Newsgroup: it.comp.sicurezza.varie
Titolo: firewall e rete locale

Ciao.
Ho messo da poco l'ADSL, ho un router con IP fisso.
Vorrei mettere un firewall linux che faccia solo da filtro e antivirus.
Quale distribuzione mi consigliate?
Quali software?
Inoltre ho un problema.
Il router dovrebbe fare anche da DHCP. Cercando su internet si trovano
dicerse configurazioni di firewall ma tutte hanno una scheda verso
l'interno e una con IP pubblico.
Se il mio router ha a sua volta un IP interno (del tipo 192.168.0.10)
posso costruire il firewall con uno schema del genere:
Internet --> router (DHCP) -->firewall -->intranet
le  schede del firewall possono avere entrambe indirizzo del tipo
192.168.0.x?


Intendi che indirizzino la stessa sottorete? Se e' cosi' la vedo complicata
spiegarlo alla tabella di routing... come fa a decidere dove instradare un
pacchetto IP indirizzato a 192.168.0.3 (per esempio)? Giocando col NETMASK
puoi avere due (o piu' sottoreti) nello spazio 192.168.0.1 - 192.168.0.254
e quindi piu' schede di rete che indirizzano sottoreti differenti.
-- 
AB

 192.168.0.x?
Dici della medesima subnet? E il firewall come farebbe a fare 
masquerading? :-)
No, devi scegliere due network diverse.
Ciao
Luca


Scusa Luca IPCOP 
http://www.ipcop.org
 l'hai provato? Cosa te ne pare?
L'ho installato presso un cliente e non mi sembra male. 

 e quindi piu' schede di rete che indirizzano sottoreti differenti.
Avevo pensato una cosa di questo genere (ma forse è una bestialità)
Il router mi va verso l'esterno e ha un indirizzo locale (diciamo
192.168.0.1)
il firewall (con indirizzo 192.168.0.2) è attaccato al router e allo
switch su cui vanno tutti gli altri pc.
Non è possibile creare semplicemente un filtro che verifichi la
provenienza dei pacchetti e che lasci intatti gli indirizzi a cui
questo deve arrivare?
Devo per forza dividere le sottoreti?
A quel punto mi conviene fare una sottorete con il router e la scheda
"esterna" del firewall e una sottorete con tutto il resto?
Ma poi queste si parlano come se fossero due reti diverse?
Potrei, ad esempio, fare la sottorete router-firewall con indirizzi
192.168.0.x e gli altri pc della rete (quindi la seconda scheda del
firewall) con indirizzi 192.168.1.y?
Grazie e scusate l'ignoranza, mi sto leggendo della documentazione...

 
No problem,
-- 
AB

 Ma poi queste si parlano come se fossero due reti diverse?
Devi poter avere accesso alla configurazione del router fornito dal
tuo isp per modificare le tabelle di routing oppure sul router deve
essere stato abilitato qualche protocollo di routing dinamico.
Nel caso peggiore puoi sempre fare nat _anche_ con la linuxbox, per 
bypassare il problema del routing.
Fabio

 bypassare il problema del routing.
Sempre con Iptables...o no?

 Sempre con Iptables...o no?
Si'.
Fabio

Riflettendo sulle modalità per fare questo bridge (sono andato a
vedere il sito di ebtables e di questo si dovrebbe trattare).
Io ho il router che ha l'IP fisso esterno e un ip sulla lan, diciamo
192.168.0.2.
A questo collegherei il mio firewall (192.168.0.1) con netmask
255.255.255.0.
L'altra scheda avrebbe indirizzo 192.168.1.1 con la stessa mask, e
parlerebbe con i PC della rete.
Per questi il default gateway è il firewall, mentre per il firewal in
default gateway è l router(giusto?)
A questo punto, con ebtables (a cui ho dato una letta veloce,senza
capire tutto, visto che molto del linguaggio tecnico mi sfugge)
"modifico" l'indirizzo dei pacchetti, che invece di uscire dalla rete,
escono con l'indirizzo del firewall e quindi vengono sparati su
internet dal router. (studio la documentazione di ebtables e lo faccio,
mi serve solo sapere se ho capito)
Fino a questo punto ho usato solo EBTABLES e mai IPTABLES.
Poi filtro, tramite iptables i pacchetti che hanno protocolli
"pericolosi" e con il masquerading o comunque con  faccio in modo che
tutti i pacchetti provenienti dalla rete sembrino inviati dal firewall.
L'utilizzo del nat con iptables è alternativo a questo oppure
complementare?
Cioè se uso una cosa del tipo:
iptables -t nat -a postrouting -o 192.168.0.1 -j snat --to-source
ip_pubblico
come lo devo gestire?
(questa riga l'ho ricavata da qulche esempio che mi sono scaricato)
Ciao
Andrea

