Newsgroup: it.comp.os.linux.sys
Titolo: Firewall trasparente (utilizzando bridging+IPCHAINS)

Ciao a tutti
qualcuno ha realizzato un firewall come in oggetto? sapete darmi delle
dritte, indicazioni, how-to e doc vari?
Grazie
Bye, Stefano

Come si fa???
un firewall, si intende, che abbia una distinzione logica , ancora prima
che fisica, fra due reti (o tre).
Una interna e una esterna.
Se usi il bridge non l'avresti più....
Quindi o mi sfugge qualcosa (molto probabile), o la cosa che chiedi ha
poca utilità....

 dritte, indicazioni, how-to e doc vari?
Facile :
http://www.math.leidenuniv.nl/~buytenh/bridge/
Applica anche la patch per ipchains. L'unica cosa che posso aggiungere
e che non troverai nell'howto e` che devi leggermente stravolgere le 
regole del firewall. La logica e` un po` diversa dal classsico input, 
forward, output. In pratica ti rimangono solo input e output. Forward
e` soppiantata dalla chain custom che ti dovrai creare con il nome
che assegnerai al device del bridge. E, cosa piu` importante, e` 
abilitata di default a far passare tutto. Non puoi settare la policy 
DENY su una custom chain. Quindi devi abilitare quello che ti serve 
e alla fine chiudere tutto con un DENY.
Non credo di aver fatto un discorso molto chiaro, ma e` piu` faicle
a farsi che a dirsi.
-- 
Vincenzo 
Si puo' scrivere una breve lettera alla nonna nel nome del file.

 
http://www.math.leidenuniv.nl/~buytenh/bridge/
Mi spieghi meglio...
cosa serve un firewall-brigded?
non mi viene in mente alcun esempio pratico...

 non mi viene in mente alcun esempio pratico...
Per non dover fare subnet e quindi sprecare la meta` degli indirizzi
ip che ti sono stati assegnati. Con il bridge eviti di dover usare
nat o vpn per collegare in maniera trasparente due lan o semplicemente
per rendere visibile le tue macchine con ip pubblico.
Esempio pratico: 
 - due lan con accesso hdsl e 8 ip statici assegnati
 - non puoi cambiare la configurazione del router (Telecom o altra 
   situazione propietaria)
 - il router non ha il firewall (o costerebbe di piu`)
Oppure adsl con 1 ip statico e necessita` di firewall separato dal
server (buona norma per ogni firewall).


 server (buona norma per ogni firewall).
FIREWALL ok, ma bridge no.
il firewall deve avere due reti logiche divise.
Perchè mai devi avere il bridge fra le schede di rete ?

 un solo ip, ho collegato in vpn due sedi remote.
Vpn, appunto quello che si cerca di evitare (il traffico costa)
con il bridge/firewall.



Ma no il bridge, il bridge non ha indirizzi ip, il router si, e per questo
che una vpn ha degli indirizzi pubblici e privati a coppie.
Continuo a non capire che cosa serve il bridge su quelle installazioni...
Io il bridge l'ho usato per unire due hub abbastanza lontani, basta stop
solo per quello.

 ha scritto nel messaggio
news:3AA7A06C...@cometweb.it...


 Continuo a non capire che cosa serve il bridge su quelle installazioni...
In pochissime parole serve quando non hai accesso al router e non puoi
modificare le routing table, quindi devi far credere al router che
i server che stanno dall'altra parte del firewall/bridge siano in
realta` sul segmento di rete della ethernet del router stesso.



