Newsgroup: it.comp.os.linux.sys
Titolo: router adsl pirelli & linux

Ho ultimamente installato una piccola rete in un ufficio composta da sei
client win98, un server linux che ospita un applicativo gestionale, che
esegue il backup dei vari client e che fa anche da mail server (sul server
ho anche installato un antivirus in modo da controllare la posta in arrivo).
Il cliente ha ultimamente chiesto ed ottenuto un'adsl smart 5 (con un ip
fisso) con telecom che, tra l'altro, gli ha anche fornito un router pirelli
microage e si e' rivolto a me per un piccolo firewall sempre linux based.
Detto fatto. Il tutto funziona a meraviglia...  Inizialmente il tutto era
stato concepito per eseguire quel minimo di assistenza indispensabile e
possibile da remoto via ssh, cosa che pero' non riesco a fare perche' ogni
tentativo di connessione termina sempre con un laconico "The host x.x.x.x is
unreachable...".
Quindi la mia connessione è bloccata da qualcosa che non riesco ancora ad
identificare. Credevo di aver commesso qualche errore con iptables ma,
controllando e ricontrollando, le regole di iptables non sono in grado di
bloccare connessioni ssh sia in ingresso e in uscita (anzi, ho provato anche
ad accettare in modo esplicito connessioni tipo ssh).
Il mio dubbio e' che il router pirelli, in comodato d'uso, non riesca a
farmi "scavalcare" se stesso. Insieme al router non e' stato fornito alcun
manuale d'uso, e le poche cose che ho trovato in rete non mi sono state di
alcun aiuto.
Qualcuno e' riuscito a risolvere un problema simile con il suddetto router?
Credo che tutta la faccenda ruoti intorno al nat/pat che il pirelli, da quel
poco che ho visto, forse non controlla pienamente (perche' forse le
impostazioni di default non permettono altro, o perche' tali funzioni sono
magari del tutto inesistenti).
Potete suggerirmi delle soluzioni prima di passare che so... ad uno zyxel
tipo 645, 650 R (conoscete il 642?).
denghiu
----ooo0O--- /\@  @/\ ---O0ooo----
                            L
                       (vuuuv)


il 645 e' ottimo dato che fa anche h323 e se lo redirigi sul linux ti fa da
server
nat e quello che ti pare
devi chiamare telecom e farti dare user e password per accesso a internet
con adsl
ma non so se telecom te la fornisce


 unreachable...".
Scusa, ma l' ip pubblico sara' assegnato al router...
il firewall avra' due schede di rete...
due lan private...
ergo, se non natti il firewall col cavolo che lo vedi...

 il 645 e' ottimo dato che fa anche h323 e se lo redirigi sul linux ti fa
da
Concordo... ma preferisco il 642...
Ho scoperto che il 650 con IPSEC fa un pò di casini.
Ho un FW nattato dietro un 650, le VPN funzionano, ma dopo qualche minuto in
cui non si stabiliscono nuove connessioni non su VPN, la vpn si blocca.
Se pingo qualsiasi cosa (router compreso) tutto torna a funzionare.
Con un 642 non succedeva.
Comunque imho zyxel e cisco sono i migliori.
Max

 ergo, se non natti il firewall col cavolo che lo vedi...
scusa ma non capisco bene l'affermazione.
Se intende la regola per il natting (SNAT, dato che si tratta di ip fisso)
del firewall linux, quella naturalmente e' bella che impostata  (altrimenti
i pc della lan non potrebbero uscir fuori).
Se intendi invece la possibilita' di impostare una qualche regola di nat
direttamente sul router, questo dipende solo dal fatto se riusciro' o meno
ad entrare nel menu' di configurazione del router (ho gia' provato con le
solite "admin" e "micro_vattela_apesca" ma nada).
Posso pero' dirti (forse una speranza) che da quanto ho trovato in rete, una
voce del genere nel router dobrebbe esistere.
ciao e grazie

 ma non so se telecom te la fornisce
Cacchio (scusate...). Allora la situazione e' meno risolvibile di quanto
sembra. Pero' scusa, se non ricordo male il cliente mi ha detto che quando
ha accettato il contratto c'era anche la possibilita' di non utilizzare il
router fornito da telecom. Quindi, ergo, dovra' pur esistere la
possibilita', per chi opta per un router proprio, d'impostarlo per
permettere almeno l'uscita verso l'esterno.
Grazie ancora

