Newsgroup: it.comp.os.linux.sys
Titolo: Trasparent Firewall e Limitazione di Banda

Buongiorno a tutti.
In una sala macchine già strutturata si vuole implementare un sistema di 
limitazione banda per host e relativi grafici di utilizzo di banda.
Si pensava ad un trasparent firewall su cui mettere i sistemi di 
limitazione di banda.
Qualche consiglio su come implementare la cosa su configurazioni, 
programmi da utilizzare, documentazione da leggere?
Grazie a tutti

 programmi da utilizzare, documentazione da leggere?
Puoi usare tc di iproute (o tcng) in associazione con iptables.
Un paio di letture introduttive:
http://tldp.org/HOWTO/Adv-Routing-HOWTO/index.html
http://tldp.org/HOWTO/Traffic-Control-tcng-HTB-HOWTO/index.html
Per i grafici di utilizzo di banda, puoi prendere in considerazione
ntop, ad esempio.

 Per transparent intendi in bridge?
Si.
Grazie per i link.

 Grazie per i link.
Se hai qualche domanda più specifica, a valle delle letture...

 Se hai qualche domanda più specifica, a valle delle letture...
Giusto un paio di dubbi che mi sono sorti subito:
1. il bridging funziona su un host senza nessuna configurazione ip, 
corretto? cioè niente configurazioni di interfacce, servizi, ecc.
2. tc non necessariamente deve cooperare con un firewall, tipo iptables, 
giusto?
Per una configurazione con limitazione banda per ip, non è sufficiente tc?
Grazie

 tc?
Certo, puoi usare tc filter con selector u32, ad esempio.
Personalmente, trovo più agevole usare CLASSIFY di iptables, però. :-)

 trovo più agevole usare CLASSIFY di iptables, però. :-)
Non conosco classify, googlo un pò. :D

 opzioni. Corretto?
Provo io usando la maieutica: per uno switch e il suo funzionamento 
cambia qualcosa che esso sia o meno managed e che abbia o meno un IP 
configurato?
Ecco: uguale ;-)
-- 
http://bofhskull.wordpress.com/

 configurato?
Ok. Il concetto è chiaro, quindi quello che ho letto era una castroneria. 
Dipende da come si vuole implementare la cosa.
Il "metodo socratico" ha funzionato! :D

 ntop, ad esempio.
minchia.... va tenuto sicurissimamente conto del fatto che ntop, per
quello che fa, è tanto bello quanto illegale (e fu così che tutti lo
installarono). Fra mettere ntop, e mettere una telecamera sulle
postazioni di lavoro non c'è assolutamente nessuna differenza.
-- 
echo onailimissaM | awk 'BEGIN { FS = "" }
{ for (i = NF; i >= 1; i-- )
  printf $i }'; echo

 postazioni di lavoro non c'è assolutamente nessuna differenza.
Questa si chiama "cazzata".
Poi, fa come credi.

 Questa si chiama "cazzata".
Ti aspettavi qualcosa di diverso?
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 Ti aspettavi qualcosa di diverso?
Uhm, potrebbe farsi chiamare Lex_Adamo
(ogni riferimento è puramente casuale... s'intende)

 Ti aspettavi qualcosa di diverso?
ti ho avvisato e uno, ti ho avvisato e due, ti ho avvisato e tre, ti
ho avvisato e quattro, ma siamo sempre allo stesso punto. 
preferisco non commentare per il momento.


Il giorno Tue, 14 Apr 2009 12:42:06 -0700 (PDT)
lotho.sackv...@gmail.com
 ha scritto:

secondo certe teorie, qualsiasi scanner di rete e da considerarsi non
legale, e NTOP è qualcosa di più.
Mettere in piedi qualcosa come ntop, puoi farlo, così come puoi mettere
delle telecamere sul posto di lavoro, ma seguendo certi criteri.
Quello che va capito, e che non lo si può considerare come un semplice
"apt-get install ntop" o "rpm -i ntop". E' sottintesto che per
utilizzare certi strumenti bisogna essere adeguati alle norme vigenti
in materia del trattamento dei dati.
Ripeto: ntop traccia tutto il traffico http. Su una pagina di ntop è
tracciato in modo capillarissimo l'attività degli utenti e non puoi
metterlo in piedi come se niente fosse.
Non dirmi che hai installato uno strumento del genere senza aver
notificato i dipendenti perché è completamente criminale.


