iptables端口转发后不能收邮件

lnx

mailsrv-ip:192.168.0.3
fw-ip:211.162.xxx.xxx(eth1)  192.168.0.1(eth0)
====做简单的端口转发＝＝＝
/sbin/modprobe ip_tables
/sbin/modprobe iptable_filter
/sbin/modprobe iptable_nat
/sbin/modprobe ip_conntrack
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp

echo 1 >; /proc/sys/net/ipv4/ip_forward

/sbin/iptables -t nat -A PREROUTING -d 211.162.xxx.xxx -p tcp --dport 80 -j DNAT --to 192.168.0.3
/sbin/iptables -t nat -A POSTROUTING -d 192.168.0.3 -p tcp --dport 80  -j SNAT --to 192.168.0.1

/sbin/iptables -I FORWARD -p tcp -d 192.168.0.3 --dport 110 -j ACCEPT
/sbin/iptables -I FORWARD -p tcp -d 192.168.0.3 --dport 25 -j ACCEPT

之后，邮件可以正常发送出去，但没法接收邮件；去掉端口转发后就正常。
一直搞不明白，请大家帮个忙，谢谢！

onlyf

是不是该加个对25和110的DNAT和SNAT，就像你对80端口的处理一样。

thinmonkey

/sbin/iptables -t nat -A POSTROUTING -d 192.168.0.3 -p tcp --dport 80 -j SNAT --to 192.168.0.1
改为
/sbin/iptables -t nat -A POSTROUTING -s 192.168.0.3 -p tcp --sport 80 -j SNAT --to 211.162.***.**

lnx

原帖由 "thinmonkey" 发表：
/sbin/iptables -t nat -A POSTROUTING -d 192.168.0.3 -p tcp --dport 80 -j SNAT --to 192.168.0.1
改为
/sbin/iptables -t nat -A POSTROUTING -s 192.168.0.3 -p tcp --sport 80 -j SNAT --to 211.162.***.**

这样也不行的，我试过。

TO onlyf
加25、110端口也一样不行

＝＝＝＝＝＝＝＝＝＝＝
有点烦这个，因为从外面进来的，所以不知道该FW阻离了什么。FW里面除了上面这个，不会有防火墙的

q1208c

加个MASQUERADE

thinmonkey

/sbin/modprobe ip_tables
/sbin/modprobe iptable_filter
/sbin/modprobe iptable_nat
/sbin/modprobe ip_conntrack
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp

echo 1 >; /proc/sys/net/ipv4/ip_forward

iptables -P FORWARD DROP

/sbin/iptables -t nat -A PREROUTING -d 211.162.xxx.xxx -j DNAT --to 192.168.0.3
/sbin/iptables -t nat -A POSTROUTING -s 192.168.0.3  -j SNAT --to 211.162.***.***

/sbin/iptables -I FORWARD -p tcp  --dport 110 -j ACCEPT
/sbin/iptables -I FORWARD -p tcp  --dport 25 -j ACCEPT
/sbin/iptables -I FORWARD -p tcp  --dport 80 -j ACCEPT

/sbin/iptables -I FORWARD -p tcp  --sport 25 -j ACCEPT
/sbin/iptables -I FORWARD -p tcp  --sport 110 -j ACCEPT
/sbin/iptables -I FORWARD -p tcp  --sport 80 -j ACCEPT

thinmonkey

要是不知道mailsev 用了些什么端口，可以在iptables中加个日志看看

lnx

[quote]原帖由 "thinmonkey"]要是不知道mailsev 用了些什么端口，可以在iptables中加个日志看看[/quote 发表：

mailsrv是一台Domino server for win,端口就80/21/25/110

1. /sbin/iptables -I FORWARD -p tcp --sport 25 -j ACCEPT

复制代码

这个有加上试过，当时加的是dport，sport就暂还没有试。

TO q1208c ，我觉得MASQUERADE好像不是必须的

q1208c

masquerade 当然不是必须的，因为你那两边全是内网，路由就行了，但你进入的包用了nat，出去不用当然是收不到信的。

lnx

[quote]原帖由 "q1208c"]masquerade 当然不是必须的，因为你那两边全是内网，路由就行了，但你进入的包用了nat，出去不用当然是收不到信的。[/quote 发表：

那我该怎么使用它？
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.0.3/24 -j MASQUERADE
这样吗？
好像我理解的MASQUERADE和SNAT不是这样子的