Newsgroup: it.comp.os.linux.sys
Titolo: [IPTABLES]: 2 reti private, 1 pubblica

Ciao al gruppo,
dovrei essere intopic, se non lo fossi scusatemi.
Ho una macchina Linux con 3 schede di rete cosi' configurate:
eth0      inet addr:192.168.0.1  Bcast:192.168.0.255
Mask:255.255.255.0
eth1      inet addr:1.34.142.82  Bcast:1.34.142.255
Mask:255.255.255.0
eth2      inet addr:192.168.1.1  Bcast:192.168.1.255
Mask:255.255.255.0         
eth1 e' connessa alla rete pubblica. eth0 ed eth2 sono connesse a reti
private che non devono vedersi tra loro.
Per il NAT/PAT utilizzo la regola 
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
Per evitare che le due reti private si vedano ho scritto le due regole
iptables -A FORWARD -i eth0 -o eth2 -j DROP
iptables -A FORWARD -i eth2 -o eth0 -j DROP
che funzionano: gli host della rete 
192.168.0.0/24
 non vedono quelli
della 
192.168.1.0/24
.
L'unico inconveniente e' il seguente: gli host della 
192.168.0.0/24
possono pingare il 192.168.1.1 e gli host della 
192.168.1.0/24
 possono
pingare il 192.168.0.1.
Dalle due regole DROP che ho scritto sopra non mi aspetterei questo
comportamento; cosa mi sfugge? Come posso evitare il "pingaggio"?
Grazie,
cabal

iptables -A FORWARD -i eth2 -o eth0 -j DROP
io le scriverei cosě:
iptables -A FORWARD -p all  -i eth0 -o eth2 -j DROP
iptables -A FORWARD -p all  -i eth2 -o eth0 -j DROP
Max

 comportamento; cosa mi sfugge? Come posso evitare il "pingaggio"?
iptables -I FORWARD -s 
192.168.0.0/24
 -d 
192.168.1.0/24
 -j REJECT
iptables -I FORWARD -s 
192.168.1.0/24
 -d 
192.168.0.0/24
 -j REJECT
-- 
Ciao da Villo    -    GPG public key available
                      Ferrara LUG 
http://ferrara.linux.it
                      Remove "+settanta" for email replies
Protect your Freedom: 
http://www.againsttcpa.com/index.shtml

 comportamento; cosa mi sfugge? Come posso evitare il "pingaggio"?
Naturale, quelli sono gli indirizzi del gateway, ed il ping
in quel caso passa in INPUT, non in FORWARD.
bye G.L.
-- 
« E' assolutamente evidente che l'arte del cinema
  si ispira alla vita, mentre la vita si ispira alla TV »
(Woody Allen)

in quel caso passa in INPUT, non in FORWARD.
Ciao GL,
hai ragione. Io pero' non riesco a trovare il modo che consenta agli
host delle due reti 192.168.[0|1].0/24 di contattare il gateway solo e
soltanto attraverso l'indirizzo 192.168.[0|1].1 e non attraverso
192.168.[1|0].1. (Spero la sintassi sia chiara)
Se, per esempio, aggiungessi le regole
iptables -A INPUT -i eth0 -j DROP
iptables -A INPUT -i eth2 -j DROP
i pacchetti provenienti dagli host dietro eth0 e eth2 destinati al
gateway stesso verrebbero persi sempre e comunque! Cioe' non potrei
mai contattare processi che girano localmente nel gateway (ssh,
tipicamente).
Hai consigli?
Grazie,
cabal

192.168.[1|0].1.
Forse ho trovato, anche se potro' verificare solo lunedi':
iptables -A INPUT -i eth0 -d 192.168.1.1 -j DROP
iptables -A INPUT -i eth2 -d 192.168.0.1 -j DROP
Se e' cosi' sono un pollo...
cabal

 Hai consigli?
In prims di approfondire netfilter/iptables e, alla fine, ribaltare la
logica con la quale realizzi il firewall.
Droppi tutto col la default policy, e decidi dopo cosa far passare,
specificando ip, porte, interfacce, stati di connessione...
