Newsgroup: it.comp.os.linux.sys
Titolo: Routing avanzato e shorewall

Mi sento molto ignorante in tema di routing un po' più avanzato e ho un po'
di dubbi su una cosa che dovrei implementare.
Ho un firewall con shorewall che fa da classico firewall/NAT con Internet da
un lato e la LAN dall'altro.
Ora devo creare una VLAN dentro la stessa LAN però non una VLAN vera e
propria, semplicemente con alias sulla ethN di alcune macchine, per cui
tutte queste macchine avranno un IP che appartiene a questa subnet
(chiaramente diversa dalla subnet della mia LAN).
Ora, io nel firewall devo fare in modo che questa VLAN possa comunicare con
un altra rete (del mio ISP) in modo transparente, ovvero l'ISP dalla sua
subnet deve poter accedere alla mia VLAN e *solo* alla mia VLAN.
Non sará una VPN, almeno all'inizio. Come si può fare con Shorewall 3 (o, in
alternativa, con iproute2/iptables direttamente)?
Ho già spulciato la doc di Shorewall e il LARTC, qualche idea ce l'ho ma se
avete esperienze dirette mi fareste un favore :)
-- 
Vide

 alternativa, con iproute2/iptables direttamente)?
E' molto banale.
- In zones definisci una nuova zona, avendo cura che compaia PRIMA della
zona che rappresenta la tua lan. Per esempio
#ZONE		DISPLAY		COMMENTS
lan2		Lan2		Seconda Lan interna
lan		Lan		Lan interna
- In hosts definisci la nuova rete (iptesi 
192.168.1.0/24
 connessa a eth0):
#ZONE		HOST(S)				OPTIONS
lan2		eth0:
192.168.1.0/24
		reouteback
- In policy metti le regole che ti servono da e verso le altre zone (p.es.):
#SOURCE		DEST		POLICY		LOG		LIMIT:BURST
#						LEVEL
lan		lan2		ACCEPT
lan2		lan		ACCEPT		info
- In rules metti le regole più di fino, come quelle appunto da e per il
provider.
Del resto non ti devi preoccupare.
Del resto non ti devi preoccupare
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 lan2            lan             ACCEPT          info
E qui nessun dubbio.
Comunque per ora ho risolto con questo "hack", senza fare i cambi di cui
parliamo qua sopra. Ho fatto così:
eth0 -> IF esterna del fw
eth1 -> IF interna (LAN) del fw
Su eth0 ho definito un ip del rango  
192.168.2.0/24
 che è quello a cui si
deve interfacciare il mio ISP.
Su eth1 ho definito un altro IP dello stesso rango.
Ho modificato manina il routing eliminando il routing su eth0 e lasciando
solo quello su eth1, e ho impostato regole di firewalling in "rules" di
shorewall adeguatamente, però fra net:subnet_dell_ISP e loc_192.168.2.0/24
Poi sugli host dentro la mia LAN ho:
- dato un IP di 
192.168.2.0/24
- impostato una static route per la subnet_ISP che passa dalla IP che ho
sull'interfaccia eth0 del firewall.
Così funziona, loro possono vedere le mie macchine (se gli do permesso sul
firewall) e dalle mie macchine posso raggiungere le loro (se do permesso sul
firewall e mi danno permesso loro sul loro, ovviamente)
Comunque vedró di aggiustare "zones", "interfaces" e "hosts" adeguatamente.
Grazie per l'aiuto :)
-- 
Vide

 si deve specificare in hosts
No. se una zona include tutti gli host che arrivano da una determinata
interfaccia tranne un sottoinsieme che definisci come altra zona, usi il
file interfaces per la prima e hosts per la seconda.
Però come già detto conta l'ordine in cui appaiono nel file zones: prima la
zona più "ristretta" e poi quella più "larga"
