Как настроить iptables для отправки почты из rails приложения?

Question

[Николай]

Имеется приложение написанное на Ruby on Rails, через которое отправлются email при регистрации пользователя.
Помогите, плиз, настроить правила для iptables, чтобы эти сообщения отправлялись и доходили до адресата.

Настройки в config/environments/production.rb

config.action_mailer.smtp_settings = {
      address:               'smtp.gmail.com',
      port:                   587,
      user_name:             '[e-mail]',
      password:              'mypass123',
      domain:                'mydomain.ru',
      authentication:        :plain,
      #:openssl_verify_mode  => 'none',
      enable_starttls_auto:  true
  }

Сейчас все политики у INPUT и OUTPUT стоят в DROP.
Как только делаю:

iptables -P OUTPUT ACCEPT
iptables -P INPUT ACCEPT

все отправляется (с одним ACCEPT другим DROP, тоже не смог настроить).
Уже вроде все правила перепробовал, и мои идеи кончились. :(
Типа таких, iptables -A OUTPUT -p tcp --sport 587 -j ACCEPT
причем как на input и output, так и на sport, dport и tcp, udp.
Как настроить iptables, какие правила прописать при DROP политиках, чтобы почта уходила адресатам.

Comments

[ldv]

почему sport, если dport?

[Николай]

ldv: пробовал и так, и так, но ничего не прошло.(

[ldv]

Николай: https://blog.it-kb.ru/2014/07/10/ubuntu-server-14-...

-P INPUT DROP
-P OUTPUT ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

зачем вообще output запрещаете?

[ldv]

Николай: только учтите, что с правилами выше - сервер будет недоступен извне

[Николай]

ldv: большое спасибо, с этими правилами заработало. Но вопросы все равно остались, может быть глупые для большинства, но мне как новичу не очень понятно:
1) А правило "-P OUTPUT ACCEPT" - все-таки лучше разрешить? :)
2) Что значит не доступен извне? У меня есть правила работающие для доступа к приложению, и для коннекта по ssh к нему. Вроде все решено, или что-то еще может быть?)

[ldv]

Николай: недоступен извне - если только эти правила
output можно и запретить по-умолчанию, но тогда надо добавить аналогичное правило для RELATED,ESTABLISHED пакетов в эту цепочку. Также нужны правила для DNS и "чего там у вас еще есть" :)