Newsgroup: it.comp.os.linux.sys
Titolo: Re: ebtables, iptables e DNAT

 Suggerimenti?
Si.
A meno che tu non abbia patchato il kernel, i pacchetti che transitano su
interfacce "bridgeate" di default non vengono cagate da iptables.
E' fuori RFC far lavorare iptables a quel livello dello stack iso/osi.
Dopotutto un bridge non č altro che uno switch.
Usi il proxy arp con cui mi trovo molto bene.
Quanto sopra per la mia esperienza.
Per quanto riguarda ebtables, CASUALMENTE su:
http://ebtables.sourceforge.net/ebtables-faq.html
 
trovo scritto:
Can I use ebtables with iptables? Are there any problems to use it
together? How exactly is the packet/frame traversing order for
ebtables/iptables? 
Yes, it's possible to use ebtables together with iptables, there are no
incompatibility issues. Detailed info about ebtables/iptables interaction
is explained at the "ebtables/iptables interaction on a Linux-based bridge"
page. 
Seguendo il link ivi riportato, trovo:
Getting a bridging firewall on a 2.4.x kernel consists of patching the
kernel source code..... Ebtables filters on the Ethernet layer, while
iptables only filters IP packets ....
Che sostanzialmente spiega quanto ti ho accennato prima.
Come vedi, basta googolare e soprattutto RTFM !!
MAx

 MAx
Mi verrebbe da obiettare che:
-per quanto conoco whip direi che è un po' più in là di dove ti sei
fermato
-se si dovesse tenere conto delle RFC e basta, il 95% delle
soluzioni ideate per la network security è fuori gioco. Il filtering su
bridge viene abbondantemente applicato e le possibilità che offre non
sono in toto replicabili facendo uso di proxyarp (anche se un suo subset
lo è).
-tuttora non ho visto da parte tua un link o quant'altro relativo alla
gestione del NAT su bridge (non di *iptables* su bridge) che è invece
quello che whip domandava.
In risposta a whip, invece: ho fatto parecchi FW su bridge ma senza mai
gestire nat, quindi mboh... però a suo tempo feci qualche prova e trovai
le stesse limitazioni; tuttavia, in un thread che ci fu qui, intervenne
kinkie -ovunque egli sia ora-
(
http://groups.google.it/groups?selm=m3wufsnsl3.fsf%40gamera.kinkie.it
) il
quale diceva di averlo usato con successo a tal fine.
Io poi non ho mai provato, ma al limite potresti domandare a lui...
Hola..
-- 
cat: .signature: No such file or directory

 Addio e grazie per tutto il pesce.
Cavoli, quanto mi manca DNA.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Confidence is the feeling you have before you understand the situation.

 ed iptables contemporaneamente?
Ho cambiato il problema da un punto ad un altro, cioe' ora starei cercando
di fare un transparent proxying alterando il mac di destinazione, ma tale
cosa andrebbe fatta solo per una certa porta tcp. Potra' tornare utile ai
posteri sapere che la tabella di mangle di iptables, come ho verificato
sperimentalmente (ho trovato poi questa bella immagine:
http://ebtables.sourceforge.net/br_fw_ia/PacketFlow.png
) viene
attraversata *dopo* la table di nat di ebtables, quindi non e' possibile
fare marking in maniera "banale". Rispetto a quanto detto stamane, a
rigore un semplice DNAT ip dovrebbe funzionare, guardando la png di cui
sopra...vabbe', ora riordino le idee.
whiplash still thinking...
-- 
Per non dimenticare:
http://snipurl.com/SdC_ed_il_vino
Le sigarette a volte danno buoni consigli:
http://snipurl.com/sigarette

 
http://ebtables.sourceforge.net/br_fw_ia/PacketFlow.png
La tabella broute di ebtables potrebbe risultare interessante, date
le peculiarita' dei suoi target, ma devo verificare.
Ciao.
