[zorp-hu] Kezdjuk elolrol :)

[Kosa Attila]

On Thu, Jan 18, 2001 at 10:46:47AM +0100, Balazs Scheidler wrote:
> > Es ehhez kell egy ipchains is:
> > ipchains -A input -p tcp -i kartya -s belsohalo/cime -d smtp.cime 25 -j REDIRECT 2025
> 
> Nem muszaly REDIRECT-el jatszanod, ha DirectedChainer-t hasznalsz. Szimplan
> felhuzhatod a Zorp listener-jet a 25-os porton is. (persze ehhez szukseges a
> cap_net_bind_service capability, mert 1024 alatt van)

Azert gondoltam a REDIRECT-re, mert - elkepzelesem szerint -
az nem art, ha a tuzfalon is fut mail-szerver, de csak
lokalisan tovabbitja a levelet, nem fogad kulso kapcsolatokat
egyik labon sem. Ennek azert erzem szukseget, hogy a kulonbozo
cron, snort, stb. jobok eredmenyet megkapjam. Viszont, ha fut
egy mail-szerver a tuzfalon, az elfoglalja a 25-os portot.
Tehat elteszem onnan (doksiolvasas, hogy hogyan kell), vagy
REDIRECT :) Vagy a REDIRECT nelkul is fel tudom huzni a Zorp-ot
a 25-os portra, annak ellenre, hogy ott van a mail-szerver?

> Amugy jonak tunik, csak arra vigyazz, hogy a fenti modszerrel a belso mail
> szerver a tuzfal cimet fogja latni klienskent, ezert a relay control
> megszunik. Ha ezt el akarod kerulni, akkor be kell kapcsolnod a forge_addr
> parameteret a DirectedChainer-nek, igy:
> 
> DirectedChainer(SockAddrInet('ipcim', 25), forge_addr=1)

Erre talan nincs szukseg, ha nem a mail-szerver ellenorzi a
kliensek jogosultsagat, hanem a tuzfal nem engedi oda azt,
aki nem levelezhet.

> > Egy masik kerdesem az lenne, hogy az szerintetek rossz
> > elkepzeles-e, ha a tuzfalon nincs mail-szerver, hanem a
> > zorp dobja at az smtp kapcsolatokat a dmz-ben levo
> > szerverre?
> 
> mindegyiknek van elonye is, hatranya is.

Ujra nekifutok :) Mondjuk van mail-szerver, de csak lokalis
levelkuldest vegez. Es a Zorp csinalja az "atdobalast".
Olyan hatranya van-e ennek a felallasnak, ami a biztonsagot
komolyan veszelyezteti?

-- 
		Udvozlettel
				    Zsiga