Newsgroup: it.comp.os.linux.sys
Titolo: Iptables 3 ETH + DMZ + NAT

Ciao, la situazione è questa: Linux Box debian con 3 schede di rete.
ETH0=87.xx.xx.10 collegata al router con contratto 16 ip statici
ETH1=87.xx.xx.11 ethernet utilizzata per la DMZ
ETH2=192.168.0.254 ethernet verso la rete interna
Attaccato a ETH1 ci sono i vari server web e di posta con ip pubblici 
filtrati opportunamente con i iptables in maniera tale che siano aperte 
le porte solo che effettivamente servono.
Fino a qui tutto ok, impostando le giuste route statiche sia nel router 
che nella linux box, i vari server sono raggiungibili dall'esterno, se 
controllo il loro ip pubbilico tramite il sito 
www.mioip.it
, mi 
restituiscono l'ip pubblico a loro assegnato (87.xx.xx.13, 87.xx.xx.14)
Nel momento in cui faccio il MASQUERADING della ETH0 per far navigare i 
pc attaccati alla rete ETH2 continua a funzionare tutto, però se vado a 
vedere con che ip si presentano i server verso l'esterno con sorpresa mi 
risulta sempre dal sito 
www.mioip.it
 che escono con l'ip della ETH0 
quindi 87.xx.xx.10, in pratica vengono mascherati anche loro dalla 
regola di iptables -t nat -f MASQUERADE.
Nonostante tutto però i server esternamente sono comunque raggiungibili 
dal loro ip pubblico impostato (87.xx.xx.13, 87.xx.xx.14).
Come posso fare per ovviare a questo inconveniente, cioò che il 
MASQUERADE venga applicato alla eth0 ma solo per ciò che riguarda la 
rete eth2, in pratica che funzionino con il nat solo i pc della rete 
interna?
Non so se mi sono spiegato bene...spero di si
Ciao

 interna?
Direi che imparare la sintassi base di iptables potrebbe essere un buon
punto di partenza.
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

Perchè non mi hai scritto: man iptables ? o cerca su google?
Il senso e l'utilità della risposta sarebbero stati gli stessi...cioè nulli.
Evidentemente se sono venuto a chiedere delucidazioni al gruppo è perchè 
mi sfugge qualcosa, credo proprio di essermi documentato prima di venire 
qua...poi se mi sono documentato bene o male è un altro discorso, ma 
penso comunque di avere avuto prima il buon senso di farlo.
So anche che il NG non è un help desk, infatti se cerchi dei post miei 
ne trovi pochi, perchè molte volte andando a cercare in quelli vecchi di 
altre persone trovo la risposta che mi serve, probabilmente questa volta 
non è stato così.
Qui chiudo questa parentesi di flame
Ciao
whiplash ha scritto:


 credo proprio di essermi documentato
Non credo: "-s" ovvero "--source" è un concetto elementare.


 Perchè non mi hai scritto: man iptables ? o cerca su google?
Se uno ha l'ardire di usare uno script che fa nat e che oltretutto protegge
una DMZ, come minimo dovrebbe avere conoscenze di sistemistica, sicurezza,
tcp/ip e networking assortito. Come minimo queste conoscenze servono
addirittura solo per usarlo quello script.
Se lo usi (e quindi lo hai configurato) o a maggior ragione se l'hai scritto
tu, hai chiesto una cosa che è in antitesi con le premesse. E mi spiego.
In questo contesto, possiamo configurare due prospettive:
a) hai un corto circuito cerebrale, più o meno esteso o più o meno grave,
che non ti fa vedere una banalità (un parametro mancante) per altro
chiaramente indicata in tutti i manuali che avrai sicuramente letto. In
questo caso qui non siamo medici o integratori proteici per farti
ragionare. Ti hanno dato un aiutino e dovresti essere in grado di andare
avanti da solo
b) nel caso invece in cui le premesse siano sbagliate, ovvero non sai dove
guardare perchè non sai di cosa parli, beh. Il problema è tuo e ti conviene
cominciare a leggere benissimo le pagine di man. Però, questa volta,
cercando di capirle.
In ogni caso, la tua risposta è stata fuori luogo. Nel secondo caso lo è
stata pure la domanda.
-- 
A: Because we read from top to bottom, left to right.
Q: Why should i start my reply below the quoted text?

 
Miii oh dobbiamo ancora tirarla per le lunghe sta polemica!
Comunque grazie lo stesso ho già risolto da solo con un
iptables -t nat -A POSTROUTING -s 
192.168.0.0/24
 -o eth0 -j MASQUERADE
Il problema che dopo una giornata intera a pensare e a scrivere regole 
di routing e filtering fra la varie catene di iptables, la mia testa mi 
diceva di scrivere:
iptables -t nat -A POSTROUTING -i eth2 -o eth0 -j MASQUERADE
Tutto qui...bastava un po di umanità e umiltà nel fornire aiuto per un 
problema (che poi problema non è stato) banale. In fin dei conti penso 
che tutti coloro che scrivono qui siano delle persone con un'anima che 
ragiona e non delle macchine che lavorano per bit 0 o 1 in maniera rigida.
E qui chiudo
Ciao

 Comunque grazie lo stesso ho già risolto da solo
(00:37:07)
ROTFL.
:Non credo: "-s" ovvero "--source" è un concetto elementare.
(22:30:47)


 -A POSTROUTING -i eth2
Sì, questa funziona nel boschetto della tua fantasia.
Nel mio mondo, iptables restituirebbe un errore.


 Sì, questa funziona nel boschetto della tua fantasia.
dove c'è un fottio di animaletti un pò matti, inventati da te..
che mi fanno ridere quando sono triste...
che mi fanno ridere quando sono felice...
in pratica mi fanno ridere sempre.
(qualcuno continua??)


 >rendere il sistema non utilizzabile ma in modo sottile ?
Se NT puo' installarsi via FTP, e' la tua risposta.
 
Leonardo Serni

 Vizioso, vuoi proprio sentire dell'orsetto ricchione eh....?
E tu eri decisamente ansioso di interpretare la parte. :-D


 E tu eri decisamente ansioso di interpretare la parte. :-D
Guarda che ti sono caduti mille euro... che fai non li raccogli ?
:)
-- 
L'universita' americana di Berkeley
ha prodotto due importanti invezioni: l'LSD e Unix.
Credo non sia una coincidenza.
                                          Jeremy S. Anderson

 (22:30:47)
Cosa devo fare? Spedire un certificato medico che dimostri che dalle 
22:30:47 alle 00:37:07 non mi trovavo davanti al computer, devo trovarmi 
dei testimoni, un alibi? :)
Spero che la discussione rimanga in tono scherzoso e non venga inserito 
nel killfile di altri oltre a quello di Thorin che a quanto pare se l'è 
presa per così poco. Spero con questo di non aver offeso nessun'altro 
del thread.
Whiplash la tua risposta "-s" "--source" è ciò che mi avrebbe fatto 
piacere leggere fin da subito, il thread si sarebbe chiuso lì.
Ma visto che la discussione continua ad andare avanti penso di avere il 
diritto di poter controbattere. Poi quando saremo stanchi, finirà lì.
Con questo non voglio assolutamente dichiarare guerra con nessuno, 
quando si deciderà BASTA, sarà BASTA.
Ognuno è libero di pensarla come vuole.
Ciao

 piacere leggere fin da subito, il thread si sarebbe chiuso lì.
E' ovvio che i miei sono joke e che non sono affatto offeso.
Ma, seriamente, stiamo parlando veramente di cose basilari.
Prendilo come un umile consiglio metodologico, tutto qui.
