Newsgroup: it.comp.sicurezza.varie
Titolo: Firewall dietro a router

Cortesemente:
in ufficio abbiamo HDSL con otto IP  con router in comodato d'uso che natta
e che non possiamo toccare. La lan che sta dietro non offre nessun
servizio(niente web, smtp ecc.), ma solo pc che devono navigare e fare posta
elettronica.
Ho deciso di inserire un Firewall in questo modo:
-faccio fare Nat anche a lui,
-verso il router gli do un IP privato della stessa classe del router,
-verso la lan, invece, gli do un IP, sempre privato chiaramente, di un'altra
classe,
-eleggo il firewall a nuovo gateway e quindi modifico gli IP della lan in
modo che siano della stessa classe del firewall e non piu' del router.
Puo' andare?
Ringrazio anticipatamente per l'attenzione.
Piero.

 Puo' andare?
Puo` andare ma devi subnettare.
-- 
                         Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
If you're going to tell people the truth, be funny or they'll kill you.

 Piero.
Spero possa aiutarti

 ha scritto nel messaggio
news:slrnbcape7.b...@gate.deepspace...


 su "subnettare"? Cosa intendi?
Nello scenario che hai descritto, ti e` stata "girata" una rete (8 ip,
una subnet /29).
Compito del router, semplificando molto, e` collegare due reti (o
sottoreti).
Se vuoi che tutto il traffico passi da e per il tuo firewall/router,
devi a tua volta, sottodividere la rete, diversamente, non c'e` motivo
per cui una macchina, sulla tua rete, con uno di quegli ip validi, passi
dal tuo firewall router.
Un'alterantiva sarebbe un firewall in bridge, ma e` di un paio di passi
piu` complesso.
Fai attenzione: la gestione di una rete _vera_, anche se piccola, non e`
una argomento "per principianti". Sono lieto di spiegarti cosa sia una
subnet, ma se vuoi gestire una rete, dovrai imparare in fretta, o avere
delle brutte sorprese che vanno da banali malfunzionamenti, a molto,
molto peggio.
In questo senso, valuta attentamente chi deve fare cosa, e fai una
serena verifica delle competenze interne e/o esterne. E` un consiglio,
ovviamente, e nulla piu`.
PS:
Una cortesia, potresti "quotare" ovvero rispondere ai messaggi,
evidenziando solo le porzioni a cui rispondi, e scrivendo i tuoi
commenti _sotto_? La leggibilita` ne guadagna, ed e` anche sancito dalla
netiquette. Grazie.
-- 
                         Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
We'll burn that bridge when we come to it.

 Puo` andare ma devi subnettare.
Perchč, se non deve offrire servizi? A lui interessa solo navigare, e nella
configurazione attuale č giŕ nattato dal router quindi usa ip privati. Si
troverebbe solo dietro ad un doppio nat, che sarebbe un incubo per una vpn o
per netmeeting o altre cose evolute, ma per navigare e consultare la posta
non darebbe problemi.
Dove lavoro io avevamo una situazione del genere: router con ip fisso e
nat - ipcop con ulteriore nat.
Adesso che abbiamo piů ip pubblici abbiamo potuto dare un ip pubblico al
firewall.
Duck

 Perchč, se non deve offrire servizi? 
Che non deve offrire servizi, io non lo posso sapere, ma in tal caso,
l'assegnazione di una /29 e` totalmente fuori luogo, nonche` costera`
ben di piu`, no?
Parto dal pressupposto, che chi si fa dare degli IP, intenda
utilizzarli.
Se non e` questo il caso, mi chiedo, a priori, perche` farseli dare.
Le restanti considerazioni che hai fatto sono corrette, ma il problema
qui e` a monte. :)
/me che per avere delle /28 in passato ha dovuto quasi litigare...
-- 
                         Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Quando omni flunkus moritati (when all else fails play dead)

 utilizzarli.
Abbiamo fatto un contratto "Man ip" e gli otto IP erano compresi. Da quello
che dici deduco che era possibile fare un contratto senza di essi e, quindi,
sicuramente meno costoso, ma lo scopro adesso.
Grazie ancora per l'attenzione.
Piero


