iptables --sport 与 --dport。输入与输出

Question

我在理解 iptables 时遇到了一些麻烦。我知道它充当过滤器，但有些东西没有点击，因为它没有按照我认为的方式工作。首先让我说我正在创建一个白名单，因此所有策略（输入、转发、输出）默认为 DROP。

我有以下与 SMTP 相关的规则：

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

-A INPUT -p tcp --dport 25 -j ACCEPT -A OUTPUT -p tcp --dport 25 -j ACCEPT //needed for receiving? -A OUTPUT -p tcp --sport 25 -j ACCEPT //needed for sending?

*这 3 行也逐字存在于端口 587 和 465

如果我删除第一个 OUTPUT 行，那么我的服务器将不会收到电子邮件，如果我删除最后一行，它也不会发送电子邮件。我不明白的是为什么。不应该：

-A INPUT -p tcp --dport 25 -j ACCEPT -A OUTPUT -p tcp --sport 25 -j ACCEPT

足以让一切通过吗？AFAIK 所有 SMTP 通信都应该超过 25、587 或 465。我目前的理解是 SMTP 数据包应始终匹配这两个规则之一。所有输入数据包都应该到达端口 25，所有输出数据包都从 25 发送？我错过了什么？

Answer 1

对于 SMTP，您不需要任何--sport规则。源和目标不依赖于方向——它们在数据包的源和目标端口上匹配。每个连接都有一个随机源端口，所以没有什么可以匹配的。

如果我删除第一个 OUTPUT 行，那么我的服务器将不会收到电子邮件，如果我删除最后一行，它也不会发送电子邮件。

这是错误的。只有 INPUT 行对接收电子邮件很重要。此外，只有 OUTPUT--dport 25行对发送电子邮件很重要。所以这些规则应该足够了：

-A INPUT -p tcp --dport 25 -j ACCEPT
-A OUTPUT -p tcp --dport 25 -j ACCEPT

问题可能是您将 OUTPUT 设置为默认为 DROP，但仅允许在 INPUT 上建立连接。通常人们将 OUTPUT 默认设置为 ACCEPT。如果您想继续为 OUTPUT 使用白名单，则必须添加：

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

另外，请阅读有关 SMTP 端口的信息。您列出的其中一些仅用于电子邮件提交和不推荐使用的加密，而不用于服务器到服务器的通信。这可能会改变您计划规则的方式。