Newsgroup: it.tlc.gestori.fastweb
Titolo: Connessione tra 2 sedi, entrambe con abbonamento FW

Buongiorno a tutti, necessito di qualche consiglio a proposito di
questo problema; ho cercato un po nei vecchi messaggi ma le domande
sostanzialmente erano per problemi tra reti all'interno di fw e
all'esterno di fw, mentre nel mio caso entrambe le reti saranno
'dentro' fastweb'.
Sto pensando di sottoscrivere 2 abbonamenti fastweb, per ognuna delle
2 sedi della mia azienda (principalmente per vantaggi con la tariffa
telefonica, oltre che per le velocità di connessione piu alte).
Ora, dalla sede n2 attualmente usiamo Desktop Remoto di Microsoft per
connetterci alla sede n1 e lavorare su un server Windows Server 2003.
Ovviamente con l'attuale abbonamento telecom abbiamo ip pubblici
quindi non ci sono problemi di sorta.
Nel caso di passaggio a fastweb per ENTRAMBE le sedi mi viene da
pensare che entrambe le sedi avranno un indirizzo IP privato interno
alla rete fastweb... ma che comunque questo sia 'fisso' e visibile
agli altri utenti all'interno della rete fastweb, è corretto questo?
Quindi se cosi fosse potrei continuare ad usare senza problemi Desktop
Remoto visto che specificherei semplicemente l'indirizzo IP privato
del router della sede n1.
Riassumendo:
-all'interno della rete fw gli IP sono 'fissi' e visibili da tutti gli
altri utenti della rete fastweb? O magari cè una limitazione spaziale
per cui ad esempio tra fw Milano e fw Roma non cè 'visibilità degli
indirizzi (non è il mio caso cmq, le 2 sedi sono spazialmente molto
vicine, 40 km)
-nel caso ci sia visibilità, l'indirizzo IP privato è cmq fisso o
varia?
-ci possono essere problemi nel caso alla sede1 abbia Fibra mentre
alla sede2 abbia ADSL (sempre fw naturalmente)?
-i router forniti da fastweb permettono di essere configurati per
inoltrare le richieste pervenute su una porta particolare verso uno
specifico pc della rete? (sempre per la questione desktop remoto)
Mi scuso se ho detto stupidaggini (o se il dubbio è banale), e
ringrazio anticipatamente per l'aiuto!
Marco Parmiani

 specifico pc della rete? (sempre per la questione desktop remoto)
i router di fastweb sono trasparenti a rete e porte.

 i router di fastweb sono trasparenti a rete e porte.
Cioè io per connettermi da un pc della rete fastweb in una rete locale
1, verso un pc sempre della rete fastweb ma in una rete locale 2
(intendo dietro un altro router di fw), che indirizzo uso? Quello del
router (mi pare di no da come mi spieghi giusto?), oppure direttamente
quello del pc di destinazione (in tal caso quindi l'indirizzo ip di
ogni pc è distinto all'interno dell'intera rete fw, a differenza
dell'approccio a cui sono abituato con telecom)
Mi scuso per l'ignoranza ma sono abituato a reti telecom dove cè il
router che traduce indirizzi della rete aziendale e che la 'maschera'
all'esterno presentando solo il suo indirizzo.

 all'esterno presentando solo il suo indirizzo.
Tranquillo, č normale, ci si mette un po' a capire il meccanismo :-)

 telefonica, oltre che per le velocità di connessione piu alte).
Dovresti specificare che tipo di contratto stai facendo , perche' per le 
aziende ne esistono di vari tipi e quindi lo scenario puo' variare a 
seconda di cio' che acquisti.

