iptables端口转发后不能收邮件

lnx

mailsrv-ip:192.168.0.3
fw-ip:211.162.xxx.xxx(eth1)  192.168.0.1(eth0)
====做简单的端口转发＝＝＝
/sbin/modprobe ip_tables
/sbin/modprobe iptable_filter
/sbin/modprobe iptable_nat
/sbin/modprobe ip_conntrack
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp

echo 1 >; /proc/sys/net/ipv4/ip_forward

/sbin/iptables -t nat -A PREROUTING -d 211.162.xxx.xxx -p tcp --dport 80 -j DNAT --to 192.168.0.3
/sbin/iptables -t nat -A POSTROUTING -d 192.168.0.3 -p tcp --dport 80  -j SNAT --to 192.168.0.1

/sbin/iptables -I FORWARD -p tcp -d 192.168.0.3 --dport 110 -j ACCEPT
/sbin/iptables -I FORWARD -p tcp -d 192.168.0.3 --dport 25 -j ACCEPT

之后，邮件可以正常发送出去，但没法接收邮件；去掉端口转发后就正常。
一直搞不明白，请大家帮个忙，谢谢！

platinum

晕！！！
竟然这样！！！！！！！
真的不敢相信！！！！！！！！！！！！！

lnx

原帖由 "platinum" 发表：
只做iptables+squid，没人动，124天后死机过？！
不敢相信！！！

这是真的
大概在于120天左右用过uptime看过1次，再过几天后突然整个内部网络不能外出；想用SSH也没法连接，就跑去看，当时记得整个屏幕都有很多字符，按什么键（键盘上的）都没反应而为了尽快恢复网络就不多快直接按reset了，reset后就正常了；
后来看日志时，里面大概说什么冲突、什么quota之类的（不大记得太多了 ），cache也就只有7g多，我设的是10g的，反正看不出是哪里出的问题，就清空了cache继续使用到今（又有二个多月了吧）

platinum

只做iptables+squid，没人动，124天后死机过？！
不敢相信！！！

lnx

[quote]原帖由 "lyking"]楼主是不是为了做试验，又不影响用户对网络的访问才这样结？[/quote 发表：

测试时是这样，但测试好后我应该也会这么做的，今天在准备弄一台debian，想了想还是用RH，毕竟对RH熟悉些（HOHO，为了安全起见，应该所有服务都不会安装的，就只做端口转发，我对LINUX安全不大熟悉 ，看了些高手写的LINUX安全配置，感觉出了问题自己都不会处理了 ）

lnx

原帖由 "platinum" 发表：
你的GW配置有问题
CPU states: 0.4% user, 0.6% system, 0.0% nice, 0.4% idle
这个可能吗？3个加起来一共不到1%，你其他99%去哪了？

在网关上
netstat -lnp
然后贴出来看看

1. CPU states: 0.4% user, 0.6% system, 0.0% nice, 0.4% idle

复制代码

这个是随机突变的，由于我刚才一运行top命令后就CP了，所以“0.4%idele”不大准确吧，过一段时间后会慢慢恢复，大概在于90几吧；不过我计算过，无论怎么样也没有100％，总的最多才99.8％。不过GW确实当过机（当时运行了124days）
另，

1. netstat -lnp

复制代码

只是列出本机的监听端口、程序名、PId而已。我的GW只运行SQUID＋IPTABLES

lyking

楼主是不是为了做试验，又不影响用户对网络的访问才这样结？

platinum

你的GW配置有问题
CPU states: 0.4% user, 0.6% system, 0.0% nice, 0.4% idle
这个可能吗？3个加起来一共不到1%，你其他99%去哪了？

在网关上
netstat -lnp
然后贴出来看看

lnx

原帖由 "platinum" 发表：
现在看明白了
看你的网络，你把GW和FW合并不行吗？也不用那么费事了

合并怕影响性能啊，我那GW只128RAM，每次用top看时：
CPU states:  0.4% user,  0.6% system,  0.0% nice,  0.4% idle
Mem:   125108K av,  123836K used,    1272K free,       0K shrd,    8312K buff
Swap: 1020116K av,   17884K used, 1002232K free                   55408K cached
所以GW根本承受不起啊。
其实主要目的还是为了安全点，不让mailsrv直接对外（公司目前来说不会再购买第二台硬件FW的，原来那台简直是根鸡肋）

platinum

现在看明白了
其实你这么做的目的在于你的MAILSERVER和OFFICE网络不在一个网段

用户可以到外面绕一圈到MAILSERVER上，但这样就慢了，而且多此一举
于是你就这样连了是吧：）

看你的网络，你把GW和FW合并不行吗？也不用那么费事了