Newsgroup: it.comp.os.linux.sys
Titolo: Realizzare router con modem analogico (o TA isdn) SENZA usare diald


L'utente contenuto in pap-secrets e chap-secrets.
Se avete una scheda interna isdn, da usare quindi con isdn4linux, forse
con ipppd il discorso e' analogo (mai provato, posso dire fesserie).
Lo script per condividere la connessione in rete (non lo commento,
lascio che in caso di difficolta' a comprenderlo venga studiata la
documentazione in 
netfilter.org
).
ATTENZIONE: questo script NON PROTEGGE la vostra linux box dagli
attacchi esterni, se avete servizi di rete attivi: dovrete organizzarvi
un firewall, e non e' questo che qui interessa
#!/bin/bash
# begin
# Required modules
/sbin/modprobe ip_tables
/sbin/modprobe ip_conntrack
/sbin/modprobe iptable_nat
/sbin/modprobe iptable_filter
/sbin/modprobe iptable_mangle
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_conntrack_irc
/sbin/modprobe ip_nat_ftp
/sbin/modprobe ip_nat_irc
/sbin/modprobe ipt_LOG
/sbin/modprobe ipt_REJECT
/sbin/modprobe ipt_MASQUERADE
/sbin/modprobe ipt_TOS
/sbin/modprobe ipt_state
# Required Kernel parameters (enabling packet forwarding)
/bin/echo 1 > /proc/sys/net/ipv4/ip_forward
# Initializating chains and policies
/sbin/iptables -F
/sbin/iptables -t nat -F
/sbin/iptables -t mangle -F
/sbin/iptables -X
/sbin/iptables -P INPUT ACCEPT
/sbin/iptables -P FORWARD ACCEPT
/sbin/iptables -P OUTPUT ACCEPT
# Masquerading (Source Dynamic NAT)
/sbin/iptables -t nat -s 
192.168.1.0/24
 -A POSTROUTING -o ppp0 -j
MASQUERADE
# end
Una considerazione finale: la connessione a tiscali invia un traffico in
ingresso (inevitabile, ovviamente in qualunque connessione c'e' sempre
del "traffico spurio" o comunque qualcuno che vuole insidiare la vs.
rete...) che talvolta causa una risposta in uscita dalla linux box
(anche senza *nessun* daemon di rete attivo), inficiando la
disconnessione automatica (e difatti succede, con tiscali, anche nei
router tradizionali: hai voglia di timeout, proprio nun se sconnette
mai... trascurando un discorso di settaggio di filtri nel router, su cui
se ne e' parlato in passato, perlopiu' su it.comp.reti.ip-admin), cosa
che non succede presso altri provider (virgilio/clubnet perlomeno).
Dovro' sniffare con tcp-dump, e vedere se e' possibile evitare cio'
affinando active-filter, che usa nella filter-expression la stessa
sintassi di tcpdump.
Se qualcuno e' cosi' gentile da suggerire una soluzione in merito, avra'
una serata di birra (se risiede in sardegna)...    ;-)
bye G.L.
--
« E' assolutamente evidente che l'arte del cinema
 si ispira alla vita, mentre la vita si ispira alla TV »
(Woody Allen)

 sintassi di tcpdump.
Basta aggiungere le seguenti, ed il rischio pare scongiurato (suppongo, non
ho ancora avuto il tempo di analizzare con l'ausilio di tcpdump, che siano
pacchetti icmp, a cui giustamente, se non adeguatamente "istruita", la linux
box risponde... gli altri parametri possono comunque servire ad aumentare la
sicurezza.       :-)
/bin/echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter
/bin/echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route
/bin/echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
/bin/echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
/bin/echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
/bin/echo 0 > /proc/sys/net/ipv4/conf/all/accept_redirects
/bin/echo 0 > /proc/sys/net/ipv4/conf/all/proxy_arp
