Newsgroup: it.comp.os.linux.sys
Titolo: Domanda su iptables

Ciao a tutti!
Dopo aver configurato lo Switch e il Gateway, ora mi sto dando da fare per
installare il serverone (one one).
Il mostro dev'essere raggiungibile da tutte e 6 le VLANs, ma non tutte
hanno accesso a tutti i servizi.
La mia prima idea (partorita dalla mia mente malata solo perche', in
origine, erano previsti 3 Servers), era di collegare il Server a una porta
"tagged" dello switch e di configurare tutte e 6 le VLANs sul Server.
Questo mi consente di raggiungere il Server da tutte le VLAN, ma poi devo
implementare un mini-Firewall anche li per limitare gli accessi.
E questo NON mi piace. UN Firewall **DEVE** bastare.
OK, piano B: gia' c'e' una VLAN dedicata agli apparecchi di uso collettivo
(stampanti, etc.). Piazzo li il Server (su una porta untagged) e chi vuole
accedere al Server deve passare dal Gateway (che gia' controlla gli
accessi tra le reti).
Bene cosi'! Ora pero' ho il problema di dover capire, dal Server, da che
IP (e quindi sottorete) arriva la richiesta.
Se faccio un NAT (/sbin/iptables -t nat -A POSTROUTING .... -j MASQUERADE)
per il Server tutte le richieste arriveranno dal Firewall. E cio' non mi
va bene.
C'e' sicuramente un modo per poter avere un solo IP sul Server e ricevere
le richieste dalle sottoreti con i loro IPs. Solo che non mi sovviene (e'
Venerdi sera...).
Qualcuno puo' darmi una dritta?
Grazie
Luca Bertoncello
(
luca...@lucabert.de
)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 Venerdi sera...).
C'è un apparato che fa quello che dici; si chiama router.

mallin.shetland ha scritto:



E lo so benissimo... Ma son sicuro che lo puo' fare anche Linux.
Solo mi piacerebbe sapere come...
Ciao


 Solo mi piacerebbe sapere come...
Installi due o più schede di rete (ud una capace di trunking) poi:
 
man routed
man gated
...
In alternativa prega san google

 In alternativa prega san google
Gia' pregato... Non ho trovato niente di utile, finora...


 Solo mi piacerebbe sapere come...
sysctl net.ipv4.ip_forward=1
poi, se tutte le reti "usano" il firewall come default route non serve
nient'altro. (regole forwarding di iptables a parte). semplicemente
basta non creare regole di nat (tranne magari quella per nattare verso
internet).
routed, gated, quagga, zebra ti servono solo se vuoi implementare
routing dinamico (ospf, rip, ...). ma, ripeto, se tutte le reti usano
il firewall come default non serve scomodarli.
ciao,
stefano

 il firewall come default non serve scomodarli.
OK, fin li ci siamo...
Mi stai dicendo che, se io attivo l'IP-Forwarding, NON devo fare
nient'altro, a parte i vari ACCEPT nella tabella FORWARD, per passare i
pacchetti da una parte all'altra?
In effetti, sarebbe sensato... E' che ho sempre usato MASQUERADE, ma e'
anche la prima volta che mi capita di fare quello che sto facendo
adesso... :)
Ci provo...
Grazie


 pacchetti da una parte all'altra?
yes! (a parte accertarti che le rotte siano impostate
correttamente :) )
ciao,
stefano

 
Vuoi dire che quagga routed e compagni non devono girare sugli host 
ma solo sul royter/gateway/firewall vero?
Perché se la rete ha più di tre o quattro nodi è da folli implementare 
il routing statico

 il routing statico
solo se per nodi intendi i router e non gli host. ma lui di router ne
ha solo uno.
ciao,
s

 il routing statico
Dipende. Se i router hanno solo due ethernet attive, non è niente di che.
E anche se comincia a diventare più interessante la rete, un modo per
semplificare la gestione è quello di avere su tutti i router una rete in
comune e configurare poi tutte le rotte solo su uno dei router: dopo se
le scambiano via messaggi icmp redirect.
Certo che anche senza utilizzare questi mezzucci, un pò di
pianificazione ed un foglio di carta aiutano molto.

 adesso... :)
[...]
Tra l'altro, quando devi "mascherare" con IP statico, ti conviene usare 
SNAT al posto di MASQUERADE. Dal man di iptables:
It  should  only  be used with dynamically assigned IP (dialup) connec‐
tions: if you have a static IP address, you should use the SNAT target.
Masquerading is equivalent to specifying a mapping to the IP address of
the interface the packet is going out, but also  has  the  effect  that
connections  are  forgotten  when the interface goes down.  This is the
correct behavior when the next dialup is  unlikely  to  have  the  same
interface  address (and hence any established connections are lost any‐
way).
Enrico

 Gia' pregato... Non ho trovato niente di utile, finora...
http://www.google.it/search?q=routing+linux
Credo che sia stato l'effetto del venerdì pomeriggio, comunque
tu non devi fare niente di particolare: tutto il traffico si svolge
sulla tua LAN quindi al massimo imposti il firewall in modo che
nessun pacchetto transiti dall'esterno al tuo server o viceversa.
L'unica mia perplessità è: ti serve veramente il NAT? Da come ho
capito tutto il traffico verso il server si svolge sulla tua LAN
quindi a te serve solo bloccare i pacchetti da o verso il server
che per errore vanno fuori dalla LAN (e questo il tuo firewall già
lo fa, almeno credo). 
Poi se ti serve proprio il NAT/PAT non devi mettere un firewall
sul router ma solo fare NAT/PAT sul router.
PS Il ritardo nella risposta è dovuto ad un fine settimana fuori 
città ed al fatto che venerdì sono crollato per il sonno. Vedo 
che nel frattempo hai avuto già altre risposte.

 ha solo uno.
Infatti mi riferivo ai router.