 poco che ho visto, forse non controlla pienamente
Vai a pag 33 del manuale del Pirelli, leggi la sezione relativa al Virtual
Server, e' quello che cerchi.
Ovviamente devi avere la password per la configurazione, e la Telecom non te
le dara', a meno che non offri un caffe' al tecnico che monta il router.
Inoltre il Pirelli AGE uB implementa di per se un piccolo firewall di tipo
stateless, il fatto che tu non riesci a contattarlo dall'esterno ti dice che
tale firewall e' stato gia' configurato ed attivato, scommetto che hanno
messo Deny All sull'interfaccia PubLAN (Inbound direction).
Se vuoi utilizzare una macchina Linux come un vero firewall dovresti
acquistare dalla Telecom un ulteriore indirizzo IP da assegnare alla scheda
di rete pubblica.
Ciao

 Ciao
Scusa ancora se ti tedio con la mia insistenza... cosa intendi esattamente?
Potrei, ad esempio, acquistare un ulteriore ip per assegnarlo a chi
esattamente, alla scheda di rete del firewall che sta' dietro il router?
Se cosi' fosse dovrei eseguire allora lo SNAT direttamente su
quell'indirizzo ip pubblico in piu?
Non ho ben chiaro la prassi tecnica che occorrerebbe in tal caso eseguire.
Vediamo un po'... la situazione attuale e' questa:
<internet>--...--<[ip_pub] router [ip_1.]>----<[ip_2] f.wall [ip_3]>---[lan]
dove ip_pub e' l'indirizzo pubblico assegnato da telecom e ip_1, ip_2 e ip_3
sono gli indirizzi privati parte lan.
Come si trasformerebbe quindi lo schema se acquistassi un ulteriore ip?
Grazie ancora per la cortesia e perdonate le eventuali castronerie

 no?).
Ho lo stesso router, se non ricordo male di default è "admin" e
"microbusiness", se vuoi domani guardo io il manuale. Il virtual server
si configura via web, oppure fai telnet col router e sono tutti menu a
scelta multipla.
-- 
Registered user at 
http://counter.li.org
 # 170453
Jabber JID: 
sil...@jabber.linux.it
GnuPG Key fingerprint = 10E0 2B05 0B0A 3525 8760  788B 59B6 C74A 250E 65B6

 scelta multipla.
Grazie! sei davvero gentile. Purtroppo user e pw non sono quelle di default.
Questa ed altre cose mi fanno pensare che, magari, quel router abbia
incontrato altri utenti utonti come me.
In ogni caso, ho visto che moooolti utenti telecom-pirelli, a loro insaputa,
usano un router praticamente configurabile da mezza pacca di mondo (la
telecom infatti non dice nulla a proposito. Molto spesso, anzi, nella
totalita' delle volte --la mia e' un'eccezione--, lascia all'utente un
dispositivo con user e pw conosciute da tutti che, teoricamente, potrebbero
permettere l'accesso al dispositivo da parte di chiunque...).
Mi interessa invece la configurazione dei virtual server. Come ho gia'
detto, il router e' arrivato privo di manuali e, le informazioni che ho
trovato in rete, non sono cosi' esaurienti.
Di cosa si tratta esattamente? Di una sorta di pat (il nat dovrebbe, se non
erro, avere una voce tutta sua)? E perche' 'sto nome che ricorda invece le
voci di configurazione di apache? Dovrebbero ridirigere, penso, il traffico
in ingresso verso altre porte e/o indirizzi?
Grazie ancora.

 voce del genere nel router dobrebbe esistere.
E' quella che serve a te...
praticamente dici al router (per ssh)
"se qualcuno ti contatta sulla porta 22, butta tutto all' indirizzo x.y.z.k"
se non riesci a impostare questo, bhe...
o come ti hanno suggerito acquisti altri indirizzi ip e dai in pasto al
mondo
internet il firewall (cosa che io non farei)
o cambi router e ne prendi uno che puoi gestire...
IO cambierei router (se non trovi usr e pwd di amministrazione)

