[postfix-es] problema con servidor de correo y 2 líneas ADSL

[Federico Alberto Sayd]

ESGLinux escribió:
> Buenos días, 
>
> A raiz de un post que hice en esta lista sobre como tener el servidor 
> de correo respondiendo con 2 ips distintas (por cierto, ya configuré 
> el DNS como me indicaste y funciona like a charm como dirian los 
> ingleses) me ha surgido el siguiente problema:
>
> Yo tengo un servidor linux que hace de gateway de la LAN conectados a 
> las 2 líneas de ADSL. Mediante NAT envío todo el tráfico que me llega 
> por cada uno de los interfaces al servidor de correo que está dentro 
> de la red.
>
> Esto lo hago de la siguiente manera:
>
> iptables -A PREROUTING -i eth1 -p tcp -m tcp --dport 25 -j DNAT 
> --to-destination 192.168.1.200:25 <http://192.168.1.200:25>
> iptables -A PREROUTING -i eth2 -p tcp -m tcp --dport 25 -j DNAT 
> --to-destination 192.168.1.200:25 <http://192.168.1.200:25>
>
> La cuestión es que cuando el tráfico entra por la ip de eth1 
> (correspondiente al proveedor 1 que siempre ha funcionado) todo 
> funciona correctamente. El problema es que cuando entro por la ip de 
> eth2 (correspondiente al proveedor 2) veo, con tcpdump, que el tráfico 
> llega al servidor de correo pero luego la respuesta se pierde. 
>
> Yo creo que el problema está en que el default gw del servidor es eth1:
> Kernel IP routing table
> Destination     Gateway         Genmask         Flags Metric Ref   
>  Use Iface
> .....
> 0.0.0.0         192.168.2.1           0.0.0.0            UG    0     
>  0        0 eth1
>
> Si el problema es ese, que no estoy seguro al 100%, como puedo hacer 
> para que el tráfico que entra por una interfaz, la respuesta salga por 
> ese mismo interfaz?
>
> Un saludo y gracias por vuestra ayuda, 
>
> ESG
> ------------------------------------------------------------------------
>
> _______________________________________________
> List de correo postfix-es para tratar temas del MTA postfix en español
> postfix-es en lists.wl0.org
> http://lists.wl0.org/mailman/listinfo/postfix-es
Por lo que veo (puedo estar equivocado)

El DNAT de iptables solo reescribe la dirección de destino y no la de 
origen, por lo tanto la ip de origen debe seguir siendo una ip pública 
de algún server smtp afurea en Internet. Cuando el paquete llega luego 
de la reescritura NAT tiene que volver y como debe volver a Internet 
utiliza por defecto el default gateway que está fijado a 192.168.2.1 
(eth1). Pero si la conexión se realizó a la ip pública que natea a eth2 
la conexión se corta porque es inconsistente. Deberías lograr que cuando 
entre un paquete por eth1 devuelva la respuesta por eth1 y que cuando 
entre por eth2 lo devuelva por eth2. Para ello me imagino que deberías 
utilizar marcado de paquetes con conecction tracking e iproute2.

Saludos