Newsgroup: it.comp.reti.locali
Titolo: DMZ

ciao a tutti,
sapete dove posso trovare una guida per la creazione di una DMZ?
Grazie mille!!!
Paolo 

 per la creazione di una DMZ?
Non credo esista una guida generica; dipende
da come vuoi strutturare la cosa; ossia (es) se
vuoi creare una vera DMZ oppure una screened
network; quanti IP hai a disposizione, se vuoi (o
puoi) usare NAT ecc.. tieni presente che in linea
di massima una DMZ è strutturata in questo modo
Internet
|
firewall(1)
|
DMZ
|
firewall(2)
|
LAN
di solito firewall(2) fa anche da NAT mentre (spesso)
firewall(1) fa solo routing, ossia, i sistemi posti nella DMZ
hanno degli indirizzi pubblici; come si vede sopra inoltre,
gli hosts della LAN usano come gateway firewall(1) il quale
a sua volta ha firewall(2) impostato come default gateway
gli hosts in DMZ vengono raggiunti dalla LAN attraverso
NAT (firewall(1)) e da internet, direttamente attraverso il
firewall pubblico (firewall(2)); in linea di massima sarebbe
anche consigliabile installare nella DMZ un N-IDS in modo
da tenere sotto controllo tutto il traffico
ciao

 network; quanti IP hai a disposizione
Ciao,
voglio creare una DMZ per un server web, ho a disposizione alcuni IP statici 
(6) e uno Zywall5. L'idea era quella di mettere il server web in DMZ, con 
una struttura del tipo:
internet
|
Router
|
Zywall5
|           |
DMZ   LAN
|
server web
Facendo in modo che chi si colleghi al server web non possa arrivare alla 
LAN.
Che ne pensi?
Grazie mille!!!
Paolo 

 
Moltissimi router/switch prevedono la creazione di una DMZ in cui puoi 
specificare gli indirizzi IP pubblici. Non dovrebbe essere un grosso 
problema con lo Zyxel che è un buon prodotto.
-- 
L'ovvio è quel che non si vede mai, finché qualcuno non lo esprime con 
la massima semplicità. (Kahlil Gibran)

 problema con lo Zyxel che č un buon prodotto.
Infatti, lo Zyxel ha un'apposita sezione DMZ, ma come configurazione č 
meglio che la porta DMZ sul firewall abbia un indirizzo pubblico e lo stesso 
il server web, oppure solo la porta DMZ con un indirizzo pubblico e il 
server web un ip privato (nat) ovviamente su una subnet diversa da quella 
della LAN?
Grazie mille!! 

 quella della LAN?
Beh.. dipende da cosa vuoi ottenere e dal firewall; alcuni firewalls non
supportano routing verso la DMZ ma solo NAT ed in questo caso non
avrai scelta; tieni presente che la "DMZ" come da te descritta, ossia
Internet
|
router
|
zyxel --- DMZ
|
LAN
andrebbe chiamata "screened subnet" piů che DMZ cmq il concetto č
lo stesso; spero solo che il router a monte dello zyxel sia un *router* e
non funga da NAT altrimenti potresti avere qualche problemino

 non funga da NAT altrimenti potresti avere qualche problemino
Puoi spiegarti meglio per favore?
:-)))
Spiego meglio la configurazione che mi serve...
internet
|
Router
|
firewall--LAN
|
DMZ
Volevo sapere qual č la configurazione migliore su dove assegnare gli IP 
pubblici, tenendo presente che poi il server web nella DMZ deve poter essere 
raggiunto dalla LAN per poter utilizzare il DB connesso al sito.
Io pensavo di dare gli IP pubblici alla porta DMZ del firewall e un'ip sulla 
stessa subnet al server web, perň non so se č la configurazione migliore, la 
piů sicura.
grazie mille!!!
Paolo 

 essere raggiunto dalla LAN per poter utilizzare il DB connesso al sito.
beh, con una configurazione simile e NON volendo utilizzare NAT nella
DMZ sarà necessario che l'interfaccia DMZ del router abbia un indirizzo
IP pubblico posto su una subnet diversa da quella dell'interfaccia WAN
del router stesso; per chiarire; si supponga di avere il seguente IP block
123.0.0.0/27
 (alias 255.255.255.224) in soldoni il blocco sarà
Subnet    123.0.0.0
Mask       255.255.255.224
Hosts      123.0.0.1 - 123.0.0.30
b-cast      123.0.0.31
si supponga ora di aver attestato il router ad IP 123.0.0.1 ed il firewall
ad
IP 123.0.0.2; per poter utilizzare una DMZ senza NAT sarà necessario
effettuare uno split del netblock in modo che l'interfaccia WAN (123.0.0.2)
sia su una subnet diversa rispetto a quella DMZ permettendo così di
attivare il routing; per far ciò, modifichiamo la netmask da /27 a /28
ottenendo
così le due seguenti subnets
Subnet    123.0.0.0
Mask       255.255.255.240
Hosts      123.0.0.1 - 123.0.0.14
b-cast      123.0.0.15
Subnet    123.0.0.16
Mask       255.255.255.240
Hosts      123.0.0.17 - 123.0.0.30
b-cast      123.0.0.31
quindi, andranno modificate le netmask del router e del firewall
(lasciando invariati gli IP) da 255.255.255.224 a 255.255.255.240
inoltre si dovrà modificare la configurazione del router in modo
che questo utilizzi 123.0.0.2 (il firewall) come gateway per gli IP
della subnet 123.0.0.16
a questo punto, l'interfaccia DMZ del firewall dovrà essere
attestata su uno degli IP della seconda subnet come ad es.
123.0.0.17; dopodichè gli hosts posti in DMZ riceveranno gli
IP da 123.0.0.18 a 123.0.0.30 ed useranno 123.0.0.17 come
default gateway
a questo punto, basterà "giocare" con le regole di filtering del
firewall per pubblicare gli hosts DMZ desiderati; la LAN inoltre
raggiungerà senza problemi gli hosts in DMZ utilizzando come
gateway l'indirizzo IP dell'interfaccia LAN del firewall, questo
si preoccuperà di gestire il routing LAN <-> DMZ
Ciao