 <internet>--...--<[ip_pub] router [ip_1.]>----<[ip_2] f.wall
[ip_3]>---[lan]
Effettivamente il nome virtual server e' fuorviante. Tale menu permette di
fare un nat/pat statico delle porte che vuoi tu, tipo "redirigi il traffico
che arriva su <ip_pubblico> : <porta_pubblica> su <ip_lan> :
<porta_che_vuoi_tu>.
Per esempio se vuoi entrare in ssh sulla tua macchina linux potrai
aggiungere una conf. al virtual server del tipo:
Public Port = 22
Private Port = 22
Port Type = TCP
Host IP Address = <ip_del_tuo_Linux>
E' piu' chiaro cosi'? Ovviamenete cosi' facendo il pc che riceve la
richiesta di connessione, "vede" che e' il router a fargliela quindi pensa
di avere a che fare con una richiesta che viene da una macchina della LAN.
Se invece hai un ulteriore IP da mettere sulla scheda di rete del fireweall
e' tutta un'altra cosa, in quel caso chi accede a tale IP arriva
direttamente sul firewall, non passa piu' per il router, e allora si che
potrai gestire il firewall pienamente come vuoi tu.
Ciao.

 
non ti servono user e pass.
le linee smart, non sono come quelle residenziali, che necessitano di 
autenticazione.
tu hai il tuo circuito dedicato e la linea è sempre e solo tua.
quando metti on l'interfaccia del router, se la cfg è corretta, puoi già 
navigare.
-- 
+-------
| Paolo opg
|
| janickg ( at ) hotmail ( dot ) com
+-------

 IO cambierei router (se non trovi usr e pwd di amministrazione)
Questa sara' invece piu' dura, vuoi perche' dovrei convincere il cliente ad
affrontare un'ulteriore spesa (che comunque si ripagherebbe da sola), vuoi
perche' il passaggio "pirelli --> <nuovo_router>" potrebbe comportare
difficolta' dal lato telecom... Non so... forse sbaglio a vederla cosi'
nera... vedremo.
Grazie ancora comunque.
P.S. Forse il thread ha acquistato un sapore poco linuxiano. Me ne scuso con
tutti. E' che vorrei sistemare 'sta benedetta cosa e riuscire ad avere un
sistema, linux_centralizzato, funzionante come dico io. Chiedo quindi venia
ed, eventualmente, ancora un poco di pazienza.

 potrai gestire il firewall pienamente come vuoi tu.
Scusa l'insistenza e la stupidita', ottusita' o chiamala come vuoi tu, ma
quando parli dell'ulteriore ip da mettere sulla scheda di rete del firewall
intendi praticamente un alias (l'interfaccia verso il router, eth0, possiede
gia' il suo indirizzo, diciamo, router-compatibile, 192.168.2.2. Quella del
router e' infatti 192.168.2.1)?
arririririgrazie

 intendi praticamente un alias
No ti parlo di un vero e proprio indirizzo ip.
Per esempio il tou router ha 80.105.102.12, te ne verra' assegnato un'altro
per es. 80.105.102.13 che assegnerai ad un pc che sara' quindi direttamente
raggiungibile da internet. Quindi il tuo Firewall-Linux non avra' piu' come
gateway il router, perche' diventera' lui stesso il gateway se e' questo che
vuoi.
Torno a ripetere pero' che se non hai necessita' particolari, il firewall
del router puo' bastare, senza complicarti la vita, e fai un nat/pat statico
delle porte che vuoi tu sulle macchine che vuoi tu.
Ciao.

 nera... vedremo.
Fai cosi'... gli dici che quel router ha dei grossi bachi di sicurezza, e un
cracker
potrebbe bucarlo e prenderne il controllo (cosa vera, visto che mezzo mondo
conosce quelle password.). Tu consigli un investimento di un centinaio
di euro per prendere un nuovo router piu' sicuro, quasi a prova di
cracker....
Lui non capira' niente, ma potra' vantarsi con gli amici "sai, ho una linea
internet
a prova di cracker!!" ;)))

 Grazie ancora.
Grazie a te se vorrai chiarirmi alcuni concetti. A proposito, scrivimi
pure in email per ricordarmi di prendere su questo manuale appena passo
in ufficio (domenica mattina di sicuro).
