Newsgroup: it.comp.os.linux.sys
Titolo: Configurazione Router - FW: teoria

Reduce da una amichevole e costruttiva discussione con un amico, Vi rigiro
il quesito:
Abbonamento ADSL con _1_ IP Statico 1.2.3.4
Router con IF Ethernet
LAN con indirizzo 
192.168.0.0/24
Io configuro il tutto cosě:
----------
|Internet|
|0.0.0.0 |
----------
 |
 |
 |1.2.3.4 ADSL
----------------------------------------
| Router con NAT default su eth1 del FW|
----------------------------------------
 |192.168.1.254 Ethernet
 |
 | cavo cross
 |
 |192.168.1.253 eth1
--------------------
|Firewall senza NAT|
--------------------
 |192.168.0.254 eth0
 |
 |
LAN HUB
Non so se č una FAQ, ma secondo voi c'č una solizione migliore ?
--
Diesis

Questa è la soluzione che adotto anche io.
L'altra è configurare il FW linux in bridge mode... (praticamente fa da
switch)
col vantaggio di avere tutto sulla stessa rete (e non due).
Sembra che semplifichi la vita, ma a me la complica se devo fare SNAT
etcc...
Max

> L'altra č configurare il FW linux in bridge mode... (praticamente fa da
Cioč ? Breve spiegone :) ?
--
Diesis

http://bridge.sourceforge.net/

> 
http://bridge.sourceforge.net/
Thanks
--
Gabriele
ITALY

Cadi a fagiuolo!
Mi sono comprato sabato un libro dal titolo altisonante "Sicurezza dei 
sistemi informatici".
Da una lettura veloce del libro sembra la soluzione corretta per un sistema 
piccolo, in quanto pur utilizzando un solo pc garantisce una buona 
sicurezza. Chiaramente tutto dipende da quanto č riservato quel che gira 
sulla LAN.
Io sto pensando di mettere in piedi una soluzione simile, solo con un server 
in piů per separare il database da server web che dovrebbe renderlo 
accessibile all'esterno.
Quindi:
----------
|Internet|
|0.0.0.0 |
----------
 |
 |
 |1.2.3.4 ADSL
----------------------------------------
| Router con NAT default su eth1 del FW|
----------------------------------------
 |192.168.1.254 Ethernet
 |
 | cavo cross
 |
 |192.168.1.253 eth1
--------------------
|Firewall senza NAT|
| + web server     |
--------------------
 |192.168.0.254 eth0
 |
 |
LAN SWITCH
 |
 |
 |
-----------------------
|      Database       |
| + Domain Controller |
|       Samba         |
-----------------------
Se non sono importuno, potrei chiederti che router usi e come ti trovi?
Ciao, Filippo
Diesis scrisse:

-- 
 

> Se non sono importuno, potrei chiederti che router usi e come ti trovi?
Eicon Diva 2430 trasformato in un 2440.
Il 2430 originale è una ciofeca
NB:Importuno=inopportuno
--
Gabriele
ITALY


Il multitasking nuoce gravemente alla grammatica!               

 
IMHO sarebbe meglio che il firewall facesse il firewall, solo il firewall, 
nient'altro che il firewall.
Niente compilatori, niente smanettamenti per caricare le nuove pagine con 
ftp, rsync o simili.
Se vuoi aumentare la sicurezza puoi utilizzare uno stealth firewall, cioč un 
firewall che opera a livello 2 dello stack OSI.
In tal caso il firewall non ha indirizzi IP sulle sue interfaccie, ma opera 
come bridge, applicando ovviamente le regole di iptables nella chain 
forward.
Non avendo indirizzo IP il firewall č invisibile dall'esterno in quanto non 
raggiungibile.
Stefano Sancese
-- 
Pgp Fingerprint: FF8D 7255 E8DE 882C  7991 B3E7 C703 C7EA
In God we trust, all others we monitor (National Security Agency)

 forward.
Si, ma devi patchare ilkernel
Max
Oggi mi sento Thorin!

