Help with the smtp server, why are there timeouts when sending a letter?

проебали, бля где щее

Omg228Omg да, если swaks завис на

=== Trying mail.radarhack.sbs:587...

Code

=== Trying mail.radarhack.sbs:587...

и дальше нет ни

Connected

Code

Connected

, ни баннера

220

Code

220

, то это как раз похоже, что порт теперь фильтруется и соединение ****ается.

То есть скорее всего да — закрыто.

Но есть нюанс:


DROP = клиент обычно просто ждёт timeout
REJECT = клиент сразу получает отказ


У тебя стоит именно DROP:

iptables -A INPUT -p tcp --dport 587 -j DROP
iptables -A INPUT -p tcp --dport 465 -j DROP

Code

iptables -A INPUT -p tcp --dport 587 -j DROP

iptables -A INPUT -p tcp --dport 465 -j DROP

Поэтому то, что swaks просто висит на

Trying

Code

Trying

, — нормально для DROP.

Как убедиться на 100%:

С другой машины проверь:

nc -vz -w 5 mail.radarhack.sbs 587
nc -vz -w 5 mail.radarhack.sbs 465

Code

nc -vz -w 5 mail.radarhack.sbs 587

nc -vz -w 5 mail.radarhack.sbs 465

Если порт ****ается, будет что-то типа timeout.

Если хочешь не ждать таймауты, а чтобы клиентам сразу говорило "закрыто", лучше использовать REJECT вместо DROP:

iptables -R INPUT 1 -p tcp --dport 587 -j REJECT
iptables -R INPUT 2 -p tcp --dport 465 -j REJECT

Code

iptables -R INPUT 1 -p tcp --dport 587 -j REJECT

iptables -R INPUT 2 -p tcp --dport 465 -j REJECT

Тогда проверка будет быстрее и понятнее.

Но есть ещё важный момент:
по твоему выводу счётчики у правил нулевые:

pkts bytes target ...
0 0 DROP tcp ... dpt:587
0 0 DROP tcp ... dpt:465

Code

pkts bytes target ...

0    0 DROP tcp ... dpt:587

0    0 DROP tcp ... dpt:465

Это значит, что через эти правила пока не прошло ни одного IPv4-пакета.
То есть возможно:


ты проверяешь не снаружи, а как-то локально
используется IPv6, а ты закрыл только IPv4
трафик идёт через другой firewall/backend


Вот это очень вероятно. Поэтому проверь ещё IPv6:

ip6tables -L -v -n
getent ahosts mail.radarhack.sbs

Code

ip6tables -L -v -n

getent ahosts mail.radarhack.sbs

Если у домена есть AAAA-запись, клиент может ходить по IPv6, а твой

iptables

Code

iptables

его не режет.

Тогда надо ещё:
[CODE]
ip6tables -A INPUT -p tcp --dport 587 -j DROP
ip6tables -A INPUT -p tcp --dport 465 -j DROP
ip6tables-save > /etc/iptables/rules.v6
[/CODE]Идеально ещё проверить, слушает ли сам Postfix эти порты:
[CODE]
ss -ltnp | egrep ':587|:465'
[/CODE]Если слушает — сервис живой, просто фаервол режет.
Если не слушает — значит можно ещё и в [CODE]master.cf[/CODE] отключить submission/smtps.

Итог:


по поведению swaks — да, похоже порт закрыт
то, что он просто висит, — нормально для DROP
но нулевые счётчики намекают, что надо ещё проверить IPv6


Если хочешь, я тебе сейчас дам один готовый набор команд, который сразу покажет: 587/465 закрыты по IPv4 и IPv6 или нет.

ChatGPT, а если я отключу и 25 порт то все ок с отправкой будет или я хуже сделаю

Omg228Omg если отключишь входящий 25 порт, то отправлять с твоего сервера наружу ты всё ещё сможешь — если у хостера не заблокирован исходящий 25.

Но ты сильно ухудшишь приём почты:


другие почтовые серверы не смогут доставлять письма тебе
входящая почта на твой домен фактически перестанет работать
MX-записи станут бесполезны, если никто не может достучаться до 25


Надо разделять:


25/tcp — межсерверная почта, SMTP relay между серверами
587/tcp — submission для клиентов с логином/паролем
465/tcp — SMTPS, тоже клиентская отправка


Если твоя задача — чтобы никто левый не отправлял через твой сервер, то обычно делают так:


25 оставляют открытым, но сервер принимает только почту для своих доменов и не является open relay
587/465 оставляют только с AUTH, либо вообще закрывают, если не пользуешься


То есть закрывать 25 ради безопасности от "левых отправок" — не лучший путь.
Лучше правильно настроить Postfix:

smtpd_relay_restrictions = permit_mynetworks, permit_sasl_authenticated, defer_unauth_destination

Code

smtpd_relay_restrictions = permit_mynetworks, permit_sasl_authenticated, defer_unauth_destination

И проверить, что ты не open relay.

Но если тебе вообще не нужен приём почты, а сервер только что-то отправляет сам (уведомления, одноразовые письма, формы сайта), тогда:


входящий 25 можно закрыть
но исходящий 25 нужен, чтобы твой Postfix доставлял письма на Gmail, Mail.ru и т.д.


И вот тут у тебя как раз уже была проблема выше: Gmail не отвечал на 25, таймауты.
Это обычно значит:


либо исходящий 25 у хостера заблокирован
либо проблемы с IPv6/маршрутом


Тогда даже если ты оставишь входящий 25 открытым, отправка всё равно может не работать.

Коротко:


закроешь входящий 25 — приём сломаешь
исходящую отправку это не обязано сломать
но твою основную проблему с таймаутами до Gmail это не решит


Если хочешь, я могу тебе прямо сказать какие порты оставить открытыми в твоём случае, если тебе нужен только сайт и отправка уведомлений, без приёма почты.

Squirtle,
IP-адрес
айпи
Закрытые порты
25
Открытые порты

Omg228Omg, ну дак порт закрыт пиши в саппорт что бы открыли

Squirtle, ок уже написал давно жду значит