Newsgroup: it.comp.reti.locali
Titolo: Firewall: dubbio su configurazione particolare della DMZ

Buongiorno a tutti.
Ho un dubbio che non riesco a chiarirmi da solo.
La configurazione standard per la pubblicazione di un servizio su internet è
quella di inserire un firewall, definire una interfaccia rossa (collegata ad
internet), una verde (rete lan) e una gialla (la dmz, del server che offre
il servizio). Dopodichè si inseriscono le regole minime per pubblicare il
servizio dalla dmz verso l'interfaccia rossa, impedendo tutto il resto.
E fino a qui nessun problema, l'ho già implementato e funziona senza
problemi.
Sempre la configurazione standard, prevede la separazione fisica delle tre
reti.
Il mio dubbio riguarda questa possibilità:
L'interfaccia rossa rimane sempre quella verso internet (per chiarezza
definisco il range 192.168.0.x SM 255.255.255.0). Quella verde sempre verso
la lan (192.168.1.x SM 255.255.255.0). Quella gialla o dmz la definisco come
192.168.2.x  SM 255.255.255.0.
Se il cavo che esce dalla porta gialla del firewall, la collego alla rete
interna (verde) e sulla rete interna il server che offre il servizio
internet è nella classe IP e SM giusta (es 192.168.2.100 SM 255.255.255.0),
penso dovrebbe funzionare.
Internamente (verde->gialla) non dovrebbero essere visibili a meno che non
si creino delle regole sul firewall per routare quel traffico. discorso
identico per internet e dalla gialla alle altre due interfacce.
Ma rimane comunque che fisicamente, la rete gialla e verde sono collegate.
Ci possono essere dei rischi a riguardo? Da internet, sfruttando qualche
buco di iis (tenuto sempre patchato), è possibile accedere alla rete verde?
E' più sicuro (rispetto a questa situazione) avere solo l'interfaccia rossa
e verde e avere il server internet nella stessa sottorete degl ialtri PC e
server?
E' chiaro e palese che il metodo più sicuro è quello classico, di 3 reti
separate fisicamente... ma ho questo mio dubbio non sono in grado di
risolverlo da solo...
Grazie per qualunque suggerimento :)
Matteo

 identico per internet e dalla gialla alle altre due interfacce.
Questa non l'ho capita, di norma l'interfaccia rossa ha un'IP pubblico
quindi non vedo perchè usare 192.168.x.y ... in ogni caso, l'idea è quella
esposta sopra, la DMZ va su una subnet differente dato che il firewall deve
essere in grado di "discriminare" tra le varie subnet, detto questo,
supponiamo
di avere una subnet del genere
Subnet ID     : 217.220.55.32
NetMask      : 255.255.255.240
Hosts range: 217.220.55.33 - 217.220.55.46
Broadcast    : 217.220.55.47
ora, con un range del genere non potremmo (in teoria) mettere in piedi una
DMZ se non usando degli indirizzi privati, in pratica invece si tratterà
soltanto
di far modificare al provider la routing table e la netmask, in pratica la
netmask
diventerà 255.255.255.248 il che ci darà due subnet distinte ossia
Subnet       :  217.220.55.32
NetMask   : 255.255.255.248
Hosts         :  217.220.55.33 - 217.220.55.38
Broadcast:  217.220.55.39
Subnet       :  217.220.55.40
NetMask   : 255.255.255.248
Hosts          : 217.220.55.41 - 217.220.55.46
Broadcast : 217.220.55.47
ora, assumiamo di usare l'indirizzo 217.220.55.38 per il nostro
firewall, dovremo chiedere al provider di "routare" a questo
indirizzo tutte le richieste relative all'altra subnet, ossia alla
subnet 217.220.55.40 questo ci permetterà di configurare il
firewall e la DMZ come segue
Internet
|
217.220.55.38
Firewall -- 217.220.55.46  -- DMZ ---- subnet 217.220.55.40
192.168.x.y
|
LAN
il che significa che (ad esempio) un web server residente nella
DMZ potrà avere IP 217.220.55.41 e default gateway 217.220.55.46
ossia come gateway avrà l'indirizzo DMZ del firewall .. spero che
la cosa sia chiara ora :-)
Ciao
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 supponiamo
Scusa se intervengo ma sono giorni che sto cercando di capirne di FW. :-)
Quindi dato quello che dici, come si inserisce un FW hardware in una rete
che sta già utlizzando un  router per la navigazione?
(nella specie un Alcatel ST pro di Telecom) . Come fai a dargli un indirizzo
pubblico... metti uno degli IP statici che ti assegna il provider? Ma il
router lato LAN ha un indirizzo interno.
Aiuto.

