Newsgroup: it.comp.reti.locali
Titolo: consigli su rete locale

ciao
vorrei impostare una rete locale in questo modo, e mi chiedo se è
fattibile ed eventuali altri consigli
router 
  |
hub
  |--------pc non protetti
  |
firewall linux
  |
hub
  |-----------pc client protetti dal firewall
alcune domande sono:
come dovrei impostare le 2 schede di rete sul firewall che connette i
2 hub?
i pc protetti e non protetti dal firewall possono vedersi come un
unico gruppo di lavoro?
grazie

 unico gruppo di lavoro?
No, è una stronzata colossale! Allora a che serve distinguere tra pc
"protetti" e non, se poi tutti vedono tutti???
La DMZ si fa solo per mettervi dei servizi che devono poter essere
raggiunti sia dalla LAN che dalla WAN (es. un webserver), senza per
questo dover creare dei "buchi" nella LAN andando p.e. a pubblicare
porte di qualche server interno.
-- 
Massimo Bacilieri AKA Crononauta 
mailto:
ulib...@libero.it
 ; ICQ:4005815

 HUB-----DMZ su 
10.0.0.0/8
Ma se al router viene collegato solo il firewall... non e' lo stesso usare
un modem?
Cosa indica il numero dopo la / ?
Fabrizio

 Cosa indica il numero dopo la / ?
È un discorso un po' lungo, provo a riassumerlo.
È la "maschera" della subnet. Le sottoreti (o subnet, in inglese) sono
identificate da un indirizzo "generico" (quelli che finiscono con lo
zero, per intenderci!) e da una "maschera" (o mask) che "restringe" gli
indirizzi possibili per la subnet.
Praticamente, la subnet che raccoglie gli indirizzi da 192.168.1.1 a
192.168.1.254 viene identificata come 
192.168.1.0/24
 in notazione breve,
o 
192.168.1.0/255.255.255.0
 in notazione "lunga".
La mask ti identifica cosa "può cambiare" negli indirizzi della subnet
in modo che appartenga sempre alla subnet. La maschera la devi pensare
in binario, e dove c'è 1 DEVE restare uguale, dove c'è 0 può cambiare.
Allora se scriviamo:
192.168.1.0 / 11111111.11111111.11111111.00000000
(che è 255.255.255.0 in binario) abbiamo tutti 1 nella mask per i primi
3 gruppi, che quindi DEVONO restare sempre uguali; mentre tutti 0
nell'ultimo gruppo, che quindi può cambiare adlibitum.
Conta gli "1" nella mask (vedrai che sono 24!!!) e ottieni la "notazione
breve".
Ecco perciò che gli indirizzi che hanno 192.168.1 fisso, e l'ultimo
valore variabile a piacere da 1 a 254 (0 e 255 sono valori speciali, per
adesso limitati a sapere che non li puoi usare per identificare un host)
sono gli IP appartenenti alla subnet 
192.168.1.0/24
.
Ecco invece perché la rete 
10.0.0.0/8
 raccoglie gli indirizzi da
10.0.0.1 a 10.255.255.254, perché "8" vuol dire che ci sono 8 "uni"
nella maschera, che in binario quindi è
11111111.00000000.00000000.00000000
Perciò solo il primo gruppo (10) deve sempre restare fisso, gli altri 3
possono variare a piacere.
Così, se hai 
192.168.0.0/16
, vuol dire che restano fissi solo i primi
due gruppi, e gli altri due possono cambiare. In questo caso
192.168.0.13 e 192.168.25.16 stanno sulla stessa sottorete.
Se la mask fosse /24, invece, dovrebbero restare fissi i primi TRE
gruppi, perciò 192.168.0.13 e 192.168.25.16 NON starebbero sulla stessa
sottorete, poiché la rete 
192.168.0.0/24
 raccoglie gli indirizzi da
192.168.0.1 a 192.168.0.254, mentre quella 
192.168.25.0/24
 raccoglie gli
indirizzi da 192.168.25.1 a 192.168.25.254
La rete 
192.168.0.0/16
 invece raccoglie gli indirizzi da 192.168.0.1 a
192.168.255.254. Chiara la differenza?
Questo è fondamentale, perché nel primo caso i due indirizzi si
raggiungono direttamente SENZA passare da un gateway, nel secondo caso
invece hanno necessariamente bisogno di un gateway che congiunga le due
subnet per potersi raggiungere!
Questo a grandi linee... poi ci sono sfumature un po' più complesse, ma
forse è meglio se ti compri un libro sulle reti se vuoi capire meglio
queste cose con più calma e magari più esempi pratici!


 queste cose con piů calma e magari piů esempi pratici!
In pratica sei stato formidabile ...
Se posso dare un consiglio raga, non comprate il libro, ne avete uno
umano!!!
E' crononauta !!! :D
Tommaso

 È un discorso un po' lungo, provo a riassumerlo.
[cut]
Sei stato chiaro quanto gentile. Ancora grazie.
Fabrizio.

 te suggeriti?
Certamente, che č quello che si fa di solito. Sulla macchina linux
imposti le regole di routing e le regole del firewall per "filtrare" gli
accessi alle macchine fisiche.
Se poi vuoi essere 100% paranoico, invece di impostare il routing, sul
linux installi un proxy come squid, e NON imposti alcun routing/forward.
In questo modo, ogni client della LAN *non* esce mai all'esterno, ma
interroga il proxy sui siti che vuole vedere. Il proxy si collega
all'esterno, scarica le pagine richieste in locale, e il client cosě le
puň vedere senza mai uscire all'esterno.
Occhio perň che una configurazione di questo tipo č piů brigosa di
quello che si puň pensare, esistono alcuni servizi che non possono
essere "proxati" come per esempio gli accessi ai siti protetti (https)
che richiedono una connessione diretta crittografata, inoltre hai
bisogno di un sistema di proxy per OGNI servizio che vuoi rendere
accessibile alla rete locale.
In altre parole, squid ti fa da proxy web, per la posta devi usare un
smtp relay in uscita, e un pop3 locale sulla macchina linux che scarichi
la posta di ogni singolo utente e la renda disponibile in locale, e via
cosě.
Alla fine dipende da quanto vuoi essere paranoico...