 destinazione.
Nel caso delle utenze residenziali la cpe ha un indirizzo ip : e' il 
dhcp server appunto.
Corretto invece che per chiamare il desktop remoto bisogna chiamare l'ip 
diretto del pc, assegnato appunto dal dhcp server .
Classica cfg ad esempio di una utenza fibra :
1.xx.xx.32 ip della cpe = telefonia voip + dhcp server
1.xx.xx.33 (+1) = primo ip del pool assegnabile che, in caso di presenza 
di tv di fastweb viene riservato ,quindi non prenotabile, alla videostation
1.xx.xx.34 (+2) assegnabile ad un pc o qualsiasi device
1.xx.xx.35 (+3) assegnabile ad un pc o qualsiasi device
1.xx.xx.36 (+4) assegnabile ad un pc o qualsiasi device
1.xx.xx.37 (+5) assegnabile ad un pc o qualsiasi device
Uno degli ip che seguono viene assegnato dal dhcp server assieme agli 
eventuali dns di zona.
1.xx.xx.1  gateway predefinito (apparato fastweb non situato a casa del 
cliente
1.xx.xx.2 alias del gateway
1.xx.xx.3 probabile altro alias del gateway
Sino a poco tempo fa risultano comunque chiuse le seguenti porte 
sull'utenza residenziale anche tra utenze con ip privati.
Mi riferisco sempre alla fibra ma e' probabile che lo siano anche per le 
adsl.
113/tcp auth
135/tcp msrpc
139/tcp netbios-ssn
445/tcp microsoft-ds
1025/tcp NFS-or-IIS
1981/tcp unknown
2745/tcp unknown
3127/tcp unknown
5000/tcp UPnP
6129/tcp unknown
_________________
Non susisstono quindi problemi per RDP microsoft che usa la porta 
3389,ma possono nascere problemi con Exchange ed eventuali condivisioni.
Tutte cose cmq che per motivi di sicurezza e flessibilita' andrebbero 
veicolate in una vpn quando si collegano due sedi aziendali. (con 
contratti residential :) ?)

 
marco.parmi...@gmail.com
 ha scritto:

Il contratto e' questo:
MyBusiness
(contratto per 'Microimprese')
link: 
http://www.fastweb.it/web/azienda/microimprese/offerta/
Con questo tipo di contratto e' pensabile che mi forniscano un HAG? (e
quindi valgono i discorsi sopra?)
Grazie ancora

 Tranquillo, è normale, ci si mette un po' a capire il meccanismo :-)
A parte che e' banale, ma tu, caro il mio Sysadmin, non l'hai ancotra
capito ora.

 
Si', con quel tipo di contratto ti danno un Hag, ma mi pare che hai la
possibilita' di connettere un solo PC, quindi hai un numero di MAC piu'
limitato rispetto alle utenze residenziali. Mi pare che puoi aggiungere un
pc pagando qualcosa extra, dovresti leggere il contratto. In ogni caso
l'architettura Fastweb di base e' quella descritta (MAN, metropolitan area
network).


Sul sito mi dicono :
"possibilità di collegare fino a 5 PC per i clienti raggiunti dalla
rete in fibra ottica FASTWEB e fino a 3 PC per i clienti nelle aree
abilitate ai servizi DSL di FASTWEB." proprio in quella pagina, quindi
per quello dovrei essere apposto (quindi suppongo che con fibra mi
danno un hag con 5 uscite per i pc, mentre con dsl un hag con 3 uscite
per i pc).
Ringrazio nuovamente tutti per le delucidazioni!

 
Si' hanno equiparato la situazione microimprese a quella dei residential.
In questo caso avrai lo scenario da me descritto (5 ip MAN fastweb fibra 
e 3 ip MAN fastweb in adsl).
L'hag a 3 uscite e quindi dovrai aggiungere un hub.
E a questo punto, dispondendo di connessione in fibra da una parte ed 
una buona adsl dall'altra, ti consiglio di collegare all'HAG due router 
wan (quelli senza parte modem adsl) e configurare una vpn/ipsec e fare 
il merge delle reti delle due sedi in maniera totalmente trasparente.
Utilizzerai in questo caso solo due ip (ognuno per endpoint)
A discapito della velocita' (ma di poco) usufruirai di un sistema sicuro 
e flessibile senza limitazioni/blocchi ed eventuali sguardi "indiscreti".
Il tutto magari condito sulla postazione fibra di un proxy-cache squid 
per il controllo degli accessi e l'uscita verso il resto del mondo 
fastweb e il web.
Se poi hai un dominio con pdc e active directory, potresti lavorare 
molto meglio senza ricorrere a rdp per l'accesso al server windows 2003.
Nota che data la presenza di windows 2003 server, tutto questo potrebbe 
essere collegato anche dall'esterno della rete fastweb che ha un buon 
supporto per NAT-trasversal, magari una terza sede con ip pubblici telecom.
Un po' di sbattimento, ma si puo' fare un buon lavoro


Grazie mille trip del consiglio, ora mi informo per bene su come
realizzare la cosa... visto che sono abbastanza senza esperienza dal
punto di vista pratico (mai configurato una vpn, ebbene si lo
ammetto!). Magari esiste una guida per 'dummies' che possa introdurmi
la cosa a livello pratico? Qualcosa tipo passo passo 'collega il filo
blu all'uscita X' :P
Non vorrei fare qualche pasticcio, ma vorrei realizzare un sistema un
po migliore di quello attuale.

