Newsgroup: it.comp.os.linux.sys
Titolo: IPTABLES, NAT e alias eth...

Salve a tutti,
ho un problema con iptables...
Praticamente ho un server linux ke mi funge da gateway/firewall/nat
Ho 2 schede di rete, una guarda il router hdsl, l'altra lo switch 
interno alla mia rete.
All'interno della mia rete ho 2 server d cui 1 è server DNS e POSTA smtp 
e pop, e l'altro ha circa 30 domini WEB e FTP e il DNS 
secondario.Inoltre ho anke altri 15 pc ke uso come client...
Per una questione d sicurezza mi è stato consigliato di lasciare gli 
indirizzi IP pubblici ke ho comprato (un blocco di 32 ip pubblici) sul 
firewall sull'interfaccia ke guarda il router e d nattare gli indirizzi 
sulla mia rete privata (192.168.0.0).(così da non smanettare nemmeno la 
configurazione del router, ke avrebbe dovuto casomai aggiungere un nuovo 
Hop x raggiungere gli altri indirizzi attraversando il firewall)
A questo punto ho alcune domande a cui vorrei data una risposta:
1° Per mettere i 30 IP sul mio firewall sono obbligato, kiaramente, ad 
utilizzare gli alias. Dunque mi ritroverò eth0 con l'IP ke guarda il 
router (62.110.220.164) e gli altri 31 ottengono ke avranno gli alias da 
eth0:1 a eth0:31 (63.110.220.161-191)
Iptables non consente di inserire regole su alias di rete. E' vero? C'è 
un modo x ovviare al presunto problema? Quale altra strada percorrere?
2° Attualmente i 2 server utilizzano gli IP pubblici e sono connessi 
allo switch dove in questo momento è connesso pure il router hdsl.
Il server DNS kiaramente usa IP pubblici. Ma nel caso in cui spostassi 
gli IP dei server da pubblici a privati, dovrei riconfigurare tutti i 
PTR e HOST e MX del DNS agli indirizzi nuovi o potrei lasciare la 
situazione intatta, visto ke cmq il firewall "conoscerebbe" anke tali 
indirizzi? Spero sia kiaro visto ke non è un problema da poco...
3° Avendo un server FTP ke gira internamente, mi trovo a dover dare 
certe regole a iptables x far passare il traffico FTP. La connessione da 
un client avviene tramite la porta 21, ma a quanto ne so, un 
trasferimento dati FTP crea una porta dinamica nuova anke sul server. Se 
tutto ciò è vero, come devo gestirla da iptables considerando ke non 
posso conoscere la source port del client rikiedente il servizio?
Grazie a tutti x l'aiuto.
P.s. Vi prego d non consigliarmi d andare a leggere how-to o 
documentazioni... ho letto praticamente tutto ciò ke è stato scritto su 
iptables... purtroppo mi trovo d fronte a dei quesiti reali, ai quali 
gli how-to non possono rispondere! ;)

 
A questa domanda mi sono risposto io da solo negli ultimi 5 minuti...
Infatti ho sbagliato a voler tirare su gli IP sul server... NON SERVE!
E questo xkè sarà iptables a gestire la rikiesta su quel singolo IP x 
poi DNATtarlo al nuovo IP privato...
Giusto?
le altre 2 domande restano cmq...

 gli how-to non possono rispondere! ;)
Gli how-to servono proprio per risolvere casi reali... o quasi. Se ti
fossi informato un po' meglio avresti probabilmente scoperto che cio'
che vuoi fare non e' proprio il massimo in termini di sicurezza, anzi:
chiunque riuscisse ad entrare in uno dei server avrebbe pieno accesso
alla tua lan... vedi tu. Dovresti mettere tutto in una lan separata o
anche in una vlan (ma non vedo grosi vantaggi) e filtrare il traffico
in modo opportuno tra questa (chiamata dmz) e la lan. Lo puoi fare in
modo molto semplice mettendo una terza scheda di rete al tuo firewall
a cui attaccare lo switch/hub della dmz. Prova a cercare qualcosa sul
progetto e la gestione delle dmz ed eventualmente posta su ics.varie.
Fabio

utilizzare gli alias. Dunque mi ritroverò eth0 con l'IP ke guarda il 
Non capisco perche' ti abbiano consigliato di fare cosi'...
Ad ogni modo gira la ruota e comra anche la 'c' e la 'h' cosi' non
sarai costretto ad usare solo la 'k' :-)
Comunque come ti hanno gia' detto la soluzione migliore e' cercare le
configurazioni per mettere tutti i client ed eventualmente anche i
server sulla lan interna.
Ci sono decine di esempi reali su gli howto ricerca su google con
"iptables dmz howto"
Per cio' che concerne il discorso del FTP, troverai maggiori info
sempre sugli howto del masquerading con "iptables nat ftp"
Buona ricerca.
A presto
--
Stefano Orsi
Email: biv2533 chiocciola yahoo punto it
* Attenzione il campo from contiene un indirizzo di email che non leggo mai! *
*  se proprio volete inviarmi un messaggio privato usate la email qui sopra   *

 sempre sugli howto del masquerading con "iptables nat ftp"
ribadisco...

