iptables端口转发后不能收邮件

platinum

原帖由 "lnx" 发表：

没有啊，各自是分开的。
内部所有用户的网关都是192.168.0.1
mailsrv和测试机器的网关才是192.168.0.2

你还是画个图吧
我不知道你说的.2那个到底是MAILSERVER了，还是网关了
也不明白MAILSERVER的网关为什么要设成.2了

lnx

原帖由 "unixli" 发表：
是正常的，因你的mailsrv指定的DNS是公网的，而我的规则没定义从内网到你公网IP的转发。你可以加一个内网进eth0到公网IP的转发规则。或者你直接用192.168.0.3访问你的mailsrv服务器。
你其它从192.168.0.1出口出去?.........

谢谢！
我本来就是想这样做的，其它分公司的访问从公网进来，而我们内部就直接通过我们的内部的DNS访问；

另外想问下：我这样做后，FW会不会因为访问的人过多而当掉（不计我们内部的访问人数，单是分公司的都会有500到700左右个用户且我们的邮件服务器是通过WEB来访问的）？
注：FW我准备找一台P41.7G、256RAM、40GHD的联想机器来担当（公司的机器都是联想的）

unixli

你的FW的配置基本够用了，它主要是做一个转发。不过最好能用一些好点的网卡，比如3COM、INTEL的。现在问题是你的公网带宽够不够？还有你的mailsrv服务器是不是专用的服务器？

platinum

[quote="lnx"]
FW我准备找一台P41.7G、256RAM、40GHD的联想机器来担当[quote]
根本没必要！
PII-500MHz的机器，256MRAM，10G硬盘足够了！

unixli

如你192.168.0.1出口用的是硬件防火墙，最好把软件FW去了，直接用它做出口。毕竟公司安全还是比较重要的！
不知你的另一公网出口是不是硬件防火墙？

lnx

原帖由 "platinum" 发表：

你还是画个图吧
我不知道你说的.2那个到底是MAILSERVER了，还是网关了
也不明白MAILSERVER的网关为什么要设成.2了

图如下面所示：（说明，这只是说明问题，并不是实际上的，实际上我利用掩码进行了划分的，还有包括WEB、FTP及对应的防火墙（sonicwal）没画上）
＝＝＝＝
原来论坛不允许上传.png图片的

lnx

原帖由 "unixli" 发表：
如你192.168.0.1出口用的是硬件防火墙，最好把软件FW去了，直接用它做出口。毕竟公司安全还是比较重要的！
不知你的另一公网出口是不是硬件防火墙？

那硬件防火墙性能不大好，对于WEB和FTP都够呛的了，所以MAIL的我考虑用LINUX做，到时规则一条条加吧，另外，MAIL服务器是专用的，不过也不大好，只是联想的T200，至于带宽肯定够的，用的是10M 光纤拉进来的。

白金说

1. PII-500MHz的机器，256MRAM，10G硬盘足够了！

复制代码

太差了点吧？虽然说只是转发，但也有一定的访问数量的

unixli

FW的端口画错了吧，有两个eth1了。
不够用时你再申请换服务器！

platinum

TO lnx:
1、你的图我没看懂，FW两个都是eth1？
2、GW的eth0和eth1是两个连INTERNET的路由吗？
3、用户访问MAILSERVER，是从哪边进来？
4、你们的FW不连GW吗？那样的话，FW的作用是什么？
5、MAILSERVER从哪出去？直接走GW还是FW？

总体感觉：设备冗余，线路繁乱，设计不太合理

lnx

原帖由 "platinum" 发表：
TO lnx:
1、你的图我没看懂，FW两个都是eth1？
2、GW的eth0和eth1是两个连INTERNET的路由吗？
3、用户访问MAILSERVER，是从哪边进来？
4、你们的FW不连GW吗？那样的话，FW的作用是什么？
5、MAILSERVER从哪出去..........

不好意思，匆忙画的，有些地方画错了
1、FW连接internet的是eth1，接mailsrv的是eth0
2、GW的eth0接internet，eth1接的是内部交换机，eth2是接mailsrv的网段（进行过VLAN划分的）
3、内部访问mailsrv是从GW的eth2出去
4、FW与GW二机之间进行连接，但二个网段之间不进行连接的，因为二个事实上不处于同一段内的，FW主要作用就是我们前面讨论的内容，作mailsrv的转发。
5、mailsrv有二快网卡，是从FW出去的

以上只是由于我用的都是192.168.0.1-192.168.1.254段，所以造成大家的误会，如果我分开写就会好些了（比如FW这边我用172.16.0.0，但我事实上用的是192.168.0.0段，掩码用的是255.255.254.0，但整个网络经过VLAN划分的。大家可以不必在于我的网络 ）