Newsgroup: it.comp.os.linux.debian
Titolo: [X-Post] Debian Bookworm con eth0 in lan ed eth1 in dmz

Salve,
 
ho un server, come da oggetto, con due schede di rete fisiche, la eth0 
vorrei connetterla alla lan quindi dietro al firewall Pfsense mentre la 
eth1 vorrei metterla in DMZ.
 
Sulla macchina ho installato lxc ed all'interno ho dei container come ad 
esempio uno con zabbix, un altro con samba ed un altro che mi fa da 
server lamp tutti e tre forniscono i loro servizi in lan.
 
Sulla stessa macchina vorrei inserire un container con OpenVPN server 
che stando agli standard o alle best practise dovrebbe stare in DMZ.
 
Oggettivamente potrei dare al server OpenVPN un ip della DMZ e 
configurare all'occorrenza Pfsense senza utilizzare la rete fisica che 
mi permetterebbe però di non ri-mettere mano al firewall...
 
Ogni altra visione o idea è ben accetta! :)
 
Saluti.
^Bart

 mi permetterebbe però di non ri-mettere mano al firewall...
 
non ho capito come vuoi fare. se vuoi mettere il container in dmz, devi 
agganciarlo all'interfaccia host in dmz. a quel punto gli indirizzi che 
openvpn stacca per i client dovranno essere autorizzati nel firewall ad 
entrare nella lan, altrimenti sono segregati anche loro in dmz (e mi 
immagino non sia quello che vuoi ottenere).
 
ma perché non configurare il modulo openvpn di pfsense?

 ma perché non configurare il modulo openvpn di pfsense?
 
Attualmente quello che hai indicato succede già perché Pfsense fa tutto 
questo e, come già accennavo nel mio precedente post, ed il server 
OpenVPN ha un indirizzo della dmz pratica che dovrebbe rientrare tra le 
best practise giusto?
 
Mi piacerebbe poter svincolare di lavoro il firewall togliendogli il 
DHCP server e la gestione della VPN.
 
Indipendentemente però da quello che mi piacerebbe fare, che non è detto 
sia qualcosa di corretto probabilmente, a me interessava quanto scritto 
sopra ovvero un unico server con "X" containers ognuno con servizi da 
erogare in lan ed in dmz.
 
Imho sembra uno spreco di risorse tenere un server in dmz ed uno in lan 
quando a livello di prestazioni hardware uno singolo potrebbe reggere 
tutto il carico.
 
Saluti.
^Bart

 tutto il carico.
 
va bene, un host di vrtualizzazione è normale abbia un piede nella lan e 
uno nella dmz in modo che i guest possano essere sia nella lan che nella 
dmz a seconda dell'interfaccia a cui li colleghi. però attenzione: il 
fatto che abbia un interfaccia sulla dmz non deve significare che abbia 
anche un indirizzo. 

 anche un indirizzo.
 
Non deve significare che abbia anche un indirizzo perché poi ti 
gestiresti tutto con le tabelle di routing?
 
Ipotizziamo il discorso del server VPN, se in DMZ ho 172.x.x.x ed in lan 
ho 192.168.0.x, al vpn server collegato allo switch in dmz potrei anche 
dare 192.168.0.100 con una netmask che arrivi fino a 172.x.x.x per poi 
sistemare le tabelle di routing...
 
Saluti.
^Bart

 sistemare le tabelle di routing...
 
qui mi fermo perché credo ti debba studiare almeno le basi prima di 
discutere su come mettere le mani su una rete.
anzi ti sconsiglio di continuare su questa cosa casomai ti fosse venuto in 
mente di realizzarla senza prima aver colmato queste lacune che, credimi, 
sono parecchio grosse. 

 sono parecchio grosse.
 
Lo stavo scrivendo, sono classi diverse.
 
Saluti.
^Bart


abbi pazienza, non è questo il punto. hai scritto una grossa sciocchezza, 
dimostrando di non conoscere il principio base della segregazione di rete 
di una dmz. ovviamente non si tratta solo di due classi di indirizzi 
diverse, ma c'è un firewall nel mezzo che impedisce proprio il traffico 
fra la dmz e la lan (talvolta, ma non necessariamente, anche viceversa). è 
ovvio che la tua ipotesi non può funzionare.
 
poi torno a ribadire, la vpn lascia quella di pfsense, ti dico che nella 
migliore delle ipotesi ti complichi solo la vita.