Newsgroup: it.comp.reti.locali
Titolo: Domanda da newbie sui firewall

Perdonate la mia ignoranza, ma avrei bisogno di alcune dritte su una
questione:
Immaginiamo di avere una rete lan in cui tutti gli host hanno un ip pubblico
di una classe C.
Si vuole inserire un firewall per proteggere tale lan, ma consentendo a tali
host di continuare ad essere raggiungibili dall'esterno per alcuni servizi
prestabiliti (ssh, web, etc.) in modo da gestire in modo centralizzato la
sicurezza.
Navigando su internet ho trovato solo due possibilità: il NAT/PAT e il
trasparent proxy, ma nessuno dei due non mi sembra appropriato.
Se uso il nat/pat sarei obbligato (da quello che ho capito) a posizionare
tutti gli host che effettuano servizi esternamente al firewall. Questo non è
facile a causa di problemi di interconnessione.
Esistono soluzioni che consentono di mappare un indirizzo ip pubblico con un
privato e aprire un socket dal firewall all'host che si trova dietro esso?
Esistono altre soluzioni più comunemente usate?
Ho provato ad utilizzare endian firewall, ma non ho trovato mensionata tale
possibilità. Ho perfino tentato di assegnare due ip della stessa classe
sulle due interfacce eth, ma con fallimentari (qualcuno starà ridendo)
risultati.
Forse dovrei lavorare con le subnet, ma penso che ci sia una soluzione
tecnica più semplice di cui vorrei conoscere il nome. E magari se esiste
qualche implementazione open Source di tale tecnologia.
Grazie in anticipo.
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 sicurezza.
Tutto normale. Con il NAT puoi fare tutto cio', inserendo opportune 
regole di filtering per lasciar passare solo cio' che occorre.
Se hai un solo IP pubblico, puoi nattare le porte che ti interessa 
pubblicare, su host locali anche differenti; se invece hai piu' IP 
pubblici, oltre a cio' puoi anche nattare un intero IP pubblico su un 
host (NAT 1:1), aprendo ovviamente all'esterno solo le porte che ti 
interessano.
Se non l'hai gia', installa Virtual PC e m0n0wall (
http://m0n0.ch
) e 
fai un po' di prove.
Ciao
Luca

 fai un po' di prove.
Normalmente uso xen e/o qemu. Ma ho anche un bel dual-P3 pronto per essere
utilizzato all'uopo.
Davvero tante grazie!


 Pubblico!
Quindi non hai bisogno di NAT. Basta metterne un firewall (iptables,
p.e.), e bloccare in entrata tutto tranne le combinazioni IP/servizio
che vuoi permettere.
Benjamin

 254 pc che sono raggiungibili da tutto il mondo! (sai che casino...)
Io lo faccio con una macchina FreeBSD in bridging.
  bye
	av.

 254 pc che sono raggiungibili da tutto il mondo! (sai che casino...)
Beh, io natterei il tutto su una LAN privata, settando un NAT 1:1 per 
ogni IP. Fai un paio di test con m0n0wall (FreeBSD).
Ciao
Luca

 ogni IP. Fai un paio di test con m0n0wall (FreeBSD).
Uhm .. dipende Luca.. non ci sono elementi che permettano di capire
se la cosa sia fattibile; anche se la soluzione basata su NAT di sicuro
è la migliore (per parecchi motivi) credo che la soluzione più indolore
possa essere quella di usare un firewall in modalità "bridging"

 facile a causa di problemi di interconnessione.
Se ho ben capito hai bisogno di un firewall trasparente, che ha due
interfacce di rete praticamente senza ip, in cui i pacchetti transitano
e vengono opportunamente filtrati.

 anche se la soluzione basata su NAT di sicuro è la migliore
 > (per parecchi motivi)
Interessante. Me ne citi qualcuno? (Io uso bridging, ma sono curioso).
  bye & Thanks
	av.

 Esistono altre soluzioni più comunemente usate?
Un firewall e NAT/PAT, appunto, impostando una subnet privata sulla lan,
isolando la rete privata da quella pubblica, e operando poi i NAPT
opportuni a seconda delle esigenza. Oppure un bridging firewall,
assegnando agli host della lan gli ip pubblici a disposizione, e
configurando cio' che puo' passare da/verso la lan. Con due
controindicazioni: di solito si usa per la dmz, e inoltre se hai pochi
ip... Un esempio: una subnet di 8 ip (255.255.255.248, o /29) consente
di utilizzare solo 5 ip per gli host piu' 1 per il router.
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam letto al contrario, e cambia nazione.
"E' assolutamente evidente che l'arte del cinema si ispira
alla vita, mentre la vita si ispira alla TV" - Woody Allen

 (Io uso bridging, ma sono curioso).
Beh.. RIMANENDO in questo caso particolare.. si parla di una
LAN attestata su IP pubblici; ora.. una cosa del genere oltre ad
essere uno "spreco" non è esattamente il massimo della sicurezza
dato che basta commettere un minimo errore di configurazione delle
regole del firewall per "aprire" la rete interna che essendo attestata
su IP pubblici sarà direttamente raggiungibile; modificando invece
l'indirizzamento LAN in modo da utilizzare IP privati ed utilizzando un
NAT (+Firewall) si limiteranno i rischi dato che anche nel caso di una
errata configurazione delle regole del firewall i computers "interni" non
saranno direttamente raggiungibili.. se non creando delle regole di
port forwarding; ovviamente quanto sopra vale per QUESTA situazione
e NON come regola generale; ad esempio se parlassimo di una server
farm con macchine attestate su IP pubblici probabilmente l'adozione del
NAT non avrebbe molto senso.. ma anche qui la cosa andrebbe valutata
avendo tutti i "parametri" del caso
ciao