 postazioni di lavoro non c'è assolutamente nessuna differenza.
Se non sai come usarlo adeguatamente, è un problema tutto tuo.
Te lo dice un tesserato FIOM.
E siccome certe insinuazioni sono assolutamente fuori luogo, te
lo spiego.
$grep INTERFACES /var/lib/ntop/init.cfg
INTERFACES="eth2,eth5"
Che sono interfacce *pubbliche*.
Ora salta a piè pari sulla telecamera, da bravo.

 Uhm, potrebbe farsi chiamare Lex_Adamo
LOL.

 completamente criminale.
Un proxy, secondo la tua logica (rotfl) è *molto* più intrusivo di un ntop
messo in ascolto sulle interfacce pubbliche.
Del resto
$ du -h /usr/share/man/man8/ntop.8.gz
20K     /usr/share/man/man8/ntop.8.gz
Prenditi la briga di leggerlo, magari.

 Ora salta a piè pari sulla telecamera, da bravo.
whiplash. questo che scrivi adesso (e che è era un po' scontato) non
puoi sottintenderlo. A parlare del P2P vi cagate tutti sotto, ma
ovviamente torrent si può usare, sia per scaricare una distribuzione
linux, sia per scaricare materiale pirata.
Io trovo eticamente molto più deplorevole configurare ntop ed usarlo in
modo selvaggio e scriteriato che non usare il P2P per danneggiare una
fottutissima major discografica, o una qualsiasi software-house.
E visto che se sei iscritto alla FIOM, ti ribadisco con maggiore
chiarezza che questi principi vanno osservati, per garantire il
massimo del rispetto e della tutela di tutti lavoratori.
Visto che sei della FIOM, andava un po' meglio se mi avessi risposto:
beh, si in effetti va specificato il fatto che "ntop" va utilizzato in
modo oculato.
Bastava aggiungere una postilla del tipo: installa ntop, tenendo conto
di blabla.... oh no?



io l'ho sempre fatto con appliance packeteer.
costosette, comunque.

 Gli strumenti sono neutri, è l'uso che se ne fa che fa la differenza.
whiplash, non mi dire queste cose. Anche una bomba atomica è neutra fin
quando non decidi di usarla.
Addirittura, pensa te, se non avvi il demone vuoi vedere che ntop non
logga niente?
E' chiaro che puoi configurarlo come vuoi, ma è chiaro che si tratta di
qualcosa che si usa con criterio.


 sembra una esagerazione, per questo ho scritto "secondo certe teorie".
a difesa di quanto detto dai miei colleghi (che io non condivido a
pieno) è diverso utilizzare nmap, tcpdump per fare troubleshooting in
maniera sporadica, e lanciarlo e lasciarlo lì a girare.


 delle telecamere sul posto di lavoro, ma seguendo certi criteri.
Secondo il tuo ragionamento, non si potrebbero vendere telecamere
perchè
se le metti nei cessi dell'autostrada per spiare le donnine sei un
fuorilegge.
Ntop è uguale, è una telecamera, poi se vuoi spiare cosa fanno certe
persone è
un problema tuo, ma se usato con "cervello" ntop non è affatto
fuorilegge.

 wrote:

ma si... anche torrent se usato in un certo modo non è fuorilegge,
anche un pistola se usata per farci tiro a segno non è fuori legge.
Questo lo abbiamo capito.
Tutte le cose usate con cervello non sono fuorilegge e non sono dannore.
E, così come va detto che la pistola può anche uccidere, così come va
detto che il P2P può essere usato anche per scaricare materiale pirata,
alla stessa maniera va detto che NTOP DEVE ESSERE USATO IN MANIERA
OPPORTUNA, e non alla cazzo di cane.
Trovo molto grave che non si voglia mettere in evidenza l'aspetto
del diritto alla riservatezza dei lavoratori, ma che allo stesso tempo
qualcuno si debba porre problemi per delle fottute case discografiche.
Ma spero che sia chiara questa spiegazione che sto cercando di dare.


