Newsgroup: it.comp.os.linux.sys
Titolo: firewall

Chi mi consiglia un buon script firewall già fatto (non mi sebra il caso di
reinventare la ruota) che faccia passare il traffico irc ed i vari
filesharig ? Io ho provato quello a 
http://my.netfilter.se
 ma fallisce
proprio in questo (IRC va in timeout, morpheus non si connette). Cmq, x
nattare irc non basta caricare i 2 moduli (il nat e il conntrack, mi pare) ?
Ah, ho una debian (ma non credo importi molto) e mi connetto in dialup (in
attesa che tiscali attivi la adsl)
Grazie
Davide
davi...@usa.net
ICQ: #20331544

 nattare irc non basta caricare i 2 moduli (il nat e il conntrack, mi pare) ?
Provarci meglio da te, per esempio dopo aver letto il Quick & Easy
Configuration HOWTO di mrshark invece di aspettarti la pappa pronta? Vai
su mrshark,
sourceforge.net
.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 ha scritto nel messaggio
news:a4e9do$63a$1...@tux.home...
| nattare irc non basta caricare i 2 moduli (il nat e il conntrack, mi pare)
?
uhm... io sono niubbo, ma mi sembra di aver visto
moduli apposta per irc... un po' come quelli per ftp.
controlla meglio.
--
[ Penguin At Work ]
-> 
http://web.tiscali.it/penguinatwork/
-> aka Fustino Di Dixan while working

Ho configurato da tempo una macchina Linux come firewall (ipchains + MASQ)
tra la rete interna e internet (come semplice prova visto che non ho IP
statico e si utilizza internet attraverso router CISCO via ISDN), la
macchina Linux ha 2 schede di rete una eth1 per la rete interna 10.0.0.x
l'altra collegata al router 192.168.1.9.
Tutto funziona da tempo e l'esperimento e' li congelato che funziona bene da
mesi.
Ora la situazione si e' evoluta e si passa in ADSL con indirizzo statico per
inserire anche una macchina per servizio web e ftp internet.
L'idea e' di inserire una terza scheda di rete al firewall per una zona DMZ
e qui inserire il server www ed ftp, poi usare ipchains per gestire le
regole di protezione del server web , ora che indirizzo devono avere le 3
schede (1 per il router, 2 DMZ, 3 rete interna LAN) e mi basta un IP statico
e usare il MASQ anche per il server web o devo avere almeno 2 indirizzi
statici, uno per il router e uno per la macchian web.
Spero di essermi spiegato bene, grazie per l'aiuto.

 controlla meglio.
infatti ci sono ip_nat_irc e ip_conntrack_irc, ma anche caricandoli con i
giusti parametri non funziona lo stesso: va in timeout connettendosi al
server (e il server è up, ne sono sicuro).
Ciao,
Davide
davi...@usa.net
ICQ: #20331544

 su mrshark,
sourceforge.net
.
Avevo gia' visto quel firewall tempo fa, ma mi pareva fosse basato su
ipchains, mentre io ho il 2.4.16, quindi pensavo di usare iptables. Cmq ho
anche già letto i vari howto sul netfilter. Non cercavo la pappa pronta, è
solo che mi sembrava inutile scrivere un firewall da zero se c'era qualcosa
già fatto che poteva andar bene per le mie esigenze, magari da cui partire.
Per restare in argomento, non ho trovato info in rete su come nattare il
protocollo h323 (quello usato, tra gli altri, dal netphone di tiscali). Ci
dovrebbe essere un modulo da qualche parte, ma non sono riuscito a trovarlo.


dovrebbe essere un modulo da qualche parte, ma non sono riuscito a trovarlo.
Ciao,
io tempo fa' compilai e installai questo:
http://www.coritel.it/coritel/ip/sofia/nat/nat2/nat2.htm
e funziona regolarmente con NetMeeting (audio e video), pero' io l'ho
montato su un kernel 2.2x non so sui 2.4 ... ;-)
A presto
--
|Stefano Orsi
|Email: s punto orsi chiocciola ogcs punto com

 L'idea e' di inserire una terza scheda di rete al firewall per una zona DMZ
[..]
Beh il concetto fondamentale e' che nella DMZ non dovrebbe passare del
traffico sensibile in modo che se qualcuno dovesse riuscire a sniffare
qualcosa non deve esser messo in condizioni di avere accesso al traffico
della LAN interna (nel tuo caso 10.0.0.x) per cui secondo me potresti
lasciare gli IP che hanno gia' alle altre due ed alla terza potresti
associare un IP per esempio nella classe 172.16.1.x ed ovviamente
settare le regole di ipchains in  modo che il traffico della DMZ sia
opportunamente isolato sia dalla LAN interna che verso l'esterno.


 dovrebbe essere un modulo da qualche parte, ma non sono riuscito a trovarlo.
Non ne ho idea, mi dispiace, non ne uso e quindi non me ne sono mai
interessato.


 teoria che c'e' sotto.
cmq cercando un po' su google groups ho scoperto l'esistenza di bastille
(
http://www.bastille-linux.org
). Ho adattato un po' il suo script, e ora
funziona a meraviglia.


 teoria che c'e' sotto.
Si, a mio avviso firestarter (disponibile su freshmeat) e' ben fatto. Ha
una GUI grafica che richiede Gnome, si configura in due balletti, ma poi
produce uno script pulito e ben documentato che puo' essere una ottima
base di partenza per studiare la teoria sottostante.