Newsgroup: it.comp.os.unix
Titolo: [FreeBSD] Natd e firewall

Salute a tutti.
Ho un piccolo grattacapo che non riesco a risolvere, cercherò di essere più
esauriente possibile.
Il grafico della rete è il seguente:
Internet -- Router Cisco ADSL -- DMZ -- Firewall FreeBSD -- Intranet
X.X.X.X -- XXX.XXX.XXX.XXX/30 -- 
192.168.0.0/24
 -- 192.168.0.1 <-->
10.0.2.254 -- 
10.0.2.0/24
In pratica il firewall BSD fa da gateway/router per la intranet, su di esso
avviene il nat (mediante natd), poi si passa al router (192.168.0.254) e poi
in internet.
Dalla intranet tutto funziona a meraviglia, alcuni servizi sono attivi
(http, mail), altri sono bloccati dal firewall.
Ora al problema: ho "nattato" sul Cisco un indirizzo pubblico verso una
macchina in DMZ, che però necessito spostare nella intranet; allora ho
creato l'alias sulla interfaccia di rete del firewall. Se provo dall'esterno
a raggiungere la macchina in intranet, tutto si ferma sull'interfaccia di
rete esterna (quella sulla dmz) del Firewall, la connessione non viene
"nattata" verso la intranet.
Ecco la mia configurazione di ipfw:
add deny ip from 
10.0.2.0/24
 to any in via fxp0
add deny ip from 
192.168.0.0/24
 to any in via fxp1
# loopback interface, DO NOT REMOVE.
add allow ip from any to any via lo0
add deny ip from any to 
127.0.0.0/8
add deny ip from 
127.0.0.0/8
 to any
# network address translation
add divert natd ip from any to any via fxp0
# tcp through if setup succeeded
add allow tcp from any to any established
# ip fragments to pass through
add deny ip from any to any frag
# squid proxy
set disable 2
add set 2 allow tcp from 
10.0.2.0/24
 to me 3128
add set 2 allow tcp from me to any http
add set 2 allow tcp from me to any https
set enable 2
# default tcp services
### ftp,smtp,pop3,nntp,imap,imaps,msn,icq
add allow tcp from any to any
ftp,ssh,smtp,pop3,nntp,imap,imaps,pop3s,1863,aol setup
add allow tcp from any ftp\-data to any
# default udp services
### domain,ntp
add allow udp from any to any domain,ntp
add allow udp from any domain to any
e quella (semplice) di natd:
# standard options
log no
unregistered_only yes
# nat interface, postrouting rewrite
interface fxp0
# DB redirection
### Mysql
##redirect_port tcp 
10.0.2.207:3306
 3306
### Oracle
redirect_port tcp 
10.0.2.207:1521
 1521
redirect_address 10.0.2.213 192.168.0.213
Dove sto sbagliando? Ho cercato su google, ma le soluzioni trovate per il
"doppio nat" non hanno avuto effetti positivi.
Grazie a tutti.
-- 
Giancarlo Rosso
mag...@despammed.com

 esauriente possibile.
Per quanto esauriente tu sia stato, comunque certe informazioni mancano;
in ogni caso, credo che questa situazione alla fine la debba risolvere
tu a suon di confronti tra log di ipfw e output di tcpdump.
Posso solo darti un consiglio: se le porte non sono molte, e' certamente
meno elegante, ma anche piu' semplice usare socket (lo trovi nei port).
 bye
	av.

   "doppio nat" non hanno avuto effetti positivi.
Puoi anche mettere il router in modalita' bridge.
http://www.gufi.org/~mark/articles/router-bridge/article.html
-- 
Marco Trentini                
ma...@remotelab.org
http://www.remotelab.org/


Potrebbe essere una soluzione, e tutto sommato lo schema presentato somiglia
molto a quello che ho in mente io per la rete qui.
Grazie per i suggerimenti.
PS forse è il caso di spostare il thread su icof, visto che è nato?

   
Con l'opzione -a di natd puoi nattare anche sull'ip 127.0.0.1
natd -a 127.0.0.1
