Newsgroup: it.comp.os.linux.sys
Titolo: Linux box trasparente

salve,
vorrei creare una linux box che faccia da firewall/proxy e che sia 
trasparente alla rete. Cosa vuol dire?
semplicemente che casomai la linux box non funzionasse, dovesse andare 
in fiamme etc. soltanto non collegandola si navigherebbe lo stesso.
Passo ai dettagli :
(192.168.1.x)RETE LOCALE -> (192.168.1.255)eth1 LINUX-BOX eth0 
(192.168.X.y) -> ROUTER ADSL (192.168.1.255)
 
La sk eth1 dovrebbe avere lo stesso IP del Router, in questo modo la LAN 
vede il firewall che inoltra i pacchetti alla eth0 oppure se non c'è 
vede direttamente il Router. La rete locale ha impostato sempre lo 
stesso IP come gateway quindi non gli cambia nulla.
Vorrei sapere se una cosa del genere è tecnicamente possibile oppure se 
la rete fa a cazzotti con le politiche di routing che dovrebbero essere 
implementate.

 La sk eth1 dovrebbe avere lo stesso IP del Router, in questo modo la LAN 
Non puoi avere due macchine con lo stesso IP collegate alla stessa rete.
Davide
-- 
| Microsoft is not the answer. Microsoft is the question. Linux is the
| answer. 
| 
| 
| 
| 

 implementate.
La tua idea su come farlo è abbastanza balzana (senza offesa), ma penso tu
possa essere interessato a questo
http://bridge.sourceforge.net/links.html
'ao...
-- 
Afterlife confessions
Tell me who you used to be
Looking on in wonder
As I show you it was me

 
http://bridge.sourceforge.net/links.html
Come risolveresti tu il problema?

 Come risolveresti tu il problema?
Con quanto riportato al link... una macchina in transparent bridging e
filtering su bridge...


 stesso IP come gateway quindi non gli cambia nulla.
a parte che non ho capito perchè usi un indirizzo di broadcast
sul router.... 192.168.1.255 è sbagliatissimo, usa
192.168.1.254 semmai
è possibile. io l'ho fatto perchè avevo un dilemma: una rete
con 2 gateway, uno verso una vpn e uno verso internet.
siccome non avevo voglia di riconfigurarmi la rete e mettere
il routing statico su 50 macchine winzoz xp, ho usato
il proxy-arp su un box linux messo di mezzo fra la lan e i due
router... la rete non si accorge che c'è di mezzo un box
che fa da router trasparente e le chiamate vanno dove devono
senza problemi :)
sostanzialmete il tuo problema è più semplice, dai lo stesso
ip ad entrambe le interfacce del linux, ip diverso da quello
del router, ma attiva proxy-arp sulle 2 eth:
ovvero
192.168.1.x(lan) -> 192.168.1.253(eth1-linux-eth0)192.168.1.253 
-> 192.168.1.254(router)
come dicevo, eth1/eth0 hanno lo stesso ip e proxy-arp attivo,
poi sul linux configura cosi la tabella di routing:
route del default 
(giusto per essere sicuri che non ci sia già un default gw )
route add default gw 192.168.1.254 eth0
cosa succede?
i client hanno come default gw 192.168.1.254.
ma non è fisicamente raggiungibile, in quanto
c'è di mezzo il linux box. per cui quando
vogliono andare su internet, fanno una richiesta di arp
del tipo "chi ha 192.168.1.254?"
essendoci proxy-arp sul linux, il linux controlla di avere
su una delle sue schede il 192.168.1.254 (ovvero
inoltra sulla eth0 la richiesta arp) e quindi
risponde sulla eth1: "ce l'ho io il 192.168.1.254!"
anche se non è vero.
al che il client manda le richieste per 192.168.1.254
sul mac addr della eth1 del linux, il quale poi
le inoltra al vero 192.168.1.254 sul segmentto della eth0.
idem per i pacchetti di ritorno.
così fai un firewall trasparente (iptables, blah blah)
ora ci monti sopra uno squid che interecetta le chiamate
sulla porta 80/443 e sei a posto.
(ovviamente con opportune regole iptables)
proxy-arp è uno strumento molto potente ed interessante...
Matteo.

 del router, ma attiva proxy-arp sulle 2 eth:
Da un post precedente ho trovato molto interessante la soluzione di 
utilizzare le due sk di rete come bridge fra la LAN ed il Router in 
questo modo vengono sempre inoltrate le richieste.
Anche la tua mi sembra d'altro canto una valida soluzione.
A me la scelta :)
grazie a tutti per le risposte

 A me la scelta :)
si anche il bridge è un'ottima soluzione.
(anche io l'avevo valutata x il mio problema)
solo un poco + complessa da impostare.
dipende da quanto vuoi sbatterti :)
matteo.

 così fai un firewall trasparente (iptables, blah blah)
Ci sono restrizioni su quel che si può fare con iptables in questo
caso rispetto a una configurazione più tradizionale?  E rispetto alla
configurazione bridge?
Questa dovrebbe anche consentire a squid di funzionare in modo non
trasparente se si vuole autenticare (visto che la box ha comunque un
IP).  La configurazione in bridge salva questa possibilità?
-- 
  Se si insegna a un bambino a programmare in qualche linguaggio
  informatico, questo esercizio logico lo renderà padrone e non
  schiavo del computer.					(Umberto Eco)

 implementate.
a mio parere potresti implementare un bridge con filtering 
io l'ho fatto e funziona abbastanza bene, inoltre se
già conosci iptables puoi usare iptables + ebtables 
penso che tu debba usare un kernel 2.6 cmq.. mi sembra che il 2.4 vada
patchato

 IP).  La configurazione in bridge salva questa possibilità?
La configurazione in bridge ti permette di avere un ip assegnato
all'interfaccia bridge, che si comporta nè più nè meno che come una
qualsiasi interfaccia di rete...
Se poi vuoi un firewall impenetrabile, basta non assegnargliene alcuno e
la macchina sarà irraggiungibile a layer 3 (e quindi non ragiungibile da
nessuno).
Per ragioni amministrative, in questo caso è spesso ipotizzabile la
presenza di una terza scheda affacciata su una lan di
amministrazione/monitoraggio, ove locare syslog-server e quanto
necessario...
Hola..
-- 
wash the blood from your hands
bury your secrets in the sand
and forget