 Scusa Luca IPCOP 
http://www.ipcop.org
 l'hai provato? Cosa te ne pare?
L'ho usato per qualche anno; e' discreto, ma presenta qualche dettaglio 
che non mi convince completamente (ad esempio il masq lascia passare 
l'IP LAN, e questo non va bene). Sono passato a m0n0wall anche per la 
velocita' superiore e la dimensione minima di FreeBSD.
Cio' non toglie che IPCop, specie per la presenza dei suoi add-on, sia 
un bel prodotto open source.
Da segnalare anche PFsense 
www.pfsense.com
, evoluzione di m0n0wall 
giunto alla 1.0 RC1, con un mare di opzioni.
Ciao
Luca

 LAN, e questo non va bene). Sono passato a m0n0wall anche per la
[cut]
In che senso? Vuoi dire che dall'esterno si riescono a conoscere il/le 
subnet interne al firewall?
A parte che nel caso specifico nn c'è problema perche fuori dal fw ho una 
dmz e poi un router prima della wan. 

 dmz e poi un router prima della wan.
Scusa, mi pare che questo sia il mio problema: con m0n0wall (che per
qualche tempo ho usato per poi passare a iptables) posso gestire
facilmente lo schema
router (1 solo IP esterno,
quindi fa anche da DHCP per la lan       -> firewall   -> switch  ->
lan
e il solo indirizzo che posso usare
verso l'esterno è il suo)
Il mio problema è che il firewall deve filtrare pacchetti sulla stessa
rete e non collegarsi direttamente verso l'esterno.
Se lo metto tra switch e router, basta monowall (o iptables) per
filtrare i paccehtti e girare al router quelli accettabili, come pure,
per filtrare quelli provenienti dall'esterno e non modificarne la
destinazione?
Mi sono posto il problema pensando inizialmente che non ci fossero
problemi, in quanto per la posizione i pacchetti devono per forza
attraversare il firewall e con iptables avrei potuto lavorare con il
masquerading e la chain di FORWARD, ma poi mi è venuto il dubbio che
la rete logica è la stessa...
(forse sto dicendo cavolate?)
non ho bisogno per ora di DMZ

rete e non collegarsi direttamente verso l'esterno.
Scusa ma mi sono perso i post iniziali.
Perchč devi filtrare pacchetti all'interno della medesima lan? 

 Perchè devi filtrare pacchetti all'interno della medesima lan?
In realtà devo semplicemente mettere il firewall sulla rete, che però
è messo dopo il router (avendo 1 solo ip fisso, se lo prende il router
stesso).
Il mio problema è sapere se posso mettere il firewall con 2 schede di
rete appartenenti alla stessa lan, collegandole una allo switch,
l'altra al router e come configurarlo (pensavo a una cosa embedded tipo
m0n0wall).
Ci sono problemi a instradare i pacchetti provenienti dalla rete
(switch) in modo che vadano senza problemi su internet (router)?
Fino adesso ho sempre avuto a che fare con firewall che avessero una
scheda in lan e l'altra in wan, con il postrouting per l'instradamento
dei pacchetti (con iptables)
Poiché in precedenza mi è stato detto che per fare questa cosa devo
dividere le sue sottoreti, mi sono sorti problemi di instradamento dei
pacchetti (difficoltà di comprensione delle risposte, se riesci a
vederle magari tramite il thread sui gruppi di google magari puoi farti
una idea più chiara.
Intanto grazie fin da subito.
A.

m0n0wall).
No non puoi, le due subnet devono essere distinte ma non vedo il problema!
Scegli una subnet diversa dall'indirizzo interno del router.
Esempio: il router ha verso lan un indirizzo 10.0.0.254 e tu utilizzi per la 
lan 
192.168.0.1/8
Nella pratica dove ho installato ipcop ho un cliente che ha una connessione 
ADSL + Voice over IP con router+firewall gestito dal provider. Ora essendo 
indispensabile avere le massime garanzie di sicurezza, fra il router e la 
lan ho inserito un firewall sotto il mio controllo (ipcop) e a valle di esso 
c'è la lan.
Correttamente ti è stato risposto che occorre suddividere le due interfacce 
nel senso che il tuo firewall separa due lan in una delle quali ci sono gli 
apparati del cliente e sull'altra solo il router e il firewall (nel mio caso 
c'è anche altra roba ma non cambia il concetto). 

Grazie (a tutti)
A.