Newsgroup: it.comp.reti.locali
Titolo: firewall con due gateway

Nell'azienda percui lavoro abbiamo due connessioni adsl già configurate con
i loro 
bravi router ed ogni connessione dispone di 16 indirizzi IP fissi perciò
da adesso 
chiamerò le connessioni CN1 e CN2, vengo al dunque, la CN1 entra verso il
mio 
firewall provvisto di ben quattro schede di rete che sono eth0 per CN1 eth1
per 
CN2, eth2 per la rete interna classica per ufficio ed infine eth3 per la
DMZ la zone 
dei server, fino ad adesso credo tutto ok, il problema viene quando devo
configurare il firewall con questa configurazione: 
eth0 con gateway IP del primo router 
eth1 con gateway IP del secondo router 
io riesco solo a far funzionare un solo gateway IP perchè? 
io volevo che gli ip di CN1 (eth0) con debita NAT entrassero su hhtp dei
server 
web in DMZ (eth3) e che la rete interna (eth2) i buoni navigassero in internet
tramite il gateway di CN2 (eth1) perchè non funziona se configuro un solo
gateway tutto ok ma esco ed entro con un solo router. 
Scusate se mi sono dilungato ma era nescessareo per spigare meglio. 
Help vi prego......  (il software per il tutto che uso molte volte è turtlefirewall
con 
linux)
-----
Msg posted via: 
http://www.TechEye.it

fabio wrote:
[cut all]
Il default gateway può essere uno solo, è normale che non funziona.
L'alternativa è creare un cluster a 2 nodi ( in questo caso si parla di
Network Load Balancing ) ed usare la network affinity di windows 2003 per
bilanciare il carico in uscita o in ingresso sulle 2 adsl. Quindi per fare
ciò dovrai avere 2 server windows 2003 con installato isa server 2000 o 2004
su ambedue le macchine, c'è in Microsoft chi sostiene che Isa non serve,
Windows 2003 ci dovrebbe riuscire da solo a fare questo giochetto, ma
personalemente ho provato solamente tramite 2 isa server.....
Saluti
-- 
Massimiliano Luciani
Microsoft MVP ( Windows Server - Networking )
http://italy.mvps.org
This posting is provided "AS IS" with no warranties and confers no rights

Sai se è possibile farlo con linux rh9 o fedora tale soluzione?
Dove posso trovare la documentazione che faccia al caso mio?



 
quoting a parte...
puoi dare un'occhio all'advanced routing howto.
in particolare, a iproute2.
tempo fa, avevo trovato questo link:
http://www.ssi.bg/~ja/nano.txt
che spiegava esattamente come fare.
la tua situazione č un pň piů complessa, ma puoi usare quanto sopra come 
punto di partenza.
imho, una soluzione potrebbe essere separare firewall per navigazione da 
firewall per dmz.
-- 
+-------
| Paolo opg
|
| janickg ( at ) hotmail ( dot ) com
| (fake address in reply-to field!)
+-------

Si avevo pensato anche a questa soluzione però gli indirizzi IP che sono della
seconda connessione un giorno potrebbero servirmi per altri web service della
dmz 
e perciò che volevo unire le due cose.

Aggingo un ulteriore cosa il firewall è già perfettamente configurato con
quattro 
schede di rete ed il pacchetto routing già configurato nel Kernel con anche
iptables 
ecc ecc funzionanti e già ultra collaudati, il problema è giunto con la configurazione
di un nuovo firewall per l'aggiunta della seconda connessione praticamente
uguale 
alla prima macchina ma con aggiunta della scheda di rete in più (problema
che non 
mi ero mai posto) quando sono andato a provare il nuovo firewall poof nulla
non 
funziona solo con una connessione boo
Solutions Center Hosting & Housing
http://www.nsgroup.it
ISP di Grosseto

 Sai se č possibile farlo con linux rh9 o fedora tale soluzione?
Il Nlb con la Network affinity che io sappia č supportato esclusivamente da
PIX e CheckPoint oltre a quanto detto prima.
Dubito che linux abbia tale caratteristica. Puoi magari provare a seguire la
strada che ti ha detto Paolo, mi spiace non poterti aiutare, ma i sistemi
*nix non sono il mio campo.



Ciao
Teo
-- 
Linux, because we don't need no steenkin' Blue Screen of Death!

 e perciň che volevo unire le due cose.
??
e quindi?
anche se il firewall dmz non fa da firewall per la lan, puň comunque 
avere piů schede di rete/indirizzi ip...
e con iproute2, puoi gestire anche il fatto che siano su subnet diverse.
o forse non ho capito il senso dell'osservazione?


+-------
-----
Msg posted via: 
http://www.TechEye.it
Solutions Center Hosting & Housing


 
quoting a parte...
mi sono perso io, dato che non ho capito cosa hai capito!!
:-)
quello che intendo io, è semplicemente avere due firewall separati.
uno per la lan, con 3 schede di rete:
-lan
-prima connessione a internet (WAN1)
-seconda connessione a internet (WAN2)
firewall per la dmz con 3 schede:
-dmz
-prima connessione a internet (WAN1)
-seconda connessione a internet (WAN2)
ovviamente, dovrai impostare regole diverse per i due firewall...
potresti aggiungere una quarta scheda sui due fw per le comunicazioni 
dirette lan-dmz, ma imho conviene piuttosto pensare bene le regole e aprire 
solo l'indispensabile...
con questa soluzione, raddoppi la possibilità di guasti (hai due 
macchine...), devi aggiornare due macchine separate, ma dimezzi i danni in 
caso di fermo (o la dmz o la lan) o di attacco (se accedono al fw lan, non 
arrivano a quello dmz e viceversa).
l'altra soluzione, prevede una sola macchina con 4 schede:
-lan
-wan1
-wan2
-dmz
sta a te decidere quale per te è una soluzione accettabile.
in ogni caso, e non ho capito se t è chiaro, i pc della lan hanno un unico 
gw (interfaccia interna del fw).
idem per la dmz: il fw si occupa di gestire entrambe le subnet di ip.


+-------


 
rifacendoti notare il quoting alla pene di segugio...
la soluzione che t ho proposto, riesce a gestire il tutto:
-pacchetti in uscita sulla lan che vanno sulla linea che decidi tu
-pacchetti in ingresso da entrambe le linee che vengono inoltrati ai 
server dmz corrispondenti, che li rispediranno in uscita sulla linea 
corretta
se vuoi tenere linux, devi studiarti iproute2.
