Blanket blocking SMTP com whitelist

Question

Portanto, usando um ambiente VPS, por meio do qual precisamos bloquear o SMTP de saída por padrão (spammers), com a capacidade de desbloquear quando necessário.

Encontramos alguns scripts, por exemplo:
iptables -I FORWARD 1 -d $ VPS_IP -p tcp -m tcp --dport 25 -j DROP
iptables -I FORWARD 1 -s $ VPS_IP -p tcp -m tcp --dportar 25 -j DROP

e
iptables -I FORWARD -p tcp --sport 25 -j DROP
iptables -I FORWARD -p tcp --dportar 25 -j DROP

No entanto, controlar o bloqueio através do primeiro conjunto é ineficiente, especialmente quando o intervalo de IPs pode estar mudando.

Então a questão é, se usarmos o conjunto 2 (bloco geral), como permitimos certos IPs? Eu estou supondo que precisamos adicionar algo para a cadeia de saída, no entanto, o bloco de cobertor não seria processado pela primeira vez? Ou, se acrescentarmos ao FORWARD, uma vez que eles estão mais abaixo na cadeia, o bloco geral não seria o primeiro? etc ..

O iptables -L se parece com:

[root@server ~]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
SOLUSVM_TRAFFIC_IN  all  --  anywhere             anywhere
SOLUSVM_TRAFFIC_OUT  all  --  anywhere             anywhere
       all  --  somedomain  anywhere
       all  --  anywhere             somedomain  

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Chain SOLUSVM_TRAFFIC_IN (1 references)
target     prot opt source               destination
       all  --  anywhere             somedomain  

Chain SOLUSVM_TRAFFIC_OUT (1 references)
target     prot opt source               destination
       all  --  somedomain    anywhere

Muito apreciado! (vai postar um trabalho em programadores para contratar ou algo assim se não for respondido)

    

Answer 1

É possível usar um comando de inserção para adicionar as regras antes das regras de bloqueio. No entanto, apenas 1 ou possivelmente 2 servidores devem enviar e-mail para a Internet. Se necessário, adicione regras de firewall nos seus hosts para permitir que apenas o servidor de email envie emails. Isso deve desativar os bots ou, pelo menos, fornecer a capacidade de registrar e rastrear o problema.

Recomendamos que você configure um servidor de e-mail de saída e bloqueie todos os outros servidores que enviam e-mails para a Internet. Use esse servidor de email como o MTA de saída (Mail Transfer Agent) para todos os hosts em sua rede. Configure-o corretamente com rDNS, SPF, etc. Domínios que não enviam e-mails devem ter registros SPF contendo uma política '-all'. Veja minhas anotações sobre Protegendo sua Reputação de E-mail com o SPF.

Configure seu servidor de e-mail para limitar quais domínios você enviará em nome de. Eu acho que os recursos de ACL do Exim funcionam bem para isso. Você também pode querer instalar regras de limite para evitar altos volumes de emails enviados.