 qualcuno si debba porre problemi per delle fottute case discografiche.
Ma a te chi ti ha detto che ci sono dei lavoratori da monitorare?
Su un firewall di un datacenter secondo te il sistemista non può
monitorare il traffico che entra ed esce dalla sua rete?
E se un pirla ti smonta 40 server a causa di un bug, tu stai li
impotente
senza poter sapere quale sia stato il bug? Ma si dai, aspettiamo che
torni un secondo utente che sfrutti lo stesso bug, tanto io non posso
installare ntop ne nessun altro sistema di monitoraggio perchè sono
fuorilegge.
Tu al massimo non puoi (e non sono nemmeno troppo sicuro) monitorare
il traffico dei dipendenti di una azienda rivalendoti (si dice così?)
su di esso
per dimostrare negligenza e robe simili, non il traffico di una
datacenter.

 Ma a te chi ti ha detto che ci sono dei lavoratori da monitorare?
Nessuno. Ma non sapeva più dove andare a parare dopo aver sparato la solita 
minchiata.


 su di esso
Tu puoi salvare dati di accesso, esterni e interni (o gli esterni ti
sembrano più figli di puttana degli interni?) e quant'altro,
attendendoti alle norme vigenti e per un periodo non superiore a quello
previsto per la max retention, e in taluni casi, per un periodo non
inferiore a quello previsto dalla min_retention, ma ti devi attenere a
tutta una serie di norme specifiche.
Capito? Ci sono casi dove la legge ti impone addirittura di non
cancellare il dato prima dell'ora X, e di cancellarlo esattamente allo
scoccare dell'ora Y.
Credimi, non è una questione semplice da dirimere, qui sul newsgroup.


 solita minchiata.
Con te non seguo nemmeno la logica e tantomeno cerco di argomentare,
però ti avvso (*) che vengo fino a Trento o dalle parte in cui sei,
al che ti sfilerei la colonna vertebrale dal clitoride e la userei
per frustarti.
(*) non prenderla come una minaccia, ma come un avvertimento che può
toranrti utile per metterti in salvo.


 rispettare i diritti dei lavoratori.
Non ci siamo è.....
QUALI LAVORATORI?
Quali lavoratori ci sono in un firewall perimetrale che monitora il
traffico?
Sempre che tu non intenda come lavoratore il kernel, perchè alla
fine,
anche lui fa il suo bel lavoro.

 toranrti utile per metterti in salvo.
Non è una minaccia? Hai uno strano modo per complimentarti con la
gente allora.....

 wrote:

Lotho, il troppo è troppo. Va bene, qui siamo tutti un po' virtuali
e si può anche esagerare un po' senza per questo dover essere
offesi da quello che gli altri possono dirci, però questa storia adesso
sta iniziando ad assumere i contorni di una vera e propria persecuzione
mediatica. 
Sono stato chiaro finché ho potuto, ho cercato di porre rimedio in
tutti i modi, ho dimostrato fino all'ultimo di non essere ne rancoroso.
Gli ho ripetutamente e gentilmente chiesto di non "defecarmi
l'uccello", in tutti i modi possibili, però, teniamo presente che:
1) si può anche decidere di passare dall'azione ai fatti. E, visto il
protrarsi di questa situazione, e visti i suoi poco piacevoli risvolti,
i fatti potrebbero non essere ne il kill-file, ne gli insulti via web.
2) si potrebbe voler raggiungere un obiettivo senza avere troppo
tempo a disposizione, o soldi da perdere in azioni legali.


 gente allora.....
Sento il rumore del suo fegato che si contorce sin da casa... sbroccata da 
artista...


