サクラVPSサーバーが外部からのtelnetコマンドが通らない

Question

さくらのVPSを使ってメールサーバーを構築しようと思っております。
DNSの設定、postfix,dovecotの設定を行ったのですが、うまくいかず、いろいろ調べたところ、外部（ローカルのPC）からの接続ができていないようでした。

しかしサーバー上ではiptablesではポートは開けており、
なぜ外部から接続できないかがわからない状態です。

取り急ぎ、ローカルのPCからtelnetでさくらのVPSへ接続できる方法をご教授願えればと思います。
以下、実行した環境です。
情報が足りなければ行ってください。

---

さくらインターネットVPS

• CentOS release 6.6 (Final)

ローカルPC

• OSX Yosemite

ローカルのPC(マック）ではtelnetが失敗

satoutashinoAir:~ satoutakeshi$ telnet <さくらのVPSのIPアドレス> 25
Trying <さくらのVPSのIPアドレス>...
telnet: connect to address <さくらのVPSのIPアドレス>: Operation timed out
telnet: Unable to connect to remote host

さくらVPSにログインすれば接続できる

[root@tk2-233-26470 sato]# telnet <さくらのVPSのIPアドレス> 25
Trying <さくらのVPSのIPアドレス>...
Connected to <さくらのVPSのIPアドレス>.
Escape character is '^]'.
220 mail.afrel.pw ESMTP unknown

iptableの内容

# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
RH-Firewall-1-INPUT  all  --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:smtp 

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
RH-Firewall-1-INPUT  all  --  anywhere             anywhere            

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain RH-Firewall-1-INPUT (2 references)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     icmp --  anywhere             anywhere            icmp any 
ACCEPT     udp  --  anywhere             224.0.0.251         udp dpt:mdns 
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED 
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:61203 
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:http 
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:https 
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:hbci 
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:mysql 
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:9392 
REJECT     all  --  anywhere             anywhere            reject-with icmp-host-prohibited 
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:ftp-data 
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:ftp 
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:smtp 
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:urd 
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:submission 
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:pop3 
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:pop3s 
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:imap 
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:imaps 

Answer 1

"REJECT all" の前に SMTP などを許可するルールを挿入する必要があります。

Comments

[TaichiYanagiya]

あれれ、サーバー内から 25番には接続できるのですね。
"telnet localhost 25" なら loインターフェースが許可されていますが、
"telnet グローバルIPアドレス 25" だとこのルールでは許可されないのではないでしょうか。
"iptables -nvL" の出力はどうなっていますでしょうか。

[SatoTakeshiX]

TaichiYanagiyaさん

ありがとうございます。
>"REJECT all" の前に SMTP などを許可するルールを挿入する必要があります。
こちらのコメントを元に外部からの接続に成功することができました

原因としましては
/etc/sysconfig/iptablesにて
下記のようにICMPパケット"host-prohibited"を返して接続拒否する指定の下にポート25番を指定してしまったのが原因でした。

>-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
>-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 25 -j ACCEPT

-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
より上にポート25番を開けるを指定したところ、無事に接続ができるようになりました。

もう少しiptablesのこと勉強してみます。
ありがとうございました。

Answer 2

まだお試し期間なら25番は塞がれているようです。
公式

Comments

[SatoTakeshiX]

ichamさん
コメントありがとうございます。iptablesの指定が間違っていたのが原因でした。
本契約していたのに弾かれていたので悩んでました。
ありがとうございます。

Answer 3

さくらのVPSはお試し期間中はメール送受信できないようになってますがそんなオチ？

Comments

[SatoTakeshiX]

kodaiさん
無事解決しました。回答ありがとうございました。
さくらVPS、本契約していたので、よけいになぜ繋がらないのかがわからなかった次第です。
原因は私のiptablesの指定が間違っていたことでした。
ありがとうございました。

Answer 4

25番ポートは、たしかF/W(iptablesではなく、設備側の機器)で塞がれていたような。

いわゆるOP25Bの関係で。

http://ja.wikipedia.org/wiki/Outbound_Port_25_Blocking

Comments

[chokojori]

えーと、正確なところは、帰宅後に確認してレポートします。

[SatoTakeshiX]

chokojoriさん
回答ありがとうございます。解決いたしました。
iptablesにて、下記のような接続を拒否する指定の下にポート25番を開ける指定をしてしまっていたのが原因でした。修正して、外部から接続できるようになりました。
ありがとうございます。

-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited

Answer 5

さくらのサーバってtelnetではなくsshが標準だったと思います。

telnetは通信内容が暗号化されていないためリモートでサーバを操作するのにはセキュリティの面からあまりお勧めしません。Macだと標準でsshクライアントがターミナルから使用できたと思いますので、そちらで接続された方がよいと思います。

Comments

[PruneMazui]

この質問は操作するために telnet を使っているのではなく、
3way handshake が完了するか確認するために telnet を使ってるのでは？