Newsgroup: it.comp.os.linux.sys
Titolo: scambio di vedute

  Luogo:
uno studio di architettura nel quale sono presenti una decina di pc
  Struttura della rete:
una semplicissima lan con i pc che condividono file, stampanti e plotter
  Connettivita' internet:
tramite fastweb. il contratto non consente pero' la navigazione a piu' di
tre pc. a suo tempo avevo detto al titolare dello studio che se avesse
voluto permettere la navigazione agli altri pc lo avrebbe potuto fare
inserendo a valle dell'hag fastweb un router (senza scendere in ulteriori
particolari)
  Situazione:
capito li perche' un tecnico dell'hp doveva installare una scheda di rete in
un plotter e il titolare dello studio voleva che fossi presente anche io
  Problemi:
il tecnico assegna un indirizzo di rete fisso al plotter che pero' i pc che
navigano non riescono a "vedere". i pc che invece non vanno su internet lo
pingano e ci stampano
  Il tecnico hp:
fa prove controprove, cambia, ribalta ma nulla da fare, i tre pc che
navigano pingano il plotter una sola volta che poi "s'azzitta"
  Io
gli suggerisco di configurare il plotter con uno degli indirizzi rilasciati
dall'HG fastweb, ovviamente disabilitando prima la rete in uno dei pc che
navigano
  Il tecnico hp:
manco mi sta a sentire. smadonna ancora un po' e poi telefona a un suo amico
esperto.
  (Lunga) Telefonata tra tecnico hp e superesperto (per quello che capisco e 
   vedo):
esperto - c'e' uno switch?
tecnico - si
esperto - che marca?
tecnico - zyxell
esperto - perche' navigano solo tre pc?
tecnico - non lo so!
io      - con fastweb e con questo contratto possono navigare al massimo tre 
          pc, volendo si puo' inserire un router per ovviare al problema
tecnico - (come se non avessi detto nulla) ascolta quello che dice l'esperto
esperto - stacca l'hag
tecnico - fatto. ora i pc pingano il plotter
esperto - riattacca l'hag e imposta il plotter affinche' riceva da questo un 
          indirizzo
io      - aspetta che disabilito la rete in uno dei pc
tecnico - ok fatto. il plotter viene ancora pingato.
esperto - ma perche' solo tre pc possono navigare?
io      - e' da contratto.
tecnico - mi dicono che e' da contratto
esperto - ahhhh! e allora per risolvere i problemi devono inserire un 
          firewall!
io      - beh, casomai un router
tecnico - no no. ci vuole un firewall. il mio amico "esperto" dice un 
          firewall.
io      - credo che nel caso specifico la cosa piu' adatta sia un router. un
          firewall e' una cosa diversa
tecnico - parla tu con "esperto"
esperto - guardi che li ci vuole un firewall
io      - veramente la cosa necessaria e' un router. se poi il router fa 
          anche da firewall e' un'altra cosa
esperto - si, ci vuole un firewall. se da casa mi collego verso l'indirizzo
          di uno di quei tre pc posso fare qualunque cosa
io      - senta, potrei mettere su una macchinetta con un pc dismesso con 
          su una basicissima macchina linux con due schede di rete con 
          iptables configurato per il masquerading e qualche regola per la
          sicurezza
esperto - no no, assolutamente no. diminuirebbero le prestazioni delle rete
          e poi lavorerebbe la cpu, l'hd, verrebbe tutto fatto dal software.
          Ci vuole un dispositivo hardware
io      - guardi che anche in quello che lei chiama "dispositivo hardware"
          e' presente una cpu, una memoria e un sistema operativo.
esperto - no, fa tutto il dispositivo che e' il firewall. niente linux e 
          router
io      - vabbuo'
-- 
Pandozy vede tutto
    _   _
  O'|,=,/'O
    (0 0)
ooO--(_)--Ooo

ivan_III ha scritto:

raccontata così il "tecnico" sa poco o niente e il collega "esperto" non 
è che ne sappia molto di più, tu sei sicuramente più preparato... :)
del resto un pc vecchiotto per fare da router ha più potenza di un 
qualsiasi aggeggino embedded da poche di centinaia di euro: se si parla 
di router aziendali di un certo livello le prestazioni lievitano ma 
lievita anche il prezzo, e comunque non è roba che si addice a questo 
tipo di piccola azienda.
L'unico svantaggio del pc vecchiotto usato come router è il maggiore 
consumo di corrente, ma se questo sia rilevante o meno bisognerebbe 
chiederlo al titolare, presumo...
Dopodiché: ovviamente configurato in masquerading di fatto è già un 
firewall (il firewall in paratica è un router configurato in un certo 
modo), la cosa migliore sarebbe configurarlo in maniera tale che vengano 
usati tutti e 3 gli IP assegnabili dall'hag, tramite NAT, ma una 
configurazione di questo tipo sarebbe già più complicata... vedi tu cosa 
conviene, se devono solo navigare e leggere la mali va bene il 
masquerading...

 tramite fastweb.
Pezzenti. 

Bluff ha scritto:

???
ti stanno sulle balle gli architetti?

 masquerading...
IMHO, la cosa migliore potrebbe essere di far sì che il firewall funga
anche da dhcp server e sia lui solo ad utilzzare uno degli IP di fastweb.
Oppure che i pc abbiano ip statici di una qualsiasi rete 192.168.x.x e
il firewall funga da gateway.
In questo modo potrebbero attaccare alla rete interna quanti pc e schede
di rete vogliono senza alcun limite, se non quello fisico della rete e
quello logico della maschera di sottorete logica.
La configurazione (sw e hw) in sé è abbastanza semplice (in pratica sul
fw 2 schede di rete, quella esterna in DHCP client e l'altra con ip
fisso, impostare il nat ed eventualmente un DHCP server per la scheda
interna).
Il forwading delle porte è un altro paio di maniche, ma dietro fastweb
sei già nattato.
Altro vantaggio: le due reti, fisicamente isolate, non risentono del
traffico della controparte.
Uso già questo sistema in casa mia (ho fw) e funziona senza problemi.
Luca

 traffico della controparte.
esattamente quello che proponeva ivan_III... io gli ho detto che è ok, 
solo gli ho detto di valutare l'ipotesi di sfruttare tutti e 3 gli ip 
col NAT, ammesso che gli serva.

 col NAT, ammesso che gli serva.
Sorry per il rumore, allora :-P
Luca

 col NAT, ammesso che gli serva.
che vantaggi puo' dare questa soluzione rispeto al singolo ip fastweb preso
in dhcp dal router?

 masquerading...
rispondo un po' a tutti. carina questa del natting per profittare di tutti e
tre gli indirizzi dell'hag. si potrebbe fare con una regola del genere?
iptables -t nat -A POSTROUTING -o eth0 -s a.b.c.d-a.b.c.f  \
         -j SNAT --to-source <un_ip_hag>
iptables -t nat -A POSTROUTING -o eth0 -s a.b.c.g-a.b.c.i  \
         -j SNAT --to-source <altro_ip_hag>
ecc...
ma misa' che l'ora tarda mi sta afcendo scrivere grosse boiate


ivan_III wrote:
oppure cosi'?
iptables -t nat -A POSTROUTING -o eth0 \
         -j SNAT --to <primo_ip_hag>-<ultimo_ip_hag> 
basta basta 
