메일서비스 허용을 위한 iptables 필터링 규칙 설정

② A 유저가 작성한 메일을 smtp.xyz.co.kr에서 허용하기

$IPTABLES -A INPUT -p tcp ! --sport 0:1023 --dport 25 -m state --state NEW -j ACCEPT

$IPTABLES -A OUTPUT -p tcp --sprot 25 --dport 1024: -m state --state ESTABLISHED -j ACCEPT

A유저 1024: ------------------>25 smtp.xyz.co.kr

       1024: <----------------- 25

첫 번째 룰은 smtp.xyz.co.kr 입장에서 위의 (1)번 절차를 생각하면 된다.

A 유저가 소스 포트로 1024 이후의 임의의 포트이면서 목적지 포트는 SMTP인 25번 포트로의 접속 시도 패킷을 허용하였다.

이때 서버의 상태추적 메모리에는 이와 관련된 패킷이 없이 첫 tcp 접속 요청이므로 상태는 NEW가 된다.

물론 접속 요청 패킷이므로 --syn이 추가되면 좀 더 구체적인 룰이 될 것이다.

여기에서 소스 포트를 0:1023이 아니라고 하였으므로(! --sport 0:1023) 1024이후의 포트라는 말, 즉 1024:65535와 같은 의미가 된다.

그리고 두 번째 룰에서는 이에 대한 응답으로 소스 포트가 25가 되고 목적지 포트는 INPUT 룰의 소스 포트인 1024이후의 포트가 되며 상태는 요청에 대한 응답이므로 ESTABLISHED가 된다.

다음은 이의 프로세스를 tcpdump로 잡은 것을 보여주고 있다.

13:50:47.296585 eth0 < client.com.55951 > smtp.xyz.co.kr.smtp: S 3147867426:3147867426(0) win 5840 <mss 1460> (DF) [tos 0x10]

13:50:47.296849 eth0 > smtp.xyz.co.kr.smtp > client.com.55951: S 3147831648:3147831648(0) ack 3147867427 win 5840 <mss 1460> (DF)

③ 다른 메일 서버로 나가는 메일 허용

$IPTABLES -A OUTPUT -p tcp --sport 1024: --dport 25 -m state --state NEW -j ACCEPT

$IPTABLES -A INPUT -p tcp ! --syn --sport 25 ! --dport 0:1023 -m state --state ESTABLISHED -j ACCEPT

smtp.xyz.co.kr 1024: ------------------>25 mail.abc.co.kr

                 1024: <----------------- 25

이번에는 smtp.xyz.co.kr 서버 입장에서 서버의 큐에 임시로 저장된 메일을 다른 외부 서버로 보낼 때의 프로세스를 생각해 보자. 즉 (2)번 절차를 생각해 보면 된다.

이때에는 smtp.xyz.co.kr 서버가 클라이언트 입장이 되므로 소스포트는 1024 이후의 포트가 되고 다른 서버(mail.abc.co.kr)의 25번 포트로 접속을 시도하게 된다.

상태추적 관점에서 (1)번 프로세스는 소스 및 목적지 정보가 다르므로 (2)번 프로세스와 아무런 관련이 없는 별개의 첫 시도이고 기존의 상태 추적 테이블에 이 프로세스와 관련된 접속이 없으므로 NEW가 된다.

그리고 이에 대한 응답이므로 SYN이 아니고(! --syn) 소스 포트는 25이며 목적지 포트는 OUTPUT의 소스포트인 1024 이후의 포트인 inbound 트래픽을 허용하여야 한다.

기존의 연결에 대한 응답이므로 상태는 NEW가 아니라 ESTABLISHED가 된다.

13:52:39.086239 eth0 > smtp.xyz.co.kr.56901 > mail.abc.co.kr.smtp: S 3262148232:3262148232(0) win 5840 <mss 1460> (DF) [tos 0x10]

13:52:39.086455 eth0 < mail.abc.co.kr.smtp > smtp.xyz.co.kr.56901: S 3290482349:3290482349(0) ack 3262148233 win 5840 <mss 1460> (DF)

이 역시 내부에서 외부로 나가는 트래픽이므로 ESTABLISHED가 허용되고 있고 OUTPUT의 기본정책이 허용되어 있다면 별도로 언급하지 않아도 허용된다.

$IPTABLES -A INPUT -p TCP --sport 1024: --dport 110 -m state --state NEW -j ACCEPT

$IPTABLES -A OUTPUT -p TCP ! --syn --sport 110 --dport 1024: -m state --state ESTABLISHED -j ACCEPT