Newsgroup: it.comp.os.linux.sys
Titolo: CONSIGLI FIREWALL SU RETE INTRANET/INTERNET

Salve a tutti,
Ho una piccola rete tramite la quale pubblico diversi servizi su internet.
Volevo installare un firewall tra il mio router hdsl (telecom) e la mia rete
interna.
La rete interna è così composta:
--------------------------------------------
DMZ
62.110.220.162 (PC1)
62.110.220.163 (PC2)
62.110.220.163 -> 189 (PC1 dalla 163 alla 189 utilizzati x diversi server
web e ftp)
-------------------------------
LAN
192.168.0.0 (diversi client su questa rete)
PROXY 62.110.220.164 - 192.168.0.5
--------------------------------
GATEWAY 62.110.220.161 (router hdsl)
LINUXFW 62.110.220.188 (FIREWALL ke diventerà il default gateway d tutte le
makkine)
--------------------------------
Dunque abbiamo quest servizi erogati:
PC1: FTP, HTTP, HTTPS, DNS, SMTP
PC2: DNS, POP3, SMTP
Devo configurare il LINUXFW come firewall.
Ho messo 2 skede d rete delle quali 1 guarda direttamente il gateway (eth0)
e l'altra lo switch interno (eth1).
Ke indirizzamento devo utilizzare su questo firewall? (1° domanda)
eth0: 62.110.220.189
eth1: 62.110.220.188
eth1.1: 192.168.0.1
non c'è modo d risparmiare 1 indirizzo IP pubblico?... magari nattando? (2°
domanda)
kiaramente devo fare da gateway tra internet e DMZ, con in + il routing
sulla LAN.
ki mi può consigliare una configurazione ipchains o iptables x i servizi
sopracitati? (3° domanda)
Se non sono stato kiaro, mi rispiegherò... ;)

Su eth1 del firewall non è necessario l'ip pubblico. Basta quello 
privato. Poi, avere due schede appartenenti alla stessa rete non è 
razionale imho.
Il firewall deve avere iptables (netfilter), che esegue anche il 
masquerading e abilitato l'ip_forward.
Ti consiglio, per cominciare, di utilizzare uno script già pronto e 
testato quale narc. Da lì impari molto. Cerca con google "narc 
firewall". Troverai tutte le istruzioni per netfilter.
Saluti

 web e ftp)
CUT
Ciao,
non capisco come mai utilizzi degli indirizzi pubblici all'interno della tua
rete lan...per esempio...io sono piu' o meno nella tua stessa situazione ho
un modem DSL (linea costante) al quale ho ataccato un firewall linux
(Mandrake SNF) che fa anche da router...e poi con un'altra scheda di rete
vado sullo switch:
DSL
   Ś eth0 (indirizzo pubblico: 194.33.55.76)
firewall/router
   Ś eth1 (indirizzo privato: 192.168.0.1)
LAN
Poi il firewall ti permette di indirizzare verso una determinata macchina in
rete i differenti pacchetti ecco il mio schema:
web (http) 80 --> 192.168.0.5 (server solaris)
ftp 23    --> 192.168.0.4 (server linux)
smtp 25 --> 192.168.0.5 (server solaris)
ecc.....
cosi' facendo abbiamo un solo indirizzo pubblico....la limitazione arriva
quando si vogliono piu' web server per indirizzi differenti.....
Ok..spero di averti aiutato....
                        CIAO...Marco
-------------------------------------------------------------
Marco Mueller
DUDI 617
Suzuki GSX-R 750 '96
Vespa 1954
Vespa ET3 1980 (rigorosamente elaborata)
e-mail: mmue...@GSXticino.com (togli GSX)

Carlo Scarfoglio wrote:

scusa ma com'è possibile?
su eth1 sono attaccati anke i pc1 e pc2 ke hanno indirizzamento 
62.110.220.*, dunque non potrei impostare il gateway... visto ke non si 
trova nella stessa rete... o no?
e poi, visto ke la configurazione non mi sembra niente d impossibile, 
una microconfigurazione in ipchains o iptables non mi sembra va una 
rikiesta esagerata...
inoltre il masquerade lo devo impostare SOLO x la LAN e non x la DMZ...

 Ok..spero di averti aiutato....
aiutami adesso... ;)
grazie

 comprati e sono miei!!!
Di per sè è cosa banale: fai una policy che droppa tutto e decidi cosa 
far passare nella catena di forward.
Dopodichè chiami telecom (o l'altro carrier che puoi avere) e gli dici 
di fare un route to host dal router alle tue macchine interne mettendo 
come gateway il firewall che ti sei installato.
La prima è gratis, la seconda non so quanto ti costa ( magari mi 
sbaglio, ma dubito, dalla configurazione che descrivi, che tu abbia un 
contratto professional che preveda assistenza di questo tipo, per cui mi 
sa che li paghi a parte)
Oppure passi ad una architettura di rete sensata e che ti permetta di 
farti le cose da solo, quale può essere quella che prevede gli ip 
pubblici tutti sul fw e un forward dei servizi sugli ip privati, con dmz 
o senza, a seconda del caso.
byez
-- 
Emanuele "SKULL" Balla
----------------------------------------------------------------------
"How should I know if it works?  That's what beta testers are for. I 
only coded it." (Attributed to Linus Torvalds, somewhere in a posting)

