Muchas gracias Francesc!
Ya funciona perfectamente con el cambio del puerto en las reglas (destino/origen).
Pero he comprado que si omito las reglas de salida dando por hecho que con la primera regla de las conexiones establecidas, se permitirá la salida, las conexiones se siguen bloqueando y obtengo un bonito Connection timed out:
Jun 22 15:08:32 server postfix/smtp[20057]: 13751542940F: to=aradaen@hotmail.com, relay=none, delay=151, delays=0.39/0.05/150/0, dsn=4.4.1, status=deferred (connect to mx3.hotmail.com[65.55.92.184]:25: Connection timed out) Jun 22 15:08:32 server postfix/smtp[20056]: connect to alt4.gmail-smtp-in.l.google.com[173.194.79.27]:25: Connection timed out Jun 22 15:08:32 server postfix/smtp[20056]: 13751542940F: to=aradaen@gmail.com, relay=none, delay=151, delays=0.39/0.04/150/0, dsn=4.4.1, status=deferred (connect to alt4.gmail-smtp-in.l.google.com[173.194.79.27]:25: Connection timed out)
Las he agregado de nuevo y funciona correctamente.
On 06/22/2012 12:48 PM, Guitart Francesc wrote:
Primero perdón por no responder desde el mensaje original. Hace tiempo que había desactivado los mensajes de la lista, hoy los he vuelto a activar y he visto este mensaje en el archivo de la lista.
AraDaen aradaen en gmail.com Jue Jun 21 19:17:45 EDT 2012
Hola, He instalado un servidor con Centos 6.2 para alojar varias webs que tengo, para lo que, entre otras cosas tengo bind configurado como servidor DNS y postfix con dovecot para el servicio de correo (pop3, pop3s, imap, imaps, smtp+tls). El sistema funciona perfectamente,sin habilitar iptables, pero cuando lo habilito, los correos que envío a dominios que no están alojados en mi servidor (gmail por ejemplo). Deduzco que se trata de la reglas para DNS cuando pregunta a otro servidor DNS, o de otra cosa que se me escapa.
Este es el log de mail: Jun 21 13:48:45 server postfix/smtp[13917]: connect to mx3.hotmail.com[65.54.188.94]:25: Connection timed out Jun 21 13:48:45 server postfix/smtp[13918]: connect to mx1.hotmail.com[65.55.37.72]:25: Connection timed out Jun 21 13:49:15 server postfix/smtp[13917]: connect to mx2.hotmail.com[65.54.188.72]:25: Connection timed out Jun 21 13:49:15 server postfix/smtp[13918]: connect to mx2.hotmail.com[65.54.188.110]:25: Connection timed out Jun 21 13:49:45 server postfix/smtp[13917]: connect to mx3.hotmail.com[65.54.188.110]:25: Connection timed out Jun 21 13:49:45 server postfix/smtp[13918]: connect to mx2.hotmail.com[65.54.188.126]:25: Connection timed out Jun 21 13:50:15 server postfix/smtp[13917]: connect to mx2.hotmail.com[65.55.37.104]:25: Connection timed out Jun 21 13:50:15 server postfix/smtp[13917]: 8E2F954286D5: to=<aradaen en hotmail.com>, relay=none, delay=62560, delays=62410/0.11/150/0, dsn=4.4.1, status=deferred (connect to mx2.hotmail.com[65.55.37.104]:25: Connection timed out)
Cualquier ayuda, será bienvenida. La política por defecto en iptables es DROP, y este es el script de iptables:
#!/bin/sh
iptables -F iptables -X iptables -Z iptables -t nat -F
echo "Política por defecto DROP" iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT DROP
#Conexiones Locales echo "Habilitando acceso:" echo "- Conexiones locales" iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT
#DNS echo "- DNS (53)" iptables -A OUTPUT -p ALL -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A OUTPUT -p tcp -d 0.0.0.0/0 --destination-port 53 -m state --state NEW -j ACCEPT iptables -A OUTPUT -p udp -d 0.0.0.0/0 --destination-port 53 -j ACCEPT
iptables -A INPUT -p ALL -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -p tcp -s 0.0.0.0/0 --destination-port 53 -m state --state NEW -j ACCEPT iptables -A INPUT -p udp -s 0.0.0.0/0 --destination-port 53 -j ACCEPT
#YUM echo "- YUM" # iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p tcp -m tcp -m state --state NEW --dport 80 -j
ACCEPT
iptables -A OUTPUT -p tcp -m tcp -m state --state NEW --dport 443 -j
ACCEPT
#WEB echo "- WEB (80)" iptables -A INPUT -p tcp --dport 80 -j ACCEPT iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT iptables -A INPUT -p tcp --dport 443 -j ACCEPT iptables -A OUTPUT -p tcp --sport 443 -j ACCEPT
#SSH echo "- SSH (2233)" iptables -A INPUT -p tcp --dport 2233 -j ACCEPT iptables -A OUTPUT -p tcp --sport 2233 -j ACCEPT
# CORREO echo "- MAIL"; echo " - POP3,POP3S (110,995)" iptables -A INPUT -p tcp --dport 110 -j ACCEPT iptables -A OUTPUT -p tcp --sport 110 -j ACCEPT iptables -A INPUT -p tcp --dport 995 -j ACCEPT iptables -A OUTPUT -p tcp --sport 995 -j ACCEPT
echo " - IMAP,IMAPS (143,993)" iptables -A INPUT -p tcp --dport 143 -j ACCEPT iptables -A OUTPUT -p tcp --sport 143 -j ACCEPT iptables -A INPUT -p tcp --dport 993 -j ACCEPT iptables -A OUTPUT -p tcp --sport 993 -j ACCEPT
echo " - SMTP,SMPTS (25,465)" iptables -A INPUT -p tcp --dport 25 -j ACCEPT iptables -A OUTPUT -p tcp --sport 25 -j ACCEPT iptables -A INPUT -p tcp --dport 465 -j ACCEPT iptables -A OUTPUT -p tcp --sport 465 -j ACCEPT
El problema esta aquí. Las reglas INPUT son correctas pero las OUTPUT no. Las conexiones SMTP que tu servidor realiza no salen por el puerto 25 sino que van dirigidas al puerto 25. La regla correcta seria:
iptables -A OUTPUT -p tcp dport 25 -j ACCEPT iptables -A OUTPUT -p tcp dport 465 -j ACCEPT
echo " - Submission (587)" iptables -A INPUT -p tcp --dport 587 -j ACCEPT iptables -A OUTPUT -p tcp --sport 587 -j ACCEPT
Y acabo de darme cuenta que has cometido el mismo error en otras reglas: POP3, IMAP, SMTP...
Ademas, para WEB, POP3, IMAP y SMTP no te hacen falta las reglas OUTPUT gracias a primera regla "iptables -A OUTPUT -p ALL -m state --state ESTABLISHED,RELATED" que permite toda conexión de salida que que previamente haya sido establecida por el cliente.
Espero haberme explicado.