 
Cioe' adesso come funziona ?
Allora il discorso e' in questi termini ( ne parlavamo proprio oggi in 
azienda della questione sicurezza ) : tu vuoi collegare due sedi di una 
azienda tramite la MAN fastweb, comunque sia diciamo una extranet 
perche' essere all'interno della man fastweb o su internet e' la stessa 
cosa dal punto di vista sicurezza.
Che valore hanno i tuoi dati ? Ovvero qualora venissero carpiti da 
qualcuno  abbassi la saracinesca e chiudi bottega ?
In questo caso affidati senz'altro ad un esperto in queste cose
I tuoi dati non sono vitali, vuoi solo avere elasticita' e praticita' , 
allora puoi procedere col fai da te,per esempio proprio realizzando la 
vpn con i wizard di winXP oppure con due router da 80 euro con funzioni 
di vpn.
In questo caso la soluzione piu' semplice e' appunto , una volta 
ottenuta connettivita' su rete fastweb, collegare alle rispettive cpe
dei router con funzioni di vpn e fare il merge delle due lan,ovvero un 
tunnel cifrato che permetta la comunicazione di tutti i pc delle due 
sedi come se si trovassero nella medesima lan.
Per ogni marca e modello le cfg cambiano cosi' come il metodo di 
autenticazione (scambio delle chiavi,certificati ecc ecc).
Fastweb ha appunto chiuso le porte che ho citato (causa worm e affini) e 
ha bloccato le pure condivisioni delle risorse (netbios,smb ecc ecc). Tu 
pensa che sino a poco tempo fa qualcuno condivideva in questo modo le 
risorse sulla man fastweb INTERA , quindi ad es potevo condividere una 
cartella di windows qua a Milano con un pc a Napoli..
Evidentemente la sicurezza non era elemento primario :)

Trip65 ha scritto:

Ora funziona cosi: (tieni presente che è una microazienda, in cui i
dati scambiati tra sedi non sono assolutamente sensibili)
sede1 con router e ip pubblico
sede2 con router e ip pubblico
Nella sede1 cè questo server win 2003, sul quale gira un gestionale, e
dalla sede 2 usiamo questo gestionale usando desktop remoto (aprendo
la porta 3389 sul router e instradando le richieste verso l'ip interno
del server).
Insomma, si potrebbe dire una soluzione assolutamente insicura (credo:
rdp è un protocollo 'in chiaro'?) oltre che apro una porta pubblica
sul mondo... però magari per la realtà minuscola va ancora bene. I
dati non sono sensibili e non credo che nessuno sia interessato cmq a
leggerli...
In questa situazione cmq mi chiedevo se una vpn (anche realizzata in
maniera semplice coi router da 80 euro) poteva portare degli effettivi
benefici (sicurezza... e cos'altro?)
Mi scuso se le domande sono di livello molto 'base' ma di fatto non ho
questa grande esperienza pratica di reti.
Grazie ancora

 capito ora.
Per un utente residenziale che è sempre stato abituato a reti ADSL di 
Telecom, Libero, Tiscali, ecc... non è affatto banale.
Il sysadmin che suppone banale una cosa solo perché la conosce lui è solo 
arrogante.

 Uh, ma guarda, ora lo "switch layer 2" fa pure da DHCP server!
Esatto, client e server.

 rdp è un protocollo 'in chiaro'?) 
No, non e' in chiaro ma la sua sicurezza dipende molto da come viene 
settato windows 2003 e le sue policy di sicurezza autenticazione accesso.
Quindi potrebbe essere sicuro per il tuo caso, come no.
Dipende dalla cfg (avete un dominio,active direcory,e altro ancora ?)
La vpn tipicamente su udp proprio per non  menomare troppo le 
performance (magari fatta su porte esotiche) aumenta ancora di piu' il 
livello (e anche qui dipende da quale tipo) .
Quindi tutto dipende nella tua situale situazione, su come il tuo 
server,al di la' di rdp, autentica l'utente.
Se le cose sono state fatte per bene, potrebbe bastare nel tuo caso