Newsgroup: it.comp.os.linux.sys
Titolo: Iptable Vs EbTable

ciao a tutti,
devo inserire un firewall tra una rete esistente e un router HDSL.
Premetto che in questo router è abilitata una VPN con un'altra sede e la 
modifica di parametri è quasi impossibile per vari motivi.
Ho pensato due soluzioni:
1- Creo un firewall con iptables e inserisco nelle due interfacce eth0/1 
lo stesso IP. (Ho sentito che può funzionare).
2- Provo ad utilizzare EbTables ( molto simile a Iptables come struttura 
). Quindi mi creo un bridge trasparente alla rete attuale.
Ho già configurato svariati firewall con iptables ma una configurazione 
di questo tipo non l'ho mai fatta!
Qualche consiglio, idea o esperienze?
Grazie,
Stefano.

 Qualche consiglio, idea o esperienze?
ho la stessa identica situazione è ho risolto tranquillamente con un
firewall-bridge transparent con iptables.
ho lo stesso indirizzo di rete su entrambe le schede ed ho modificato l'arp
e la route per il giusto inoltro dei pacchetti.
questo è il primo script per l'attivazione delle interfaccie di rete
----------------------------------------------------------------------------
-----------
#!/bin/bash
for interface in lo eth0 eth1
do
  ip route flush dev $interface
  ip addr flush dev $interface
  ip link set down dev $interface
done
ip address add 
127.0.0.0/8
 dev lo
ip address add 
192.168.0.1/32
 dev eth0
ip address add 
192.168.0.1/32
 dev eth1
for interface in lo eth0 eth1
do
  ip link set up dev $interface
done
echo 1 > /proc/sys/net/ipv4/conf/eth0/proxy_arp
echo 1 > /proc/sys/net/ipv4/conf/eth1/proxy_arp
ip route add 
127.0.0.0/8
 dev lo
ip route add 
192.168.0.254/32
 dev eth0
ip route add 
192.168.0.0/24
 dev eth1
ip route add default via 192.168.0.254
ip neigh add proxy 192.168.0.254 lladdr 00:04:4D:FF:91:81 nud permanent dev
eth1
echo 1 > /proc/sys/net/ipv4/ip_forward
----------------------------------------------------------------------------
-----------------------
192.168.0.1 è il firewall
192.168.0.254 è il router con il suo mac address ( vedi penultima riga )
poi utilizzo un secondo script per le regole del firewall
----------------------------------------------------------------------------
-----------------------
#!/bin/bash
#
iptables="/sbin/iptables"
ext_iface="eth0"
lan_iface="eth1"
for table in filter nat mangle
do
  $iptables -t $table -F
  $iptables -t $table -X
  $iptables -t $table -Z
done
$iptables -N ext_lan
$iptables -N lan_ext
#Regole generali
$iptables -A FORWARD -m state --state INVALID -j DROP
$iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
$iptables -A FORWARD -i $ext_iface -o $lan_iface -j ext_lan
$iptables -A FORWARD -i $lan_iface -o $ext_iface -j lan_ext
$iptables -A FORWARD -j DROP
# Regole di entrata
$iptables -A ext_lan -p icmp --icmp-type 3 -j ACCEPT
$iptables -A ext_lan -p icmp --icmp-type 4 -j ACCEPT
$iptables -A ext_lan -p icmp --icmp-type 11 -j ACCEPT
$iptables -A ext_lan -p icmp --icmp-type 12 -j ACCEPT
$iptables -A ext_lan -p icmp -j DROP
$iptables -A ext_lan -j LOG --log-level warning --log-prefix "WARNING "
$iptables -A ext_lan -j DROP
# Regole di uscita
$iptables -A lan_ext -p tcp --dport 21 -j ACCEPT
$iptables -A lan_ext -p tcp --dport 25 -j ACCEPT
$iptables -A lan_ext -p udp --dport 53 -j ACCEPT
$iptables -A lan_ext -p tcp --dport 53 -j ACCEPT
$iptables -A lan_ext -p tcp --dport 80 -j ACCEPT
$iptables -A lan_ext -p tcp --dport 110 -j ACCEPT
$iptables -A lan_ext -p tcp --dport 119 -j ACCEPT
$iptables -A lan_ext -p udp --dport 123 -j ACCEPT
$iptables -A lan_ext -p tcp --dport 443 -j ACCEPT
$iptables -A lan_ext -p tcp --dport 8080 -j ACCEPT
$iptables -A lan_ext -j LOG --log-level warning --log-prefix "RETE INTERNA "
$iptables -A lan_ext -j DROP
# caricamento modulo per gestione processo FTP
ftp_module_status=`lsmod | grep "ip_conntrack_ftp"`
if [ "$ftp_module_status" = "" ]
then
        /sbin/insmod ip_conntrack_ftp
fi
----------------------------------------------------------------------------
------------------------
ovviamente in questo ultimo script ho tolto alcune righe relative ai
collegamenti tra le varie vpn, ma funziona tutto perfettamente
in questo modo al router non metto mani ( è di telecom e la semplice
modifica cosa 250 euro ), in caso di necessità faccio il prerouting per
indirizzare il traffico dove voglio io e se il firewall si guasta lo posso
bypassare con un semplice cavo patch.
spero di esserti stato di aiuto
Luca

 >
 > spero di esserti stato di aiuto
 >
 > Luca
Pių preciso di cosė non potevi essere!
Oggi con calma provo la tua soluzione.
Cmq se avanzo tempo provo anche EbTables, mi ispira come soluzione.
Grazie ancora!