Newsgroup: it.comp.os.linux.iniziare
Titolo: problema firewall

Vi devo chiedere un aiuto...e' na cosa basilare...ma non la so fare :)
Ebbene, il mio simpaticissimo capo dato che gli avevo detto che avevo
installato un paio di volte linux a casa mia, ha pensato bene di spacciarmi
come amministratore unix e di mettermi a configurare due sistemi firewall
con linux per due ditte...e il primo server lo devo testare su una linea di
test e portarlo dal cliente e riconfigurarlo per mercoledi' questo...evito i
commenti sul QI del mio capo....
Questo firewall deve semplicemnte far comunicare la rete privata con
l'esterno con annesso filtering. In un secondo momento fara' parte pure di
una DMZ insieme ad un mail server e ad un webserver (e tornero' al muro del
pianto...).
Non va un benemerito cazzo. Ovvero: non riesco a far uscire il client di
test all'esterno. pinga entrambe le schede del firewall (indirizzo pubblico
su eth0 e ndirizzo privato su eth1) ma nessun altro indirizzo della nostra
rete (che per la cronaca sfrutta un dhcp che smercia indirizzi pubblici su
TUTTI i client della rete... :) ) e tantomeno i router o il web.
Sono due giorni che leggo tute, ma tutti partono dal presupposto che di
default, ovvero senza nessuna regola, i client escano sfruttando l'ip
forwarding o masquerading tranquillamente, e danno come prova del nove la
disabilitazione dell'ipforwarding per non farli uscire...ma il problema e'
che sto client, di uscire, non ci pensa nemmeno...
magari sbaglio qualcosa nella configurazione della schede...
esempio di come l'ho configurata io (con ip farlocchi rotfl):
Router:
-ip: 80.100.100.1
Firewall:
eth0 (pubblica)
-ip: 80.100.100.3
-nm:255.255.255.120
-gw:80.100.100.1
eth1:
-ip:10.0.0.1
-nm:255.255.255.120
-gw:80.100.100.1
Client:
eth0:
-ip:10.0.0.2
-nm:255.255.255.120
-gw:10.0.0.1 (di questo non sono molto sicuro... :) )
teoricamente dovrebbe swittchare automaticamente sulla scheda pubblica
quando un client vuole uscire o sbaglio?
cmq ho provato anche a modificare la tabella di routing per forzare la
scheda privata sulla pubblica ma non cambia una fava.
spero che qualcuno di voi sappia aiutarmi
graze anticipatamente
ciao
vinx

quando un client vuole uscire o sbaglio?
Come detto sopra, se si tratta di un client con IP pubblico, e l'ip
forwarding e' abilitato non ci dovrebbero essere problemi.
-- 
        Sephiroth
____________________________
Linux Registered User:181013
"Computers are like air conditionners, they stop
working properly when you open windows."

 forwarding e' abilitato non ci dovrebbero essere problemi.
no gli indirizzi pubblici di cui parlavo sono dei pc della mia ditta ma non
c'entrano con la linea di test che sto facendo.
ho provato un comando per disabilitare l'ipforwarding, ma domani provo
quello che mi hai detto tu.
ti faccio sapere domani sera quando torno o magari dal lavoro direttamente.
per adesso grazie mille!
vinx

 i pacchetti...
ehm...come? :)
facendo un traceroute dal client (10.0.0.2) al router (80.100.100.1) si
ferma alla scheda privata del firewall (10.0.0.1)...anzi si fermava, ora
dopo smanettamenti vari non arriva manco fino a li....
come dns server sul client ho messo 80.100.100.9 che e' il server nt che lo
gestisce in ditta...o devo mettere 10.0.0.1? d'altronde ho lasciato la
risoluzione del dns anche a lui...o almeno credo :))
END
sto s c l e r a n d o....
dica dotto' che posso fare? :)
cia'
P.S.: ah, complimenti, perche' siete uno delle pochissime ml tecniche in cui
proponi un problema e chi ne sa ti aiuta senza la solita arroganza che
permea determinati ambienti...bravi! :)

cmq da lo stesso risultato...
IPTABLES lavora su varie tabelle, ognuna delle quali contiene
determinate chain (tra postrouting, prerouting, input, output, ...).
Per implementare il Masquerading devi manipolare la chain POSTROUTING,
ma della tabella NAT!
La tabella di default contiene le tre catene INPUT, FORWARD e OUTPUT,
ma non POSTROUTING: e' per questo motivo che ti da quell'errore.
Per manipolare correttamente la catena POSTROUTING nella tabella NAT
usa il comando:
# iptables -t NAT -A POSTROUTING -s 
10.0.0.0/255.255.255.192
 -o eth0
-j MASQUERADE
L'opzione -t nome_tabella serve proprio a specificare una tabella
diversa da quella di default.


Dimenticavo!
Faresti bene a dare una lettura ai seguenti HOWTO:
IP-Masquerading
IPTables (questo e' fatto proprio bene)
Firewall


 Firewall
grazie mille!
ormai credo se ne parli lunedi quando torno in ditta...ti faccio sapere
grazie ancora!
ciao
vinx

Alla fine era proprio un problema di masquerading!
ho applicato le regole giuste e si e' risolto tutto!
grazie mille per l'aiuto!
ciao :)
-=vinx=-