю выше приведенные команды »
может дело в том, что шлюз и почтовый сервер это одно и тоже?
Цитата:
Цитата Redew
Я имел в виду ip адрес »
если вы описываете внешние сети в задании - то не берите для описании частные адреса...

Redew 03-06-2012 01:40 1927015
Да здесь все просто. Естественно, почтовый сервер имеет внешний ip и все это прекрасно работает. Проблема в том, что нужно, чтобы к 25 порту можно было подключиться из локальной сети только к этому серверу и больше никакому. Что же тут непонятного?
Говорю условно

Ip адрес клиента 192.168.0.3
Ip адрес шлюза 192.168.0.1
Ip адрес провайдера 192.168.1.2
Ip адрес почтового сервера 10.4.81.32

Нужно, чтобы с адреса 192.168.0.3 можно было подключиться к 25 порту только на адрес 10.4.81.32
Все.
P. S Внешний адрес почтового сервера 194.146.196.243

exo 03-06-2012 01:44 1927016
так, по порядку. а если создать на шлюзе одно правило - блокировать все 25 порт - блокирует?
Цитата:
Цитата Redew
Что же тут непонятного? »
читайте рекомендации.

Redew 03-06-2012 01:50 1927020
Цитата:
Цитата exo
так, по порядку. а если создать на шлюзе одно правило - блокировать все 25 порт - блокирует? »
С wipwf не пробовал. Фильтры RRAS блокируют, но в этом толку нет.
Сейчас буду пробовать. По идее
Код:
ipfw add 00101 deny from 192.168.0.1 1-65535 to any 25 out
должно работать?

exo 03-06-2012 01:51 1927021
Цитата:
Цитата Redew
должно работать? »
если синтаксис правильный - да.
только у вас указан хост 192.168.0.1 а не сеть...
документацию так и не читали:
http://wipfw.sourceforge.net/doc-ru.html#synopsis

Цитата:
ip-адрес
Адрес указанный одним из следующих способов, произвольно которым предшествует оператор not:
any
Соответствует любому IP адресу.
числовой-ip | имя_хоста
Соответствует отдельному адресу IPv4, указанному в точечной нотации или именем хоста. Имя хоста разрешается во время добавления правила к списку правил системы сетевой защиты.
адрес/биты
IP-адрес в виде четверки чисел через точку плюс размер маски в битах, например, 1.2.3.4/24.
В данном случае соответствовать будут все IP-адреса в диапазоне от 1.2.3.0 до 1.2.3.255.

адрес:маска
IP-адрес в виде четверки чисел с маской через точку в виде четверки чисел через точку, например, 1.2.3.4:255.255.240.0.
В данном случае соответствовать будут все IP-адреса в диапазоне от 1.2.0.0 до 1.2.15.255.
Цитата:
IP-адрес в виде четверки чисел через точку
улыбнуло...

Redew 03-06-2012 01:52 1927022
Цитата:
Цитата exo
если синтаксис правильный - да. »
На клиентском компьютере работает.

Цитата:
Цитата exo
только у вас указан хост 192.168.0.1 а не сеть... »
Да, так и есть, в случае с клиентом 192.168.0.3, в случае со шлюзом 192.168.0.1

exo 03-06-2012 01:56 1927024
Цитата:
Цитата Redew
, в случае со шлюзом 192.168.0.1 »
а у вас шлюз идёт к серверу или клиент???? видимо вам ещё следует почитать про работу NAT и модель OSI....

Redew 03-06-2012 02:05 1927029
Цитата:
Цитата exo
а у вас шлюз идёт к серверу или клиент???? »
То есть? Клиент идет к серверу почтовому через шлюз. 192.168.0.3 - 192.168.0.1 - 10.4.81.32
Только что ввел настройки - не работает. То есть на шлюзе прописано это правило, а клиент как подключался ко всем серверам, так и подключается. Службу ipfw перезапускал.

exo 03-06-2012 02:07 1927030
Цитата:
Цитата Redew
192.168.0.3 - 192.168.0.1 - 10.4.81.32 »
и какой адрес видит шлюз ? что он анализирует?
Цитата:
Цитата Redew
Только что ввел настройки »
что именно? сеть, шлюз, клиент ?

