Newsgroup: it.comp.os.linux.sys
Titolo: firewall iptables accesso interno

Salve a tutti,
sono alle prese con un problemino molto strano, ho configurato un 
firewall/iptables con due schede di rete,
ho pubblicato un webserver ed un mail server. tutto funziona bene, ma quando 
tento di accedere al webserver dall'interno della rete mi da errore, mentre 
dall'esterno tutto funziona, mi date delle info in merito?
grazie!!


Devi avviare un sistema di risoluzione dei nomi interno alla rete, dove
il tuo webserver www.tuowebserver.web risponda all'indirizzo INTERNO e
non a quello esterno.[*]
Ci sono altri trucchi con dnat, ma ti consiglierei la prima opzione.
[*] Se ho capito bene, hai assegnato indirizzo pubblico al web server.
Se lo chiami, il dns ti restituisce l'indirizzo pubblico, che il tuo
firewall immediatamente invia all'esterno, da cui non puo' rientrare.
Prova a spiegarci la struttura (niente dmz, si direbbe) della rete,
e quali indirizzi hai asseganto alla lan e ai server.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 e quali indirizzi hai asseganto alla lan e ai server.
ecco perfettamente,hai capito benissimo.niente dmz,impostazione ereditata,ho 
si i server che i client sulla stessa rete 10.0.0.x/24 e vorrei risolvere 
diversamente,senza usare un dns interno.
ho letto qualcosa qui, ma e poco chiaro e non ha funzionato:
http://www.skullkrusher.net/linux/iptables.html
grazie!!

 
http://www.skullkrusher.net/linux/iptables.html
Poco chiaro?
E' appunto il salto mortale di cui dicevo, devi convincere il firewall
a occuparsi del nat sia in andata che in ritorno, e sulla stessa
interfaccia.
Cosa abbastanza sconsigliabile, anche se skull l'ha spiegata bene.
E' molto piu' semplice metter su un mini dns lato interno, che gia' che
c'e', puoi sfruttare come forwarder dalla rete interna.
Resta il fatto che tale configurazione e' obbrobriosa.
I server devono andare in dmz.
Se proprio vuoi farti del male, debbono usare una subnet diversa, cosi'
da transitare normalmente per il gateway/firewall limitando i danni da
configurazione garibaldina.


 configurazione garibaldina.
grazie, ma non ho ben capito questa cosa nella spiegazione.
http://www.skullkrusher.net/linux/iptables.html
iptables -A POSTROUTING -t nat -s $int_net -d $web_int -p tcp --dport 80 -j 
SNAT --to-source $fw$int_net = l'interfaccia interna, fidata, che va alla 
rete interna$web_int = ip webserver$fw = ?????? presumo sia l'ip esterno del 
firewall giusto?ancora una piccola cosa, se la catena predefinita di forward 
č aperta,iptables -P FORWARD ACCEPTdevo comunque specificare questa 
stringa?iptables -A FORWARD -i $int_dev -o $int_dev -j ACCEPTcredo di no, ma 
per conferma.grazie!!!! 

 per conferma.grazie!!!! 
Non dovrebbe servire, ma visto che si tratta di un forward su stessa
interfaccia, io per sicurezza (anche per eventuali future
implementazioni) ci metterei una riga esplicita.


 non a quello esterno.[*]
Dipende dalla dimensione della rete interna: se sono pochi PC si possono
configurare mettendo una voce apposita in "/etc/resolv.conf", tipo:
www.tuoserverweb.com
 INDIRIZZO_IP_INTERNO
-- 
Lorenzo `paulatz' Paulatto
Trieste
``Grandissima mi par l'inezia di coloro che vorrebbero che Iddio avesse
fatto l'universo più proporzionato alla piccola capacità del lor discorso.''
     --Galileo Galilei (Opere VII)

 
www.tuoserverweb.com
 INDIRIZZO_IP_INTERNO
Uh?
Sicuro che non stai parlando di /etc/hosts ?


 Sicuro che non stai parlando di /etc/hosts ?
e rovesciando i termini :-)
IP_SERVER   nome_server
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4