 di avere una subnet del genere
Comprendo di essermi spiegato male in una configurazione un attimo
particolare.
Albacom ci ha venduto una connessione dedicata (CDN), un range di IP
statici, un tir e un router, sui quali non possimo intervenire direttamente
nelle configurazioni (il router ha solo una porta rj45). Visto che il router
è aperto al mondo (non blocca alcuna connessione verso l'interno), ho
installato smoothwall con 3 schede di rete. Il router è già configurato per
redirigere qualunque traffico che gli arriva da un nostro IP pubblico verso
un IP interno (192.168.0.206 SN 255.255.255.0). A questo Ip interno risponde
l'interfaccia rossa del firewall, che blocca qualunque connessione in
entrata tranne quelle di una particolare porta di destinazione, che redirige
alla dmz con una porta standard. E funziona senza problemi. le tre reti,
verde gialla e rossa, sono materialmente collegate tra loro solo dal
firewall.
Premettendo che il discorso delle sottoreti diverse, separate dalle SM,
rimane identico, il mio dubbio era: si creano dei rischi a collegare
materialmente il cavo della dmz alla rete verde? Il solo fatto che il
traffico della lan e della dmz sono separati dalle sottoreti diverse, è
sicuro o può essere sfruttato in qualche modo per accedere dall'esterno
verso la rete lan?
Grazie per la risposta... me voglio cmq studiare per benino ^__^
Ciao
Matteo

 materialmente il cavo della dmz alla rete verde?
Si, a quel punto mandi a p***ane tutto il discorso, le tre reti *devono*
essere e restare separate sia fisicamente sia logicamente, *tutto* il
traffico da/per la DMZ deve passare attraverso il firewall, altrimenti
supponendo che qualcuno ti "buchi" (es.) il webserver basterebbe
installare uno sniffer per capire come č organizzata la LAN e poi
beh ... agire di conseguenza
Ciao

 ha scritto nel messaggio
news:bfjlu6$fh79h$1...@ID-180886.news.uni-berlin.de...

Grazie mille. Era un dubbio che mi girava per la testa e mi fa piacere che
ora stia buono nel dimenticatoio ^__^
Ciao
Matteo

 dimenticatoio ^__^
Giusto per chiarire, proviamo a raffigurare la configurazione
"classica" di una DMZ, ossia, invece di usare un singolo f/w
a tre schede ne useremo due con due schede, lo schema
a questo punto diventerebbe
Internet
|
firewall#1
|
DMZ...
|
firewall#2
|
LAN
come vedi in questo modo è molto più semplice capire cosa
è la DMZ e come funziona, ovvio che ci sarebbe molto altro da
dire sull'argomento, ma spero che ormai ti sia chiarito le idee :-)


 router lato LAN ha un indirizzo interno.
Beh, nel tuo esempio il router sta lavorando come NAT, in questo caso
non hai la possibilità di usare IP pubblici a meno di non poter modificare
la config del router, nel caso di NAT sei forzato ad usare sull'interfaccia
pubblica la stessa subnet usata dal NAT per la sua interfaccia privata
in questo caso anche la DMZ avrà (di solito) indirizzi privati, dovrai usare
port-forwarding e sarai costretto a "mappare" le porte sia sul firewall sia
sul NAT ... non esattamente il massimo dalla vita :-)

 ha scritto nel messaggio
news:bfjovl$epar8$1...@ID-180886.news.uni-berlin.de...

Scusa ObiWan ma non sono riuscito tanto a capirti. ;-((
In pratica dovrei chiedere a Telecom di riconfigurare il router togliendo il
NAT  ed eventualmente chiedere di cambiare l'indirizzo interno del router in
modo che sia diverso dall'indirizzo di rete della LAN (questo perche le due
porte del FW devono stare su due reti diverse giusto).
Poi devo dire anche a Telecom di aprire tutto il traffico in ingresso da
Internet? e di ridirigerlo verso il FW.
Infine configuro il FW per il NAT  e abilito i vari filtri per le sicurezze.
E' giusto?
ultima cosa. l'unico foglio in mio possesso sulla connesione internet è il
foglio di collaudo di Telecom
mi dice che ho BASE IP ADRESS (IP da 4) quindi dovrei avere 2 indirizzi
utlizzabili?
poi riporta CIP LOCAL IP 62.211.x.x che dovrebbe essere il mio IP pubblico e
CIP REMOTE IP 62.211.x.254
quest'untimo cos'è ? il defaultgateway del router?
Scusa per le banalita ma non ne vengo fuori .
Vedo che sei prolifico di link, ci saranno siti sche spiegano sta roba no..
Ciao

