Newsgroup: it.comp.os.linux.sys
Titolo: iptables

la mia rete č divisa in 3 da un firewall: LAN, DMZ e l'ultima scheda di rete
č quella per collegarsi al router per andare in internet.
Nella DMZ c'č il server di rete.
Come faccio a fare in modo che tutti i client presenti nella LAN riescano a
fare il login tramite il server?
Sostanzialmente non si vedono; nello script di iptables ho dato libero
accesso tra dmz e lan:
iptables -A FORWARD -i $ETH_DMZ -o $ETH_INT -j ACCEPT
iptables -A FORWARD -i $ETH_INT -o $ETH_DMZ -j ACCEPT
Vi riporto anche la tabella di routing vito che secondo me il problema č
proprio li...almeno penso!!!!
DEST                GW        GENMASK            IFACE
10.0.0.0            *              255.255.255.0          eth0
192.168.1.0        *            255.255.255.0           eth1
190.168.1.0        *            255.255.255.0            eth2
127.0.0.1            *            255.0.0.0                    lo
default               10.0.0.1    0.0.0.0                        eth0

 default               10.0.0.1    0.0.0.0                        eth0
Infatti, a meěno che le eth1 e 2 non siano in bridging, mi sa che due reti
uguali su due pezzi dicavo differente non si pingheranno mai.
Cambiare una delle due reti no?
Max

 Bella DMZ.
Specifico: a parte il fatto che se non cambi la rete non va, ma che senso ha
accettare tutto dalla dmz alla lan? che razza di dmz č? te la bucano e sono
in lan.
Tanto vale eliminarla!
Max


veramente il ping lo fanno...ma solo quello pero!!!!

e allora posta ifconfig e iptables -L -v e iptables -L -v -t nat
specificando magari quali servizi abilitare
Max

 wrote in message
news:TwjH9.3164$%p6.2...@news.edisontel.com...

allora mi sa che t conviene ripartire da zero la cfg del firewall...
con le reti che hai, il ping non lo devono fare, proprio perchč hai due
subnet uguali su due segmenti diversi. perchč sono su due segmenti diversi,
vero?
non č che per caso hai tutte le macchine sullo stesso hub/switch?
---
Outgoing mail is certified Virus Free.
Checked by AVG anti-virus system (
http://www.grisoft.com
).
Version: 6.0.426 / Virus Database: 239 - Release Date: 02/12/2002

 non č che per caso hai tutte le macchine sullo stesso hub/switch?
no....quello che sto facendo č una prova per un cliente...e sostanzialmente
ho una macchina connessa direttamente alla scheda di ret interna, la lan, e
l'altra macchina connessa direttamente alla scheda di rete della dmz....
non č che devo aggiungere delle regole di nat anche tra la LAN e la DMZ e
viceversa?

vi faccio un altra domanda......ma se metto sia la lan che la dmz nella
stessa classe di indirizzi, continuando ad usare sempre tre schede di
rete....i miei problemi si risolvono???


Sinceramente non ho ben capito una cosa...
cosa gira sul server di dominio (se è un dominio).
Perchè, se non sbaglio in DMZ si devono mettere macchine con servizi
pubblici (l'esempio + lampante è il web server).
Se il server che gestisce il login non ha servizi di pubblico accesso, puoi
tranquillamente tenerlo il lan.
Sarà così + protetto dall'esterno e non devi scervellarti per farlo
funzionare in DMZ.
Ciao
    MaoX


ma non è la tua situazione attuale???
riporto il tuo post iniziale:
<---->
DEST                GW        GENMASK            IFACE
10.0.0.0            *              255.255.255.0          eth0
192.168.1.0        *            255.255.255.0           eth1
190.168.1.0        *            255.255.255.0            eth2
127.0.0.1            *            255.0.0.0                    lo
default               10.0.0.1    0.0.0.0                        eth0
<---->
eth1 ed eth2 hanno indirizzi sulla stessa subnet...
se t funziona in queste condizioni, è un caso, dato che un router non può
sapere come instradare pacchetti tra due subnet identiche!
discorso diverso se ho un host con due schede sulla stessa subnet, ma nel
tuo caso, un router, non può decidere su quale interfaccia inoltrare un
pacchetto, dato che le due subnet sono uguali.
se devo inoltrare a 192.168.1.25, esco su eth1 o eth2?
mah!
:-)


 mah!
Puo' darsi (dico, puo' darsi) che lo stack decida che se il mio pacchetto
pacchetto entra da eth1, a parita' di metrica e di possibilita' di routing
con un'altra interfaccia eth1 sia sfavorita...
Del tipo, in una situazione
default               10.0.0.1    0.0.0.0                        eth0
default               10.0.0.1    0.0.0.0                        eth1
(che non lo so mica se si puo' fare in linux, ma giusto a titolo di esempio)
se il pacchetto mi arriva da eth0 lo giro su eth1, se mi arriva da eth1 lo
giro su eth0
In pratica instrada a su b e b su a, a prescindere dagli *indirizzi* di
provenienza e destinazione di a e b.
E' un po' una ciofeca, ma non sono tanto sicuro che implementativamente non
abbia senso.
Ciaotutti,
*

 viceversa?
Ma pagare una consulenza ad un esperto di sicurezza no, eh?
Almeno compra e leggi un libro sul tcp/ip...
-- 
Ciao da Villo  -  GPG public key available
                  Ferrara LUG 
http://ferrara.linux.it