Newsgroup: it.comp.os.linux.sys
Titolo: NAT dinamico con HDSL...

Ciao ragazzi!
Ho un pool di IP che mi hanno assegnato con HDSL. Ora, devo preparare il NAT
sul mio bel gateway/firewall Linux.
Stavo pensando: mi conviene fare NAT uno-a-uno (cioč un IP pubblico sulla
mia eth) oppure esiste (e quanto conviene?) fare un NAT uno-a-molti (usando
"random" gli IP del pool che mi hanno assegnato?
Grazie per ogni risposta!
Ciao.

 Stavo pensando: mi conviene fare NAT uno-a-uno (cioè un IP pubblico sulla


 Dipende da circa un milione di fattori, cosa ci devi fare ???
Devo solo far navigare 200 client, nulla di più. Non ho ancora in previsione
di attivare servizi per l'esterno.

 tuo
Avevo pensato a più IP (alias) sulla eth1 del mio Linux-router
Però in quale modo verrebbe deciso quale IP usare per uscire?
Thanx ancora.


Se devi usare la macchina linux come gateway, non hai alcun bisogno di fare
NAT per far uscire i tuoi clienti...
Secondo me ti conviene tenere gli IP Telecom per una eventuale DMS di più
servers e usare un semplice Proxy come Squid + IPchains (o IPTables) per
organizzare l'uscita dei Client su internet..
Almeno, questa è la soluzione che usiamo noi per uscire su HDSL...
--
Jarsil

 NAT per far uscire i tuoi clienti...
scusa, ma perchè niente NAT? Voi l'avete già sul router di Telecom il NAT
allora, o sbaglio?

 ha scritto nel messaggio
news:a3tpk4$6h30$1...@stargate1.inet.it...


 Il nat serve a fare altre cose ( e non tutti le dovrebbero fare).
SQUID non risolve POP3 ed SMTP ed altre cosuccie... carissimo!!!

> nelle regole di iptables specifichi con quale ip farlo uscire
forse cosě???
iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to-source 1.2.3.4-1.2.3.10

 di attivare servizi per l'esterno.
ti conviene utilizzare un ip per i client "normali" che non hanno esigenze
particolari (ip pat) e tenere gli altri per eventuali altri pat (per i
gruppi che devono accedere ad un particolare servizio protetto da
firewall, ad esempio) e/o per eventuali server interni/client che
richiedono un ip dedicato (videoconferenza? homebanking? vpn?)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it


se non ho capito male si tratta in pratica di configurare un router/fw.
a cosa t serve assegnare all'interfaccia esterna più di un indirizzo?
io faccio la stessa cosa (anche se con molte meno macchine :-)) con un solo
ip esterno, anche se ne ho 8 assegnati.
così ho gli altri liberi per cazzeggiare (smtp, ids, dns)

 cosě ho gli altri liberi per cazzeggiare (smtp, ids, dns)
Farň pure io cosě...
me ne tengo un bel po' per future evenienze!
Thanx!


 peggiroi condizioni.
OK: uso un solo IP per fare NAT outside...
Necessità: fornire elevata connettività Internet, solo per traffico
entrante. posta, news, http, ftp ...



allora forse t conviene preparare qualche server locale dedicato:
http/ftp--> proxy (squid?)
news--> server news locale (innd?)
smtp--> mail relay locale
pop3--> ognuno ha la sua casella su servizi free(iol, libero,tin...)? -->
forward porta 110
pop3--> caselle aziendali? --> server mail aziendale locale, magari con ip
pubblico e relativo record MX
ovviamente puoi mettere + servizi sulla stessa macchina, compatibilmente col
carico
so: linux :-))
io ho provato solo squid, pop3 e smtp (e per reti piccole...)
il tutto con un pņ d controlli sulla sicurezza quą e lą :-))
se ho sparato vaccate... sorry!
paolo