Redew 03-06-2012 02:16 1927034
Код:
ipfw add 00101 deny tcp from 192.168.0.1 1-65535 to any 25 out
Значит неправильно?

exo 03-06-2012 02:19 1927037
Цитата:
Цитата Redew
Значит неправильно? »
это правило блокирует хост 192.168.0.1
а у клиента 192.168.0.3 - я писал вам об этом. клиент не попадает под это правило.

Redew 03-06-2012 02:28 1927041
При правиле
Код:
ipfw add 00101 deny tcp from 192.168.0.0/24 1-65535 to any 25 out
и без маски подсети тоже самое.
Кстати, эти настройки пропадают при перезапуске службы.

exo 03-06-2012 02:30 1927044
Цитата:
Цитата Redew
Кстати, эти настройки пропадают при перезапуске службы. »
конфликт с другим правилом?

Redew 03-06-2012 02:34 1927046
Код:
C:\WINDOWS\system32\wipfw\bin>ipfw sh
00100    18      906 allow ip from any to any via lo*
00101      0        0 deny tcp from 192.168.0.0/24 1-65535 to any 25 out
00110      0        0 deny log ip from any to 127.0.0.0/8 in
00110      0        0 deny log ip from 127.0.0.0/8 to any in
00210      0        0 check-state
00310 164868  95862442 allow ip from me to any keep-state out
00410 173438  93279708 count log ip from any to any
65535 478236 246455406 allow ip from any to any
Вот команда show. Все остальные правила, даже после их удаления и перезагрузки службы появляются заново. Хз.

exo 03-06-2012 02:37 1927048
Цитата:
Цитата Redew
00100 18 906 allow ip from any to any via lo* »
lo* случайно определён ни как интерфейс 192.168.0.1
попробуйте:
Цитата:
ipfw add 00101 deny tcp from 192.168.0.3 1-65535 to any 25 out
на сегодня всё...

Redew 03-06-2012 02:44 1927051
Нет, все по-прежнему. Пробовал и удалять и т. д.
Все равно спасибо. Может завтра что-нибудь и получится.

Angry Demon 03-06-2012 07:08 1927073
Redew, может, не мудрствовать лукаво, установить на шлюз бесплатную версию TMeter и настроить один единственный фильтр с 2-мя правилами:
1-е разрешает трафик по 25-му порту к почтовику:
Источник: IP адреса локальной сети
Порт: любой порт
Действие: не обрабатывать вообще
Через сетевой адаптер: внутренний
Протокол: TCP
Назначение: определённый IP адрес (адрес почтовика)
Порт: Равно: 25

2-е блокирует весь трафик по 25-му порту.

Redew 03-06-2012 11:47 1927150
Angry Demon, надо попробовать. Только есть определенные опасения совместимости со службой RRAS например или еще с чем-либо. А то я установил однажды вроде бы безобидную программу Lansafety, у меня после этого полгода подряд компьютер самопроизвольно выключался. Еле докопался до гада. Удалил - все пошло как по маслу. Не хотелось бы повторений.

Redew 03-06-2012 15:50 1927261
Здравствуйте. Утро вечера мудреней.
Разобрался с сохранением настроек wipfw. Нужно отредактировать соответстующим образом файл wipfw.conf и затем запустить на выполнение файл loadrules.cmd.
Заблокировать 25 порт для пользователей локальной сети помогла команда
Код:
ipfw add deny tcp from 192.168.0.0/24 1-65535 to any 25 setup keep-state
Ну, понятно, вначале с меньшим номером правила должна идти команда
Код:
ipfw add allow tcp from 192.168.0.0/24 1-65535 to 10.4.81.32 25 setup keep-state
Тема решена.
P. S. Версия wipfw-0.2.8.

Angry Demon 04-06-2012 08:37 1927614
Цитата:
Цитата Redew
Только есть определенные опасения совместимости со службой RRAS например или еще с чем-либо.
На серверных системах TMeter интегрируется с этой службой в полный рост и не запускается при её падении.


Время: 05:41.

Время: 05:41.
© OSzone.net 2001-