Newsgroup: it.comp.os.linux.sys
Titolo: sempre su ipchains, per ESPERTI

ipchains mi sta creando qualche problema, ho già postato prima ma ho 
deciso di inziare un trhead nuovo perché ho raccolto maggiori inofmazioni:
dunque, il mio problema è il seguente: la linux box che fa da 
firewall/gateway verso l'esterno ha sempre funzionato benissimo, finché 
non ho avuto bisogno di non mascherare i pacchetti tra le due lan 
locali. la linux box ha infatti tre schede di rete, la prima verso la 
connessione *dsl con indirizzo internet, la seconda con indirizzo 
128.1.1.1 (è il default gw della lan delle workstation) la terza con 
indirizzo 10.1.1.1 (è il default gw della 10.1.1.X, nel nostro caso la 
DMZ). sulla macchina 10.1.1.10 (nella dmz) c'e' il mail server e da poco 
il proxy squid. Raggiungo il mail server alle porte 110 e 25 per la mail 
utilizzando ipmasqadm portfw, forwardando le porte tra mail server e 
firewall, e funziona tutto benissimo. Dal momento che non avevo 
particolari esigenze (o forse non ci ho pensato molto), ho fatto in modo 
che la rete delle workstations fosse mascherata quando accedeva alla 
10.1.1.10 (in pratica tutte le connessioni al mail server giungono dal 
firewall con indirizzi 10.1.1.1), solo che ora è sorta un'esigenza: 
quella di permettere ai dipendenti di navigare in determinati siti (e 
per questo ho già configurato squid). per fare distinzione tra un utente 
e un altro ho utilizzato gli indirizzi ip della rete delle workstation, 
quindi mascherare le connessioni alla porta 3128 del 
mailserver/proxyserver è inutile, ho bisogno che i pacchetti indirizzati 
  alla macchina 10.1.1.10 dalla rete 
128.1.1.1/24
 sulla porta 3128 (e 
viceversa) transitino senza mascheramento. beh, non ci sono affatto 
riuscito, i pacchetti non transitano!
ecco le regole di ipchains (scusate se le ripeto, ma è per evitare di 
farvi ripendere il vecchio thread:
:input DENY
:forward DENY
:output ACCEPT
-A input -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 22:22 -p 6 -j ACCEPT
-A input -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 22:22 -p 17 -j ACCEPT
-A input -s 
0.0.0.0/0.0.0.0
 -d <ip_dsl>/
255.255.255.255
 25:25 -p 6 -j ACCEPT
-A input -s 
0.0.0.0/0.0.0.0
 -d <ip_dsl>/
255.255.255.255
 110:110 -p 6 -j 
ACCEPT
-A input -s 
0.0.0.0/0.0.0.0
 -d <ip_dsl>/
255.255.255.255
 110:110 -p 17 -j 
ACCEPT
-A input -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 -p 1 -j ACCEPT
-A input -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 1024:5999 -p 6 -j ACCEPT
-A input -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 1024:5999 -p 17 -j ACCEPT
-A input -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 6010:65535 -p 6 -j ACCEPT
-A input -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 6010:65535 -p 17 -j ACCEPT
-A input -s 
0.0.0.0/0.0.0.0
 -d 
0.0.0.0/0.0.0.0
 -i lo -j ACCEPT
-A input -s 
128.1.1.0/255.255.255.0
 -d 
0.0.0.0/0.0.0.0
 -j ACCEPT
-A input -s 
10.1.1.10/255.255.255.255
 -d 
0.0.0.0/0.0.0.0
 -j ACCEPT
-A forward -s 
10.1.1.10/255.255.255.255
 -d 
0.0.0.0/0.0.0.0
 -j MASQ
-A forward -s 
128.1.1.50/255.255.255.255
 -d 
0.0.0.0/0.0.0.0
 -j MASQ
-A forward -s 
128.1.1.35/255.255.255.255
 -d 
0.0.0.0/0.0.0.0
 -j MASQ
-A forward -s 
128.1.1.24/255.255.255.255
 -d 
0.0.0.0/0.0.0.0
 -j MASQ
-A forward -s 
128.1.1.25/255.255.255.255
 -d 
0.0.0.0/0.0.0.0
 -j MASQ
-A forward -s 
128.1.1.55/255.255.255.255
 -d 
0.0.0.0/0.0.0.0
 -j MASQ
-A forward -s 
128.1.1.22/255.255.255.255
 -d 
0.0.0.0/0.0.0.0
 2000:2000 -p 
6 -j MASQ
-A forward -s 
128.1.1.26/255.255.255.255
 -d 
0.0.0.0/0.0.0.0
 2000:2000 -p 
6 -j MASQ
-A forward -s 
128.1.1.22/255.255.255.255
 -d 
0.0.0.0/0.0.0.0
 5900:5900 -p 
6 -j MASQ
-A forward -s 
128.1.1.26/255.255.255.255
 -d 
0.0.0.0/0.0.0.0
 5900:5900 -p 
6 -j MASQ
-A forward -s 
128.1.1.0/255.255.255.0
 -d 
10.1.1.10/255.255.255.255
 25:25 
-p 6 -j MASQ
-A forward -s 
128.1.1.0/255.255.255.0
 -d 
0.0.0.0/0.0.0.0
 53:53 -p 6 -j MASQ
-A forward -s 
128.1.1.0/255.255.255.0
 -d 
0.0.0.0/0.0.0.0
 53:53 -p 17 -j MASQ
-A forward -s 
128.1.1.0/255.255.255.0
 -d 
10.1.1.10/255.255.255.255
 
110:110 -p 6 -j MASQ
-A forward -s 
128.1.1.0/255.255.255.0
 -d 
10.1.1.10/255.255.255.255
 
110:110 -p 17 -j MASQ
-A forward -s 
128.1.1.0/255.255.255.0
 -d 
10.1.1.10/255.255.255.255
 
3128:3128 -p 6 -j ACCEPT
-A forward -s 
10.1.1.10/255.255.255.255
 3128:3128 -d 
128.1.1.0/255.255.255.0
 -p 6 -j ACCEPT
che cosa sbaglio?
-- 
Davide Corrado
Windows NT crashed.
I am the Blue Screen of Death.
No one hears your screams.

risolto da solo... non mi ero accorto che una regola era nell'ordine 
sbagliato... in pratica i pacchetti venivano forwardati in una direzione 
e mascherati al ritorno, ovviamente non funziona!
