Newsgroup: it.comp.reti.locali
Titolo: addons per IPCOP

Salve a tutti, in questo periodo mi stò cimentando nella
configurazione della rete in azienda. Ho recentemente installato IPCOP
1.3 su una macchina con 3 schede di rete: wan lan e dmz. La
configurazione iniziale è andata liscia, però ora mi trovo davanti ad
alcune necessità:
1) Come abilitare o disabilitare l'accesso a Internet dai PC locali
mediante l'utilizzo del nome utente e password che ogni utente
inseriscie al login di windows;
2) Come creare dei gruppi che possano navigare solo su alcuni siti
prescelti da me;
3) Come bloccare l'accesso ad alcuni siti;
4) Come salvare dei log con la lista dei siti visitati e da chi.
Penso che per questi quattro punti siano necessari degli addons...
sapete dirmi quali se avete già incontrato queste problematiche?
Per ultimo ho una particolarissima impostazione da settare: in azienda
abbiamo un'adsl dove ho collegato il firewall, poi abbiamo un router
shdsl che ci collega direttamente con l'housing del nostro server di
produzione e al nostro server mail, al momento tutti i pc in rete
hanno impostato come gateway l'indirizzo ip della lan del router
shdsl. Ovviamente fino ad ora questi pc non escono in internet ma
hanno solo l'accesso al server web di produzione e al mail server.
Quello che mi piacerebbe realizzare è una sorta di regola sul firewall
(che diventerà il nuovo gateway) che permetta di instradare le
richieste del dominio del server di produzione o del server di posta
non sul router adsl ma sul router shdsl, viceversa alla richiesta di
un sito internet pubblico instradare verso il router adsl. Da
considerare che i dns del router shdsl e quelli del router adsl sono
ovviamente diversi. Un altra cosa molto importante è che i vari pc in
rete quando vengono instradati verso il server di produzione non
devono essere nattati perchè a seconda degli indirizzi ip che hanno
esistono nel firewall presente in housing delle regole ben precise di
abilitazione alle porte dei server.
Vi sembra possibile come cosa? Vi ringrazio in anticipo per un
qualsiasi commento, suggerimento o magari aiuto.
Emanuele.

 un sito internet pubblico instradare verso il router adsl.
Di sicuro si puo' fare, ma su questo non ti so aiutare, anche perche' 
intervenendo sulle tabelle di routing/iptables di IPCop, queste 
verrebbero sovrascritte da successive modifiche tramite la web interface.
In ufficio da me ho risolto in questo modo:
IPCop e' il default gateway per tutti; ho installato l'add-on 
BlockOutTraffic, che autorizza alcuni utenti, identificati in base 
all'IP o al MAC address, a raggiungere la WAN ed altri a fermarsi solo 
in DMZ, cosi' da accedere al mail server e ad altri servizi intranet.
Nella DMZ c'e' un proxy che vede come default gateway un router adsl, 
connesso mediante firewall hardware alla DMZ di IPCop.
In questo modo, chi non e' autorizzato ad uscire direttamente sulla 
linea principale puo' sfruttare il proxy e navigare sulla adsl.
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Security, Networking, Windows NT/2000/XP
http://mvp.support.microsoft.com
IDRCI Italia - 
http://www.idrci.it
 - 
http://forum.idrci.it
CHX-I, CHX-I NAT Stateful Packet Filter

 linea principale puo' sfruttare il proxy e navigare sulla adsl.
Lo trovo interessante pure questo, però ho delle esigenze un po'
diverse, nel senso che chi va in internet magari deve anche collegarsi
al server di produzione, c'è anche il problema che non  può avvenire
una nattatura visto che esistono delle regole precise in base agli
indirizzi ip dei vari utenti.
Comunque ti ringrazio molto!
Che soluzione mi consiglieresti per le esigenze che mi trovo ad
affrontare esiste qualche altra distro? Per caso conosci qualche
filtro antivirus sempre open-source da applicare a un firewall in
linux?
ciao Emanuele

 problemi li si blocca internet senza spiegazioni ;)
non hai capito: per legge tu non puoi controllare un dipendente a sua
insaputa. e se lo fai è un reato penale, non amministrativo (=galera).
cmq qui ti puoi chiarire le idee:
http://www.privacy.it/normativit.html
ah, anche lo Statuto dei Lavoratori (n. 300/70) legifera su questi
argomenti.
quindi, per esempio, se la tua azienda ha meno di 15 dipendenti devi
avere l'autorizzazione dei singoli, se ne ha di più devi avere
l'autorizzazione della RSU.
cmq guarda con attenzione le sezioni 3, 4 e 8:
http://www.lomb.cgil.it/leggi/legge300.htm
non si scherza su queste cose, a mio avviso.
ciao,
-- 
Franco (togli TOGLIMI se vuoi rispondermi)
"Certo bisogna farne di strada / da una ginnastica d'obbedienza /
fino ad un gesto molto più umano / che ti dia il senso della violenza /
però bisogna farne altrettanta / per diventare così coglioni / da non
riuscire più a capire / che non ci sono poteri buoni"       F. De André

 linux?
Premessa: IPCop non e' una distro: e' un prodotto completo. Ovvero, 
durante l'installazione non puoi intervenire, ma solo operare piccole 
modifiche in un secondo tempo. E un firewall e' sempre meglio che faccia 
il firewall e basta.
Come antivirus la scelta quasi obbligata e' amavis + qualche antivirus a 
scelta (io uso nod32 + clamav + f-prot). Come distribuzione dipende dal 
tuo livello di conoscenza; cosi' a spanne direi debian se conosci bene 
il sistema e vuoi qualcosa di solido per server, mandrake/suse per una 
via di mezzo tra semplicita' e stabilita', lasciando stare distribuzioni 
eccessivamente patchate (redhat, caldera).


Attenzione ho avuto una nuova dritta per come poter fare una sorta di
redirect tra le due reti...
Mi hanno spiegato che se io imposto come gateway di default il mio
firewall su tutti i pc e implemento una regola che al momento di una
richiesta del mail server o del server di produzione questo risponderà
con un ncp...  ...tutto filerebbe liscio senza fasciarsi la testa!
Dopo una ricerca ho capito che questo ncp è un protocollo di
comunicazione che comunica al pc, che richiede un instradamento verso
qualche particolare sito, un diverso gateway da utilizzare.
In pratica dovrei collegare il router shdsl e la lan di ipcop sulla
stessa rete locale e impostare come gateway di default la lan del
firewall su i pc. Ovviamente resta da gestire  questa fatidica
risposta del gateway diverso da parte del firewall.
Qualcuno ne ha mai sentito parlare di una soluzione simile con NCP
sopra IPCOP?
Vi ringrazio in anticipo Emanuele

 sopra IPCOP?
Personalmente ammetto la mia totale ignoranza su questa cosa.
Perche' non hai preso in considerazione la discussione fatta fin qui, 
prima di buttarti in una cosa del genere?
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Security, Networking, Windows NT/2000/XP
http://support.microsoft.com/newsgroups/default.aspx


 prima di buttarti in una cosa del genere?
Devo essere sincero, ieri quando ho visto che ipcop non può rilevare
il nome utente e password dai vari pc MS e in base a questi non può
gestire dei gruppi avevo deciso di cambiare firewall... ho provato la
mandrake mnf ma poi mi sono resoconto che necessita dell'acquisto di
una licienza.. quindi dopo una considerazione con il titolare abbiamo
deciso che può andar bene una creazione di gruppi basata sui
mac-address.
Grazie ancora Emanuele