Newsgroup: it.comp.os.linux.sys
Titolo: Firewall e ridirezione

Allora ho un bel Suse 8.2 come firewall d'avanti a tutta la mia bella 
rete .
Vorrei inoltrare tutto il traffico che arriva sull'ip pubblico sulla
porta 80 ad un indirizzo interno sempre sulla porta 80
Situazione - RETE
   Internet 
      |       
      | 219.219.219.219      
      |       
   SuSE-Firewall
      |      
      |      
      |           192.168.1.100
  HUB LAN -------  Web server
      |
      |
  ALTRI PC   192.168.1.X 
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 porta 80 ad un indirizzo interno sempre sulla porta 80
iptables e NAT. Vedere l'apposito howto.
Davide
-- 
| It's a damn poor mind that can only think of one way to spell a word. 
| -- Andrew Jackson 
| 
| 

su xinetd puoi creare un servizio di redirezione , guarda la manpage , la
voce dovrebbe essere redirect.
appure classico iptables.
ciao.
-- 
"Con la sola imposizione delle mani, posso ungervi la giacca e la
cravatta..."
                -- Mago Oronzo (Raul Cremona), "Mai Dire Gol"

 porta 80 ad un indirizzo interno sempre sulla porta 80
Lo stesso giochino lo puoi fare anche abilitando un reverse proxy sulla 
tu Suse, tanto per dovere di cronaca. Per info basta googlare usando 
"reverse proxy howto" come chiavi.
-- 
Fabrizio "Hermooz" Ermini

 "reverse proxy howto" come chiavi.
Diomamma... un po' overkill, non credi?

intanto GRAZIE A TUTTI, pero' quello che chiedevo e' proprio sotto SUSE
cioe' usando il SUSEFIREWALL2 di SUSE.
Grazie ancora.


 Diomamma... un po' overkill, non credi?
Mah, alla fin fine è quasi più facile metter su uno squid in 
reverse-proxy che non smanaccare tra le regole di NATting (specie per 
chi non è abituato a dialogare quotidianamente con IPChains), non ti pare?
E ti dà anche qualche feature in più ;-)
-- 
Fabrizio "Hermooz" Ermini

 E ti dà anche qualche feature in più ;-)
Sicuro. Ma è come dare in mano una pistola a chi di chiede come fare un
buco nella parete...
Se usato male, porta una marea di danni (qualcuno ha detto CONNECT? ).
Per fare quello che gli serve, direi che iptables è la cosa appropriata...
Hola..

 si mette a capire come configurarlo?
... e trasformerebbe il firewall in un firelol

 E ti dà anche qualche feature in più ;-)
Che se non richiesta, e` sempre una pessima idea.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Real programmers don't comment. What was hard to write should be hard to read.

 ... e trasformerebbe il firewall in un firelol
/me sviene dal ridere. :)


 
Se usi il SuseFirewall2 ti basta mettere nel file di configurazione
FW_FORWARD_MASQ="
0.0.0.0/0,192.168.10.1,tcp,80
"
Ciao
Andrea

 FW_FORWARD_MASQ="
0.0.0.0/0,192.168.10.1,tcp,80
"
Dimenticavo devi mettere anche
FW_MASQ_NETS="192.168.10.1,0/0,tcp,80"
Riciao
Andrea

 wrote in message
news:c8vq7c$3tf$
1...@newsreader.mailgate.org



 
Anche questo deve essere attivato...
FW_ROUTE="yes"
Riciao

 Se usato male, porta una marea di danni (qualcuno ha detto CONNECT? ).
Hm? Questa mi manca. A cosa ti riferisci?
-- 
Fabrizio "Hermooz" Ermini

 
certo, ma si parla di proxy che agiscono da open proxy. Un reverse proxy 
che "canali" in più ti può aprire? Al massimo può agire come forwarder 
di exploit verso il web server interno, ma questo accade anche 
tunnellando (passatemi l'obbrobrio linguistico) via NAT.
(PS: non è una domanda retorica, è una domanda vera)
-- 
Fabrizio "Hermooz" Ermini

 Hm? Questa mi manca. A cosa ti riferisci?
http://www.dnsbl.au.sorbs.net/proxy.html
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
If it's already broken, force it.

