Как настроить правила NAT чтоб работал почтовый сервер?

Question

[Шамиль]

Установил почтовый сервер hmail server на винду.
Сервер за роутером микротик, с белым IP.
Настроил на хостинге dns, dkim, spf, mx.
Запутался в правилах NAT`a, пока пытался сделать чтоб почта уходила (на тот момент входящие работали)..
теперь проблема в том что почта перестала приходить.
Первоначально тестировал из дома, теперь вышел на работу, и тестирую отсюда (пришлось настраивать hairpin nat - т.к. сервер здесь).

активные правила в NAT оставил эти:

;;; defconf: masquerade
      chain=srcnat action=masquerade out-interface-list=WAN ipsec-policy=out,none 

 ;;; HostingServer Email
      chain=dstnat action=dst-nat to-addresses=192.168.111.251 protocol=tcp dst-port=465,587,110,995,143,993 log=no 

 ;;; NAT LoopBack for LAN
      chain=srcnat action=masquerade src-address-list=LocalNet out-interface-list=LAN

ну и в фильтрах разрешил правила:

chain=forward action=accept protocol=tcp dst-address-list=192.168.111.251 in-interface=ether1 dst-port=25,143,993,587,465 log=no 

 chain=input action=accept protocol=tcp dst-address-list=192.168.111.251 in-interface=ether1 dst-port=25,143,993,587,465 log=no

Comments

[Valentin Barbolin]

Ничего не путаете ? Хостинг

Может лучше схему нарисуете?

[Шамиль]

Andrey Barbolin, не путаю.
купил доменное имя, перепривязал его к своему IP (изменил А запись)

[Valentin Barbolin]

dst-port=465,587,110,995,143,993

25 порта не хватает.

[Valentin Barbolin]

chain=input action=accept protocol=tcp dst-address-list=192.168.111.251 in-interface=ether1 dst-port=25,143,993,587,465 log=no

Что это такое?
ether1 - наверное интерфейс провайдера. Тогда 192.168.111.251 должен быть изменен на белый IP.

hairpin nat - лучше использовать DNS.

[Шамиль]

Andrey Barbolin, ether1 - это интерфейс провайдера
на счет "лучше использовать DNS" не понял

поменял на белый IP - не помогло

[Valentin Barbolin]

> на счет "лучше использовать DNS" не понял
- поднять на Микротике DNS
- раздавать этот DNS по DHCP клиентам сети.
- добавить в DNS запись, которая будет mail.example.com отдавать внутренний адрес на 192.168.111.251

Соответственно, все клиенты будут ходить на внутренний адрес в обход микротика.
Для всех записей dkim, spf, mx должно быть указано имя, а не IP.

Например
Внешний DNS
mail.example.com A 2.2.2.2
dkim mail.example.com
spf mail.example.com
mx mail.example.com

Mikrotik DNS
mail.example.com A 192.168.111.251

Это бессмысленная запись.
chain=input action=accept protocol=tcp dst-address-list=192.168.111.251 in-interface=ether1 dst-port=25,143,993,587,465 log=no

Это правило не отрабатывает, т.к. пакет который идет транзитом (forward) не попадает в цепочку INPUT.

Достаточно
/ip firewall nat
add action=dst-nat chain=dstnat dst-port=25,465,587,110,995,143,993 in-interface=ether1 protocol=tcp to-addresses=192.168.111.251
/ip firewall
add action=accept chain=forward comment=mail dst-address=192.168.111.251 in-interface-list=ether1 protocol=tcp

И правило, что бы выпустить в интернет почтовый сервер

[Шамиль]

Andrey Barbolin, так почта будет использоваться не только внутренними пользователями.
если я в нат делаю dstnat 25 порт, то отсылка не пашет.
как только отключаю - письма уходят

[Valentin Barbolin]

> так почта будет использоваться не только внутренними пользователями.
При такой схеме, у всех будет работать.

> dstnat 25 порт, то отсылка не пашет.
У тебя порт привязан к интерфейсу как в моей примере?
/ip firewall nat
add action=dst-nat chain=dstnat dst-port=25,465,587,110,995,143,993 in-interface=ether1 protocol=tcp to-addresses=192.168.111.251

[Шамиль]

Andrey Barbolin,
немного переделал.
если я включаю правило на проброс 25 порта - то при отправке письма с Mail.ru на мою почту - моментально выходит ошибка:
SMTP error from remote mail server after RCPT TO::
host mail.dag-it.ru [х.х.х.х]: 530 SMTP authentication is required.

[Valentin Barbolin]

#1 шикарное правило! натить все пакеты в локальную сеть. Даже если они пришли из мира. Добавь в него in-interface-list=LAN

#3-8 правило, все правила проброса должны быть привязаны к интерфейсу. Иначе они начинают отрабатывать и для локального трафика.

> 530 SMTP authentication is required.
Логика проста. mail.ru стучится на 25 порт, если он закрыт, тогда он идет на следующий порт, а та муже авторизацию не просят. Поправь правила 3-8 и попробуй еще раз, если ошибка останется, смотри на свой mail сервере почему он просит авторизацию на 25 порту.

Answer 1

[Шамиль]

в общем, если вдруг кто когда будет гуглить по теме, как настроить hmailserver за mikrotik:
1. создаете правила в NAT:
chain=dstnat action=dst-nat to-addresses=<локальный IP почтового сервера> to-ports=25 protocol=tcp dst-address=<внешний IP> in-interface= dst-port=25
и так далее для портов 110, 143, 465, 587, 993, 995 (в зависимости от того какой используете)
2. и самое главное - на стороне hmailserver главное убрать галочки требовать авторизацию

3. ну и в фильтрах файрвола разрешите трафик по этим портам

Answer 2

[kprohorow]

В forward dst-addr должен быть внешний ip.
input не нужен.

Comments

[Шамиль]

не помогло

[kprohorow]

Ммм. Еще в NAT убрать in-interface возможно. А вот а fireawall как раз можно добавить.

[Шамиль]

kprohorow, тоже нет.