Newsgroup: it.comp.os.linux.sys
Titolo: iptables, routing, dmz, simulazioni e casini vari, mi servirebbe una manina :(

Allora, la situazione e' complessa, ma cerchero' comunque di spiegarla
meglio che posso.
Nella simulazione che stiamo facendo in ufficio (che poi dovrebbe
essere portata nella realta') ci sono le seguenti macchine:
1. Server w2k con Lotus Domino (come server che sta in DMZ, ip privato
nattato dal firewall su ip pubblico)
2. Macchina SuSE con 3 schede di rete, che fa da router/firewall per
una LAN nostra e la LAN (DMZ) con i server.
3. Macchina RedHat che dovrebbe (sigh) simulare un router internet
4. Altra macchina RedHat che simula una normale macchina internet.
Sintomi:
dalla macchina 4 pingo la 3 su entrambe le interfacce di rete
dalla 4 NON pingo la suse :(
Dalla suse se tiro su iptables (e anche quando lo tiro giu' ogni
tanto) non pingo proprio (mi da' sendmsg: operation not permitted,
anche pingando localhost -_-)
dalla 3 pingo tranquillamente la 1, ma NON pingo il firewall (che
risulta semplicemente non pingabile)
Insomma, il router farlocco non funge e manco la SuSE che farebbe il
firewall serio.
Notare che settimana scorsa le stesse macchine, ma con ip diversi
funzionavano... :(
Dopo aver letto quasi tutti gli how-to su iptables e routing e aver
perso ormai 2 giorni a sistemare uno script che settimana scorsa
funzionava e adesso si rifiuta, qualcuno mi sa dare una mano?
Ovvero:
La macchina che fa da router tra gli ip pubblici della DMZ e
"internet" chi deve avere come gateway?
E la SuSE con 3 schede di rete (che diventeranno 4) chi deve avere
come gateway? [ormai sono alla frutta...]
Escludo a priori:
Script prefabbricati
Utilizzo di tool grafici (voglio lo script bello ordinato, dato che
crescera' moltissimo e non voglio impazzire a debuggarlo quando si
inchioda...)
TIA :)
E... buone ferie a chi c'e' (io me le sogno la notte)
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
=> Warning: Mail Filter on: HTML-Mail, hotmail/msn/yahoo accounts. <=

 E... buone ferie a chi c'e' (io me le sogno la notte)
...beata te... io mi sogno la mia (povera) moto...
Davide

TUTTOILRESTO->Internet
dovra' averne 4 perche' le LAN degli utenti in realta' saranno 2, ma
per ora manca la quarta scheda :P
Il problema principale e'... che significa:
ping: sendmsg: operation not permitted?
Mi capita quando cerco di pingare con la DMZ (stesso script, a parte
gli ip, che settimana scorsa funzioava) :(


 ping: sendmsg: operation not permitted?
Potrebbe essere un problema di permessi: ping deve aprire un socket
'raw' con permessi di root, per questo motivo di solito e'
SUIDato.
Davide



Prima di attivare lo script di iptables il ping va benissimo, e' un
problema di firewall e ne sono sicura al 100%...
Se domani ti mando lo script hai tempo di dargli un'occhiata?
Prossima volta che passi di qua la pizza la offro io per sdebitarmi :P


 Prossima volta che passi di qua la pizza la offro io per sdebitarmi :P
Manda pure.
Davide

Sulla macchina Suse usa il Susefirewall2, ti permette di gestire esattamente
quello che ti serve.
E funziona verante molto bene.
Ciao
--
"Il mondo si divide in due categorie. C'č chi ha la pistola carica e chi
scava. Tu scavi !!!"

Ciao,
per attivare il routing ti conviene mettere ad uno 
ip_forward ed ip_dynaddr ( in /proc/sys/net/ipv4/ ).
Ed inoltre dare una occhiata ad icmp_echo_.....
Io non settavo ip_dynaddr ed avevo dei problemi.
In giro c'č una utility interassante per configurare il firewall che 
si chiama FWBUILDER, configuri graficamente e lei ti generara uno script
per configurare il firewall.
Leggendo questi script si imparano parecchie cose.
Marco 
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

E funziona verante molto bene.
Avevo giusto detto che volevo farmi lo script a mano senza usare tool
grafici...
Senno' usavamo quello, ma date le problematiche che avremo, e' meglio
avere uno script di inizializzazione messo chiaro e bene e commentato
in italiano da noi, cosa che con tool per quanto perfetti non si puo'
ottenere...


Ciao,
riscrivo perchè non vedo nella lista il mio messaggio precedente
Setta ip_forward ed ip_dynaddr ad 1
e metti a zero   icmp_echo_ignore_all
Le trovi in /proc/sys/net/ipv4/
Spero sia questo il tuo problema.