 tunnellando (passatemi l'obbrobrio linguistico) via NAT.
Il punto e`: un software correttamente configurato non ti apre niente
che tu non apra. Ma squid, prima di essere qualunque cosa, e` un proxy,
quindi devi _chiudere_. Con iptables, devi aprire. Questo semplice
default fa si che in giro di squid misconfigurated ce ne sono anche
troppi (rpm -ivh squid?), mentre iptables misconfigurated, fanno si che
tu non faccia nulla, e quindi ti sforzi di capire cosa non va. :)
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------


 tu non faccia nulla, e quindi ti sforzi di capire cosa non va. :)
Aspetta: la mia esperienza č limitata, ma tutte le distribuzioni di 
squid che mi sono trovato per le mani funzionavano esattamente cosě, 
ovvero tutto chiuso di default e ti devi fare te almeno un'ACL senno' 
non passa nulla.
Ma questo in effetti č sicuramente una cosa che cambia da 
un'installazione all'altra.
-- 
Fabrizio "Hermooz" Ermini

 un'installazione all'altra.
Vero. La configurazione di default presenta ACL che permettono query solo
da localhost.
Solo che è una configurazione per *proxy*, non per *reverse-proxy*.
Quella te la devi fare tu, ed è parecchio diversa...
Ora: se sei sufficientemente smart da saperla fare quasi certamente
non avevi bisogno di qualcuno che te lo suggerisse...
Per inciso, il reverse proxy è un ottimo strumento, ma ha uno spettro
d'utilizzi relativamente limitato e i *veri* vantaggi di averlo si hanno
solamente con configurazioni non banali (http sanitize, piuttosto che url
filtering, http acceleration, ssl wrap, ecc...).
E, salvo in casi *assolutamente* particolari, lo si fa con una macchina in
DMZ che esporti dei webserver in backend.
Personalmente, non lo metterei mai su un firewall...
Tutto IMHO...

 wrote in message
news:c8vrr3$5t0$
1...@newsreader.mailgate.org

Non Va' .. tra 'l'altro con un port scan non sembra neppure aperta la
porta ridirezionata.... HELP
EROS


 wrote in message
news:c8vrr3$5t0$
1...@newsreader.mailgate.org




A me funziona perfertamente ma hai fatto un SuSEfirewall2 stop e poi uno 
start??
Hai messo l'indirizzo ip giusto del web Server??
Ho ridato una occhiata al mio firewall.rc.config e quelle 3 variabili 
dovrebbere essere le uniche interessate. Non è che per caso hai
FW_MASQUERADE="no" nel caso mettilo a yes.
Io cmq ho una Suse 7.3 e il file di configurazione cambia un po' da una 
8.2 se lo leggi bene è tutto perfettamente commentato.
Ciao




 
Era gia chiarissimo, è molto simile alla mia configurazione solo che io 
ho anche la DMZ e il web server che è anche  mail server è in DMZ.
Con il sistema che ti ho detto ridireziono le porte 80 110 e 25.
Prova a postare il tuo firewall.rc.config togliendo le riche dei 
commenti che ti ci do un' occhiata.
Ciao
Andrea

Ma hai un router o un modem???
Se hai un router non è che sia lui a filtrarti la porta 80?
Riciao
Andrea

 Se hai un router non è che sia lui a filtrarti la porta 80?
QUESTO e' il file
FW_QUICKMODE="no"
FW_DEV_EXT="eth0"
FW_DEV_INT="eth1"
FW_DEV_DMZ=""
FW_ROUTE="yes"
FW_MASQUERADE="yes"
FW_MASQ_DEV="$FW_DEV_EXT"
FW_MASQ_NETS="
192.168.11.0/24,0/0,tcp,122
"
FW_PROTECT_FROM_INTERNAL="no"
FW_AUTOPROTECT_SERVICES="no"
FW_SERVICES_EXT_TCP="http ssh"
FW_SERVICES_EXT_UDP=""
FW_SERVICES_EXT_IP=""
FW_SERVICES_DMZ_TCP=""
FW_SERVICES_DMZ_UDP=""
FW_SERVICES_DMZ_IP=""
FW_SERVICES_INT_TCP=""
FW_SERVICES_INT_UDP=""
FW_SERVICES_INT_IP=""
FW_SERVICES_QUICK_TCP=""
FW_SERVICES_QUICK_UDP=""
FW_SERVICES_QUICK_IP=""
FW_TRUSTED_NETS=""
FW_ALLOW_INCOMING_HIGHPORTS_TCP="no"
FW_ALLOW_INCOMING_HIGHPORTS_UDP="DNS"
FW_SERVICE_AUTODETECT="yes"
FW_SERVICE_DNS="no"
FW_SERVICE_DHCLIENT="no"
FW_SERVICE_DHCPD="no"
FW_SERVICE_SQUID="no"
FW_SERVICE_SAMBA="no"
FW_FORWARD=""
FW_FORWARD_MASQ="0/0,192.168.11.60,tcp,122"
FW_REDIRECT=""
FW_LOG_DROP_CRIT="yes"
FW_LOG_DROP_ALL="no"
FW_LOG_ACCEPT_CRIT="yes"
FW_LOG_ACCEPT_ALL="no"
FW_LOG="--log-level warning --log-tcp-options --log-ip-option
--log-prefix SuSE-FW"
FW_KERNEL_SECURITY="yes"
FW_STOP_KEEP_ROUTING_STATE="no"
FW_ALLOW_PING_FW="yes"
FW_ALLOW_PING_DMZ="no"
FW_ALLOW_PING_EXT="no"
FW_ALLOW_FW_TRACEROUTE="yes"
FW_ALLOW_FW_SOURCEQUENCH="yes"
FW_ALLOW_FW_BROADCAST="no"
FW_IGNORE_FW_BROADCAST="yes"
FW_ALLOW_CLASS_ROUTING="no"
FW_CUSTOMRULES=""
FW_REJECT="no"
FW_HTB_TUNE_DEV=""


