Newsgroup: it.comp.os.linux.iniziare
Titolo: firewall debian dietro zywall 5

Ciao a tutti! Sto cercando di configurare una VPN così:
CLIENT REMOTO --> INTERNET --> ZYWALL 5 --> RETE INTERNA --> FIREWALL
LINUX --> RETE AZIENDALE
A fare da server VPN è lo Zywall 5. Tutto ok per collegarsi e entrare
in VPN all'interno della RETE INTERNA. Il problema è che io ho bisogno
di accedere alla RETE AZIENDALE, i cui indirizzi sono indirizzi locali
naturalmente. Il problema è che se io cerco di pingare un indirizzo di
RETE AZIENDALE, il pc (Windows XP PRO) invece di non instrada la
richiesta verso la VPN ma pare cerchi in locale... Dove e cosa devo
configurare? Il pc o lo zywall? Volevo inserire qualche rotta statica
su XP ma come faccio non avendo nessuna scheda di rete da assegnare?
GRAZIE!!!!

 configurare? Il pc o lo zywall? Volevo inserire qualche rotta statica
Devi assegnare dei nat in ingresso sul firewall linux, cosi' da
avere una sola subnet che transita per la vpn, e il firewall linux
si preoccupa di _nattare_ le richieste da rete interna  arete aziendale.
Altrimenti dovresti settare una vpn a due subnet, ma non so se e
come si possa fare con lo zywall.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

Ma quindi dovrei mettere la stessa subnet sia in rete aziendale che in
rete interna e nattare su linux le richieste da una rete all'altra?

 rete interna e nattare su linux le richieste da una rete all'altra?
Non proprio.
Dall'esterno, le macchine in rete interna e in rete aziendale le
dovresti identificare come appartenenti ad una unica sottorete, ad 
esempio 
192.168.1.0/24
Il router, in vpn, riceve i pacchetti indirizzati a 192.168.1.1 e
a 192.168.1.129, e li instrada nella scheda di rete verso l'interno.
A questo punto, le macchine della rete interna (ipotizziamo da
192.168.1.1 a 192.168.1.127) rispondono direttamente.
Il firewall linux risponde agli ip superiori, e li natta verso la
rete aziendale, ad esempio, con indirizzi di sottorete 
10.0.0.0/24
.
Sarebbe possibile, e ancora piu' agevole, ampliare la subnet di vpn
a due classi c (192.168.1.xxx e 192.168.2.xxx) in modo da rendere
piu' facile il nat (li sceglie per subnet) al firewall linux.


Penso di essermi perso un passaggio... Dunque, fermo restando lo
schema:
 CLIENT REMOTO --> INTERNET --> ZYWALL 5 --> RETE INTERNA --> FIREWALL
LINUX --> RETE AZIENDALE
avrei:
CLIENT REMOTO --> ip dinamico per cavoli suoi
INTERNET -->
ZYWALL 5 --> ip esterno 82.106.X.X
RETE INTERNA --> 192.168.1.X/24
FIREWALL LINUX --> verso rete interna 192.168.1.Y, verso rete aziendale
10.0.0.Y
RETE AZIENDALE --> 10.0.0.0
E' COME E' ADESSO!!! Il problema è a monte: se dal pc cerco di
raggiungere ad es. 10.0.0.15 il client non riconosce l'indirizzo nè
come rete locale, nè come indirizzo internet nè come indirizzo della
VPN e quindi non mi ritorna nulla.. Le soluzioni paiono:
- O mi natto tutte le macchine della rete aziendale sul firewall linux
con indirizzi di rete interna
- O uso la stessa classe per rete interna e rete aziendale
- O trovo un modo per inserire una sorta di rotta per la VPN (ma mi
servirebbe un client software che mi crea una specie di scheda di rete
virtuale...
- O prendo un lunghissimno cavo di rete (un paio di km...) e mi collego
da casa direttamente in azienda... :-(
GRAZIE INFINITAMENTE ROBERTO! SEI LA MIA SALVEZZA!!!

p.s. vedi di non abbandonarmi adesso però!

 - O uso la stessa classe per rete interna e rete aziendale
Evitalo. Prima o poi fai un macello indescrivibile.
Volendo, cosi', puoi anche limitare l'accesso alla rete aziendale
ai soli pacchetti che arrivano dalla vpn, e proteggerla cosi' anche
dalla rete interna.


Roberto potresti proprio aver trovato la mia soluzione! Ora faccio un
paio di test e poi ti dico!