Newsgroup: it.comp.os.linux.sys
Titolo: problema firewall

Vi devo chiedere un aiuto...e' na cosa basilare...ma non la so fare :)
Ebbene, il mio simpaticissimo capo dato che gli avevo detto che avevo
installato un paio di volte linux a casa mia, ha pensato bene di spacciarmi
come amministratore unix e di mettermi a configurare due sistemi firewall
con linux per due ditte...e il primo server lo devo testare su una linea di
test e portarlo dal cliente e riconfigurarlo per mercoledi' questo...evito i
commenti sul QI del mio capo....
Questo firewall deve semplicemnte far comunicare la rete privata con
l'esterno con annesso filtering. In un secondo momento fara' parte pure di
una DMZ insieme ad un mail server e ad un webserver (e tornero' al muro del
pianto...).
Non va un benemerito cazzo. Ovvero: non riesco a far uscire il client di
test all'esterno. pinga entrambe le schede del firewall (indirizzo pubblico
su eth0 e ndirizzo privato su eth1) ma nessun altro indirizzo della nostra
rete (che per la cronaca sfrutta un dhcp che smercia indirizzi pubblici su
TUTTI i client della rete... :) ) e tantomeno i router o il web.
Sono due giorni che leggo tute, ma tutti partono dal presupposto che di
default, ovvero senza nessuna regola, i client escano sfruttando l'ip
forwarding o masquerading tranquillamente, e danno come prova del nove la
disabilitazione dell'ipforwarding per non farli uscire...ma il problema e'
che sto client, di uscire, non ci pensa nemmeno...
magari sbaglio qualcosa nella configurazione della schede...
esempio di come l'ho configurata io (con ip farlocchi rotfl):
Router:
-ip: 80.100.100.1
Firewall:
eth0 (pubblica)
-ip: 80.100.100.3
-nm:255.255.255.120
-gw:80.100.100.1
eth1:
-ip:10.0.0.1
-nm:255.255.255.120
-gw:80.100.100.1
Client:
eth0:
-ip:10.0.0.2
-nm:255.255.255.120
-gw:10.0.0.1 (di questo non sono molto sicuro... :) )
teoricamente dovrebbe swittchare automaticamente sulla scheda pubblica
quando un client vuole uscire o sbaglio?
cmq ho provato anche a modificare la tabella di routing per forzare la
scheda privata sulla pubblica ma non cambia una fava.
spero che qualcuno di voi sappia aiutarmi
graze anticipatamente
ciao
vinx

 scheda privata sulla pubblica ma non cambia una fava.
Hai attivato il masquerading e il forwarding in /proc ?
Bye.

 Hai attivato il masquerading e il forwarding in /proc ?
bella domanda...domani ti so dire ;)
grazie!
vinx

 masquerading e/o il source nat.
dato che sei il terzo stasera che me lo dice mi sa che il prob sta proprio
li :)
domani provo e faccio sapere pure a te.
devo dire che smanettare con win e' solo deprimente, ma con linux sara' dura
ma e' pure divertente...quando avro' finito sta rete avro' di che essere
soddisfatto. spero di ringranziarvi hehe
a domani :)
vinx

 sistemi firewall con linux per due ditte...e il primo server lo devo
se ti può essere di qualche utilità, trovi il template che normalmente
uso io (al momento non prevede la DMZ) su
http://www.skullkrusher.net/linux/iptables.sh
Byez.
-- 
Emanuele Balla aka Skull
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)

 
http://www.skullkrusher.net/linux/iptables.sh
grazie mille oggi lo guardo :)
vinx

 i pacchetti...
ehm...come? :)
facendo un traceroute dal client (10.0.0.2) al router (80.100.100.1) si
ferma alla scheda privata del firewall (10.0.0.1)...anzi si fermava, ora
dopo smanettamenti vari non arriva manco fino a li....
come dns server sul client ho messo 80.100.100.9 che e' il server nt che lo
gestisce in ditta...o devo mettere 10.0.0.1? d'altronde ho lasciato la
risoluzione del dns anche a lui...o almeno credo :))
END
sto s c l e r a n d o....
dica dotto' che posso fare? :)
cia'
P.S.: ah, complimenti, perche' siete uno delle pochissime ml tecniche in cui
proponi un problema e chi ne sa ti aiuta senza la solita arroganza che
permea determinati ambienti...bravi! :)

Alla fine era proprio un problema di masquerading!
ho applicato le regole giuste e si e' risolto tutto!
grazie mille per l'aiuto!
ciao :)
-=vinx=-