Решено: разрешить доступ к почтовику с одного IP снаружи

[demsl]

имеется postfix на freebsd (систему ставил не я); в mynetworks, естественно, только локалка.
сейчас нужно дать удалённо работающему сотруднику возможность слать через этот почтовик.
добавление его айпишника в mynetworks и перезапуск почтовика решат вопрос, или необходимо правило в файерволе? (просто сейчас в файере из явных правил касаемо почты увидел только заворачивание на себя исходящего траффика по 25 порту).

[patrius]

разрешение трафика вида "сотрудник" -> "почтовик" в INPUT & OUTPUT цепочках iptables обязателен.
Единственное, рекомендую внимательно посмотреть на используемые при работе порты.

[demsl]

patrius , freebsd, там не iptables, с ними бы я разобрался...

[IMB]

Откройте доступ снаружи на SMTP(25), а лучше на SSMTP(465), порт и пропишите возможность слать с не mynetwork после авторизации.

[demsl]

allow tcp from IP.IP.IP.IP to dst-port 25 in via (внешняя сетевуха) - так во freebsd, или я где-то ошибся?
возможность слать с не mynetwork после авторизации - как это реализовать?

[IMB]

allow tcp from IP.IP.IP.IP to dst-port 25 in via (внешняя сетевуха) - так во freebsd, или я где-то ошибся?

Этого я Вам не подскажу, не использую FreeBSD. Да и насколько мне известно в ней есть несколько фаерволов и синтаксис у них различается.
Но я бы просто открыл доступ, без ограничения по источнику, завтра ещё кому то понадобится или у этого товарища сменится адрес.

возможность слать с не mynetwork после авторизации - как это реализовать?

Это вопрос к Postfix, посмотрите, например, здесь http://postfix.state-of-mind.de/patrick.koetter/smtpauth/ и не забудьте заглянуть сюда http://www.postfix.org/documentation.html

[demsl]

Но я бы просто открыл доступ, без ограничения по источнику, завтра ещё кому то понадобится или у этого товарища сменится адрес.

и стал опен релеем)))



подскажите плз, кто сталкивался с сабжем

[IMB]

Но я бы просто открыл доступ, без ограничения по источнику, завтра ещё кому то понадобится или у этого товарища сменится адрес.

и стал опен релеем)))

С чего это? Вы же разрешите отыслать через свой сервер только из доверенной сети и после авторизации, откуда возьмётся открытый релей?

[Ленивая Бестолочь]

конечно понимаю, что совет из серии "сменить пол", но может быть одному юзеру выдать впн и хватит с него?
меньше сервисов наружу торчать будет.

[demsl]

всем спасибо, решилось просто добавлением в mynetworks

[patrius]

всем спасибо, решилось просто добавлением в mynetworks

без этого шага у вас бы ничего не получилось. из первого поста я заключил, что вы как раз это уже выполнили.
в нетфилтре FreeBSD наверняка есть цепочки вида "INPUT" & "OUTPUT".

Ленивая Бестолоч..., дело говорит. VPN решает проблему идентификации пользователя без привязки оного к белой статике.

Как уже упоминал IMB, работа с почтовиком сосотоит не только из отправки (SMTP), но из получения (POP,IMAP). В случаях защищенного и не защищенного соединений порты могут отличаться.

Подводя итог: Упомянутого пользователя рекомендуется пересадить на VPN, и приравнять VPN-Lan к mynetworks, что в последствии упростит не только администрирование, но и повысит уровень безопасности.

P.S.: я с FreeBSD не работал, поэтому очень точно как именно сделать не знаю.