Newsgroup: it.comp.reti.locali
Titolo: Confusione su NAT

Ciao a tutti,
ho un dubbio sull'uso di del NAT.
Per essere precisi non ho capito il caso in cui il NAT non va configurato.
Faccio un esempio:
Internet --------- Router (con NAT) ---- switch ---- rete lan
Tutti vanno in internet tramite il nat che fa il router.
OK
Ma se il NAT non lo attivo?
Va in internet uno solo? Nessuno?
Altra cosa se ho un configurazione del tipo
Internet --------- Router ---- firewall -------- switch ---- rete lan
Chi deve avere il NAT solo il router? Solo il firewall ? entrambi ?
Ho fatto varie ricerche su internet in merito al NAT ma questi dubbi non
sono riuscito a toglierli.
Nei libri dedicano massimo una pagina al NAT.
Vi ringrazio anticipatamente per qualsiasi consiglio / aiuto possiate darmi
FACE ONE

 Chi deve avere il NAT solo il router? Solo il firewall ? entrambi ?
a scelta dipende dal disegno, ma io penderei per il firewall all'80% o
piu' senza sapere nulla dei bisogni


Se il NAT lo configuro anche sul router? quali sono i pro e i contro ?
Grazie
FACE ONE

 Se il NAT lo configuro anche sul router? quali sono i pro e i contro ?
anche? xche'?
solo direi!

 solo direi!
Ma allora sul firewall devo configurare il NAT o lo devo fare trasparente?
Grazie
FACE ONE

 Ma allora sul firewall devo configurare il NAT o lo devo fare
trasparente?
una LAN = un NAT
il firewall avra' due IP del,la stessa rete

, 
he...@paolofiore.it
 
says...

...
sconsiglio vivamente!!
se i due ip sono della stessa rete, voglio vedere come instrada i 
pacchetti il tuo firewall...
meglio due reti diverse, cosě non devi fare subnetting strani (e 
inutili)
io sarň un pň paranoico, ma se ho una rete come quella che avete 
prospettato, ho due nat: uno sul firewall e uno sul router.
in piů tra router e firewall sono attestati su un hub/switch ulteriore 
(dmz) dove piazzo un proxy per fare da cuscinetto tra in e out, che non 
si sa mai...
-- 
+-----
| Paolo opg
|
| janickg ( at ) hotmail ( dot ) com
+-----

 si sa mai...
nessuno ha mai parlato di dmz o proxy

 ognuno faccia il suo no?
quindi proponi di fare il firewall in bridging o in proxy-arp?
-- 
Emanuele Balla aka Skull
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)

> quindi proponi di fare il firewall in bridging o in proxy-arp?
Suppongo anche io sia cosi' anche perche' altrimenti non funzionerebbe una
cippa
se il firewall non sa come routare i pacchetti che gli arrivano...visto che
gli devono arrivare perche'
altrimenti non ci sarebbe filtering.Comunque il proxy arp e' consigliato
sopratutto per subnettare o quando si vuole metter su un trasparent firewall
o ancor aquando per esempio non si puo' cambiare la configurazione ip del
router ovvero per piazzare un firewall in mezzo senza modificare
null'altro.In questo caso non credo sia necessario.Per il bridge non avendo
un indirizzo ip puo' comunque fare filtering a layer 3-4 ?
Ciao

 layer 3-4 ? Ciao
Si, fino a quando si tratta di filtraggio. La cosa si complica se si
tratta di fare mangling dei pacchetti.
Per applicazioni del genere l'optimum č openbsd.
Su linux si fa, ma con molte limitazioni.
Byez.


 cippa se il firewall non sa come routare i pacchetti che gli
arrivano...
no, scusate non ho interpretato bene il msg iniziale ed ho risposto
velecemnete... sono ad un corso e pestello sulla tastiera... ;)

 
infatti, se leggi meglio il post, vedi che ho parlato di quello che farei 
io...
-- 
+-------
| Paolo opg
|
| janickg ( at ) hotmail ( dot ) com
+-------

 io metto due nat.
si ma le 2 nat a cosa ti servono ? quello mi sembra sia solo un qualcosa in
piu' che non serve.
Nat sul router e basta secondo me....perche' oltre all'overhead del doppio
natting di sicuro se alcuni protocolli
applicativi con 1 nat dan problemi....con 2 non ci esci piu'
Ciao

, 
francesco_...@hotmail.com
 says...

per ogni situazione, devi valutare cosa puoi permetterti e cosa no.
in alcuni casi, un doppio nat non crea problemi, in altri, blocca 
applicazioni magari fondamentali.
partendo dal presupposto che in fatto di sicurezza sono un pò paranoico, 
se posso, preferisco abilitare entrambi i nat.
si tratta però di una scelta personale, come ho già detto...
non dovete mica fare per forza come dico io!
:-)


 se posso, preferisco abilitare entrambi i nat.
se ne deduce l'affermazione:
"NAT = sicurezza"
che pero' non mi sembra tra le teorie i più accettate...