 Mi piace quella i!
Ahem, la stanchezza...


 Oggi mi sento Thorin!
-- 
 

Mi rendo conto d'aver fatto una serie di domande un po' complicate...
Mi basta qualche riferimento a buona documentazione.
Grazie, Filippo

 Si, anche se ti complica la vita per l'amministrazione remota
Cutto tutto, concordo su tutto, ma aggiungo un paio di note:
1) io tipicamente redirigo il traffico pubblico sul fw (se il router lo
permette) e il nat lo faccio lì, in ogni caso
2) la soluzione bridged è una gran figata su reti corporate con ip
pubblici (niente nat su cui impazzire, niente dns destinati alle dmz,
ecc) ma secondo me la sua utilità (tranne quella accademica) quando
applicato a reti private è molto relativa (a meno che non sia imposta da
policy di sicurezza interne) dato che non c'è alcun reale vantaggio
3) la soluzione con bridging non ti permetterebbe, in un ipotetico
futuro, di usufruire di simpatiche soluzioni quali vpn, tunnel, ecc.
Fondamentalmente mi terrei sulla soluzione iniziale.
Byez
-- 
Emanuele Balla aka Skull
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)

 futuro, di usufruire di simpatiche soluzioni quali vpn, tunnel, ecc.
Questo mi dispiacerebbe.
Quindi l'assenza di bridge non è una calamità così grave per la sicurezza?
-- 
 

 Quindi l'assenza di bridge non è una calamità così grave per la sicurezza?
Assolutamente no.
Comunque non concentrare la tua attenzione solo sul firewall.
La porta 80 per arrivare al web server devi comunque lasciarla aperta e se 
il tuo web server è un IIS4 su NT il problema non è il firewall, è che ti 
saltano sul web server.
Analogamente per l'applicativo che andrai a realizzare.
Ciao e Buon Lavoro


 sicurezza?
Decisamente no, tanto che non è nemmeno l'approccio più utilizzato.
Aggiungo (anche se è controproducente in un NG destinato a Linux) che se
l'idea di fare il firewall in bridging ti stuzzica, forse potresti
prendere in considerazione l'idea di realizzare il fw su openbsd (3.2
consegnata ieri dal postino ;-).
Su linux, infatti, è necessario patchare il kernel, per poter fare
filtering su bridge, e comunque perdi molte feature che potrebbero essere
utili (vedi packet mangling in ogni sua forma, come lamentato qualche
tempo fa da non ricordo più chi...). Problema che non hai invece con
OBSD. Per non parlare di tutte le altre features di pf che in iptables
non ci sono ( o sono impossibili da mettere a punto in situazioni non
banali).
Se vuoi link fai un fischio.
Ueppa...


 tempo fa da non ricordo piů chi...). Problema che non hai invece con


 differente rispetto a linux (debian)?
Se l'idea è quella di un firewall e basta, non hai servizi da
configurare, quindi non dovresti trovare difficoltà.
Per il resto la differenza principale è che OpenBSD è un BSD (ma và?) e
la maggior parte delle linux invece è basata sullo stile SysV. Se hai un
po' di dimestichezza con slackware non è nulla di particolare.
Dal punto di vista del firewall, a parte le sintassi, la distinzione più
particolare è che pf non lo gestisci da script vero e proprio (come
iptables, per intenderci) ma ha un suo file di configurazione in /etc.
Per esempi e template per usare pf, dai un'occhiata sul sito di raptor:
http://www.0xdeadbeef.info/
che ha una sezione dedicata a quello.
Per comprendere la logica di pf:
http://www.inebriated.demon.nl/pf-howto/html/pf-howto.html
Per una guida all'implementazione in transparent:
http://ezine.daemonnews.org/200207/transpfobsd.html
Byez, e buon divertimento.


> Byez, e buon divertimento.
Grazie mille!
Cercherň di non fare troppi danni! 
--