Newsgroup: it.comp.reti.locali
Titolo: Mettere un apparato in DMZ (lunghino)

Ho uno Zyxel Prestige 662H, una tipica rete aziendale (192.168.0.x), un 
contratto interbusiness con mi pare 8 IP pubblici, e un aggeggio che 
dovrei rendere pubblico (senza che avesse accesso alla rete interna).
Mi sono detto "perché non provare ad usare la DMZ?" la risposta avrebbe 
dovuto essere "perché non sei capace", ma ci ho provato lo stesso.
Quello che ho fatto: essendo il mio ip pubblico principale 88.x.x.250 
(tanto lo vedete), volevo dare alla mia macchina l'ip 88.x.x.252.
Sono entrato in configurazione della macchina, ho impostato quell'ip 
statico, e già qui sono iniziati i dubbi: subnet? 255.255.255.248 andrà 
bene? Che default gateway metto? Per adesso è il 88.x.x.250.
Poi, ovviamente, ho collegato il cavo di rete alla porta 1 del router e 
ho abilitato la DMZ nella configurazione.
Risultato, dalla rete interna riesco ad accedere all'88.x.x.252, 
dall'esterno invece no. Ho provato a smanettare un po' con il firewall 
del router ma con scarso successo... adesso la situazione è la seguente:
WAN to LAN: Drop
LAN to WAN: Permit
WAN to DMZ: Permit
DMZ to WAN: Permit
LAN to DMZ: Permit
DMZ to LAN: Drop
WAN to WAN / Router: Drop
LAN to LAN / Router: Permit
DMZ to DMZ / Router: Drop
inoltre è attiva l'opzione Bypass Triangle Route che, cito, "When Bypass 
Triangle Route is checked, all LAN to LAN, WAN to WAN and DMZ to DMZ 
packets will bypass the Firewall check."
-- 
Jax

 ho abilitato la DMZ nella configurazione.
<snippone>
il discorso è semplice; il tuo ISP non ha la più pallida idea del fatto
che per instradare i pacchetti per 88.x.y.252 debba rivolgersi all'IP
del tuo router (88.x.y.250) quindi i pacchetti diretti al "252" non
vengono
instradati a "250" ergo.. è impossibile raggiungere il tuo server posto
in DMZ da internet, mentre la cosa è possibile dalla LAN dato che i
computers della LAN usano il tuo Zyxel (che ha la corretta tabella di
instradamento) come gateway
tornando alla tua subnet; hai 8 IP allocati, di cui uno relativo alla
subnet
(il 248) ed uno relativo al broadcast (il 255) quindi ti rimangono 6 IP
liberi;
di questi uno viene allocato al router (249) ed un altro (almeno
giudicando
dal tuo post) viene allocato al firewall (lo Zyxel) posto a "250" a
questo punto
per creare una DMZ dovresti chiedere al tuo ISP alcune modifiche
la tua allocazione IP attuale è
Network         88.52.251.248
Mask            255.255.255.248
Hosts           88.52.251.249 - 88.52.251.254
Broadcast       88.52.251.255
ora.. dovresti richiedere al tuo ISP la modifica della netmask in modo
da
separare il netblock di cui sopra in due subnets.. come segue
Network         88.52.251.248
Mask            255.255.255.252
Hosts           88.52.251.249 - 88.52.251.250
Broadcast       88.52.251.251
Network         88.52.251.252
Mask            255.255.255.252
Hosts           88.52.251.253 - 88.52.251.254
Broadcast       88.52.251.255
a questo punto fermo restando l'indirizzamento attuale dovresti anche
chiedere al tuo ISP di inoltrare il traffico destinato alla seconda
subnet
di cui sopra all'IP pubblico del tuo router; fatto questo avrai la
situazione
seguente:
router ISP        88.52.251.249
Zyxel WAN     88.52.251.250
Zyxel DMZ      88.52.251.253
Host DMZ       88.52.251.254 (gw = Zyxel DMZ)
come vedi la cosa comporta un tot di lavoro, modifiche da parte del tuo
ISP e "perdita" di indirizzi IP; a questo punto forse potresti valutare
l'idea
di utilizzare un NAT per la DMZ aggiungendo poi degli "alias" (ulteriori
IP)
all'interfaccia WAN del router e creando le opportune regole di port
forward
ciao

 forward
Grazie mille dell'interessamento, in effetti ho risolto penso nel modo 
che suggerivi, ossia:
- ho impostato la DMZ sul router con l'indirizzo 192.168.100.1
- ho assegnato alla macchina un ip 192.168.100.2, con default gateway 
192.168.100.1
- ho impostato il NAT full feature, invece che SUA, dicendo al router 
che l'ip pubblico 252 andava a finire sull'ip privato 192.168.100.2, e 
il 250 sulla rete 192.168.0.0-255
-- 
Jax

 che suggerivi, ossia:
ottimo
a questo punto.. cosa stai pensando di pubblicare in DMZ ?
Lo chiedo perchè spesso si usa la DMZ per tutto meno che per il
reale scopo per la quale tale "rete separata" è nata, ossia permettere
la pubblicazione "sicura" di macchine che espongano dei "servizi" su
internet (es. mailserver, webserver, ftp server ...ecc...)

 il 250 sulla rete 192.168.0.0-255
Mmhhh... attenzione: mi sa che "NAT fulle feature" vuol dire "vomitare"
:-) (scusa l'espressione...) tutto quel che proviene da internet verso
l'host in DMZ. Cerca di redirigere solo i servizi che vuoi pubblicare,
il firewall serve a questo. :-)
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam al contrario, e cambia nazione
"E' assolutamente evidente che l'arte del cinema si ispira
alla vita, mentre la vita si ispira alla TV" - Woody Allen

 internet (es. mailserver, webserver, ftp server ...ecc...)
E' una macchina video-player (dedicata, non un pc) che si deve collegare 
via ftp per scaricare i filmati, e deve essere amministrabile dall'esterno.
Avrei potuto anche metterla sulla lan e fare un napt sulla porta 80 del 
router verso il videoplayer, ma era una soluzione veramente brutta.
Così invece è perfetto, almeno chi si collega alla macchina non può 
accedere alla mia lan, giusto?
-- 
Jax

 il firewall serve a questo. :-)
Hai ragione. Anche se l'host accetterebbe solo richieste HTTP sulla 
porta 80 già di suo, meglio aprire solo questa porta, grazie.
-- 
Jax