, 
he...@paolofiore.it
 
says...

...
quando configuro una rete, per comodità mia, divido tutto in 3 zone:
-LAN
-DMZ
-Internet
tra LAN e DMZ metto un router/firewall, che io trovo più semplice da 
gestire rispetto a un fw in bridge (opinione personale)
questo fw, fa anche natting, funzione che potrei evitare, dato il fatto 
che collega due reti private. io però, sempre per abitudine/preferenze 
personali, preferisco abilitarlo, in modo da aggiungere uno "strato" in 
più tra interno ed esterno.
resta cmq il fatto che il firewall c'è e blocca tutto tranne due o tre 
porte.
tra dmz e internet, c'è il router wan.
anche questo ha nat attivo, più qualche filtro, se il router permette 
solo questo, altrimenti attivo anche qui le funzioni di firewall 
disponibili, con le regole che mi servono.
questo per spiegare che per me nat e sicurezza non sono sinonimi (se 
posso, oltre ai due nat, metto anche due firewall...) ma aiutano.
sono due barriere aggiuntive a chi cerca di entrare.
se il nat interno non c'è, chi arriva in dmz conosce subito anche la lan, 
dato che i pacchetti escono dalla lan non mascherati. con il nat interno, 
almeno devono penare dieci minuti in più per capire gli indirizzi 
interni...
ritornando all'argomento trattato nei post iniziali:
secondo me un bridge/firewall, ha senso se ho carenza di indirizzi ip, 
quindi quando devo metterlo tra un router con ip pubblico e macchine esse 
pure con ip pubblici (per esempio un isp lo metterebbe tra i suoi server 
e il router del fornitore di connettività).
quando invece ho due reti private da collegare, secondo me è più semplice 
gestire un router/firewall: sono più diffusi e più semplici da 
configurare, in quel tipo di contesto.
quanto sopra imho, ovviamente


 :-)
Anche per me....tutto imho :)
Ciao

 
dipende da che impostazione dai alla rete...
se posso, non uso un firewall con 3 schede.
preferisco averne due separati.
la "lan" che ho tra i due firewall, la chiamo dmz.
se abbia un'altro nome, se la topologia non sia quella usuale o 
noncos'altro, in ogni caso, preferisco avere un firewall che si occupa 
solo e esclusivamente della protezione della lan e un'altro che mi 
protegge tutti quegli host che in qualche modo devono essere accessibili 
da internet.
un firewall con 3 schede può farlo, io preferisco separare le due 
funzioni.
come dici tu, dalla dmz io non devo poter accedere alla lan.
la dmz, non deve nemmeno sapere che esiste la lan (in teoria).
usando la struttura che ho io, questo si ottiene nattando anche sul 
firewall interno.
ecco spiegato il perchè io metta il doppio nat.


 :-)
ecco spiegato perche' io non lo metterei :P
Ciao

 No qui vai proprio contro al concetto di DMZ
Mica vero... ci sono dmz nattate e dmz non nattate.
Personalmente preserisco anche io quelle nattate, a meno che in dmz non
stiano girando applicazioni con protocolli particolari che mi impediscano
il nat.
Tanto per dirne una, il fatto di avere la dmz nattata fa sě che se ho un
mailserver in dmz negli header non risulta mai l'ip interno... e quello
viene pubblicato a chiunque riceva gli header, mica solo alla macchina in
dmz...
il che non mi pare poco...
Qui, ad esempio ho una dmz nattata...


 Qui, ad esempio ho una dmz nattata...
Bene io invece son con fastweb :P ihihhi
Ciao

 Bene io invece son con fastweb :P ihihhi Ciao
Brrrr....


 
ma se non la natti, come fai a impedire che i server in dmz vedano gli 
ip della lan?
se dalla lan mi collego a un server in dmz ho due possibilità:
-l'apparecchio tra lan e dmz natta gli ip privati della lan e quindi i 
server in dmz vedono sempre e solo un unico ip, quello dell'apparecchio 
in questione (che sia fw o router non ha importanza, per adesso)
-l'apparecchio tra lan e dmz NON natta e quindi i server in dmz 
conoscono gli ip privati di tutti i pc che dalla lan si collegano a loro 
e ovviamente devono sapere come raggiungerli per spedire i dati di 
ritorno
se non natti, come puoi impedire che in dmz siano noti gli ip della lan?
-- 
+-----


 ip della lan?
Per "vedere" io intendo che non si possa aver traffico ovvero che il
firewall faccia il proprio dovere.
Per esempio con un firewall statefull tipo iptables abilitando i pacchetti
in uscita dalla lan verso la dmz e abilitando in entrata da dmz a lan solo i
pacchetti related o established ovvero delle connessioni iniziate o relative
alle connessioni iniziate sempre da lan verso dmz.In questo modo non e'
possibile accedere da dmz a lan.Si certo se uno buca la dmz vede gli ip ma
non puo' accederci.Daltronde basare la sicurezza sul fatto che uno non
conosca gli ip non mi sembra il massimo.
Ciao