Newsgroup: it.comp.os.linux.sys
Titolo: 2 IP Pub. ed 1 IP Priv.

Chiaritemi per cortesia le idee, si tratta di questo : ho un Firewall linux
su Suse 7.3 (SuSEfirewall2) configurato su un IP privato (eth0) ed uno
pubblico (eth1). Ho bisogno di aggiungere un secondo IP pubblico
all'interfaccia eth1, e fin qui tutto ok. Devo nattare il secondo IP pub. su
un AS/400 per abilitare taluni servizi (telnet sulla 23...mi occorre
utilizzare 2 IP distinti perchè sulla porta 23 del linux devo poter entrare
da remoto), ma neanche questo è il problema. Ciò che mi chiedo è : ai fini
del firewall l' IP che vado ad aggiungere devo configurarlo in DMZ o che
altro ??? Immagino infatti che, assegnato il secondo IP, lasciando il mondo
com'è, solo la NAT non sarà sufficiente, l'AS non dovrebbe risultare
raggiungibile in quanto protetto.
GRAZI in anticipo a tutti !!!

 raggiungibile in quanto protetto.
<Advise on>
Partendo dal presupposto che non conosco suse e il fuo firewall, 
basandosi sull'assunto che questa generi rules di iptables come tutti:
<Advise off>
il dnat (suběto dai pacchetti in ingresso) viene effettuato in 
prerouting, per cui, DOPO il dnat, i pacchetti attraversano la forward:
$iptables -A PREROUTING -t nat -p tcp -d $AS400_EXT --dport 23 -j DNAT 
--to-destination $AS400_INT
e poi:
$iptables -A FORWARD -p tcp -d $AS400_INT --dport 23 -j ACCEPT
Giŕ cosě ridirigi solo la porta che ti serve (diamo per scontato che 
l'as possa giŕ uscire).
Tuattavia, se devi mettere in piedi piů di un servizio, oppure se il 
servizio che vuoi mettere su (ne dubito, dato che č su AS, ma non si sa 
mai) richiede protocolli a sč (mettiamo identd, tanto per fare un 
esempio...) č meglio fare un full nat e filtrare in forward (cosě eviti 
i problemi che possono derivarti, per esempio, dal nat non corretto 
effettuato sugli icmp:
$iptables -A PREROUTING -t nat -d $AS400_EXT -j DNAT --to-destination 
$AS400_INT
$iptables -A POSTROUTING -t nat -s $AS400_INT -j SNAT --to-source $AS400_EXT
$iptables -A FORWARD -p tcp -d $AS400_INT --dport 23 -m state --state 
NEW,ESTABLISHED -j ACCEPT
$iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
Spero sia di qualche utilitŕ..
Byez...
-- 
Emanuele "SKULL" Balla
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)


Intanto grazie...vuoi dirmi, se ho ben capito, che a posteriori delle regole
del firewall posso, pur lasciando tutto com'è, inserire le regole di
iptables che tu mi hai indicato, per far si che l'AS sia raggiungibile
dall'esterno via telnet (infatti non mi interessa uscire con telnet dall'AS
sul pubblico, ma il contrario) ???
... a buon rendere!!!

 sul pubblico, ma il contrario) ???
Ni... :-)
Sto dicendo che non conosco il susefirewall, per cui non so 
dove/come/quando agisce. *MA* difficilmente può essere altro da un 
frontend per iptables o qc del genere (magari con features avanzate che 
si appoggiano ad altri S/W, per quanto ne so, ma comunque iptables ci 
deve essere... a meno che non si siano fermati a ipchains).
Quando il pacchetto arriva sull'interfaccia, attraversa per prima cosa 
il driver ethernet (ammesso che tu non abbia token-ring ;-) ) e da qui 
risale verso il layer ip.
Se non ci fosse firewall andrebbe a cocciare nella tabella di routing e, 
dato che l'indirizzo è in ip locale, verrebbe passato al layer tcp e poi 
al servizio (telnet) che binda la porta.
Dato che c'è però una regola di dnat in prerouting, il pacchetto cambia 
destinazione e, quando arriva alla tabella di routing, non è più 
destinato ad una interfaccia locale, pertanto viene routato. Indi 
incoccia nella catena di forward, poi in quella di postrouting e infine 
se ne va per la sua strada (viene passata al driver ethernet della 
scheda da cui il pacchetto esce).
Questa è la teoria... dalla quale si desume che, dato che la tabella di 
forward viene attraversata dopo il routing, se si vuole far funzionare 
un dnat bisogna mettere le mani anche nella catena di forward.
Le regole che ti ho scritto non sarebbero altro che il modo in cui 
quello che vuoi realizzare verrebbe fatto se il firewall lo facessi a 
mano, alla vecchia e buona maniera, con iptables e basta...
Dopodichè il susefirewall non lo conosco, e pertanto non so dirti come 
replicare tali regole lì... ma devono per forza essere l'applicazione 
della stessa teoria...
Byez!