Esempio:
La tua Lan interna ha questi Ip:
192.168.0.0 con subnet mask 255.255.255.0
La subnet mask identifica la parte fissa dell'ip, quella che identifica
l'indirizzo
di rete.
La subnet che ho citato equivale a 3 gruppi di otto cifre tutte composte da
uno:
11111111.11111111.11111111.00000000
Dove i bit della subnet mask sono a uno i rispettivi bit dell'ip 192.168.0.0
identificano quello che e' l'indirizzo di rete, mentre dove sono a zero
identificano l'indirizzo che varia e che assegni a ogni client:
Quindi 192.168.0 e' la parte che non cambia (255.255.255.)
l'ultima cifra invece varia da 0 a 255 e sono tutti i possibili indirizzi da
dare ai client.
Questo detto molto molto molto in breve....
Spesso per indicare un tale indirizzo si identifica cosi': 
192.168.0.0/24
Cioe' i bit della subnet che sono posti a 1 e che identificano l'indirizzo
di rete
sono 24
Quindi /29 indica che i bit della subnet posti a 1 sono 29, cioe':
11111111.11111111.11111111.11111000
Che in decimale vuol dire una subnet mask cosi': 255.255.255.248
Una subnet di questo tipo indica che le cifre destinate al client (cioe'
quelle variabili)
sono le ultime 3, quindi il numero di ip che ti e' stato assegnato e' di 8
Non puoi usare il primo indirizzo che ti e' stato assegnato perche'
identifica la rete,
non puoi usare il secondo perche' e' il router, non puoi usare l'ultimo
perche' e' il
broadcast: chiamare questo indirizzo equivale a chiamare tutti i pc della
rete.
Quindi alla fine ti rimangono 5 Ip da utilizzare per eventuali servizi
interni, uno sara'
usato dal firewall.
Ciao

 Esempio:..........................
Ringrazio ancora per il vostro interessamento al mio problema e in
particolare  Daniele che si e' lanciato in questa spiegazione, secondo me,
non poco impegnativa, diretta proprio ai principianti. Io ti ho capito
perfettamente, anche perche' bene o male queste nozioni le avevo gia', un
po' confuse, ma le avevo e quindi una rinfrescata mi ha proprio fatto bene.
Quello che mi ha spiazzato e' stata la "terminologia".
Ciao.
Piero

sicuramente meno costoso, ma lo scopro adesso.
I venditori spesso soffrono di amnesie selettive :-(
Leonardo
-- 
Tre cose sono da temere nel campo I.T.:
Un sysadmin con un cacciavite in tasca;
Un amministratore con un libro in mano;
Un utente con una grande idea in testa.

 modo che siano della stessa classe del firewall e non piu' del router.
Usando due classi C private diverse, la classica subnet mask 255.255.255.0
va benissimo.

 Ergo, la LAN usa gia' indirizzi privati, non pubblici.
Anche questo. Il quesito, stante che e` sullo stesso filo, e` legato
all'uso degli ip publici, e al potenziale ovverride di una macchina
"lan" che si riconfigura l'ip e baypassa il fw.
O, in altra visione, all'etica di un commerciale che vende una /29 per
navigare su internet.
-- 
                         Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Why is "abbreviation" such a long word?

 navigare su internet.
Questo e' un altro paio di maniche... ma spesso capita che la /29 sia la
configurazione minima standard per una HDSL: assegnare un singolo indirizzo
IP costringerebbe ad usare sempre il NAT sul router e a non avere macchine
con IP pubblico.

 navigare su internet.
Cosi' la transizione verso IPv6 sara' piu' rapida....
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
 
www.google.com
 - 
groups.google.com
/* Ci sono 10 categorie di persone al mondo: quelle che capiscono */
/* il sistema binario e quelle che non lo capiscono.              */

 Cosi' la transizione verso IPv6 sara' piu' rapida....
rotfl ;-)
-- 
Emanuele Balla  aka Skull -  Public Key #661E5CBF on 
www.keyserver.com
+----------------------------------------------------------------------+
"And 1.1.81 is officially BugFree(tm), so if you receive any bug-reports
on it, you know they are just evil lies." (By Linus Torvalds)