iptables não parece bloquear e-mails de saída

Question 1

Não sei se você também tem IPv6 nesta caixa? Nesse caso, o exim tentará enviar por IPv6 por padrão, antes de voltar para IPv4. Mas acho que o problema aqui não é o iptables em si, mas a forma como esses domínios são tratados e consultados. É quase impossível filtrar com base no endereço IP, pois as empresas maiores têm vários truques de roteamento e BGP para diminuir a latência e como o tráfego é roteado para seus domínios.

Em vez disso, sugiro que você configure o exim4 para enviar e-mails apenas para seus domínios de saída permitidos e, em seguida, passe para qualquer outro lugar, talvez algo como isto:Bloqueando e-mails enviados para alguns usuários no exim

Answer

Não sei se você também tem IPv6 nesta caixa? Nesse caso, o exim tentará enviar por IPv6 por padrão, antes de voltar para IPv4. Mas acho que o problema aqui não é o iptables em si, mas a forma como esses domínios são tratados e consultados. É quase impossível filtrar com base no endereço IP, pois as empresas maiores têm vários truques de roteamento e BGP para diminuir a latência e como o tráfego é roteado para seus domínios.

Em vez disso, sugiro que você configure o exim4 para enviar e-mails apenas para seus domínios de saída permitidos e, em seguida, passe para qualquer outro lugar, talvez algo como isto:Bloqueando e-mails enviados para alguns usuários no exim

Question 2

Acho que sua ideia geral de como fazer isso está errada. Esses assuntos normalmente enchem livros, mas tentarei explicar brevemente:

Você provavelmente presume que o servidor de e-mail domain.comestá no mesmo endereço IP que domain.comele. Embora isso acidentalmente possa ser verdade em alguns (ou mesmo em muitos) casos, não é verdade em geral.

Em vez disso, existem entradas nos registros DNS de um domínio que determinam qual servidor (endereço IP) trata o correio do domínio. Você já deve ter visto registros DNS como este:

domain.com.        1H MX 50    mail.domain.com
domain.com.        1H IN A     2.3.4.5
mail.domain.com    1H IN A     1.2.3.4

Isso significa que o servidor de e-mail (por exemplo, mail.domain.com) domain.compode estar em um endereço IP diferente domain.comdele.

Agora, se você enviar e-mail do seu programa de software de e-mail (também chamado de MUA - mail user agent), o MUA entrega a mensagem ao Exim. Quando o Exim tenta retransmitir a mensagem para o destinatário, ele primeiro procura o servidor de e-mail que tratará o e-mail do domínio do destinatário e, em seguida, tenta se conectar a esse servidor e entregar a mensagem lá.

Isso significa queseu método pode até impedir que você enviequalquere-mail.Suponha domain.comque resolva para 1.1.1.1, mas o servidor de e-mail domain.comesteja em (ou resolva) para 2.2.2.2. Como seu firewall permite a passagem de tráfego apenas para 1.1.1.1, você não pode enviar nenhum e-mail nem para domain.com, porque o e-mail para domain.comteria que ser entregue para 2.2.2.2.

Este é apenas um dos vários motivos pelos quais você não deve usar o firewall para atingir seu objetivo. Como disse @Fredrik Lundhag, você deve configurar o Exim adequadamente.

Answer