 
1° Non sono un newbie ne uno sprovveduto...
Ho letto tutti gli Howto... e dico TUTTI... ma i dubbi mi sono rimast...
Mi sono informato non bene, benissimo... purtroppo l'insicurezza mi ha 
portato a kiedere conferma a qualcun'altro...
La lan separata non posso farla... e questo xkè non posso comprare un 
altro switch x la DMZ (sò xfettamente cosa vuol dire...)
La mia situazione è questa, so benissimo ank'io ke comprare un altra 
skeda d rete, ed un altro switch sarebbe + semplice... non avrei avuto 
bisogno d voi... non pensi?
Cmq grazie x le risposte ke mi avete dato, sebbene ancora non abbia 
risolto mezzo problema...:(

Per quanto ho capito, devi mantenere gli alias sulla eth esterna del 
firewall. Altrimenti
i pacchetti per gli indirizzi IP pubblici provenienti dall'esterno non 
verranno raccolti dalla scheda e non verranno passati al netfilter nat. 
Poi le regole del nat tradurranno gli indirizzi in quelli della rete 
interna. Gli alias non danno problema, per quanto ne sappia io, tu 
specifici l'indirizzo ip esterno, non eth0:1...31  e tutti i pacchetti 
ricevuti passano la nat.
Per quanto riguarda il DNS è una bella domanda. Io per semplificare 
metterei il server DNS sul firewall, è un secondario, no? Cmq, nella tua 
configurazione, in ogni caso devi lasciare gli IP pubblici, netfilter 
mica ti traduce le risposte DNS. Per usare il server DNS dalla rete 
interna, nei client metti l'indirizzo pubblico e sul firewall una regola 
di routing adatta.
Per quanto riguarda i noti problemi del sistema ftp, c'è un supporto 
specifico di netfilter (ftp connection tracking, mi sembra).
Potrei sbagliare, ovviamente. Il sistema migliore è fare delle prove, se 
puoi.
saluti

 le altre 2 domande restano cmq...
niente, ho detto una cazzata cmq...
e questo xkč cmq dovrei configurare il router hdsl x l'Hop sul firewall...
dunque rimane il problema degli alias...
come faccio a tirare su 30 IP sull'interfaccia ke guarda il router senza 
ke x l'iptables c siano errori???

un client avviene tramite la porta 21, ma a quanto ne so, un 
Se natti il traffico della porta 21 dal firewall alla porta 21 del
server FTP e poi ai clienti fai usare la modalita' passiva non
dovresti avere problemi, altrimenti la risposta la conosci gia' ;-)
Rimango perplesso su chi ti ha consigliato di comprare 30 IP per 30
clienti se non hai 30 macchine a disposizione... Virtualhost no eh?
:-)


 si ma in ke modo visto ke gli alias non fungono??
qe palle 'ste qappa.. *plonch*
-- 
- Le scaglie della mia corazza sono come scudi dieci volte piu' potenti
  i miei denti sono spade, i miei artigli lance, lo sferzare della 
  mia coda una saetta, le mie ali un uragano ed il mio alito MORTE !

iceman wrote:

Sbagliato: sarebbe vero solo ed esclusivamente se tu smaneggiassi il 
router per aggiungere il next hop. In quel caso funzionerebbe, ma non ha 
nessun senso.
Al resto rispondo poi...
-- 
Emanuele "SKULL" Balla
----------------------------------------------------------------------
"How should I know if it works?  That's what beta testers are for. I 
only coded it." (Attributed to Linus Torvalds, somewhere in a posting)

 non posso conoscere la source port del client rikiedente il servizio?
dipende: se ridirigi la porta 20 alla stessa maniera della 21, hai un 
ftp passivo perfettamente funzionante.
Se lo vuoi attivo devi ricorrere a uno snat delle porte in uscita dal 
server. In effetti puoi snattare tutto l'uscente e dnattare tutto 
l'entrante, a priori. Poi filtri a livello di forward, alla maniera 
classica...
Ti evita di impazzire su "quale è quella porta che non apre". Chiaro che 
far le regole mirate al solo utilizzo necessario è cmq meglio...


