Newsgroup: it.comp.os.linux.iniziare
Titolo: Indirizzi di rete e firewall

Ho un router di mamma telecom che mi connette ad internet con indirizzo
pubblico, e da parte della rete interna si presenta con indirizzo
192.168.0.254. Il router è configurato in modo tale (da telecom) che tutte
le chiamate in ingresso siano ruotate verso un server con indirizzo
192.168.0.1.
ip_pubblico---router_192.168.0.254---server_192.168.0.1
vorrei interporre tra il router ed il server un firewall con 2 schede di
rete e una linux box.
Posso dare alla scheda entrante del firewall l'indirizzo 192.168.0.1 e a
quella uscente 192.168.0.254??
ip_pubblico---router_192.168.0.254---||fw_192.168.0.1---fw_192.168.0.254||--
-server_192.168.0.1
in modo tale da bypassare il firewall con un collegamento diretto tra router
e server tramite un semlice cavetto senza intervenire a livello software...
lo faccio per utenti (utonti) :-))
Luca

 
Ciao!
Il randellatore

 OK?
è proprio un caos :-((
purtroppo non ho possibilità di mettere le mani sul router di telecom...
dalla parte della rete interna dovrei cambiare le impostazioni a tutti i pc,
inoltre dalla parte del router entrano altre 2 classi di indirizzi faccenti
parte di sedi distaccate... in pratica il router telecom fà anche da vpn con
queste due reti... sono proprio inguaiato :-((
mi basterebbe catturare tutto il traffico di rete che esce dal router... se
ci sono altre soluzioni, ne sarei interessato
grazie, ciao

 
Prego!
Ciao!
Il randellatore

 Dunque il tuo problema è limitare il traffico in uscita???
esattamente il contrario... per traffico in uscita intendo quello che mi
arriva in lan
Proverò a fare qualcosa, ma per le mie conoscenze mi trovo in un blocco
mentale molto grosso.
Hai un esempio molto semplice di firewall con 2 schede di rete?
In rete ne ho trovati molti, ma molti molto confusionari.
Grazie, ciao

Non sapendolo ho scoperto una cosa con iptables.
Prima bisogna definire le regole per i pacchetti da accettare "-j ACCEPT"
poi definire le regole di negazione "-j DROP"
altrimenti non mi funziona nulla
ma nei tutorial che ho letto non mi sembrava fosse cosě
Ciao

 
Prego!
Ah segui anche il thread in questo NG
iptables-save e iptables-restore del 14/10/2003
ho dato svariati consigli a un utente che ha una
situazione simile ma non uguale alla tua ed ho messo anche dei link!
Ciaoo!
Fammi sapere!
Il randellatore

Il randellatore ha scritto:
[CUT]
Ciao!
Ecco qui un esempio di script:
#Mio Firewall
#disattiva IP forwarding
echo 0 > /proc/sys/net/ipv4/ip_forward
#Flushing di tutte le catene
iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD
iptables -t nat -F PREROUTING
iptables -t nat -F POSTROUTING
iptables -t nat -F OUTPUT
#impostazione delle politiche di default
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
#CATENA PREROUTING
#instradamento della VPN sul server
iptables -t nat -A PREROUTING -p tcp -i eth0 -s ind_rete_esterna -j DNAT --to-destination ind_server
#CATENA POSTROUTING
#mascheramento IP
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
#CATENA INPUT
iptables -A INPUT -j ACCEPT -p icmp --icmp-type 0 -i eth0
iptables -A INPUT -j ACCEPT -p icmp --icmp-type 3 -i eth0
iptables -A INPUT -j ACCEPT -p icmp --icmp-type 8 -i eth0
iptables -A INPUT -j ACCEPT -p tcp -s ind_rete_esterna -i eth0
iptables -A INPUT -p all -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p all -i lo -m state --state ESTABLISHED,RELATED -j ACCEPT
#CATENA FORWARD
iptables -A FORWARD -j ACCEPT -p icmp --icmp-type 0
iptables -A FORWARD -j ACCEPT -p icmp --icmp-type 3
iptables -A FORWARD -j ACCEPT -p icmp --icmp-type 8
iptables -A FORWARD -j ACCEPT -s ind_rete_esterna -i eth0
iptables -A FORWARD -j ACCEPT -d ind_rete_esterna -i eth1
iptables -A FORWARD -s 
192.168.0.0/24
 -i eth1 -j ACCEPT
iptables -A FORWARD -d 
192.168.0.0/24
  -m state --state ESTABLISHED,RELATED -j ACCEPT
#attiva IP forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward
l'interfaccia esterna cioe' quella verso il router e' la eth0
e quella interna(quella verso la lan) e' la eth1.
ho ipotizzato come indirizzo della rete della tua LAN
192.168.0.0/24
Spero ti possa essere utile!
Ciao!
Il randellatore

 Ciao!
Grazie, ho adattato lo script, ma per qualche lato oscuro ho dovuto
invertire l'ordine delle regole, altrimenti mettendo prima i drop e poi gli
accept non mi funziona.
Ultimamente pensavo di risolvere di avere 2 schede di rete con classe uguale
mediante il comando route:
esempio
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.0.1 * 255.255.255.255 U 0 0 0 eth0
192.168.0.254 * 255.255.255.255. U 0 0 0 eth1
voglio provare ad aggiungere queste due righe, e vedere se i pacchetti
girano per il verso giusto.
se fosse possibile avere 2 schede di rete con 2 ip apparteneti alla stessa
classe.... farei una bevuta :-)))
Grazie, ciao

 
Non c'e' di che!
Il randellatore

ho risolto quasi del tutto il problema con 2 schede di rete nella stessa
classe.
tramite un trasparent bridging e proxy_arp...
manca solo qualche piccolo particolare, ma credo si possa  fare
e vai ..... stasera si beve :-)))
ciao

 tramite un trasparent bridging e proxy_arp...
[CUT]
Cavolo questa pero' me la potresti spiegare!
Il randellatore
-----------------------------------------------------------------
LINUX REGISTERED USER #332371
LINUX REGISTERED MACHINES #216794
Registered at 
http://counter.li.org
 
-----------------------------------------------------------------

> Cavolo questa pero' me la potresti spiegare!
a questo sito ho trovato informazioni giuste per il mi caso
http://www.ebruni.it/docs/lf/html/lf.htm
vai al capitolo "Trasparent bridging...."
praticamente posso interporre il firewall dove voglio io, senza dover
cambiare indirizzi o cose simili.
basta un'opportuna configurazione.
Ciao