Newsgroup: it.comp.reti.locali
Titolo: [Lungo] dubbio su configurazione lan/dmz complessa

Buongiorno a tutti
Nell'azienda dove lavoro abbiamo due connessioni ad internet, una CDN e una
HDSL. Ogni linea ha un suo firewall (ipcop e smoothwall, entrambe con kernel
2.4). Sulla HDSL ci gira solo il sito web (in una DMZ), sulla CDN tutto il
traffico Email, navigazione web e quant'altro di tutta l'azienda.
La configurazione dei firewall è la seguente:
la red di ogni firewall è il rispettivo router di connessione alla CDN o
HDSL
La green di ogni firewall è collegato alla rete LAN, ciascuna con un IP
diverso nella classe 192.168.1.(240-241)/
255.255.255.0
La dmz di ogni firewall è collegata al server web, ciascuna con un IP
diverso nella classe 192.168.2.(240-241)/
255.255.255.0
Il sito web (192.168.2.100) ha come gateway 192.168.2.241 (lato DMZ firewall
HDSL)
Quasi tutti i server e PC dell'azienda hanno come gateway 192.168.1.240
(lato green firewall CDN)
Nel file host del firewall CDN ho aggiunto:
192.168.2.100 webserver
e consente, digitando webserver in IE su un pc della lan, di accedere
direttamente al sito senza passare da internet.
Questo permette di avere un sito su una linea molto veloce, tutta l'azienda
in una linea a bassa velocità ma che non crea costi di traffico (per via del
contratto con albacom), e posso anche temporaneamente spostare un PC sulla
connessione veloce semplicemente cambiando il gateway (da 192.168.1.240 -
cdn - a 192.168.1.241 - hdsl).
Ciò funziona decisamente bene, ma ha un piccolo difetto:
Non capisco come facciamo a vedere dalla lan il sito web digitando
"webserver"... il server web ha un gateway che è diverso da quello del pc
richiedente... infatti se provo a pingare webserver, mi da "richiesta
scaduta"... e allora come fa a funzionare il traffico web verso
"webserver"??
Se provo ad accedere in FTP al server web, mi solleva un errore. se cambio
il gateway con quello dell'HDSL, funziona (giustamente).
Qualcuno mi sa spiegare il motivo di questa cosa???
Grazie mille
Matteo

 traffico Email, navigazione web e quant'altro di tutta l'azienda.
<snippone>
Ciao Matteo, prima di provare a rispondere vorrei capire meglio
CDN
|
firewall -------- LAN
|
webserver (dmz)
|
firewall -------- LAN
|
HDSL
e se non ho capito male il default gateway della LAN (che è la stessa
anche se sopra ho messo due connex) è il firewall su CDN ... corretto ?

 HDSL
Esatto!!
Il firewall della CDN (ipcop 1.3.0 patchato) ha come configurazione
DMZ: 192.168.2.240
Green: 192.168.1.240
quello HDSL (smoothwall 2.0 pendolino patchato):
DMZ: 192.168.2.241
Green: 192.168.1.241
Il server web (webserver) ha come IP 
192.168.2.100/255.255.255.0
 e GW
192.168.2.241 (HDSL)
se da un pc della LAN (con gateway CDN) scrivo in IE "webserver" vedo in
diretta il sito.
se dallo stesso PC con la medesima configurazione scrivo ping "webserver" mi
da "richiesta scaduta"
Idem se provo a collegarmi via FTP a webserver.
Perchè mi risponda il ping o l'FTP devo cambiare il gateway e metterci
quello dell'HDSL.
Allora perchè mi funziona IE "webserver" con gateway cdn?
Ricordo la modifica del file host sul firewall CDN e file host locale
grazie mille per l'interessamento
Matteo

 <snippone>
aggiungo che entrambi i firewall hanno gli ids e proxy web attivati.
entrambi con delle regole di routing per girare il traffico della porta
tcp/80 lato internet verso 
192.168.2.100:80
Ciao
Matteo

 aggiunto: 192.168.2.100 webserver
il che spiega perchč i clients della LAN vedano il
server web, il firewall su "100" ritorna un'IP della DMZ
(che č "conosciuta" dal firewall stesso) e quindi non
vi sono problemi a raggiungerla, il firewall su "240" ha
anche un web proxy che diligentemente stabilisce le
sue brave connex verso il sito web e ritorna le pagine
richieste, ovvio che nč ping nč ftp fanno uso di tale tipo
di "facilitazione" :) .... non dico altro e ti lascio risolvere
il mistero da solo .... :-)
Uh .. e naturalmente .. buone feste !!!

 il mistero da solo .... :-)
Opporca... č vero... c'č un http proxy!!!! č lui che fa realmente da ponte
tra la lan e il server web! infatti disabilitandolo, il gioco non funziona
piů...
A pensare che l'avevo sotto al naso, anzi, l'ho pure specificato nella
richiesta... grr!
beh, ok, spiegato il terzo segreto di pulcinella... ora la mia domanda si
modifica: come fare funzionare anche i servizi come quelli SMTP-POP3-FTP da
un PC con gateway CDN, collegandosi al server con gateway HDSL?
Ciao, grazie e buone feste pure a te!
Matteo

 un PC con gateway CDN, collegandosi al server con gateway HDSL?
hm ... vediamo se funge ...
sul webserver:
route add 192.168.1.0 mask 255.255.255.0 192.168.2.240
inoltre assicurati di impostare "webserver" anche nel file
hosts del firewall CDN in modo da evitare problemi
fammi sapere e ... buone feste !!

 hosts del firewall CDN in modo da evitare problemi
ho dato una occhiata a cosa intendevi fare e ho provato... mi ha inchiodato
tutto lo stack di rete del server web... non rispondeva più a nulla, http,
ping, bestemmie in aramaico antico (a pensare che a volte contano...)
Ora mi infilo a casa, che credo di aver la febbre (e porca di quella...
proprio sotto le feste...)... valà valà... mi doppo come un ciclista così
passo il natale con gli amici e non a letto ;))
Buone feste a tutti!!!
Ciao
Matteo

 passo il natale con gli amici e non a letto ;))
Beh ... passare il natale a letto potrebbe anche non
essere male, tutto dipende da ... a letto con chi :-) !!?!!
Ciao