Newsgroup: it.comp.os.linux.sys
Titolo: Firewall: 2 sch rete su stessa rete. Come fare?

Salve
devo configurare un firewall con due schede:
- Scheda rete interna collegata alla mia rete aziendale
- Scheda rete esterna collegata al mio router HDSL Cisco.
Le due schede di rete del firewall devono avere come ind Ip due indirizzi Ip
sulla stessa rete.
Esempio:
Eth1 192.168.0.1 255.255.255.0
Eth2 192.168.0.2 255.255.255.0
in quanto il router HDSL è gia configurato (da telecom) su un indirizzo
della mia rete aziendale interna.
Come posso fare?
Posso andare incontro a problemi?

 Posso andare incontro a problemi?
- Proxy-arp
- Bridging
Puoi fare entrambi ed entrambi funzionano magnificamente, pur richiedendo
attenzioni diverse.
C'è chi ti consiglierà la prima, io consiglio la seconda, ma è solo
questione di gusti, ritengo..
Hola...


Che differenza c'è tra i due?
Pro e Contro di ognuna?

 Pro e Contro di ognuna?
La differenza č esattamente nel fatto che sono due cose diverse, anche se
possono portare a risultati apparentemente analoghi.
Proxy arp consiste fondamentalmente nell'"ingannare" le macchine coinvolte
per fare un routing trasparente tra i due spezzoni della lan. E' un metodo
piů pulito dal punto di vista del layering, ed č fattibile con quello
che hai in casa, per cosě dire...
Il bridging lavora a layer 2, e pertanto viola i principi di layering
normali. Per questo motivo, richiede un po' di attenzione
nell'applicazione; oltre che una patch al kernel...
In compenso, permette configurazioni piů avanzate, come il failover delle
interfacce, o addirittura di tutta la macchina, usando due bridge
"paralleli", ed č trasparente letteralmente a tutti i livelli (anche il
2), rendendo il firewall stesso non raggiungibile sulla rete e pertanto
virualmente inattaccabile.
Ti consiglio comunque di prenderti un bel po' di documentazione e scavare
da te ;-)
Ciao..

 indirizzi Ip sulla stessa rete.
Cambia la subnet della tua rete interna, da 192.168.0.x a
192.168.1.x, cosi' sarai in grado di distinguere le richieste
INTERNE da quelle ESTERNE.
Davide
-- 
| A real patriot is the fellow who gets a parking ticket and rejoices
| that the system works. 
| 
| 


Ma riesco con entrambi i modi a fare del packet-filtering oppure a bloccare
certi indirizzi ip piuttosto di altri?

Ti serve per filtrare tutta la rete azziendale ?
Se si , + semplicemente io le metterei in bridge in maniera da filtrare tutto il traffico , e quindi avere un firewall totalmente trasparente , per non incasinarsi con nat h323 ecc ecc .


 certi indirizzi ip piuttosto di altri?
Essennň che avevo risposto a fare?!?


Non posso......
troppi pc
alcune macchine configurabili solo dai produttori.....
.......

 ha scritto nel messaggio
news:20040510161...@lbartolomai.localdomain...
Ti serve per filtrare tutta la rete azziendale ?
Se si , + semplicemente io le metterei in bridge in maniera da filtrare
tutto il traffico , e quindi avere un firewall totalmente trasparente , per
non incasinarsi con nat h323 ecc ecc .
Mi serve per filtrare tutta la rete aziendale.
Tutti i pc devono passare per il firewall per navigare.
Sul firewall deve girare anche un proxy.
Possono esserci problemi se all'interno di questa rete aziendale ci sono un
paio di pc che devono essere raggiunti da determinati indirizzi IP da
internet?

E se avessi la necessità che dall'esterno (da ip statici) un paio di ip
della rete aziendale siano raggiungibili?
E fattibile sempre con proxy arp o bridge?



Quale è la differenza tra interno ed esterno, in un oggetto che *non* fa
NAT?!?

 Posso andare incontro a problemi?
Anche se mamma telecom ti ha configurato il PAT sul cisco,
mi risulta spesso sia sempre possibile utilizzare gli indirizzi
pubblici. Almeno io, con i cisco forniti da telecom, configurati
col nat, non ho mai avuto problemi.
Per assicurarti di cio', basta collegare un portatile
al router con un cavo cross, configurarlo con un ip pubblico
fra quelli della subnet pubblica assegnata, e provare a navigare...
Se non va, prova con gli altri ip della subnet assegnatavi.
Dopodiche', bastera' configurare una eth con l'indirizzo pubblico...
che funzia  ;-)   e l'altra con l'indirizzo 192.168.0.x,
senza temere che vada in conflitto col preesistente pat del router.
bye G.L.
-- 
« E' assolutamente evidente che l'arte del cinema
  si ispira alla vita, mentre la vita si ispira alla TV »
(Woody Allen)