 che far le regole mirate al solo utilizzo necessario è cmq meglio...
Qui ho fatto un po' di casino... nel senso:
1) ho invertito attivo e passivo.
2) ho spiegato alla cicciolo di bufalo...
facciamo i due casi:
Attivo.
Client >1023 si connette a server 21. Quindi ascolta su una porta che 
decide lui (>1023) e la comunica al server
Server 20 si connette a client > 1024.
Fine.
Quindi se snatti la 20 in uscita funge.
Passivo.
Client >1023 si connette a server 21. Apre anche una seconda porta >1023 
(quella di prima +1) e dice al server di comunicare una porta su cui 
essere raggiunto (PASV).
Server comunica porta (>1023) e la comunica al client.
Client (dalla seconda porta di cui sopra) si collega alla porta 
comunicata dal server.
Fine.
Quindi la porta 20 non ti serve, ma devi gestire il conntrack per l'ftp, 
dato che non sai su quale porta il server va ad aprire...
spero sia + chiaro..


 bisogno d voi... non pensi?
Non ho una sfera di cristallo. Scusa, ma le domande sugli
alias, sul dns o su ftp sono abbastanza banali, e pensavo
che tu fossi abbastanza digiuno di info sulle reti. E poi
guarda che fare una dmz con un firewall three homed non e'
piu' semplice ma solo piu' sicuro. E, per farlo, dovresti
comunque trovare una risposta alle stesse tre domande che
avevi posto nel tuo primo messaggio, perche' avresti quei
problemi anche in questa configurazione (piu' altri) e in
sostanza, quindi, non puoi dire:
- che avresti potuto fare a meno di noi (_noi_ chi, poi?);
- che sapevi "benissimo".
Non ti pare? ;)
Non so quale sia la configurazione della tua rete interna,
se avete dei server non pubblici, ecc., ma la soluzione di
mettere i tuoi server pubblici sulla lan mi sembra un poco
azzardata. Io piuttosto li lascerei tra router e firewall,
forse. Poi fai tu.
Ciao
Fabio
PS:   qualcuno ti ha detto di mettere il DNS sul firewall.
      Sul firewall IMHO non dovrebbe esserci nessun server
      pubblico altrimenti non sarebbe un firewall. Poi fai
      tu anche qui.

 spero sia + chiaro..
xfetto, questo mi era poco kiaro, adesso mi hai confermato certe idee ke 
avevo...
ma il conntrack in ke sensi "devo gestirlo"?
io sapevo questa storia dell'ftp ke crea una porta dinamica "al volo" 
sul server x trasferire i dati... ma non capisco come gestirla...
grazie veramente cmq...

 gli arrivano e basta... Per cui, in teoria, la cosa è trasparente...
lo spero ank'io ;)
6 stato prezioso, grazie ;)


e come lo gestisco il virtual host sugli IP?
cmq, ho a disposizione questi IP... ke faccio non me li prendo!?!?
skerzo...
grazie e ciao

 forse. Poi fai tu.
e dov'è finita la sicurezza?
tra router e firewall non ho + filtro...
io voglio invece ruotare solo 21-25-59-80-110
se uso il metodo ke dici tu, insomma i server IIS belli aperti ke 
guardano il router, riskio ke usino netbios e bachi d M$....
bella sicurezza....
Grazie cmq... ciao ;)

 guardano il router, riskio ke usino netbios e bachi d M$....
Vedi sopra. E' un metodo che viene usato relativamente di frequente.
Netbios lo filtri almeno in ingresso sul router, come tutte le altre
porte che non ti servono.
Fabio

skerzo...
Ciao,
il virtualhost lo intendevo per per gestirie i domini cone annessi
siti web e caselle di posta.
Ovvero fai gestire ai Dns la risoluzione dei nomi, dopodiche' demandi
al server web e al server di posta sia il virtualhost sia i
virtualdomain.
Sul fatto dei 30 ip, non c'e' problema, solo che non ha molto senso
(perlomeno da quello che ho capito della tua configurazione)
assegnarli come alias su una unica macchina solo per il gusto di dire,
ok li ho usati tutti :-)


io voglio invece ruotare solo 21-25-59-80-110
Inoltre dovrai aprire anche le porte dei dns sia in tcp sia in udp, ma
penso che tu lo sappia gia'.
Sicuramente il problema che hai evidenziato non e' banale, ma e'
chiaramente spiegato in tutti gli howto del caso e il fatto che ci
siano risposte contradditorie fra di loro, vuol dire che ci sono piu'
strade per raggiungere lo stesso scopo.
Inoltre non capisco per quale motivi tu ti inalberi se qualcuno ha
pensato o ti ha definito un newbie (premesso che a mio avviso non c'e'
nulla di male).
Tra l'altro ti abbiamo fatto notare, abbastanza educatamente che le
"k" danno un pochino fastidio, come se non bastasse hai aggiunto anche
la "x" al posto del "per"; scusami ma mi sembra che pecchi di buona
volonta'.
Per cui ti auguro buona fortuna con la tua/vostra configurazione e
spero vivamente che non sia tu il responsabile della sicurezza della
mia banca :-)


 porte che non ti servono.
come sopra...
grazie e ciao