 IP ADRESS (IP da 4) quindi dovrei avere 2 indirizzi utlizzabili?
Hm, se ho capito bene in questo caso dovresti avere una netmask
sull'IP pubblico pari a 255.255.255.252, in questo caso avresti una
subnet composta da 4 IP di cui 2 utilizzabili dato che il primo sarà
l'IP relativo alla subnet e l'ultimo il broadcast, in questo caso non
so se ti conviene togliere il NAT e splittare la subnet...
Supponiamo tanto per fare un'esempio che tu abbia una config
(netblock assegnato) del genere
Subnet ID        62.211.192.176
Mask                255.255.255.252
Hosts                62.211.192.177 - 62.211.192.178
Broadcast       62.211.192.179
a questo punto c'è poco da "splittare" per cui ... resti con il NAT
e ti tieni quello che hai ... lavorando con IP privati anche perchè
con due soli IP disponibili non vedo che tipo di DMZ potresti
mettere in piedi, visto che uno degli IP verrà assegnato al tuo
router, l'altro al firewall (se rimuovi il NAT) ... e ... fine degli IP :-)
Ciao


Scusa se mi intrometto ma TI a volte comunica solo la net della parte
geografica, se lui ha IP statico sulla parte WAN (4 ip mi sembra corretto) è
molto ma molto possibile anzi probabile.. ma forse e' quasi certo che abbia
diritto ad una net da 8 IP pubblici da implementare sula LAN solo che non
glielo hanno detto.
Se invece i 4 IP sono gia' i suoi pubblici in LAN allora basta a collegare
la wan del firewall.
ciao ne -
-3

 glielo hanno detto.
Beh, io mi sono attenuto a quello che mi ha detto, 4 IP *totali* significa
avere
una netmask come quella sopra ed a quel punto con 2 IP *utilizzabili* non
vedo come creare una DMZ che abbia indirizzi pubblici :-) Ovvio che se
invece di avere una mask "...252" avesse una "...248" la situazione sarebbe
un'attimo migliore, in quel caso avremmo 8 IP pubblici di cui 6 utilizzabili
e
si potrebbe "splittare" la rete in due (anche se gli indirizzi disponibili
poi
sarebbero pochini.... solo 1 host in DMZ)
Ciao

 ha scritto nel messaggio
news:bfm5ol$g9oao$1...@ID-180886.news.uni-berlin.de...

Certo, la tua risposta era ineccepibile solo che aendo lavorato per circa 1
anno con TI (vendevo le linee ADSL) ne ho viste di cotte e di crude e
solitamente TI non fornisce tutte le informazioni, non per cattiveria ma per
eccessiva segmentazione delle responsabilita e, di conseguenza, delle
conoscenze.
Riguardo alla DMZ non pensi che si potrebbero usare tutti e 6 gli IP
pubblici nella DMZ e far fare NAT al Firewall anziche subnettare ?
ciao


MA se il NAT lo faccio fare al FW non sono  a posto??
Penso anch'io che Telecom mi abbia dato 4 IP pubblici come dice pittore
darne due sarebbe inutile, o uno o quattro.
Vengo adesso dalla lettura del manule dello STPro. Vedo che puo' agire come
modem o come router
Penso che dovr' chiedere a Telecom di farlo ritornare un modem e dare un
secondo IP pubblico al FW.
 La DMZ la posso mettere su un'altra sottorete interna.

"mailgate" <water...@AAAlibero.it.> ha scritto nel messaggio
news:bfm6m5$rl1$1...@newsreader.mailgate.org...

 scusa, forse mi sono spiegato male, ObiWan ha ragione, tu hai 3
possibilita'
1) gli IP dati da TI sono quelli sul lato wan del tuo router. Non hai altra
alternativa che attivare il nat e usare sulla lan IP privati
2) gli IP dati sono una net da 4 sulla lan. (Probabilmente hai anche un IP
statico sulla wan ma non lo conosci), utilizzi 1 IP per la eth del router, 1
IP per la WAN del FW che fa' NAT, IP privato sulla LAN (trusted) e non hai
nessun IP da usare nella DMZ quindi non applicabile
3) gli IP dati sono quelli sul lato WAN, configuri come al punto 1 e puoi
chiedere l'assegnazione di 8 IP (6 utili) pubblici da usare sulla LAN, in
questo caso si puo' organizzare in vari modi la DMZ.
Come ultima nota tieni presente che Modem (significa MOdulatore
DEModulatore) ha come utilizzo tipico il collegamento su una WAN da un lato
e su seriale asincronas sull'altro lato (la seriale del tuo PC) mentre il
Router collega WAN e  rete.
ciao

 č la DMZ e come funziona, ovvio che ci sarebbe molto altro da
