[RRybak]

Mam w tej chwili w domu (za NAT) postawiony serwer WWW + parę innych usług. Wszystko przekierowane na routerze dostawcy.
Chcę sobie teraz wystawić serwer pocztowy (konkretnie mailcow), ale UPC nie pozwala na przekierowanie portu 25 (bez tego nic nie chce ze mną gadać). Jedyna moja opcja to odblokowanie DMZ na jeden adres IP. Nie chcę wystawiać CAŁEJ maszyny wirtualnej, tylko pojedyncze porty, więc wymyśliłem sobie, że na DMZ postawię coś, co będzie robiło przekierowania na wybrane porty, a resztę zablokuję albo wykorzystam do fail2bana.
I teraz - właściwie nie wiem CO tam postawić:
- jump server się nie sprawdzi, bo to SSH i gubi adresy źródłowe
- iptables wymaga dodatkowego NAT, żeby nie gubić źródłowych adresów IP (?)
- socat - jak wyżej
- opnsense/pfsense wydają się być overkilem do tego, zresztą i tak chyba też wymagają NATa. Co i tak jest bez sensu, bo wszystko jest w tym samym subnecie.

Jest jakaś sensowna opcja? Chciałbym, żeby wifi nadal załatwiał router UPC, a tym portom, które przekierowuje to zwyczajnie ufam. Jak to rozwiązać, bez dostawiania własnego firewalla i nowego routera? Co powinno być tym "przekierowującym serwerem", albo jak to rozwiązać?

#siecikomputerowe #serwery #serwerownia

[emitar]

@RRybak: sztuka dla sztuki czy o coś konkretnie chodzi? nie lepiej wziąć do tego jakiegoś taniego vpsa?

[RRybak]

@emitar: nie, ma być wszystko lokalnie. Wszystko mi w homelabie działa i chcę się też trochę pobawić i pocztę dołożyć.

Niby mam już dwa switche vlan w drodze i pewnie skończy się dołożeniem nowego routera wifi.
ALE - no kurde, aż mi się to wydaje nieprawdopodobne, że nie ma tego jak prosto ogarnąć. Prąd drogi, chciałem po taniości na tym co już mam, to @UPC_Polska musiało dać d.. i blokady założyć

[ulises]

@RRybak: ja bym poszedł w iptables, ale to ja
ewentualnie bym to mikrotikiem załatwił, ale chcesz miec dalej wifi od upc wiec mt bez sensu

[B.....f]

@RRybak: to pomiń UPC i przełącz w brige.
Email Ci nie odpali publicznie bez revdns.

[RRybak]

@ulises: tylko iptables wymaga dwóch interfejsów w dwóch różnych subnetach, czy się mylę (?) Nie znalazłem póki co sensownego rozwiązania jak zrobić forward na port na inne IP w tym samym subnecie

@Bad_Wolf: Domenę mam na dynu, mx już mam dopisany - wszystko działa w trybie DMZ, tylko irytuje mnie, że on zwyczajnie za dużo otwiera (gdzie normalnie przekierowałbym 6 portów i by wystarczyło).
W trybie bridge stracę wifi (nie

[B.....f]

Domenę mam na dynu, mx już mam dopisany

@RRybak: nic ci to nie da, REVDNS się nie zgodzi i black list, spamer zwłaszcza na puli ip dynamicznej¯\_(ツ)_/¯

[ulises]

@RRybak: mylisz sie, eeeeh nie chce mi się iść po laptopa bo bym Ci wkleił przykład

Idea jest tak, ze nie wklejasz tego w sekcji filtrr, tylko w sekcji nat i na pre routingu decydujesz gdzie to przekierować dalej

Ba w iptables możesz wtedy od razu wszystko inne dropować

[ulises]

@RRybak: *nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
# uSERVER
-A PREROUTING -i eth0 -p tcp -m multiport --dports 80,443 -j DNAT --to 192.168.0.13
-A POSTROUTING -j MASQUERADE
#
COMMIT

[RRybak]

@Bad_Wolf: tak po prawdzie, to maila potrzebuję bardziej familijnego i do pobierania maili serwisowych, które spływają z różnych lokacji. Gmail wszystko co przychodzi taguje mi jako spam i już mam dość odznaczania i kretyńskiego oznaczania logów rsnapshota jako "oferta" :D Na wysyłaniu mi mało póki co zależy (chociaż pewnie niedługo, hyhy).

@ulises: snat nie jest potrzebny? Zdaje się, że gdzieś widziałem to podejście, ale ktoś na redicie narzekał, że nie

[wypokowy_expert]

ale UPC nie pozwala na przekierowanie portu 25 (bez tego nic nie chce ze mną gadać). Jedyna moja opcja to odblokowanie DMZ

@RRybak: a próbowałeś? Operatorzy blokują 25 ze względu na rozsyłanie spamu, dopóki nie wykupisz profesjonalnego łącza to nawet dmz nie pomoże.

[RRybak]

@wypokowy_expert: tak, na DMZ sprawdziłem i port jest widoczny z zewnątrz przez domenę. Blokują to tylko w trybie forwardu portów. Inaczej bym nie ciągnął tej batalii.

[RRybak]

@ulises: nom, sprawdziłem - przechodzi, ale adres jest z "jump hosta". Logi się świecą z lokalnym IP 192.168.x.x (ten system z iptables), a nie z zewnętrznym

[ulises]

@RRybak: a ustawiłeś dmza?

[ulises]

@RRybak: w sumie może faktycznie jest tak jak mówisz, mi to nigdy nie przeszkadzało w sumie, ale w kilku serwisach trzeba było ustawiać trusted proxy

[RRybak]

@ulises: no tak, dmz wbija, na serwerze z iptables przekierowanie jak podałeś powyżej (wydaje się, że drugi interfejs jest w ogóle niepotrzebny), ale serwer pocztowy widzi połączenie ze 192.168.0.200 - i z bani próbuje to przepuszczać przez RBL :D

[RRybak]

@RRybak: no na http to są jakieś proxy,reverse proxy - da się to ogarnąć. Przy innych zastosowaniach typu postfix, to się pogubiłem :/

[ulises]

@RRybak: revers proxy to torche do czego innego, jak np chcesz schować jeden http serwer na specyficznym porcie za innym, np jakis hass, nextcloud itd

[RRybak]

@ulises: dobra - przyszły maile z WP zaległe. Testery pokazują, że reverse dns działa, ale banner się z ptr nie zgadza, hyhy/
No dobra, coś się przebija, spróbuję z tą maskaradą pokombinować. Jakby mi się jeszcze udało przenieść adres z zewnątrz, to byłbym w domu.

[RRybak]

@ulises: oczywiście dzięki póki co! Niepotrzebnie chyba z dwoma kartami kombinowałem.

[SamaSame]

Proxmox mail gateway powinno rozwiązać problem.