Newsgroup: it.comp.os.linux.sys
Titolo: NAT/PAT

Salve,
ho una linuxbox (MDK 8.0) configurata come gateway isdn per il
collegamento ad internet.
Ovviamente ho attivato il forwarding
echo 1> /proc/sys/net/ipv4/conf/eth0/forwarding
e il nat
iptables -t nat -A POSTROUTING -o ippp0 -j MASQUERADE
mi chiedo come mai, analizzando il traffico con ethereal ho indirizzi
esterni (source) e indirizzi privati della mia lan 192.168.x.x che
dialogano tra loro direttamente!!! 
ip source ---------> host.lan
l'indirizzo source non dovrebbe dialogare solo con l'indirizzo ip
pubblico dellla mia interfaccia ippp0 che a sua volta smista alla lan?
Grazie
Ciao


Col fischio: il "masquerade" effettua un nat dinamico per le connessioni 
uscenti dalla tua ippp0, e, tenendo traccia nelle tabelle di state di 
queste, natta anche il traffico in ingresso che sia "di risposta" a 
quanto iniziato da dentro.
Se però qualcuno "furbo" da fuori imposta l'indirizzo pubblico del tuo 
firewall come gateway per raggiungere la tua rete privata, ci arriva.
Ecco perchè esiste la catena di forward, no?
Il motivo per cui di solito l'approccio descritto non funziona dipende 
esclusivamente dal fatto che i carrier droppano tutti i pacchetti 
diretti o provenienti da ip privati. Va da sè che io non affiderei la 
sicurezza della mia rete alle impostazioni che telecom fa sui suoi 
router (che sono poi tutto un dire...)
Non dico comunque che quello sopra citato sia il tuo caso (verifica che 
genere di traffico è, esattamente...), ma voglio solo dire: okkio che 
sei partito da presupposti sbagliati, se credi che il "masquerade" ti 
dia qualche sorta di sicurezza...
Byez
-- 
Emanuele "SKULL" Balla
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)

 Ecco perchè esiste la catena di forward, no?
Non puoi impostare un gw che non sia direttamente accessibile. Per cui il 
tuo sistema funziona _solo se_ sei sulla stessa sottorete. Ovvero o lavori 
dall'interno dello ISP o sei un'altro modem collegato. Comunque è un bacino 
di "utenza" ridotto ( rispetto a tutta Internet )

 di "utenza" ridotto ( rispetto a tutta Internet )
Oppure se prendi possesso di una di queste macchine che hai elencato e 
le usi per tunnelizzare una sessione arbitraria che esca a sua volta in 
nat... Oppure se riesci a forzare il router perimetrale della sottorete 
pubblica cui la ISDN si appiccica. Il modo di sfruttare la cosa si può 
sempre trovare...
Onestamente non mi fiderei solo in funzione del fatto che " ad accedere 
alla tua macchina possono essere _solo_ le 254 macchine connesse allo 
stesso pool di dial-up ".
Poi è chiaro che se i pacchetti li vede DOPO che netfilter li ha 
nattati, li vede partire da pubblico per arrivare a privato...
Come dicevo, non ho detto e non intendo dire di correre direttamente da 
uno specialista, nè di partire dal presupposto che quelle che vede 
passare siano sessioni di intrusi. Ho solo detto che il presupposto con 
cui viene utilizzato il masquerade (se è legato ad aspetti di sicurezza) 
è sbagliato.
Byez...


 è sbagliato.
Chiaro che un bel
iptables -I FORWARD -i ippp0 -d 
10.0.0.0/24
 -j REJECT
iptables -I FORWARD -i ippp0 -d 
192.168.0.0/16
 -j REJECT
iptables -I FORWARD -i ippp0 -d 
172.16.0.0/12
 -j REJECT
Non fa mai male....

 "masquerade" ti dia qualche sorta di sicurezza...
Be', non basta ma aiuta ;)
Fabio