Il SuseFirewall2 non è grafico...(Quello della 8.0 non so come sia..io uso
una 7.3 per il firewall)
Avevo letto che non volevi usare un tool prefabbricato, ma mi sono permesso
lo stesso di consigliartelo,
perchè funziona bene, e si configura altrettanto bene.
Il mio firewall è up da aprile e non si è mai inchiodato.
Io sono del parere che se esiste qualcosa di già preparato, perchè non darci
per lo meno un occhiata.
Ciao
--
"Il mondo si divide in due categorie. C'è chi ha la pistola carica e chi
scava. Tu scavi !!!"

 E... buone ferie a chi c'e' (io me le sogno la notte)
ferie? boh :-)

per lo meno un occhiata.
Perche' qui la rete e' in continua evoluzione, le macchine vengono
aggiunte, tolte, cambiate, e la situazione e' decisamente complessa...
Preferiamo usare script fatti da noi, che se si incarta qualcosa,
almeno sappiamo dove andare a guardare...
La SuSE che usiamo noi comunque e' una 8 e la volta che abbiamo
abilitato il suo firewall, ci siamo trovati di botto con troppe regole
che non ci servivano e non si capisce quasi nulla dai suoi file di
configurazione :(


ferie? boh :-)
E' una parola che sento spesso, ferie... ma sinceramente non so cosa
siano :P
[delirio del 14 agosto]



non serve a risolverti il prob, ma gli ip mettili in uno script, in modo
che vengano estratti all'avvio del fw
io faccio cosě:
ExtInt="eth1"
ExtIP=`ifconfig $ExtInt | grep inet | cut -d : -f 2 | cut -d " " -f 1`
ExtNet=`ifconfig $ExtInt | grep inet | cut -d : -f 2 | cut -d " " -f 1 |
cut -d . -f 1-3`.0/`ifconfig $ExtInt | grep inet | cut -d : -f 4 |
cut -d " " -f 1 | cut -d . -f 1-4`
in questo modo devo settare solo l'interfaccia e poi gli
ip/netmask/indirizzi di rete vengono fuori senza che debba ricordarmi di
farlo a manina se cambio qlcs...
e per d piů posso riciclarlo x diversi clienti con subnet diverse con
sbattimento minimo ;-P

Insomma, verginello.
Ma i moduli:
# lsmod
Module                  Size  Used by
ipt_LOG                 3088   3  (autoclean)
ipt_MASQUERADE          1200   1  (autoclean)
iptable_nat            12880   1  (autoclean) [ipt_MASQUERADE]
ip_conntrack           13296   1  (autoclean) [ipt_MASQUERADE iptable_nat]
iptable_filter          1728   1  (autoclean)
ip_tables              10528   6  [ipt_LOG ipt_MASQUERADE iptable_nat iptable_filter]
de4x5                  39248   1  (autoclean)
eepro100               17280   1  (autoclean)
aic7xxx               109984  12 
raid1                  12032   6 
Sono caricati.
Comunque anch'io ho lo stesso problema; va tutto eccetto il NAT.
-- 
Ciao./ Zio Ciano.
Born to run Unix
-Fare bene non e` bene, fare male non c'e` male.-


wrote:
[cuttone]
Grazie a mustafa che mi ha fatto capire che sono idiota...
L'errore era solo: la suse aveva come gateway se stessa :(
Notare: in due ci abbiamo perso UNA giornata e non ci e' venuto in
mente...
Comunque adesso funziona, mi rimetto a testare script con variabili,
che il capo preferisce (dice che e' piu' facile ricordarsi le cose, e
forse non ha tutti i torti...)
PS:
Sapevo che era un errore del kaiser -_-


 Sapevo che era un errore del kaiser -_-
beh, e' sempre cosi'. piu' le cose sono semplici, piu' ci perdi tempo...
per dare solo l'ultimo esempio a me capitato, ho messo un server di posta di
test (qmail + mille cazzilli vari) e funzionava tutto, solo che era lento
quando scaricava la posta dal pop3.... ho intuito che era un problema di
dns... ma ci ho messo un giorno a capire che /etc/resolv.conf era vuoto
:-)))

 [sarebbe appunto come dici sotto il gateway del provider]
beh, nel tuo test impostagli come default gw la suse
p.s. siccome la situazione mi pare incasinata :-) affrontiamo un pezzetto
per volta :-)
tanto oggi non ho nulla da fare <g>
riguardo al nat, basta una regola cosi':
iptables -t nat -A POSTROUTING -o ethx (l'interfaccia esterna del gw) -j
SNAT --to {ip_esterno_gw_suse)
(a memoria)

 Comunque anch'io ho lo stesso problema; va tutto eccetto il NAT.
Se leggete nel forum il problema della NAT sicuramente troverete quella che
fa per voi.
L'ho affrontatato io i primi di questo mese.
Per me era un problema di IP Aliasing ovvere dare un indirizzo della rete
interna ad una scheda esterna per ricever i pacchetti di ritorno Nattati...
poi ha funzionato e sono andato in ferie :-P
Saluti