Коллеги, у меня с почтовым сервером началась такая непонятная штука: несколько раз в день бывают моменты, когда на 25 порт к нему не подключиться. Webmin жалуется на “socket timeout”. В такие моменты, если посмотреть maillog, видны записи вида:

Apr 13 10:50:08 ns1 postfix/smtpd[4907]: connect from localhost[127.0.0.1]
Apr 13 10:50:08 ns1 postfix/smtpd[4907]: lost connection after CONNECT from localhost[127.0.0.1]
Apr 13 10:50:08 ns1 postfix/smtpd[4907]: disconnect from localhost[127.0.0.1]
Apr 13 10:50:08 ns1 postfix/smtpd[4907]: connect from localhost[127.0.0.1]
Apr 13 10:50:08 ns1 postfix/smtpd[4907]: lost connection after CONNECT from localhost[127.0.0.1]
Apr 13 10:50:08 ns1 postfix/smtpd[4907]: disconnect from localhost[127.0.0.1]
…
Apr 13 10:50:29 ns1 postfix/smtpd[4725]: connect from unknown[203.109.75.180]
Apr 13 10:50:29 ns1 postfix/smtpd[4725]: lost connection after CONNECT from unknown[203.109.75.180]
Apr 13 10:50:29 ns1 postfix/smtpd[4725]: disconnect from unknown[203.109.75.180]
Apr 13 10:50:29 ns1 postfix/smtpd[4725]: connect from cpe-66-69-196-50.austin.res.rr.com[66.69.196.50]
Apr 13 10:50:29 ns1 postfix/smtpd[4725]: lost connection after CONNECT from cpe-66-69-196-50.austin.res.rr.com[66.69.196.50]
Apr 13 10:50:29 ns1 postfix/smtpd[4725]: disconnect from cpe-66-69-196-50.austin.res.rr.com[66.69.196.50]

По симптомам это, как мне кажется, похоже на DoS-атаку с подменой IP-адресов (я уверен, что локально никто не пытался в это время коннектиться на 25 порт, а в логах полно записей про попытку соединения с 127.0.0.1). К тому же много коннектов с хостов вида adsl-154-132-105.cae.bellsouth.net и т.д…

Если попытки соединения с 127.0.0.1 я еще как-то могу зарезать на внешнем файрволе, то как быть с блокировкой хостов вида xdsl…., adsl…., ppp….. ? Спасморез у нас внешнем почтовике не стоит (используется другой, уже на внутреннем почтовике).