Armadilloフォーラム

中村です。

> iptables -A INPUT -i eth0 -p tcp -d 0/0 --dport smtp -j ACCEPT
> とか
> iptables -A INPUT -i eth0 -p tcp -d 0/0 --dport smtps -j ACCEPT
> とかかな？

INPUTじゃなくてOUTPUTですよ。

SMTPで出ていけるようにするには、
iptables -A OUTPUT -i eth0 -p tcp -d 0/0 --dport smtp -j ACCEPT
とする必要があります。

今Armadilloを動かせるものが手元にないのでatmark-distの
ソース(makeした後のromfs/etcの下)を見て、以下を書いてます。

> セキュリティーのために1024以下のポートは制限がついてます。
>
> ACCEPT tcp -- anywhere anywhere tcp dpt:http
> ACCEPT tcp -- anywhere anywhere tcp dpt:telnet
> ACCEPT tcp -- anywhere anywhere tcp dpt:ftp
> ACCEPT tcp -- anywhere anywhere tcp dpt:snmp
> ACCEPT tcp -- anywhere anywhere tcp dpt:ssh
> ACCEPT tcp -- anywhere anywhere tcp dpt:ftp-data
>
> これ以外ははねられます。

これらはすべてINPUTフィルタです。

質問はArmadilloから外部のSMTPサーバへの接続問題ですよね？
つまりOUTPUTフィルタの問題です。

> こちらの設定は /etc/init.d/firewall で設定しています。

このスクリプトをよく見てください。
次のようになってます。

# default setting: deny everything
iptables -F INPUT
iptables -P INPUT DROP
iptables -F OUTPUT
iptables -P OUTPUT DROP

# allow all non-external interfaces for everything
iptables -A INPUT -i ! $EXT -j ACCEPT
iptables -A OUTPUT -o ! $EXT -j ACCEPT

ここで$EXTは"eth0"です。

ここまでのルールで、eth0以外はINPUTもOUTPUTも全て許可ですが、
（余談ですが、eth0以外は入出力全て許可でいいのか？私は疑問です）
eth0はデフォルトでINPUTもOUTPUTも全て非許可(DROP)です。
でもって、たとえば、
if [ "$ALLOW_HTTP" = "yes" ]; then
iptables -A INPUT -i $EXT -p tcp -d 0/0 --dport http -j ACCEPT
fi
のようにしてHTTPのINPUTを許可した結果、iptables -Lでみると
Chain INPUT (policy DROP)
ACCEPT tcp -- anywhere anywhere tcp dpt:http
こうなります。
（表示される一覧に表示される"Chain INPUT"のところも注意して
見てください。INPUTなのかOUTPUTなのか、です）

INPUTは/etc/firewallをみていろいろと許可するよになっていますが、
OUTPUTの許可設定は何もなく、デフォルトでdropにされたままです。
何も出ていけません。
iptables -L では
Chain OUTPUT (policy DROP)
となっているはずです。

デフォルトポリシーでDROPになってるので、個別に許可してあげる
必要があります。

考え方や運用環境によりますが、個別に許可するんじゃなくて、
OUTPUTはデフォルトポリシー許可してもいいと思います。
DebianとかCentOSとかは、たしかそうやっていたような。。。

--
なかむら

yashiさん、中村です。

> - man pageによれば、broadcast address へアクセスしようとすると EPERM
> が返ることがあると記述されています。アクセスしようとしているサーバー

ATDE3でのman connectから引用

       EACCES, EPERM
              ソケットのブロードキャスト・フラグが有効になっていないのにユーザ
              がブロードキャストへ接続を試みた。または、ローカルのファイアウォ
              ールの規則により接続の要求が失敗した。

「ローカルのファイアウォールの規則」の場合もあるようです。
これがiptablesかな？

でも・・・２つ前の私の訂正のように、
iptablesは問題はなさそうな気もしてます。

--
なかむら

いつもお世話になります。
向井です。

諸事情によりかなり返信が遅くなってしまい申し訳有りません。
皆様いろいろご回答ありがとうございます。
現状はまだメール送信できておりません。
(同じ症状のままです)

> - armadillo とテスト用の Ubuntu は、同じ環境でテストしていますか? 違い
> は、なにも無いですか?
→ armadilloはボード上、Ubuntuはpc上から、作成したメール送信のプログラムを走らせています。
ですので環境としてはだいぶ違いがあります。

> - socket() から connect までのコードって、見
> せてもらえますか? あまり connect() が EPERM を返すよう
> に思えないので。
→ 添付ファイルに関連箇所を抜粋したところのソースコードを添付させていただきます。

> - man pageによれば、broadcast address へアクセスしようとすると EPERM
> が返ることがあると記述されています。アクセスしようとしているサーバー
> は、とりあえずテスト用だったりしますか? IPアドレスは大丈夫ですか?
→ アクセスしようとしているサーバは社内でメールを使う為に設定しているSMTPのサーバです。
gethostbyname()でとってきたIPアドレスを確認する限りは大丈夫でした。
(添付していますファイルにコメントを入れてあります)

> - あと、他の人からの提案もあるように、iptable の設定も確認した方が良い
> かもしれません。iptables -L -nで表示されたものを見せて
> 頂けますか?
→ このレスの次レスの中村様が記載していただいているログ内容と一致します。
firewall関連の設定ファイルは全く触っておりません。

> - パケットのキャプチャーって、可能ですか?
→ 申し訳有りませんがちょっと無理そうです。

以上、よろしくお願いします。

> いくつか整理させてください。
>
> - armadillo とテスト用の Ubuntu は、同じ環境でテストしていますか? 違い
> は、なにも無いですか?
>
> - socket() から connect までのコードって、見
> せてもらえますか? あまり connect() が EPERM を返すよう
> に思えないので。
>
> - man pageによれば、broadcast address へアクセスしようとすると EPERM
> が返ることがあると記述されています。アクセスしようとしているサーバー
> は、とりあえずテスト用だったりしますか? IPアドレスは大丈夫ですか?
>
> - あと、他の人からの提案もあるように、iptable の設定も確認した方が良い
> かもしれません。iptables -L -nで表示されたものを見せて
> 頂けますか?
>
> - パケットのキャプチャーって、可能ですか?