 Il solito fazioso...hihhi! ;)
:)
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Analmatrach Utvasvetod Dochieldienve.

Questo è il mio file...e funziona..
Ho tolto solo alcune cosette Della dmz e della VPN.
Ma per il resto è ok e funzionante.
Dove il 192.168.10.5 e il web server.
FW_DEV_EXT="eth2"
FW_DEV_INT="eth0"
FW_DEV_DMZ="eth1"
FW_ROUTE="yes"
FW_MASQUERADE="yes"
FW_MASQ_DEV="$FW_DEV_EXT"
FW_MASQ_NETS="192.168.10.5,0/0"
#per comodita ha un accesso ad internet completo
FW_PROTECT_FROM_INTERNAL="yes"
FW_AUTOPROTECT_SERVICES="yes"
FW_SERVICES_EXT_TCP=""
FW_SERVICES_EXT_UDP=""
FW_SERVICES_EXT_IP=""
FW_SERVICES_DMZ_TCP="3128"
FW_SERVICES_DMZ_UDP=""
FW_SERVICES_DMZ_IP=""
FW_SERVICES_INT_TCP="22 3128 1723 8080"
FW_SERVICES_INT_UDP=""
FW_SERVICES_INT_IP=""
FW_TRUSTED_NETS=""
FW_ALLOW_INCOMING_HIGHPORTS_TCP="ftp-data"
FW_ALLOW_INCOMING_HIGHPORTS_UDP="domain"
FW_SERVICE_AUTODETECT="yes"
FW_SERVICE_DNS="no"
FW_SERVICE_DHCLIENT="no"
FW_SERVICE_DHCPD="no"
FW_SERVICE_SQUID="yes"
FW_SERVICE_SAMBA="no"
FW_FORWARD=""
FW_FORWARD_MASQ="
0.0.0.0/0,192.168.10.5,tcp,80
 
0.0.0.0/0,192.168.10.5,tcp,25
 
0.0.0.0/0,192.168.10.5,tcp,110
"
FW_REDIRECT=""
FW_LOG_DROP_CRIT="yes"
FW_LOG_DROP_ALL="no"
FW_LOG_ACCEPT_CRIT="yes"
FW_LOG_ACCEPT_ALL="no"
FW_LOG="--log-level warning --log-tcp-options --log-ip-option 
--log-prefix SuSE-
FW"
FW_KERNEL_SECURITY="yes"
FW_STOP_KEEP_ROUTING_STATE="no"
FW_ALLOW_PING_FW="yes"
FW_ALLOW_PING_DMZ="no"
FW_ALLOW_PING_EXT="no"
FW_ALLOW_FW_TRACEROUTE="yes"
FW_ALLOW_FW_SOURCEQUENCH="yes"
FW_ALLOW_FW_BROADCAST="no"
FW_IGNORE_FW_BROADCAST="yes"
FW_IGNORE_FW_BROADCAST="yes"
FW_ALLOW_CLASS_ROUTING="no"

Sembrerebbe corretto
Io per provare metterei
FW_MASQ_NETS="192.168.11.60,0/0"
Ma che servizio hai attivato sulla 122?
Cosa ti dicono i log del firewall quando provi a contattare la 122
ti da dei DROP?
Io farei delle prove usando ad esempio il servizio ssh
mettendo FW_FORWARD_MASQ="
0.0.0.0/0,192.168.11.60,tcp,22
"
Poi con un client ssh proverei a contattare il 192.168.10.3 sulla porta 22.
Dovrebbe darti tranquillamente il login.
Ciao
Andrea
Ps.
se provi con ssh devi mettere
FW_SERVICES_EXT_TCP="http"

Cmq.mi viene un dubbio...
Prova ad assegnare alla eth0 un indirizzo tipo pubblico...
Ma il 192.168.11.60 ha come default gateway il 192.168.11.1 ?
Scusa le domanda stupida ma non si sa mai...
Riciao
Andrea

 wrote in message
news:c94a1v$d2i$
1...@newsreader.mailgate.org



 
Di nulla, se posso dare un mano la do più che volentieri.
Ciao
Andrea