 farò navigare, e con il server pop e fetchmail darò anche al posta.
scusate se mi intrometto... e premetto che sono 1 newbie
quindi non picchiatemi.
porto l'esempio di casa mia, ok? cosi' mi chiarisco le
eventuali boiate che ho fatto.
ho un server dedicato (rh 7.2) e 2 client su cui sono attivi:
- squid
- iptables
- nat per il mascheramento
il tutto l'ho fatto leggendo qua e la con non poche
perpelessita' ma adesso tutto va. :)
da quel che mi sembra di capire, il mascheramento lo potrebbe
fare anche squid, giusto? e se si, e' gia' attivo? io ho toccato
qualcosa solo a livello di regole acl.
nat -> e' sbagliato usare lui per traslare gli indirizzi ip?
       intendo in una situazione casalinga con connessione 56k
       :) ops...
       o e' il modulo ip_MASQUERADE a fare il giochino?
       io ho impostato ad iptables 1 regola tipo questa:
iptables -t nat -A POSTROUTING -d ! 
192.168.0.0/24
 -j MASQUERADE
       insomma, in giro in internet, nat risulta come *coso*
       che permette di avere si 1 ip pubblico ma di rimapparlo
       per tutte le macchine private...
       ma allora sulla mia bella connessione point-to-point non
       serve? ma senza come diavolo faccio!! infatti, a dire
       il vero, ho dovuto aggiungere anche ip_nat_ftp per
       poter ftppare :)
boh... mi delucidate in 4 parole?
grazie.
--
[ Penguin At Work ]
-> 
http://web.tiscali.it/penguinatwork/
-> aka Fustino Di Dixan while working

 ha scritto nel messaggio
news:a3tscn$6gka$1...@stargate1.inet.it...

Negativo. Noi usiamo 2 configurazioni diverse seconda che il Cliente abbia
il Router oppure no.
SE non ha il router, la macchina linux ha bisogno di una scheda (noi usiamo
le Cyclades PC300) che faccia la trasformazione del segnale HDSL e
trasforma, DI FATTO, il LinuxBox in un router HDSL (con un costo che si
abbatte a 1/10, considerato il costo del router HDSL Cisco contro i 500 Euro
della scheda Cyclades).
Cmq, anche se hai il router, non hai bisogno di alcun nat. Spiego:
Il router ha un IP Fisso, un'altro dei tuoi IP fissi assegnati lo dai alla
LinuxBox.
in /etc/sysconfig/network
imposti la riga GATEWAY=IP.ROUTER.HDSL
e alla eth preposta al collegamento al router (con Cavo Cross) dai l'IP
immediatamente superiore.
Dopodiché hai bisogno solo di configurare il tuo firewall e il proxy per
consentire l'accesso alla rete agli utenti, senza alcun NAT necessario.
Il NAT diventa necessario, sul ROUTER, quando NON hai una linuxbox che
gestisca il traffico uscente, in quel caso i PC della LAN devono poter
uscire con un IP pubblico per poter essere riconosciuti dal router e quindi
autenticati per l'accesso ad Internet.
Se li fai uscire attraverso il proxy, tutto il traffico uscira dall'IP della
LinuxBox nella stessa subnet del Router HDSL, e il problema è risolto.
Se hai bisogno di spiegazioni ulteriori, contattami pure all'indirizzo
aziendale: 
ssfi...@lynxautomotive.it
Le cose che dovresti impostare IMHO bene sulla linuxbox sono:
eth0 configurata sulla lan
eth1 configurata sul router
DHCP dei client (ma non è obbligatorio)
Un buon firewall che indirizzi TUTTO il traffico verso internet attraverso
la ETH1 (e quindi il Router)
Un buon Proxy (ti consiglio VIVAMENTE squid)
Creare account utenti sulla linuxbox (magari senza possibilità di login alla
shell ma solo per posta e proxy) e assegnarli diritti/divieti con squid per
i vari siti internet.
E' più facile farlo che parlarne, fidati, di macchine così ne faccio a
decine al mese :-)
(ora sto lavorando sulla 10Mbit di FastWeb che ci ha dato un pool di 8 IP
Fissi + subnet di 2 per collegamento tra firewall e il loro router)
--
Jarsil

infatti è una situazione casalinga in cui hai solo un ip
ma nel caso tu abbia a disposizione più ip su una stessa interfacci, degli
"alias".....
devi dare la regola dicendo con quale ip vuoi che esca il servizio...
 per esempio...http lo fai uscire su un ip
ftp con un 'altro...etc...
e poi fai delle regole di forwarding verso le macchine nella subnet
"Fustino di Dixan" <acer...@penguinAtWork.it> ha scritto nel messaggio
news:a3u86q$17bq$1...@phobos.ibnetwork.net...


 forse così???


 pubblico e relativo record MX
Abbiamo caselle aziendali, su un dominio registrato e mantenutoci da un ISP.
Cosa suggerisci?
Ciao e grazie!


prego!
ma ricorda che io l'ho fatto con solo 15 pc.
se ne hai 200 devi studiare le cose con cura e comprare delle macchine
adatte!
:-)
in bocca al lupo!
paolo

 Devi quotare , hai capito????
volevo dirlo io, poi mi ci ho ripensando
siccome sono 1 ignorante tra di voi e
quindi non volevo esser cazziato...


Mi scusi emerito collega