> Con te non seguo nemmeno la logica e tantomeno cerco di argomentare,
Due cose che nemmeno volendo riusciresti a fare.

 cervello per il confronto dialettico 
Riflessione a voce alta, parlando con me stesso:
Massimiliano, qui siamo di fronte a uno che prima ti risponde solo
per interposta persona e adesso ti sta chiedendo perché non ti apri al
confronto dialettico. 
Fine della riflessione.
Cioè, dopo aver lasciato intendere a tutti quanti che non mi stai
leggendo adesso mi defechi l'uccello, chiedendomi come mai io non sto
argomentando più?
Se è come penso io, questo qui ha ancora un possibilità di salvarsi: gli
smidollati non hanno una colonna vertebrale.


 ha scritto:

Neo:
1) anche tu sei uno di quelli che ha dichiarato al mondo intero di
avermi filtrato. Eppure, caso strano, ti trovo ancora qui, ancora una
volta attaccato ai miei coglioni.
2) ma tu sei convinto che io sono ancora fermo all'aspetto ludico della
questione, il kill-file, l'insultino, la pacca sulla spalla al compagno
di merende in difficoltà. 
No, caro, quello è un profilo da ragazzino, che poco si addice a me, ma
che evidentemente è più consono a qualcuno di voi.


 wrote:

ouh... qui si parlava di ntop, e non di firewall perimetrale. Mica ho
detto che il firewall perimetrale non deve fare logging.
Fra l'altro (per esempio) se non ricordo male a iptables dici di
loggare solo i DROP. Questo non vuol dire che tu stai monitorando
indiscriminatamente.
Chi va sul firewall, tentando di violare le regole del firewall stesso,
viene loggato perché sta chiaramente tentando un accesso non
autorizzato.
Certo, anche in questo caso, si tratta di "come le cose vengono
configurate"
Ma Ntop, consentitemelo, è un tantino diverso, rispetto al dato raw e
grezzo, che notifica un accesso o una tentata violazione.
Certe opzioni di ntop, se configurato in un certo modo, corrispondono
ad una telecamera sulla propria postazione di lavoro. 
Io se sapessi che sul mio posto di lavoro c'è NTOP che monitora il
traffico http senza che io sia stato avvisato potrei veramente
incacchiarmi.
OK, adesso bando all'informatica e parliamo di cose serie: andiamo sul
reale e ti racconto la mia esperienza personale e diretta con ntop.
All'incirca 8 anni fa configurai ntop in azienda. Era una azienda di
medie dimensioni, di quelle dove metti tutto sotto sopra e fai il
cavolo che ti pare senza dover notificare nessuno.
A quei tempi l'argomento della privacy era per lo più sconosciuto e
pochissimo approfondito.
Bene. Io ero a Milano, e tramite NTOP mi accorsi che un direttore di
stabilimento in Friuli passava tutta la giornata ad aprire siti porno
(vedevo tutti i link sui grafici e quante volte li apriva). Scherzammo
tra colleghi dell'accaduto, ma appena il capo venne a sapere della
cosa, mi chiese di cancellare immediatamente tutto e di dimenticare
ogni cosa.
Il capo non aveva tutti i torti, ma l'unica cosa che mi dispiacque, fu
il fatto che pensai che se invece di trattarsi del direttore, si fosse
trattato di un operaio, le cose sarebbero andate probabilmente in modo
diverso.... un po' come la canzone di Luigi Tenco: "maestra ci dici che
siamo tutti uguali, ma quando entra il preside ci fai alzare e quando
entra il bidello ci fai rimanere seduti".
Ciao.


 modo oculato.
Sii gentile, vatti a ricercare i miei ennemila post su argomenti 
analoghi, invecedi fare illazioni.
Eccoti l'ultimo thread, della settimana scorsa:
http://groups.google.com/group/it.comp.os.linux.sys/browse_thread/thread/26b875d667012ac9/b6b5fb973b9c9c0c?q=insubject%3AEsportare+insubject%3Ail+insubject%3Acapture+insubject%3Adi+insubject%3AWireshark+insubject%3Ain+insubject%3ASQL&pli=1

 qualcosa che si usa con criterio.
E allora non scrivere cazzate, equiparando automaticamente uno strumento
utile come ntop a un sistema di telecontrollo dei lavoratori.

