Newsgroup: it.comp.os.linux.iniziare
Titolo: Forward su dmz

Vi spiego brevemente la situazione: ho dotato un vecchio PC di tre schede
di rete con l'intenzione di creare un tipico firewall (Debian sarge) che
separi il flusso dei dati fra la Lan interna, una zona DMZ ed internet.
Nella zona DMZ collegata al firewall con un cavo incrociato ho installato
un server Debian sarge con attivo attualmente solo fetchmail che
periodicamente si collega a vari provider per scaricare la posta e girarla
direttamente ad Exchange che si trova all'interno della Lan. Non essendo
molto esperto di iptables ho preferito utilizzare ipmasq per la
configurazione del firewall... in effetti funziona tutto e non avendo
servizi attivi sul web non ci sono particolari problemi... fino ad ora,
infatti sul server posto nella dmz vorrei installare "proftpd" per
consentire ad alcuni utenti esterni di scaricare file piuttosto
voluminosi. Il problema è che non so se è preferibile e più semplice
modificare la configurazione di ipmasq oppure se optare per una
configurazione manuale (non credo per niente facile). Questa è la
situazione del mio firewall:
File /etc/network/interfaces
# The loopback network interface
auto lo
iface lo inet loopback
# The primary network interface
auto eth2 eth1 eth0
iface eth2 inet static
        address 10.0.0.1  # Scheda collegata alla LAN netmask
        255.255.255.0
        dns-nameservers 10.0.0.6
iface eth1 inet static
        address 10.0.1.5 # Scheda collegata ad internet netmask
        255.255.255.0
        gateway 10.0.1.3  # Indirizzo del router fornito dal provider
        dns-search 
somedomain.org
        dns-nameservers xx.xx.xx.xx
iface eth0 inet static
        address 10.0.2.4  # Scheda collegata alla DMZ con cavo cross
        netmask 255.255.255.0
 
 
Route
Destination	Gateway	Genmask		flags	Metric	Ref	Use	Iface
10.0.0.0	*	255.255.255.0	U	0	0	0	eth2
10.0.1.0	*	255.255.255.0	U	0	0	0	eth1
10.0.2.0	*	255.255.255.0	U	0	0	0	eth0
Default	10.0.1.3	0.0.0.0 	UG	0	0 	0	eth1
Questa è la configurazione generata da ipmasq
mydebian:/etc# iptables -L --line-numbers
Chain INPUT (policy DROP) num target     prot opt source destination
1    ACCEPT all  -- anywhere             anywhere
2    LOG    all  -- 
127.0.0.0/8
		 anywhere	     LOG level warning
3    DROP   all --  
127.0.0.0/8
		 anywhere
4    ACCEPT all  -- anywhere      	255.255.255.255
5    ACCEPT all --  anywhere		255.255.255.255
6    ACCEPT all  -- 
10.0.2.0/24
		 anywhere
7    ACCEPT all  --  
10.0.0.0/24
          anywhere
8    ACCEPT    !tcp--		  anywhere             
base-address.mcast.net/4
 
9    ACCEPT    !tcp  --		 anywhere             
base-address.mcast.net/4
10   LOG    all  -- 
10.0.2.0/24
          anywhere            LOG level warning
11   DROP all --  
10.0.2.0/24
          anywhere 
12   LOG        all  --	
10.0.0.0/24
    anywhere           LOG level warning
13   DROP all  --  
10.0.0.0/24
       anywhere
14   ACCEPT     all  -- anywhere	      255.255.255.255
15   ACCEPT    all  --  anywhere	 10.0.1.5
16   ACCEPT     all  -- anywhere	 10.255.255.255 
17   LOG        all  --	anywhere	 anywhere    LOG level warning 
18   DROP      all  --  anywhere	 anywhere
Chain FORWARD (policy DROP)
num  target     prot opt source               destination
1    ACCEPT 	all--  
10.0.0.0/24
 
10.0.2.0/24
2    ACCEPT     all-- 
10.0.2.0/24
 
10.0.0.0/24
3    ACCEPT     all --  
10.0.2.0/24
	    anywhere
4    ACCEPT     all  -- 
10.0.0.0/24
          anywhere
5    ACCEPT     all  -- anywhere 	anywhere  state RELATED,ESTABLISHED
6    LOG        all  -- anywhere	 
10.0.2.0/24
 LOG level warning
7    DROP	all  --  anywhere        
10.0.2.0/24
8    LOG        all  -- anywhere	 
10.0.0.0/24
         LOG level warning
9    DROP       all  -- anywhere         
10.0.0.0/24
10   LOG        all  --  anywhere	 anywhere            LOG level warning
11   DROP       all  -- anywhere         anywhere
Chain OUTPUT (policy DROP)
num  target     prot opt source               destination
1    ACCEPT	 all--  anywhere         anywhere
2    ACCEPT     all  -- anywhere         255.255.255.255
3    ACCEPT     all  --  anywhere	 255.255.255.255
4    ACCEPT     all  -- anywhere         
10.0.2.0/24
5    ACCEPT     all  -- anywhere         
10.0.0.0/24
6    ACCEPT !tcp    --  anywhere       
base-address.mcast.net/4
7    ACCEPT !tcp  -- anywhere          
base-address.mcast.net/4
8    LOG 	all --  anywhere         
10.0.2.0/24
         LOG level warning
9    DROP       all  -- anywhere         
10.0.2.0/24
10   LOG        all --  anywhere       
10.0.0.0/24
         LOGlevelwarning
11   DROP	all  --  anywhere      
10.0.0.0/24
12   ACCEPT     all -- anywhere       255.255.255.255
13   ACCEPT     all --  10.0.1.5        anywhere
14   ACCEPT     all  -- 10.255.255.255       anywhere
15  LOG        all  --  anywhere             anywhere         LOG level warning
16   DROP       all  --  anywhere             anywhere
mydebian:/etc# iptables -t nat -L --line-numbers
Chain PREROUTING (policy ACCEPT)
num  target     prot opt source               destination
Chain POSTROUTING (policy ACCEPT)
num  target     prot opt source               destination
1    MASQUERADE	all  --  
10.0.2.0/24
          anywhere
2    MASQUERADE  all  -- 
10.0.0.0/24
          anywhere
Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination
Queste sono le caratteristiche del server FTP
# This file describes the network interfaces available on your system #
and how to activate them. For more information, see interfaces(5).
# The loopback network interface
auto lo
iface lo inet loopback
# The primary network interface
auto eth0
iface eth0 inet static
        address 10.0.2.1
        netmask 255.255.255.0
        network 10.0.2.0
        broadcast 10.0.2.255
        gateway 10.0.2.4
srvdebian:/etc# route
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use
Iface localnet        *               255.255.255.0	  U    	0      	0 0
eth0 default         10.0.2.4        0.0.0.0      	UG	0      	0     0 eth0

 Davide
Qualche suggerimento su cosa fare con ipmasq per "aprire" all'esterno il
server ftp collocato nella dmz me lo puoi dare..... grazie