Newsgroup: it.comp.reti.locali
Titolo: [Lungo] HELP: IPCop su 4 subnet.

Scusate il crosspost, ma non sapevo dove era meglio chiedere questa
consulenza:
Sto installando un firewall per una rete suddivisa in 4
subnet, tramite switch già configurati al fine di creare 4 reti virtuali.
Prima del firewall la rete era cosi':
Router: 
192.168.100.254/24
1a rete IP 
192.168.100.0/24
         GW 192.168.100.254
2a rete IP 
192.168.101.0/25
         GW 192.168.101.126  (lo switch 'routa'
su  192.68.100.254)
3a rete IP 
192.168.101.128/25
     GW 192.168.101.254  (lo switch 'routa' su
192.68.100.254)
4a rete IP 
192.168.102.0/27
         GW 192.168.102.30    (lo switch 'routa'
su  192.68.100.254)
E tutto funzionava bene.
Per il firewall (visto che non c'e' budget) ho preso un vecchio PII e gli ho
installato IPCop. Poiche' sono un programmatore (e non ho assolutamente
voglia di imparare/sputare sangue su configurazioni sullo switch di core, un
HP procurve) ho fatto questa cosa:
Router:    
10.0.0.1/30
IPCOP RED                
10.0.0.2/30
   GW 10.0.0.1
IPCOP ORANGE       
192.168.200.0/24
 (per adesso non la utilizzo... poi si
vedra')
IPCOP GREEN           
192.168.100.254/24
Provo il tutto... e noto che solo la rete 
192.168.100.0/24
 vede internet
debitamente filtrata da IPCop, per le altre non riesco a vedere alcunche';
controllo un po' ed in effetti vedo che le richieste fuori della sottorete
100 vengono visti da IPCop come richieste esterne e quindi bloccate. A
questo punto, non sapendo piu' cosa fare ho provato a cambiare la GREEN in:
192.168.0.96/27
 (pensando: vabbe' e' una cosa un po' 'esoterica' ma almeno
abbraccia le sub da 96 a 103; OK che le broadcast vanno a p...ane, ma quando
uno e' alla canna del gas...).
Riprovo il tutto e noto che non ho avuto alcun giovamento, allora tolgo il
firewall di mezzo, riconfiguro il router in 
192.168.100.254/24
 ... e di
nuovo
tutta la rete va in internet... Cosa sto sbagliando?
Qualcuno puo' essere cosi' gentile per darmi qualche imbeccata?
P.S. sto usando IPCOP 1.4.2 con gli addon SquidGuard e BlockOutTraffic
(ovviamente installati ma non avviati).
Grazie a tutti in anticipo!
Antonio.

 subnet, tramite switch già configurati al fine di creare 4 reti virtuali.
Secondo me, con una configurazione come la tua, meglio adottare un 
prodotto piu' flessibile come m0n0wall 
http://m0n0.ch/wall
Puoi gestire tutte le interfacce che vuoi e definire inbound/outbound 
NAT, gestire IP pubblici (richiede il router in bridge mode) e 
controllare il traffico (traffic shaping).
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Security, Networking, Windows NT/2000/XP
http://support.microsoft.com/newsgroups/default.aspx
IDRCI Italia - 
http://www.idrci.it
 - 
http://forum.idrci.it
CHX-I, CHX-I NAT Stateful Packet Filter

 prodotto piu' flessibile come m0n0wall 
http://m0n0.ch/wall
L'ho visto, e' senza dubbio interessante, pero' avevo optato per Ipcop
proprio per Squid e SquidGuard (devo anche bloccare l'accesso a siti
'indesiderati') senza contare che essendo un utente di tipo 'intermedio'
Linux, openBSD mi fa un
po' paura e oltremodo devo spulciarmi un po' di manuali per documentarmi
come configurare squid e compagnia bella.
Grazie per l'aiuto.
Antonio.

 
ma nessuno qui parla di smoothwall????
www.smoothwall.org
 sono un paio d'anni ke la tengo in produzione e penso 
vada da dio!!! non ho mai provato ipcop, ma penso sia simile!

 ma nessuno qui parla di smoothwall????
SW e IPCop hanno la stessa origine; la versione 1.4 di IPCop ha un LFS 
(Linux From Scratch) ed e' stato riveduto piu' o meno tutto (c'e' stato 
un beta testing eterno prima del rilascio). Ma il supporto di piu' reti 
e' limitato a 3, per giunta facendo acrobazie con iptables.


 po' paura e oltremodo devo spulciarmi un po' di manuali per documentarmi
Oh, su quello c'e' molto poco da fare; m0n0wall e' pronto per l'uso e la 
configurazione e' esclusivamente via browser, senza nessun contatto col 
sistema operativo (che, per inciso, e' FreeBSD), a parte una schermata 
nascosta per modificare il sistema.


 sistema operativo
In settimana provo la configurazione, al limite se ho bisogno di sapere dove
andare a trovare i files di configurazione
posso chiederti qualche delucidazione a proposito? (ad esempio posso con
ifconfig posso definire piu' indirizzi di sottorete
cosi' come con Linux? Non penso di avere alcun PC con 5 slot PCI liberi per
le schede di rete...
Grazie
Antonio,

 Antonio,
http://www.soekris.com/lan16x1.htm
direttamente dal produttore di hardware sul quale far girare m0n0wall..
HTH
-- 
Stefano Zamboni - 
zam...@freemail.it
Principio di Shaw:
Fai un programma che anche un idiota può usare, e soltanto un idiota vorrà
usarlo.

 direttamente dal produttore di hardware sul quale far girare m0n0wall..
Aggiungo che, oltre al (notevole) hardware di Soekris che uso da un po' 
di tempo, puoi orientarti sulla D-Link DFE-570X con 4 porte 10/100Mbps.


 posso chiederti qualche delucidazione a proposito?
Sicuro; ma come detto non serve andare a modificare alcun file. Fai 
tutto dalla WebGUI direttamente in termini di NAT, rules e varie.
All'atto pratico, non ti rendi conto di quale sistema operativo ci sia 
dietro.
L'unica configurazione manuale riguarda i parametri delle schede di rete 
e l'IP sul quale attivare la WebGUI, cosa che si fa da terminale usando 
un menu a carattere.


 che bella non l'avevo mai vista prima sta distro.
OPLAA'.... ed ancora una volta il Luca tira fuori dal cilindro l'ennesima 
perla!! ;-))

 perla!! ;-))
:-)
Son sempre cose che fa comodo sapere, no?
