Newsgroup: it.comp.os.linux.sys
Titolo: Aiuto per DMZ

Ho provato a creare una dmz con 3 schede di rete su una macchina.
gw di default: 131.175.60.254 router
eth1: 131.175.60.253 rete: 131.175.60.0 gw:131.175.50.254
eth0: 192.168.2.1 rete: 192.168.2.0
eth2: 131.175.60.100 DMZ rete: 131.175.60.0
gw
eth1 
---------eth2 DMZ----- web
-----
eth0 
rete privata
gw di default 131.175.60.254 router
La scheda eth1 ha come gw quello di default
ipchains -A forward -s 
192.168.2.0/24
 -d 0/0 -j MASQ
Dalla rete privata posso pingare al router e funziona tutto !
Ma dalla dmz cioe dal un client 131.175.60.2 con gw 131.175.60.100
non vedo niente !!!
Cosa devo impostare ? So che eth1 e eth2 in pratica sono la
stessa rete, ma tuttavia sono costretto a tenere questi
indirizzi per far vedere il mio web pubblico posto sulla dmz.
Grazie anticipatamente !
-------------------------------------------------------------
Sent with AnonEmail at 
http://anonymouse.home.pages.de/
--
Posted from 
jengate.thur.de
 [193.174.15.34] 
via Mailgate.ORG Server - 
http://www.Mailgate.ORG

eth2: 131.175.60.100 DMZ rete: 131.175.60.0
E' importante che le due schede di rete con indirizzo pubblico
facciano parte di due sottoreti diverse. Se la sottorete e' la stessa
puoi fare al massimo un bridging ma non un firewall utilizzando le
tabelle arp per far si che i pacchetti vadano per la giusta strada,
sulla scheda che vuoi tu.
Se invece, desideri fare due subnet diverse, ti posto il mio ifconfig:
eth0      Link encap:Ethernet  HWaddr 00:E0:18:C1:D2:84
          inet addr:192.168.1.9  Bcast:192.168.1.255
Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:124349 errors:0 dropped:0 overruns:0 frame:0
          TX packets:85215 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100
          Interrupt:19 Base address:0x1800
eth1      Link encap:Ethernet  HWaddr 00:50:04:53:86:94
          inet addr:195.135.112.49  Bcast:195.135.112.55
Mask:255.255.255.248
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:33765 errors:0 dropped:0 overruns:0 frame:0
          TX packets:31547 errors:0 dropped:0 overruns:0 carrier:3
          collisions:10 txqueuelen:100
          Interrupt:19 Base address:0x2000
eth2      Link encap:Ethernet  HWaddr 00:50:04:56:64:D5
          inet addr:195.135.112.61  Bcast:195.135.112.63
Mask:255.255.255.252
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:69074 errors:0 dropped:0 overruns:0 frame:0
          TX packets:73897 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100
          Interrupt:16 Base address:0x2080
lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          UP LOOPBACK RUNNING  MTU:3924  Metric:1
          RX packets:6021 errors:0 dropped:0 overruns:0 frame:0
          TX packets:6021 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
Come puoi notare eth1 ed eth2 sono su due subnet diverse della stessa
rete:
eth0:  inet addr:192.168.1.9  Bcast:192.168.1.255  Mask:255.255.255.0
eth1: net addr:195.135.112.49  Bcast:195.135.112.55
Mask:255.255.255.248   
eth2:  inet addr:195.135.112.61  Bcast:195.135.112.63
Mask:255.255.255.252
Saluti, Raffaello
-------------------------
http://www.bsc.it

 Cosa devo impostare ?
Non vorrei dire idiozie, ma credo tu debba impostare sulle macchine della
DMZ come gateway predefinito il firewall, e su questo impostare le tabelle
di routing corrette. Rimane pero' il problema di cambiare le tabelle anche
sul router (dove in teoria bisognerebbe impostare il firewall come gateway
per gli indirizzi 131.175.60.x). Insomma, un bel problema, anche perche'
normalmente non si ha possibilita' di accedere alle tabelle del router.
Io ho risolto in un'altro modo. Ho messo il server WEB all'interno della
rete privata, dopodiche con "routed" sul firewall reindirizzo tutte le
richieste alla porta 80 del firewall verso la macchina con il web server che
ha un indirizzo del tipo 192.168.x.y
Il tutto funziona benissimo. L'unico problema e' che puoi installare un solo
web server, un solo ftp  server, un solo mail server, etc. ma questo alla
fine non si rivela un gran problema se non hai esigenze particolari.
--
Leonardo Querzoni
Decnet S.r.l.

 facciano parte di due sottoreti diverse. 
Non vorrei dire assurdita`, ma anche con due schede sulla stessa
sottorete dovrebbe funzionare, a patto di crearsi dei route
specifici per *ogni* indirizzo e non per rete. (Chiaramente la
cosa ha senso quando hai pochi indirizzi da gestire)
Ciao
Vincenzo