Newsgroup: it.comp.reti.locali
Titolo: DMZ

La nostra lan si compone di una rete privata con indirizzamento 192.168.1.x
e di una rete pubblica con 32 Ip assegnatici dal provider. Attualmente uno
degli indirizzi Ip è occupato da un web server. Per poter implementare un
maggior livello di protezione abbiamo deciso di configurare un firewall con
DMZ. Il problema è che gli indirizzi pubblici fanno parte tutti della stessa
subnet (255.255.255.224) mentre mi sembra di aver capito che la scheda di
rete della DMZ e quella della zona Internet devono avere subnet diverse.
Come potrei procedere?
Grazie.

 di configurare un firewall con DMZ.
Puoi scegliere di realizzare una DMZ - Screened-Subnet Firewall, dove
sono presenti 2 packet-filtering router ed un bastion host :
==
1.Il router esterno mostra solo la DMZ verso Internet
  ---------------------------------------------------
  I sistemi esterni non vedono alcuna strada verso la rete protetta. 
  Questo significa che la rete č "invisibile" e che Internet conosce
  solo i sistemi selezionati sul DMZ grazie alla tabella d'instradamento
  ed alle informazioni scambiate sul DNS.
2.Il router interno mostra solo la DMZ verso la rete
  --------------------------------------------------
  I sistemi interni non vedono alcuna strada diretta verso Internet.
  Questo garantisce che gli utenti interni devono accedere ad Internet
  per mezzo dei servizi proxy installati sul bastion host. 
Altrimenti potresti optare per una soluzione tipo DMZ - Firewall-NAT/PAT
-> tale soluzione consentirebbe di continuare ad usare la DMZ, senza
l'appoggio ai proxy, ma introducendo una protezione ulteriore costituita
dall'indirizzamento privato della rete interna.
Cio' richiede quindi un sistema firewall con 3 interfacce di rete, 
ciascuna delle quali collegata a diverse 'porzioni' della rete LAN, ed
inoltre la presenza della traduzione NAT/PAT per :
==
- Modificare l'IP Header.
- Ricalcolarne il checksum [fa riferimento all'IP Header].
- Ricalcolare il checjsum TCP [interessa il segment + indirizzi IP]
- Correggere a livello di applicazione l'IP sorgente [
p.es
. con FTP]
I diagrammi delle 2 soluzioni sono :
# Screened-Subnet Firewall
--------------------------
               /==================== DMZ ====================\
               ||                                           ||
          +----++----+                                 +----++----+
Internet<-|Router EXT|<-------+-----+----------------->|Router INT|->LAN
          +----++----+        |     |                  +----++----+
               ||             |     |                       ||
               ||             |     +->[Bastion Host]       ||
               ||             |                             || 
               ||             +------->[Information Server] ||
               ||                                           ||
               \=============================================/
# Firewall-NAPT
---------------
                         +--------+ 
[Internet]<-->[Router]<--+Firewall+-------------->[LAN 192.168.1.x]
                         +---+----+
                             |
                         +---+------------------+
                         |Information Server/DMZ|
                         +----------------------+
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> 
http://planynet.hypermart.net
 ŻŻŻŻŻ<|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> 
http://pub44.ezboard.com/bplanynet
 <|
|_|  |_/_/ \_\___|___/-<|> NEWS: free.it.tlc.provider.fastweb <| 
|>Togli/Remove .INVALID<|> NEWS: free.it.ingegneria.meccanica <|

 ha scritto nel messaggio
news:3bfa8108$1...@news.cis.it...


 CIAO!
Grazie.

 Grazie.
Prego.
