Newsgroup: it.comp.os.linux.sys
Titolo: ipchains e semplice natting

Vi chiedo una dritta veloce...
Ho configurato un firewall/proxy per un cliente, kernel 2.2.19,
ipchains per packet-filtering, squid per proxy http/https/ftp,
niente ip-forwarding...
Tutto bene, nessun problema, configurazione blindata...
Troppo bello per essere vero... Infatti, proprio ieri mi hanno
chiesto di effettuare il natting per accedere a certi servizi
on-line, ai quali possono presentarsi solo con un IP fisso,
che non posso chiedere di cambiare.
Il firewall ha una "zampa" Ethernet sulla rete Internet, collegato
con cavo cross al router, un'altra sulla DMZ, e la terza nella
LAN aziendale.
L'indirizzo IP da NATtare fa parte della DMZ, ma non e' quello
del firewall.
A parte abilitare l'IP-Forwarding e controllare altre 6 volte le
regole, posso fare qualcosa di rapido per risolvere il problema?
Mi e' venuto in mente di cambiare l'IP della scheda in DMZ del FW
con l'indirizzo da NATtare, e associare come alias alla stessa
rete il vecchio indirizzo in modo da non dover cambiare altre
configurazioni. In questo modo me la caverei con un semplice
-J MASQ, ma non sono sicuro sia la soluzione migliore...
Grazie in anticipo per ogni suggerimento!
--
Dave

 Tutto bene, nessun problema, configurazione blindata...
Scusa saro' tonto ma non capisco dove stia il problema: abiliti IP
forwarding innanzitutto, sia nel kernel che nel proc filesystem
(/proc/sys/net/ipv4/ip_forward) e poi
ipchains -P forward -j DENY
ipchains -s 
172.16.1.0/24
 -j MASQ
(mi pare sia questa la sintassi..)
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 
Eh... Cosi' farei, se l'indirizzo da NATtare fosse effettivamente
quello del FW, invece no...
Come ho scritto nel post precedente, il FW in DMZ ha un'altro
indirizzo, quindi mascherando senza cambiare l'IP del FW non
funziona...
Inoltre, avendo tre schede di rete e tre IP, probabilmente (non
ho controllato), il pacchetto verrebbe NATtato con l'IP della
scheda di rete collegata tramite cavo cross al router, no?
-- 
Dave

 funziona...
Ah ho capito, si ora ricordo che l'hai pure scritto.. ma spesso a) sono
distratto e leggo in fretta b) la mia memoria e' inaffidabile :-)
Allora.. potresti o spostare la macchina nella DMZ oppure te ne
suggerisco una ancora piu' bellina: non sposti niente pero' metti IP
aliasing su quella macchina e dai alla ethernet anche un altro IP
appartenente alla DMZ. Che ne dici? 8-)


 appartenente alla DMZ. Che ne dici? 8-)
Eh, presumo che con "la macchina" tu intenda il client dal quale si
collegano, dal momento che il FW e' gia' (ovviamente) anche sulla
DMZ... Purtroppo non posso farlo, essendo (i client) piu' di uno.
Quindi non posso usare neanche un Alias (al di la del fatto che e'
un client windoze), altrimenti duplico l'IP sulla rete e non
e' cosa buona.
Comunque sto facendo pressioni verso i fornitori per accettare
connessione dall'indirizzo IP del FW, in modo "che me la cavo"
con un semplice masquerading.
Se cosi' non fosse, installo un kernel 2.4.x e uso iptables,
che mi permette di fare NATting senza problemi!
Grazie comunque,
-- 
Dave

 connessione dall'indirizzo IP del FW, in modo "che me la cavo"
Buona fortuna ;-)


 regole, posso fare qualcosa di rapido per risolvere il problema?
Esiste un bellissimo pacchetto per ipchains e kernel 2.2.x:
iproute2 che ti permette di fare NAT statico..certo non come quello di
iptables ma comunque abbastanza funzionale:
Guarda questo Link:
http://defiant.coinet.com/iproute2/
Ed in particolare:
http://defiant.coinet.com/iproute2/ip-cref/node159.html#SECTION0001800200000
00000000
Ecco qualcuno che ha fatto quello che vuoi fare tu:
http://www.uwsg.iu.edu/hypermail/linux/net/0010.0/0006.html
Leggi bene tutta la ddocumentazione di iproute2 e tutti i requirements del
kernel.
A presto, Raffaello
--
----------------------------------------------------------------
Raffaello Di Martino
PGP key available
Su IRC: _Konus_
http://konus.homeip.net
BrainBench certified: Linux e Linux RedHat Administrator Master
Tel. 
+39 348 5852274
mailto:
RDiMa...@bsc.it
ICQ: 929012
          ___ ___  ___           BSC GROUP
         | _ ) __|/ __|
         | _ \__ \ (__           Tel. 
+39 010 53735
.1
         |___/___/\___|          Fax. 
+39 010 53735
.801
                                 mailto:
b...@BSC.it

 iptables ma comunque abbastanza funzionale
Eccolo, proprio lui cercavo!
Mi ricordavo di averne sentito parlare in passato, ma non mi
veniva in mente il nome del pacchetto...
Grazie!
--
Dave

veniva in mente il nome del pacchetto...
Io uso ipmasqadm e fai il nat cosi:
#ipmasqadm portfw -a -P tcp -L $extip 80 -R 192.168.0.10 80
Ciao.
-- 
Zio Ciano.