[plamo:24146] Re: メールサーバー用のiptablesの設定

[OOSATO,Kazzrou]

大里です。

> From: naomijj@hi-ho.ne.jp
> Subject: [plamo:24140] メールサーバー用のiptablesの設定
> Date: Thu, 18 Nov 2004 09:12:20 +0900

> メールサーバーを構築しています。
> 今、メールサーバー自身でiptablesにより、
> ルーターだけでなく接続ポートを絞ろうとしようとしています。
> 
> メールサーバー自身では、DNS 53 ポートは開けておく必要が有りますでしょうか？

  通常の DNS 問い合わせでは、クライアントはランダムな非特権ポート
(1024 以上)から問い合わせを出します。したがってスタブリゾルバが外
部 DNS を参照している限りにおいては自ホストの 53/tcp, 53/udp は使
いません。

  しかし、DNS 独特の挙動として、そのホスト自身で自分自身のために
forwarders を使う場合、ようするに効率アップのためにキャッシング
サーバを抱え込んだ場合などには、 BIND はクライアントとしての動作
をする場合であっても port 53 から port 53 に向けて問い合わせを出
すことがあります。
  そういう場合にかぎり、外向けには NEW, ESTABLISHED を、内向けに
は ESTABLISHED なパケットを通す必要があるかも知れません。

-- 
  kazz