Как в iptables запретить слать почту все кроме postfix?

Question

[Пума Тайланд]

Есть ли в iptables возможность обращаться на внешние 25 порты для отправки почты всем кроме postfix?

Answer 1

[Андрей Буров]

у меня такое правило.

iptables -A OUTPUT -p tcp -m owner --uid-owner postfix -m tcp --dport 25 -j ACCEPT 
iptables -A OUTPUT -p tcp -m tcp --dport 25 -j DROP 

--uid-owner postfix — пользователь от которого запущен postfix

Comments

[Пума Тайланд]

Добавил ещё
iptables -I OUTPUT -d 127.0.0.1 -p tcp --dport 25 -j ACCEPT

[Андрей Буров]

Если добавили -d 127.0.0.1… -j ACCEPT, то проверьте чтоб в конфигах postfix в mynetworks не было 127.0.0.0/8 и smtpd_recipient_restrictions = permit_mynetworks
А то можно будет отправлять всё что угодно (но через postfix)

telnet 127.0.0.1 25
HELO localhost
MAIL FROM: <[e-mail]>
RCPT TO: <[e-mail]>
DATA
......

Answer 2

[shadowalone]

На уровне iptables никак.

Comments

[Пума Тайланд]

выше говорят что можно

[shadowalone]

ну с модулем owner действительно можно.

[Пума Тайланд]

затестил сейчас на серверах он есть везде в стандартных дистрах.