Come faccio adesso: LINUXVIRTUALSERVER
Un indirzzo, non importa chi sia cosa faccia che connessioen abbia.
Io non ho accesso alel tabelel dei router del mio provider, ne tanto meno a
quelle del router adsl.
Io ho un indrizzo ip, www, che a seconda della porta ti da un servizio diverso e
tanto di più.
La vpn che dovevo mettere su era fra le macchine delle intranet (dietro i
firewall ch ehanno un solo indirizzo fisico e un alias condivisibile) e l'altra
sede dove ho l'adsl con un solo indrizzo e basta.
Cosa ti faccio?? nulla.
uso quell'indirizzo sulla scheda eth0 e con al seconda creo al rete intranet
remota.
Fatto questo imporosot un tunnel vpn fra le due macchine.
Il bridge, forse per mia assoluta ingoranza, non lo riesco ad incasellare dove
non c'è ne bisogno.
La suddivisioen logica e fisica delle reti porta vantaggi e qualche svantaggio.
Io mi sono accollato lgi svantggi, legati per lo più alla complessita, ma il
bridge non mi serve.
Non quando si parla di firewall o di condivisione di accesso internet.
Per la questione dei servizi da erogare all'esterno ci sono molte possibilità,
io ne uso una che mi ha semrpe dato
soddisfazione.
Magari il bridge è la ultimate solution, am non mi smerba proprio.
Penso che adesso si possa concludere l'OT...ciao e grazie, non ho capito ma
grazie lo stesso...

 grazie lo stesso...
Come vuoi, anche se non mi sembrava tanto OT, certamente in questo gruppo
ci saranno molti sysadmin che si sono posti o si porranno questi problemi
e il fatto di presentare diverse soluzioni con una discussione senza flame
o altro mi sembrava interessante.



il ragionamento é giusto;
io uaavo finora solo NAT, e avevo un problema : il Nat statico
con linux ho avuto dei problemi a fare questo; tipo 192.168.2.1 ---->
217.56.9.Y (esterno HDSL)
con questo nuovo sistema permette di fare NAT statico?
Grazie
Ciao

 con questo nuovo sistema permette di fare NAT statico?
Il bridge permette tutto. Il problema e` nel nat stesso. Se vuoi
una macchina visibile all'esterno che non abbia nessun limite sul
tipo di connessioni entranti/uscenti *devi* per forza darle un
ip pubblico. Con hdsl ti hanno dato minimo 8 ip pubblici (credo).
Assegnane uno al tuo server.



Mi sento un demente: ma cosa mi serve per questo il bridge???
Non lo capisco, il bridge cosa mi serve se ho un router di telecom con
una porta ehternet  e ci collego il mio hub
con i server??
Ho 8 indirzzi ip pubblici, uso un bell hub , metto 8 pc e ho i miei 8
indirzzi pubblici.
Mi serve il nono?? metto un su uan macchian con NAT , e a secodna della
porta faccio mappare un indirzzo PRIVATO della mia lan.
Ma il bridge non c'entra!!!
Il bridge lo metto se ho un hub a 4 porte, tutte usate e ci emtto un
'altro hub coleagto ad un'altra eth di una macchina.Su qeulla metto il
bridge, ma in realtà è un problema diverso dal tcp/ip, quello lo facco
per la connessione, più bassa del protocollo, proprio per questo dicevo
che se vuoi puoi anch enon mettere un ip, e usar eil bridge pe ril
traffico diverso della rete ethernet, a prescindere da quale sia il
protocollo.

si ok;
ma se il server é nella rete LAN :/
ho bisogno che il firewall trasprante tra lan e wan mi faccia anche da
Nat Statico (tipo Nat one to one)
ho visto che in linux fare sta cosa non é semplice :/
mi chiedevo se sto bridge mi potesse tornare utile per rislovere sto
prob :)
Riccardo
Ciao


secondo me questo bridge é utile solo se possiamo utilizzare il NAT
statico :D in modo più semplice
se no uso il firewall linux con ipchains e foward
Ciao


Come vuoi, anche se non mi sembrava tanto OT, certamente in questo gruppo
ci saranno molti sysadmin che si sono posti o si porranno questi problemi
e il fatto di presentare diverse soluzioni con una discussione senza flame
o altro mi sembrava interessante.
si hai fatto bene a postare tutte queste info
l'argomento é interessantissimo :)))
Riccardo

NO


Il NAT e il bridge sono i cavoli e l'automobile..prova a sommarli...

 Ma il bridge non c'entra!!!
Non c'entra se hai accesso al router, altrimenti e` una
scappatoia per evitare di mettere mano alla routing table del
router stesso ed in ogni caso ti lascia liberi i due ip che
altrimenti dovresti dedicare alla eth0 e eth1 del firewall.
