Newsgroup: it.comp.reti.locali
Titolo: piccola rete (proxy web + firewall). un consiglio?

avrei bisogno di un consiglio prima di mettermi all'opera.
 
devo realizzare una piccola rete divisa due subnet distinte, entrambe
con circa 20 pc win98 e win2000. i vari pc devono solo poter navigare in
internet. le due subnet non devono vedersi tra di loro.
 
dispongo di
- un router cisco SOHO 77, che dovrebbe fare da router adsl e incorpora,
  a quanto leggo dal suo datasheet, la funzione di firewall con stateful
  inspection. insomma dovrebbe anche essere un firewall decente.
- una macchina linux (debian), che dovrebbe fare da proxy (squid), fare
  un po' di filtraggio pacchetti e separare le subnet che sono collegate
  a due interfacce di rete diverse (3 schede eth in totale).
- 2 switch con porte a sufficienza per ogni subnet.
 
mi chiedevo se una soluzione di questo tipo potrebbe andare bene o se
sia sufficientemente sicura.
 
WAN --> router CISCO --> pc linux ------> switch subnet1
                                  |
        modem adsl       firewall |
        + firewall       + squid  |
                                  ------> switch subnet2
 
insomma farei fare un po' di filtraggio pacchetti al router (visto
dovrebbe fare anche da stateful inspection) e il resto, cioč ulteriore
filtraggio e separazione delle due reti con iptables + squid, al pc
linux.
non conosco il router nč come funzioni il suo firewall, mentre ho
un po' di esperienza con linux e iptables.
 
cosa ne dite? vale la pena imparare e sfruttare il fw del router? č una
soluzione sufficientemente sicura, posto che non ci sono comunque dati
sensibili importanti?
 
grazie
-- 
Leonardo Canducci 
sostituisci CAMBIA con canducci per avere l'indirizzo email corretto

 sia sufficientemente sicura.
<snip>
Hm .. potresti montare tre NIC sulla macchina linux e collegare
il tutto più o meno in questo modo
internet
|
router/fw
|
switch ---> dmz
|
linux fw/proxy ----- subnet 1
|
subnet 2
a questo punto basterebbe impostare il routing sulla linux box in
modo da non permettere il routing tra le due subnet e saresti a
posto, inoltre avresti guadagnato una DMZ "gratis" posta tra il
f/w hardware e quello software (linux)
Ciao
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
Support and discussions forum
http://ntcanuck.com/net/board
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 f/w hardware e quello software (linux)
al momento non mi serve una DMZ. l'unico servizio sarebbe il proxy web.
e comunque mi servirebbe uno switch aggiuntivo (1 per ogni subnet + 1
per la DMZ).
ad ogni modo si può contare sulle capacità di firewalling del router
cisco soho 77? vale la pena imparare a configurarlo (sempre che possa
metterci le mani, visto che è in comodato da telecom)?
grazie dei consigli
ciao


 oltre il pc lo fa ancora.
Beh, se come hai scritto non ti serve una DMZ ti conviene
configurare il router come "bridge" ed evitare di impostare
il packet filtering sul router ma impostarlo solo sul sistema
linux; ovvio che poi, avendo tempo potresti studiarti come
funziona il pkt-filter del cisco e magari iniziare a smanettare
anche su quello, ma per partire .. e dato che il router non è
tuo ma in comodato direi che ti convenga usare linux come
nat/firewall/proxy .. uh, a propo, usi un linux "liscio" o una delle
distro apposite tipo IPCop, Leaf e simili ??

 distro apposite tipo IPCop, Leaf e simili ??
ha scritto che ha una debian, mi pare una buona scelta :)

 ha scritto che ha una debian, mi pare una buona scelta :)
Ops .. mi era sfuggito .. scussss :-)
Ad ogni modo, si, deb non è male non per niente il (purtroppo
defunto) progetto "linuxrouter" è nato su debian .. cmq anche
usare una distro "ad hoc" o al limite qualcosa tipo "firewallbuilder"
o simili non sarebbe una cattiva idea


d'accordo. soltanto che debian la conosco e la uso da 4 anni, quindi mi
ci trovo a mio agio. è il motivo per cui eviterei di pasticciare nel
firewall cisco che non conosco.
ad ogni modo, usando il router come bridge (senza firewall) e filtrando
solo dal pc linux, non ci sono rischi a tenere un proxy web sul firewall?
se ci fosse un file server o un mail server non sarebbe una buona idea,
giusto?