 Ma a te chi ti ha detto che ci sono dei lavoratori da monitorare?
Soprattutto nel contesto di cui parlava l'OP: monitorare la
*banda* su un *bridge*.
Un bridge che, in casi come quelli descritti, si interpone tra l'interfaccia
pubblica del gateway e il router del provider.
Ma Egli piomba nel thread, pretendendo di dare lezioni di etica e di Statuto
dei Lavoratori.

 Te lo dice un tesserato FIOM.
Ettepareva se non era anche comunista...
-- 
http://bofhskull.wordpress.com/

 Ettepareva se non era anche comunista...
LOL.

 diverso....
Dilla tutta, è un complotto nei tuoi confronti.
Ti stai arrampicando sugli specchi ma non ti sei accorto che si son
già rotti....
Ripeto: da nessuna parte è scritto che l'utente deve monitorare le
postazioni lavoro.
E' scritto come fare shaping di traffico e come fare grafici di banda,
al 99.999% si fa
su server e non su postazioni lavoro. E comunque sia, non è stato
specificato per cui
smetti di sparar stronzate pur di infognare il thread.
(e comunque, io non credo che non si possa monitorare i siti visitati
dagli utenti, credo solo
che non si possano utilizzare tale prove contro l'utente stesso, per
cui avrebbero valore zero)
Se il bidello invece di lavorare passa tutto il giorno su youporn ed
io lo vedo tramite i log, credo
di non poterlo licenziare, tutto qui.

 io l'ho sempre fatto con appliance packeteer. costosette, comunque.
Grazie a tutti per le risposte.
L'intenzione di monitorare il traffico è dovuta perchè vogliamo generare 
grafici sull'utilizzo della banda dei server. 
Darò un'occhiata a ntop, ma mi viene in mente anche mrtg.

 Darò un'occhiata a ntop, ma mi viene in mente anche mrtg.
Occhio, se ntop è fuorilegge, mrtg porta sulla cattiva strada....
Non cedere a tentazioni, il Maligno è sempre in agguato, non farti
allontanare dalla retta via.

 allontanare dalla retta via.
LOL! :D

 postazioni di lavoro non c'è assolutamente nessuna differenza.
E' una sala macchine.
Fabio

 Darò un'occhiata a ntop, ma mi viene in mente anche mrtg.
Sono due prodotti molto diversi; uno ti offre una visione dell'utilizzo 
della rete "vivisezionata" fino al singolo pacchetto, l'altro ti offre 
grafici sul traffico complessivo di una determinata interfaccia 
(indicativamente tracci grafici di valori ottenibili via snmp).
Comunque ti suggerirei cacti al posto di mrtg.


 navigazione dall'identità del navigante.
Non è propriamente corretto. I dati possono essere salvati dall'applicazione 
e quindi essere disponibili all'amministratore a prescindere dalla volontà 
dello stesso e comunque possono essere necessari per svolgere l'attività di 
manutenzione ordinaria dei sistemi.
Per questo il sysadmin è tenuto semplicemente a non utilizzarli in alcun 
modo se non per scopi strettamente inerenti l'attività amministrativa e a 
non comunicarli a *nessuno*.


 Ettepareva se non era anche comunista...
al giorno d'oggi bisognerebbe vergognarsi a non esserlo. Ma questo sono
cose più serie dell'informatica. Mettiamole da parte.


 cose più serie dell'informatica. Mettiamole da parte.
Esatto, mettiamole da parte perchè avrei qualcosa da ridire.
Che adesso un improvvisato giurista debba venire anche a fare
la romanzina dicendo: "bisognerebbe vergognarsi" è il colmo.
Hai pisciato fuori dal vaso dicendo che ntop è illegale per monitorare
dei
lavoratori (e nessuno ha mai parlato di lavoratori se non te) ed
adesso
caghi fuori dal cesso dicendo che chi la pensa diversamente da te deve
vergognarsi.... Ma vergognati te.

 Ma questo sono cose più serie dell'informatica. Mettiamole da parte.
Everything's political.