И снова.... iptables

kir_as_goodисправлений: 2> разрешить форвардинг в iptables

не в iptables а в ядре # sysctl -w net.ipv4.ip_forward=1

> не в iptables а в ядре # sysctl -w net.ipv4.ip_forward=1

Это я понял, и уже разрешил, проблема в iptables...

1 Разрешить прохождение пакетов через FORWARD
2 В POSTROUTING добавить SNAT или MASQUERADE

> 1 Разрешить прохождение пакетов через FORWARD

2 В POSTROUTING добавить SNAT или MASQUERADE

Как?

Внешний и внутренний IP статичные. Внешний белый.

Не понимаю, как создать цепочку комманд....

Где-то так

iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -p tcp -i eth0 -o eth1 --dports 25,110,465,995 -j ACCEPT

iptables -t nat -A POSTROUTING -o eth1 --dports 25,110,465,995 -j SNAT $EXTERNAL_IP

iptables -A FORWARD -s внутренний IP -j ACCEPT
iptables -A POSTROUTING -t nat -s внутренний IP -o внешний интерфейс -j MASQUERADE

Ещё «iptables -A FORWARD -d внутренний IP -j ACCEPT» надо

> iptables -A FORWARD -p tcp -i eth0 -o eth1 --dports 25,110,465,995 -j ACCEPT

iptables v1.4.4: unknown option `--dports' Try `iptables -h' or 'iptables --help' for more information.

iptables -A INPUT -i eth0 -p tcp -m multiport --dports 25,110,465,995 -j ACCEPT

Пусть eth0 это интерфейс в локальную сеть, eth1 во внешнюю, тогда

iptables -P FORWARD DROP
iptables -A FORWARD -j ACCEPT -m state --ctstate RELATED,ESTABLISHED
iptables -A FORWARD -i eth0 -o eth1 -p tcp --dport 25 -j ACCEPT
iptables -A FORWARD -i eth0 -o eth1 -p tcp --dport 110 -j ACCEPT
iptables -A FORWARD -i eth0 -o eth1 -p tcp --dport 465 -j ACCEPT
iptables -A FORWARD -i eth0 -o eth1 -p tcp --dport 995 -j ACCEPT

Все правила, FORWARD под вашу задачу настроены.

P.S.: а вообще, настройте лучше свой локальный почтовый сервер. Это даст кучу преимуществ, особенно хорошо они проявятся, когда будете бороться с зараженными всякой дрянью машинками в вашей локалке.

> iptables -A FORWARD -j ACCEPT -m state --ctstate RELATED,ESTABLISHED

iptables v1.4.4: unknown option `--ctstate' Try `iptables -h' or 'iptables --help' for more information.

> > iptables -A FORWARD -j ACCEPT -m state --ctstate RELATED,ESTABLISHED

iptables v1.4.4: unknown option `--ctstate' Try `iptables -h' or 'iptables --help' for more information.

Укажите -m conntrack вместо -m state

> Пусть eth0 это интерфейс в локальную сеть, eth1 во внешнюю, тогда

Т.к. интерфейс, который подключается через pppoeconf eth0 применил так:

iptables -P FORWARD DROP

iptables -A FORWARD -j ACCEPT -m conntrack --ctstate RELATED,ESTABLISHED

iptables -A FORWARD -i eth1 -o eth0 -p tcp --dport 25 -j ACCEPT

iptables -A FORWARD -i eth1 -o eth0 -p tcp --dport 110 -j ACCEPT

iptables -A FORWARD -i eth1 -o eth0 -p tcp --dport 465 -j ACCEPT

iptables -A FORWARD -i eth1 -o eth0 -p tcp --dport 995 -j ACCEPT

но от клиента:

kir@adminko:~$ nc smtp.mail.ru 110

nc: getaddrinfo: Name or service not known

Поднимите DNS сервер.

iptables -P FORWARD DROP
iptables -A FORWARD -i eth1 -o eth0 -p tcp -m multiport --dports 25,53,110,465,995 -j ACCEPT 

Открыл порт днс.

> Открыл порт днс

Кто же так DNS открывает? Во-первых, DNS в большинстве случаев работает по UDP, а во-вторых, правильней будет не открывать DNS через iptables, а запустить на сервере bind в режиме кэширования или dnsmasq :-)

все..... мой мозг сломался....

Видимо не судьба....

не унывай. =)

Я бы посоветовал Стивенса почитать для начала.

ты это, не ломайся, давай по порядку и четко - что тебе нужно? и еще рекомендую осилить Руководство по Iptables - сразу отпадет куча вопросов