 o senza, a seconda del caso.
questa non l'ho ben capita... spiegati meglio...
grazie e ciao

 questa non l'ho ben capita... spiegati meglio... 
cioè sulla interfaccia esterna del firewall metti gli alias di tutti gli 
ip pubblici che hai disponibili, e dici a iptables una cosa tipo:
/sbin/iptables -A PREROUTING -t nat -p tcp -d $IP_PUBBL1 --dport 80 -j 
DNAT --to-destination $IP_PRIV1:80
(che in questo caso rigira il taffico diretto alla porta 80 tcp dell'ip 
pubblico scelto verso la porta 80 della macchina interna che vuoi 
risponda a quell'ip)
e così via per i vari servizi che vuoi "esportare".
Quindi _tutte_ le macchine dentro hanno ip privato e _tutte_ le macchine 
fuori hanno ip pubblico (in questo caso, il firewall e basta).
Questo ti permette anche di non dover sprecare un ip pubblico sulla 
interfaccia interna del firewall.
Inoltre, la configurazione che tu originariamente descrivi è del tutto 
equivalente ad una dmz, solo che la realizzi con un alias della eth 
interna. Sconsigliabile: a quel punto, il costo di una eth in più ti dà 
maggiori garanzie.
byez...


 maggiori garanzie.
insomma x mantenere inalterata la configurazione attuale del router HDSL 
mi converrebbe spostare tutti gli ip pubblici sul firewall,
DNATtare tutte le rikieste a quest indirizzi pubblici su equivalenti 
indirizzi privati, senza xò utilizzare la configurazione ke tu hai 
descritto, cioè specificando la porta, ma reimpostando soltanto l'header 
del pakketto con la nuova destinazione.
Ma a questo punto mi kiedo: Devo impostare solo il DNAT o anke lo SNAT?
non mi basta inserire questa regola (sempre ke sia corretta ;) ):
/sbin/iptables -A PREROUTING -t nat -d 
62.110.220.0/24
 -j DNAT 
--to-destination 
192.168.0.0/24
cioè posso esclusivamente rovesciare le rikieste e dopo filtrare le 
porte a mio piacimento?
sono stato kiaro?
grazie...

 porte a mio piacimento? 
considera che una volta dnattato (se lo fai in prerouting) il pacchetto 
poi attraversa la catena di forward (se lo facessi in postrouting no, 
andrebbe prima ad impattare la catena di input, e, soprattutto, non 
verrebbe poi inoltrato...). Quindi puoi filtrare ulteriormente qui. Io 
personalmente "giro" solo le porte che mi servono.
Non c'è bisogno di snattare ciò che arriva dal server per i servizi che 
agiscono solo su una porta (es: http) poichè iptables è stateful e 
provvede da solo a snattare le risposte che facciano parte della stessa 
sessione.
Ovviamente, però, quei server che aprono porte aggiuntive in uscita ( o 
hanno bisogno di contattare server esterni ) non potrebbero uscire. 
Evita quindi di masquerare queste macchine e inserisci invece uno snat 
in postrouting per ciò che da queste macchine va verso l'esterno.
byez


 grazie...
kiaro non lo so, chiaro molto poco...


si, vero, non mi ero accorto dell'indirizzo che aveva assegnato :-)
ovviamente quando fai un nat devi farlo da UN ip a UN altro...
cose di questo genere non sono consentite.
Nel caso in cui avessi tanti ip pubblici e un pool preciso di ip privati 
da mettere in corrispondenza, fai uno script...


 
si hai ragione.... intendevo quello...
esempio:
ho il server PC1 con servizi dns ftp http https smtp su 192.168.0.162 
(ke nella mia situazione attuale è 62.110.220.162)
il firewall ha indirizzi: 62.110.220.188 e 62.110.220.162 sulla eth0 
(ometto gli altri x adesso...) e 192.168.0.1 sulla eth1
dunque imposto:
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
iptables -t nat -A PREROUTING -p TCP -i eth0 -d 
62.110.220.162/32
 
--dport 80 -j DNAT --to-destination 192.168.0.162
(questo x tutti i servizi tranne ke x il dns ke in + ha anke UDP)
giusto?


e poi nella catena di forward metti una regola che accetti i pacchetti con
stato RELATED o ESTABLISHED...

 stato RELATED o ESTABLISHED...
esattamente non puoi scrivermi cosa devo accettare?
grazie
P.s. dunque sono esatte le regole ke ho scritto?

 wrote:
per favore patcha il tuo Microsoft Outlook Express 5.00.2615.200


:-(
ho già provato ma non posso!!
per qualche motivo non mi lascia patchare il file...
appena posso upgrado, per adesso correggo il prefisso quando mi ricordo.
sorry


cosa usi per il firewall? ipchains?
e per il reindirizzamento dei pacchetti in base al servizio?
grazie e ciao
Mimmo