SMTP proxy on 3 IP addresses

The activation of the SMTP proxy opens port 25 for ANY incoming traffic. You can use a small hack to fix this.
at the console, login as root.

iptables -L AUTO_INPUT -n --line-numbers | grep dpt:25

This will give you the number of the rule that ASL creates in the AUTO_INPUT table. Number 23 in my case.

23   ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp spts:1:65535 dpt:25

Drop this rule...

iptables -R AUTO_INPUT 23

Insert a replacment rule to allow incoming traffic on port 25 on your specific interface.

iptables -I AUTO_INPUT 23 -p tcp -s 0.0.0.0/0 --sport 1:65535 -d 212.1.1.3/32 --dport 25 -j ACCEPT

This rule will allow only tcp traffic from any port and any address to 212.1.1.3 on port 25.

I tried creating a script to do this in another thread, this is a variant. give it a shot.

 
#!/bin/sh 

rowstr=`iptables -L AUTO_INPUT -n --line-numbers | grep dpt:25`

rownum=${rowstr:0:2} 

iptables -R AUTO_INPUT $rownum 
iptables -I AUTO_INPUT $rownum -p tcp -s 0.0.0.0/0 --sport 1:65535 -d 212.1.1.3/32 --dport 25 -j ACCEPT 


make sure you use the "back tic" not single quote aournd the iptables -L command line.

The activation of the SMTP proxy opens port 25 for ANY incoming traffic. You can use a small hack to fix this.
at the console, login as root.

iptables -L AUTO_INPUT -n --line-numbers | grep dpt:25

This will give you the number of the rule that ASL creates in the AUTO_INPUT table. Number 23 in my case.

23   ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp spts:1:65535 dpt:25

Drop this rule...

iptables -R AUTO_INPUT 23

Insert a replacment rule to allow incoming traffic on port 25 on your specific interface.

iptables -I AUTO_INPUT 23 -p tcp -s 0.0.0.0/0 --sport 1:65535 -d 212.1.1.3/32 --dport 25 -j ACCEPT

This rule will allow only tcp traffic from any port and any address to 212.1.1.3 on port 25.

I tried creating a script to do this in another thread, this is a variant. give it a shot.

 
#!/bin/sh 

rowstr=`iptables -L AUTO_INPUT -n --line-numbers | grep dpt:25`

rownum=${rowstr:0:2} 

iptables -R AUTO_INPUT $rownum 
iptables -I AUTO_INPUT $rownum -p tcp -s 0.0.0.0/0 --sport 1:65535 -d 212.1.1.3/32 --dport 25 -j ACCEPT 


make sure you use the "back tic" not single quote aournd the iptables -L command line.

Thanks for the info Jim.  One other question.  Using those same commands, can I change the port to something other than port 25?  Or will that traffic not get handed to the SMTP Relay correctly if that is done?

Thanks,

Joe Malechek

I believe you could use a DNAT rule to translate the incoming port 8025 (for example) traffic to port 25. But why? Other mail servers won't be able to send you mail.
If you're only receiving mail from other specific sources and want to go through the bother of reconfiguring them as well, I suppose it's possible.

Yea, I only want to receive mail from one specific IP.  And now that I'm looking over the  the fix you posted above in more detail, I see that I should be able to put the single IP I want to receive traffic from right into that same rule.  That should work perfectly.

Thanks,
Joe

Thanks for the IPTABLES hack... the problem may be whenever you reset the ASTARO. I should run all this each time I restart the program, shouldn't I?

You could create this script as smtphack in the /etc/init.d directory and put a virtual link in the rc3.d directory called something like S99hack and have it point to the smtphack script.
Upon startup it will execute smtphack after S95selfmonng link. Give this a try. If the SMTP proxy isn't fully started when the smtphack script is run. It won't work properly. But give it a shot.

[ QUOTE ]
The activation of the SMTP proxy opens port 25 for ANY incoming traffic. You can use a small hack to fix this.
at the console, login as root.

iptables -L AUTO_INPUT -n --line-numbers | grep dpt:25

This will give you the number of the rule that ASL creates in the AUTO_INPUT table. Number 23 in my case.

23   ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp spts:1:65535 dpt:25

Drop this rule...

iptables -R AUTO_INPUT 23

Insert a replacment rule to allow incoming traffic on port 25 on your specific interface.

iptables -I AUTO_INPUT 23 -p tcp -s 0.0.0.0/0 --sport 1:65535 -d 212.1.1.3/32 --dport 25 -j ACCEPT

This rule will allow only tcp traffic from any port and any address to 212.1.1.3 on port 25.

I tried creating a script to do this in another thread, this is a variant. give it a shot.

 
#!/bin/sh 

rowstr=`iptables -L AUTO_INPUT -n --line-numbers | grep dpt:25`

rownum=${rowstr:0:2} 

iptables -R AUTO_INPUT $rownum 
iptables -I AUTO_INPUT $rownum -p tcp -s 0.0.0.0/0 --sport 1:65535 -d 212.1.1.3/32 --dport 25 -j ACCEPT 


make sure you use the "back tic" not single quote aournd the iptables -L command line. 

[/ QUOTE ]

Not sure if this is a flaw, or I just did not enter it quite right, but when I made this change, I could no longer send mail.  Incoming worked, but it appears to have blocked ALL SMTP connections except the one external address, including the internal one.  Restarted ASL and all was well.

All seems to be working ok as my external email address was the first external address I put into ASL, and that seems to be the first  one the SMTP Proxy uses to send.  I added a second external address after setting up the ASL and the SMTP proxy.

That's odd. The AUTO_OUTPUT rule should still be there to allow outbound smtp traffic.

Execute this command and look at the resulting ipt_rules file for a dump of all your iptables rules.

iptables -L -n --line-numbers > ipt_rules

Run the commands from the command like one by one and se if it works before using a script.