Newsgroup: it.comp.os.linux.sys
Titolo: e' un router ? e come si implementa ?

ciao a tutti. volevo fare un esperimento ma mi serve una schiarita alle
idee. la situazione e' questa :
lan 
192.168.0.0/24
, con gateway a .254. volevo inserire, subito prima
del gateway, una macchina che facesse un po' da proxy, un po' da
firewall, un po' da sniffer, con due eth. 
da :
[LAN]----->[GATEWAY]
a: 
[LAN]----->[NON SO CHE]----->[GATEWAY]
il tutto senza ricorrere al masquerading ( provato, funziona, ma per
usarlo dovrei modificare la conf di altri router a valle del GW e non
voglio farlo. 
l' idea di base sarebbe che tutto cio' che entra da eth0 venga inviato a
eth1, e cio' che entra da eth1 venga inviato a eth0. per iniziare mi
basterebbe. il GW fa anche da firewall, quindi non mi servono policy di
statefull inspection. mi basta il routing incrociato. ma qui mi sono
fermato. sapete, non avendo idea del nome del "coso" che si sta
costruendo, e' anche difficile cercare documentazione.
TIA per ogni hint :)
-- 
Two is not equal to three, even for large values of two.

 costruendo, e' anche difficile cercare documentazione.
Direi che e' un semplice router, oppure puoi usare uno switch
configurabile e "riflettere" i pacchetti su una porta a tua scelta senza
dover configurare un computer per quello.
Davide

Sgranocchiando il cranio di Ivan, vi trovai inciso:

Mi spiace ma non ho capito.
Tu vuoi che 'sta macchina sia *prima del gateway*.
La domanda è:
Vuoi che i pacchetti le passino attraverso, in modo trasparente, e poter
filtrare lì dentro? Quindi 'sta macchina, nella tabella di routing di chi
gli sta attorno *non appare*, nonostrante il traffico la debba
attraversare per forza?
Ok, hai un bridge.
Questa macchina sarà gateway per arrivare a qualcuno? insomma, c'è
qualche macchina da qualche parte che ha questa come gateway per
raggiungere qualcosa? hai un router.
Uno skull perplesso...
-- 
Emanuele Balla  aka Skull -  Public Key #661E5CBF on 
www.keyserver.com
+----------------------------------------------------------------------+
"And 1.1.81 is officially BugFree(tm), so if you receive any bug-reports
on it, you know they are just evil lies." (By Linus Torvalds)

 Ok, hai un bridge.
si diciamo che pensavo proprio a questo. mi pareva che si potesse fare
addirittura senza assegnare l' indirizzo ip alle eth, ma poi non so se
le mie modeste cognizioni di iptables sarebbero state ancora
utilizzabili per analisi & filtri vari. direi comunque che non mi
interessa. quindi dovrei cercare un po' di doc per implementare bridge.
a dire il vero, mi sembrava che i bridge servissero ad isolare porzioni
di rete le une dalle altre, io invece lo devo usare solo come passaggio
obbligato prima del gateway. 
ho cercato un po' su google per bridging con linux. ora provo questo  
http://www.magnux.org/doc/howto/en/mini/Bridge-1.php
altri consigli ?

 
http://www.magnux.org/doc/howto/en/mini/Bridge-1.php
 altri consigli ?
http://bridge.sourceforge.net/docs.html
terzo e quarto link.
Sono un po' pedanti/accademici, ma dovrebbero essere abbastanza per
iniziare a fare quello che vuoi tu.
Il quarto ti rimanda anche a
http://www.tldp.org/HOWTO/Ethernet-Bridge-netfilter-HOWTO-4.html
Considera (perchè potresti essere sviato da alcune cocumentazioni che si
trovano in giro) che dove si parla di ebtables si parla di altro (ovvero
di quello su cui stanno lavorando).
Hope it helps.
Ciao


 bridging.
Mah, io utilizzo proxy-arp su tutti i firewall e devo dire che non mi ha
mai creato problemi. Ti 'consuma' un solo indirizzo ip ed e` questo l'unico
svantaggio che ha rispetto al bridging. Ma del resto se vuoi 'raggiungere'
da remoto il box devi per forza assegnarli un ip quindi anche questo 
svantaggio scompare. Per il resto mi sembra molto piu` semplice e lineare
sia come configurazione che come gestione.
-- 
Vincenzo

Sgranocchiando il cranio di Vincenzo Valvano, vi trovai inciso:

La differenza tra i due è che il proxy arp ti rende la presenza della
macchina trasparente a layer 3 e basta.
L'utilizzo del bridging lo rende trasparente anche a layer 2.
In alcune realtà questo può dare i suoi problemi. Pensa ad esempio
all'impatto che può avere su politiche di sicurezza (di qualsiasi sorta)
basate sul mac address del router. Che poi siano in pochi ad evere
configurazioni di questo tipo, son d'accordo, ma rimane il fatto che la
scelta tra una soluzione e l'altra è "da valutare".
Potrei anche dire che su OBSD tutto viene più facile, da questo punto di
vista, ma dato che questa è un ng su linux non lo dirò...
;-)
Byez...


 vista, ma dato che questa č un ng su linux non lo dirň...
Dovrei decidermi a provarlo, ma forse e` piu` probabile che nel frattempo 
il codice di bridge diventi perfetto :-)
-- 
Vincenzo

ho seguito questo
http://www.tldp.org/HOWTO/Ethernet-Bridge-netfilter-HOWTO.html
e funziona ( netfilter a parte che non ho ancora provato )
grazie a tutti
-- 
A woman's best protection is a little money of her own.
                -- Clare Booth Luce, quoted in "The Wit of Women"