Jak odhalit v LAN PC, ktere (asi) rozesila spam?

Predne, v hlaseni mailserveru o odmitnuti by melo byt videt, z jakoho duvodu ( nejaky blacklist nebo podobne, kde se muzes porozhlednout o duvodu neprijmani z vasi adresy ).
Dalsi vec, mate ve firme zakazany pro uzivatele port 25 smerem ven? Jestli dany stroj neobchazi mailserver a nerozesila si to sam. Kdyz mate povoleny postovni provoz jen pro mailserver, hledej v logu mailserveru, pokud mate neomezeny postovni provoz ( coz predpokladam ), hledej v logu firewallu postovni spojeni ( cil port 25, zdroj jina vnitrni IP nez mailserver ).
Co pouzivate jako firewall?

Diky za odpoved, hlasky mailserveru jsou napr. 550 5.7.1 (nevyzadany obsah),na blacklistech (podle dnsstuff.com) nejsme. S portem 25 a jeho omezenim uz jsem kdesi cetl (http://pc.poradna.net/question/view/61818-mailserve r-na-blackliste), to se pokusim zjistit. Zkusim prohledat ty logy firewallu a mailserveru, i kdyz Linux je pro mne zatim velka neznama, ale aspon se priucim, ze. Firewall se jmenuje Shorewall.
M.
/edit: a na PC s mailserverem bezi take Spamassasin

Tak jsem se koukal do logu firewallu a z lokalni site je tam povoleno - porty 53, 25, 110, 8, 3128, 1300, zakazano neni nic. To asi neni uplne dobre, coz...?
M.

25 povol jen pro IP adresu MTA a všem ostatním zakaž

zalezi jak mate firemni politiky. Nekde je zadouci, aby si uzivatele mohli rozesilat vlastni postu, ale ve vetsine pripadu to zadouci neni. A to dokonce ani v sitich velkych ISP, kde maji svoje vlastni postovni servery.
Jak jsem tak zbezne nahledl do dokumentace k shorewallu, tak mam pocit, ze napsat potrebny prikaz iptables je jednodussi, nez vytvaret ty pravidla tam ( ktera stejne pak projdou prikazem iptables )..
Kazdopadne vami zaslana informace o portech je pro me nedostatecna, protoze povolene ty porty byt mohou, ale pokud nebudu vedet odkud kam, tak muzu jenom hadat.

Hm, pardon za nedostatecne informace, uvedene porty byly pro smer lan -> firewall. Pripadne dalsi info dodam. Diky velice, M.

ono to vypada, ze to dela to co standartni nastaveni firewallu v Red-Hatu, totiz ze tabulka INPUT ( to co konci ve firewallu - napriklad porty 53 - DNS, 3128 - webova proxy apod. ) a tabulka FORWARD ( to co prochazi z vnitrni site do internetu ) jsou naprosto shodne. Potrebuje povolil port 25 - SMTP - smerem ven pouze z adresy postovniho serveru. Taky bych prehodnotil otevreni portu 110 ( pop3 ), zdali maji mit uzivatele v pracovni dobe moznost si stahovat postu z jinych postovnich serveru nez je ten vas. Toto je taky dobry zdroj infekci. Port 1300 a 8 nemam tuseni k jakemu ucelu mohou slouzit, zrejme nejake vase vnitrni aplikace. Krome techto portu predpokladam ostatni spojeni jsou zapovezena.

ted koukam, ze 1300 je port pro nejakou IP telefonii.

když sem mrskneš výstup příkazu

iptables -L FORWARD -n -v

dival ses na dokumentaci k shorewallu?
ja bych spis dal prikaz iptables -L -v -n
Abychom mohli srovnat INPUT a FORWARD

nedíval. nicméně to tam musí být, pokud je shorewall jen gateway

Tak tady to je (iptables -L FORWARD -n -v):

Chain FORWARD (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
32354 1420K DROP      !icmp --  *      *       0.0.0.0/0            0.0.0.0/0           state INVALI          D
 272M  194G eth0_fwd   all  --  eth0   *       0.0.0.0/0            0.0.0.0/0
 225M   31G eth1_fwd   all  --  eth1   *       0.0.0.0/0            0.0.0.0/0
 2993  167K common     all  --  *      *       0.0.0.0/0            0.0.0.0/0
 2993  167K LOG        all  --  *      *       0.0.0.0/0            0.0.0.0/0           LOG flags 0           level 6 prefix `Shorewall:FORWARD:REJECT:'
 2993  167K reject     all  --  *      *       0.0.0.0/0            0.0.0.0/0

M.

aha, Mraku, tak ještě poprosím o výstupy z:

iptables -L eth0_fwd -n -v

a

iptables -L eth1_fwd -n -v

BTW, ještě si prosím pomocí ifconfig zjisti, které z rozhraní eth0 či eth1 je vnější a které vnitřní (z hlediska LAN).

(hm, myslim, ze uz jsi pochopil, jak hodne tomu rozumim...) Eth0 je vnejsi a eth1 je vnitrni, vypisy pastnu nize, by bylo vic mista.
Vdaka tacude.

V jednom se pletete: V sitich velkych ISP nejsou porty nikterak omezovany. Pouze kazdy solidni ISP bojuje v souladu s prislusnymi RFC proti Open Relay konfiguraci mailserveru ve vlastni siti. ISP je Internet Service Provider, takze nabizi pripojeni k internetu, ne jen k poste a webu, jako nektere garazove firmy apod. Vysledkem je pak mj. to, ze zadny solidni provider nebude omezovat odchozi, ale ani prichozi traffic podle portu.

To vysvetluj treba O2 na jejich CMDA

Vypisy:

Chain eth0_fwd (1 references)
 pkts bytes target     prot opt in     out     source               destination
    0     0 dynamic    all  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW
 272M  195G net2all    all  --  *      eth1    0.0.0.0/0            0.0.0.0/0
    0     0 net2all    all  --  *      eth0    0.0.0.0/0            195.22.44.0/24
    0     0 net2all    all  --  *      eth0    0.0.0.0/0            192.168.1.0/24
    0     0 loc2_frwd  all  --  *      *       195.22.44.0/24       0.0.0.0/0
    0     0 loc3_frwd  all  --  *      *       192.168.1.0/24       0.0.0.0/0

Chain eth1_fwd (1 references)
 pkts bytes target     prot opt in     out     source               destination
9494K  492M dynamic    all  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW
 225M   31G loc2net    all  --  *      eth0    0.0.0.0/0            0.0.0.0/0
    0     0 all2all    all  --  *      eth0    0.0.0.0/0            195.22.44.0/24
    0     0 all2all    all  --  *      eth0    0.0.0.0/0            192.168.1.0/24

M.

OMFG! To jsou chainy jako detektivka!

tak pokračujeme v "Kriminální ústředna pátrá a vyšetřuje"

iptables -L loc2net -v -n

precti si manual k shorewall... mozna by stacilo napsat obsah vsech souboru v adresari /etc/shorewall/rules

Pribeh pokracuje...

Chain loc2net (1 references)
 pkts bytes target     prot opt in     out     source               destination 
 220M   33G ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
9513K  493M ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0  

TO BE CONTINUED...(?)

Diky, M.