iptables scheint ausgehende E-Mails nicht zu blockieren

Question 1

Ich weiß nicht, ob Sie auf dieser Box auch IPv6 haben? Wenn ja, versucht exim standardmäßig, über IPv6 zu senden, bevor es auf IPv4 zurückgreift. Aber ich denke, das Problem liegt hier nicht bei iptables an sich, sondern in der Art und Weise, wie diese Domänen gehandhabt und nachgeschlagen werden. Es ist fast unmöglich, basierend auf der IP-Adresse zu filtern, da größere Unternehmen verschiedene Routing- und BGP-Tricks haben, um die Latenz zu verringern und den Datenverkehr an ihre Domänen zu leiten.

Ich würde stattdessen vorschlagen, dass Sie exim4 so konfigurieren, dass E-Mails nur an die von Ihnen zugelassenen ausgehenden Domänen gesendet werden und dann auf andere Domänen umgeschaltet wird, möglicherweise mit etwas wie Folgendem:Blockieren ausgehender E-Mails an einige Benutzer in Exim

Answer

Ich weiß nicht, ob Sie auf dieser Box auch IPv6 haben? Wenn ja, versucht exim standardmäßig, über IPv6 zu senden, bevor es auf IPv4 zurückgreift. Aber ich denke, das Problem liegt hier nicht bei iptables an sich, sondern in der Art und Weise, wie diese Domänen gehandhabt und nachgeschlagen werden. Es ist fast unmöglich, basierend auf der IP-Adresse zu filtern, da größere Unternehmen verschiedene Routing- und BGP-Tricks haben, um die Latenz zu verringern und den Datenverkehr an ihre Domänen zu leiten.

Ich würde stattdessen vorschlagen, dass Sie exim4 so konfigurieren, dass E-Mails nur an die von Ihnen zugelassenen ausgehenden Domänen gesendet werden und dann auf andere Domänen umgeschaltet wird, möglicherweise mit etwas wie Folgendem:Blockieren ausgehender E-Mails an einige Benutzer in Exim

Question 2

Ich denke, Ihre allgemeine Vorstellung davon, wie das zu tun ist, ist falsch. Solche Themen füllen normalerweise Bücher, aber ich werde versuchen, es kurz zu erklären:

Sie gehen wahrscheinlich davon aus, dass der Mailserver domain.comdieselbe IP-Adresse hat wie domain.comSie selbst. Dies mag zwar in einigen (oder sogar vielen) Fällen zufällig zutreffen, ist aber im Allgemeinen nicht der Fall.

Vielmehr gibt es Einträge in den DNS-Einträgen einer Domäne, die bestimmen, welcher Server (IP-Adresse) E-Mails für die Domäne verarbeitet. Möglicherweise haben Sie bereits DNS-Einträge wie diesen gesehen:

domain.com.        1H MX 50    mail.domain.com
domain.com.        1H IN A     2.3.4.5
mail.domain.com    1H IN A     1.2.3.4

Dies bedeutet, dass der Mailserver (z. B. mail.domain.com) domain.comeine andere IP-Adresse haben könnte als domain.comer selbst.

Wenn Sie nun eine E-Mail von Ihrem E-Mail-Programm (auch MUA - Mail User Agent genannt) senden, übermittelt der MUA die Nachricht an Exim. Wenn Exim versucht, die Nachricht an den Empfänger weiterzuleiten, sucht es zuerst den Mailserver, der die E-Mails für die Domäne des Empfängers verarbeitet, und versucht dann, eine Verbindung zu diesem Server herzustellen und die Nachricht dorthin zu übermitteln.

Das bedeutet, dassIhre Methode könnte Sie sogar am Senden hindernbeliebigEmail.Angenommen , domain.comwird in aufgelöst 1.1.1.1, aber der Mailserver von domain.combefindet sich in (oder wird in aufgelöst) 2.2.2.2. Da Ihre Firewall nur Datenverkehr an durchlässt 1.1.1.1, können Sie keine E-Mails an senden, nicht einmal an domain.com, da E-Mails an domain.coman zugestellt werden müssten 2.2.2.2.

Dies ist nur einer von mehreren Gründen, warum Sie die Firewall nicht verwenden sollten, um Ihr Ziel zu erreichen. Wie @Fredrik Lundhag sagte, sollten Sie stattdessen Exim entsprechend konfigurieren.

Answer