Newsgroup: it.comp.os.linux.iniziare
Titolo: [Semi-OT] Firewall, Adsl e IP statici

Ciao a tutti,
devo creare una VPN con ADSL tra due sedi di un mio cliente e sono un po'
confuso perche' non l'ho mai fatto.
Gli mettero' 2 pc con SmoothWall (non so se qualcuno lo usa -
www.smoothwall.org
) come firewall.
SmoothWall per creare una vpn richiede che le connessioni abbiano un
indirizzo IP fisso.
Le due reti saranno cosi' composte:
Lan interna sede 1 (ip 192.168.0/24)
        |
Firewall Smoothwall
        |
modem o router adsl
        |
--internet--
        |
modem o router adsl
        |
Firewall Smoothwall
        |
Lan interna sede 2 (ip 192.168.1/24)
Ora, il mio dubbio e': di quanti indirizzi ip statici ho bisogno?
Se gli faccio fare 2 abbonamenti con 1 indirizzo fisso per connessione
l'indirizzo se lo puppa il modem o il router e quindi al firewall non posso
assegnare un ip fisso dico bene?
Qualcuno mi puo' dare una dritta?
Grazie
-- 
Andrea Chiado' Piat

 Andrea Chiado' Piat
[...]
Basta un Ip Statico Pubblico al router assegnerai un Ip Statico Privato,
natterai tutte le porte su un IP che darai al firewall, altrimenti "esci" ma
non "entri". Lo schema da seguire è il seguente
Internet
    |
    |
IP Pubblico
Router
IP Privato
NAT IP Privato Firewall
    |
    |
Firewall
    |
    |
lan Interna
Luigi


Parli di SNAT (o masquerading che dir si voglia)?
ciao Luca
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 Luigi
Scusa l'ignoranza ma cosi' facendo io dovrei mettere in Smoothwall come ip
di provenienza per la vpn l'indirizzo ip privato del router? In questo caso
qualsiasi richiesta da qualsiasi indirizzo ip in internet mi risulterebbe
arrivare dall' indirizzo del router e quindi considerato accettabile per la
connessione?
Grazie
-- 
Andrea Chiado' Piat
Un signore prega Dio:
- Oh, Dio, che devo fare della mia vita? Cosa ti aspetti da me?
Cosa c'č dopo la morte? Qual č il senso della vita?
Attimo di silenzio, poi una voce tuona dal cielo :
- LEGGI LE FAQ!!!


[...]
Se vuoi discriminare l'ingresso ad un determinato IP lo puoi fare, chi si
presenta non è mica il router.
Il router non è un proxy.
Poi sarà il nome utente e password a discriminare l'ingresso.
Anche se avessi ip pubblico sarebbe la stessa cosa non credi?
Luigi

 Luigi
Quello che vorrei fare e' accettare la vpn solo se fatta tra due ip pubblici
specifici. Con la soluzione che mi hai dato tu riesco a farlo?
Scusa se rompo ma, come avrai capito, non sono granche' esperto.


Andrea Chiado' Piat ha scritto:

Se ho capito bene vuoi usare ipsec per il tunnel VPN, giusto?
Ti serve almeno un altro IP pubblico che arrivi sui router.
Oppure un router impostato per essere completamente trasparente e
rigirare sull'interfaccia dal lato lan tutto cio' che gli arriva.
Ovviamente, un router cosi' settato non puo' essere amministrato da
rete, e deve essere gestito solo via consolle seriale.
Oppure, ti costruisci un tunnel ssh che trasporta la VPN sulla porta 22 
di entrambi, che devi settare per essere forwardata all'interno della
lan ma non mi sembra sia gia' configurabile con freeswan.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net


[...]
Ok, rendi il "router trasparente" e scrivi le regole sul firewall, che poi č
la stessa cosa se hai un IP Pubblico sul router e (stessa classe) un IP
Pubblico sull'interfaccia WAN del firewall, in mancanza di tutto ciň (ossia
avendo solo 1 IP Pubblico) devi per forza di cose "Nattare" tutto il traffi
su un ip privato che risulterebbe essere l'IP dell'interfaccia WAN del
firewall.
Luigi

 firewall.
Se natti pero` hai dei problemi col traffico ipsec (in particolare col
protocolla AH), penso che fosse questo l'appunto di Roberto sul router
trasparente.  Se vuoi fare ipsec ``pulito'' con AH e ESP gli indirizzi
dovrebbero [1]  essere entrambi pubblici.  Oppure  potresti rendere il
firewall  come secure  gateway e  fare criptare  a lui  invece  che ai
client nattati.
Se invece non  sei obbligato a usare ipsec secondo  me la maniera piu`
semplice e  funzionale per realizzare  un tunnel criptato e`  di usare
openvpn [2] e li  non ci sono problemi di nat di  sorta, basta che uno
dei due gateway della vpn abbia un indirizzo ip pubblico.
[1] dovrebbero perche`  ci sono alcune vie per  dare la possibilita` a
ipsec  di passare il  nat, ad  esempio la  patch di  freeswan chiamata
superfreeswan, cercala in 
freeswan.ca
[2] 
http://openvpn.sf.net
-- 
Vuoi fare colpo su di lei con me?
Fai colpo su di lei con me! Fai colpo su di lei con me!
[Dr. Gonzo : Paura e delirio a Las Vegas]

 [2] 
http://openvpn.sf.net
Ho visto.
E' praticamente quello che mi ero fatto alcuni anni fa, usando ssh e un
virtual tty come trasporto.
Questo, da quello che ho visto, e' un po' piu' malleabile, ed e' gia'
fatto, basta configurarlo.


 fatto, basta configurarlo.
Si,  hai notato  che  puo` fare  anche  l'autenticazione in  modalita`
TLS/SSL?  E` la vera forza di questo software, IMHO.
