Есть корпоративная сеть (10.2.1.0/24, 10.2.2.0/24), в ней находится сервер почты (10.2.1.12) настроен nat на ASA 5510, у всех локальных пользователей интернет с одного выделенного адреса, на почтовый сервер АСОЙ дается отдельный статический адрес.
Как сделать чтобы пользователи из вне могли только получать почту, но не отправлять.
Почта настроена по статье _http://jared.kiev.ua/2010/01/isp-mailserver-1-exim/
mail# uname -v
FreeBSD 8.2-RELEASE #0: Sat May 7 10:32:35 MSD 2011 root@RT-MX-001.site.ru:/usr/src/sys/i386/compile/mail.site
> Как сделать чтобы пользователи из вне могли только получать почту, но не
> отправлять.Нужно, чтобы извне был доступен только поп3/имап протокол, а смтп файрволлом ограничить до МХ-ов.
> Есть корпоративная сеть (10.2.1.0/24, 10.2.2.0/24), в ней находится сервер почты (10.2.1.12)
> настроен nat на ASA 5510, у всех локальных пользователей интернет с
> одного выделенного адреса, на почтовый сервер АСОЙ дается отдельный статический адрес.
> Как сделать чтобы пользователи из вне могли только получать почту, но не
> отправлять.
> Почта настроена по статье _http://jared.kiev.ua/2010/01/isp-mailserver-1-exim/
> mail# uname -v
> FreeBSD 8.2-RELEASE #0: Sat May 7 10:32:35 MSD 2011
> root@RT-MX-001.site.ru:/usr/src/sys/i386/compile/mail.siteСделать SMTP-AUTH? Средствами SMTP-сервера ограничить возможность релея только с локальных адресов? А внешним пользователям разрешить POP3/IMAP
> Нужно, чтобы извне был доступен только поп3/имап протокол, а смтп файрволлом ограничить до МХ-ов.smtp ограничил на АСЕ - почта не ходит
> Сделать SMTP-AUTH? Средствами SMTP-сервера ограничить возможность релея только с локальных
> адресов? А внешним пользователям разрешить POP3/IMAPSMTP-AUTH - есть но пароли у пользователей типа 123 - - итог понятен))
релей закрыт
>> Нужно, чтобы извне был доступен только поп3/имап протокол, а смтп файрволлом ограничить до МХ-ов.
> smtp ограничил на АСЕ - почта не ходит
>> Сделать SMTP-AUTH? Средствами SMTP-сервера ограничить возможность релея только с локальных
>> адресов? А внешним пользователям разрешить POP3/IMAP
> SMTP-AUTH - есть но пароли у пользователей типа 123 - - итог
> понятен))
> релей закрытПрпишите в конфиге exim
auth_advertise_hosts = 192.168.0.0/16Это заставит exim показывать возможность авторизации только для указанной сети, а авторизацию он не принимает если не анонсировал ее ранее.
> Прпишите в конфиге exim
> auth_advertise_hosts = 192.168.0.0/16
> Это заставит exim показывать возможность авторизации только для указанной сети, а авторизацию
> он не принимает если не анонсировал ее ранее.хм... т.е. подсети которых в параметре нет, будут просто "заворачиваться"...
//сегодня постараюсь попробовать...
>> Прпишите в конфиге exim
>> auth_advertise_hosts = 192.168.0.0/16
>> Это заставит exim показывать возможность авторизации только для указанной сети, а авторизацию
>> он не принимает если не анонсировал ее ранее.
> хм... т.е. подсети которых в параметре нет, будут просто "заворачиваться"...
> //сегодня постараюсь попробовать...Сети которых нет в auth_advertise_hosts не смогут пересылать почту через ваш Exim даже используя авторизацию. А пересылка снаружи без авторизации у вас надеюсь и так закрыта, иначе вы получите open relay.
>>> Прпишите в конфиге exim
>>> auth_advertise_hosts = 192.168.0.0/16
>>> Это заставит exim показывать возможность авторизации только для указанной сети, а авторизацию
>>> он не принимает если не анонсировал ее ранее.
>> хм... т.е. подсети которых в параметре нет, будут просто "заворачиваться"...
>> //сегодня постараюсь попробовать...
> Сети которых нет в auth_advertise_hosts не смогут пересылать почту через ваш Exim
> даже используя авторизацию. А пересылка снаружи без авторизации у вас надеюсь
> и так закрыта, иначе вы получите open relay.спасибо помогло
>>> Прпишите в конфиге exim
>>> auth_advertise_hosts = 192.168.0.0/16
>>> Это заставит exim показывать возможность авторизации только для указанной сети, а авторизацию
>>> он не принимает если не анонсировал ее ранее.
>> хм... т.е. подсети которых в параметре нет, будут просто "заворачиваться"...
>> //сегодня постараюсь попробовать...
> Сети которых нет в auth_advertise_hosts не смогут пересылать почту через ваш Exim
> даже используя авторизацию. А пересылка снаружи без авторизации у вас надеюсь
> и так закрыта, иначе вы получите open relay.мне немного странно. зачем закрывать пересылку с авторизацией извне? ИМХО лучше уж пусть сотрудники пользуются конторским СМТП - так возможность контроля есть.
опять же им (сотрудникам) не надо replay to писать при пересылке почты ч/з левые сервера. ИМХО всем проще.. и надежней.
>> Нужно, чтобы извне был доступен только поп3/имап протокол, а смтп файрволлом ограничить до МХ-ов.
> smtp ограничил на АСЕ - почта не ходита как она по Вашему должна ходить. если Вы протокол на корню зарубили по ходу?...
>> Сделать SMTP-AUTH? Средствами SMTP-сервера ограничить возможность релея только с локальных
>> адресов? А внешним пользователям разрешить POP3/IMAP
> SMTP-AUTH - есть но пароли у пользователей типа 123 - - итог
> понятен))
> релей закрыт[cut]
PS
ничего до человека не доходит.
>>> Нужно, чтобы извне был доступен только поп3/имап протокол, а смтп файрволлом ограничить до МХ-ов.
>> smtp ограничил на АСЕ - почта не ходит
> а как она по Вашему должна ходить. если Вы протокол на корню
> зарубили по ходу?...согласен
>>> Сделать SMTP-AUTH? Средствами SMTP-сервера ограничить возможность релея только с локальных
>>> адресов? А внешним пользователям разрешить POP3/IMAP
>> SMTP-AUTH - есть но пароли у пользователей типа 123 - - итог
>> понятен))
>> релей закрыт
> PS
> ничего до человека не доходит.возможно
[cut]
> Есть корпоративная сеть (10.2.1.0/24, 10.2.2.0/24), в ней находится сервер почты (10.2.1.12)
> настроен nat на ASA 5510, у всех локальных пользователей интернет с
> одного выделенного адреса, на почтовый сервер АСОЙ дается отдельный статический адрес.
> Как сделать чтобы пользователи из вне могли только получать почту, но не
> отправлять.- защитится от спуфинга на внутреннем/внешнем интерфейсах ч/з пакетный фильтр
- авторизовать пользователя на smtp-сервере (имя+пароль/карты/другое говно)
- проанаизировать адрес источника на smtp-сеервере и принять решение о релее.> Почта настроена по статье _http://jared.kiev.ua/2010/01/isp-mailserver-1-exim/
> mail# uname -v
> FreeBSD 8.2-RELEASE #0: Sat May 7 10:32:35 MSD 2011
> root@RT-MX-001.site.ru:/usr/src/sys/i386/compile/mail.site