Newsgroup: it.comp.reti.locali
Titolo: aprire porte modem+firewall

Salve a tutti, per accedere a un gestionale dall'esterno, in un piccolo 
ufficio mi hanno chiesto di direzionare la porta 8XXX sulla 8X interna 
per raggiungere il server.
Visto che c'è un modem Telecom fibra + un firewall Zyxell Zywall, chiedo 
qualche consiglio su come agire (solo su Zywall o su entrambi?), e se 
c'è un ping specifico o altro test che posso fare per testare che il 
tutto funzioni, grazie.
RAY

 tutto funzioni, grazie.
due strade possibili
1 metti l'IP wan del firewall come DMZ nel router telecom e fai la 
regola solo sul firewall.
2 quella che piu' mi piace quando ci sono i modem telecom in gioco) fai 
in modo che il  firewall negozi l'ip pubblico con una configurazione 
PPoE e continui a far la regola solo sul firewall...

 PPoE e continui a far la regola solo sul firewall...
 
Grazie, la soluzione 1 è chiara, sulla 2 ho qualche dubbio, se il 
firewall negozia l'IP pubblico, deve continuare a farlo anche il modem 
oppure da quello devo disattivare qualcosa?
Seconda cosa: il fatto che il modem abbia indirizzo della famiglia 
192.168.1.X e il firewall 192.168.2.X richiede qualche accorgimento 
particolare per girare la porta direttamente da firewall al pc che ha la 
stessa famiglia del modem Telecom?
Grazie
RAY
 

stessa famiglia del modem Telecom?
 
Puoi spiegare meglio quali IP hanno i vari soggetti?
 
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 Puoi spiegare meglio quali IP hanno i vari soggetti?
 
Al momento non li ho sotto mano, comunque indicativamente modem Telecom 
192.168.1.1, pc server 192.168.1.100, Zywall 192.168.2.1 (non ricordo 
quello lato interno ma ipotizziamo 192.168.1.2).
RAY
 

 2) che l'ip sarà dinamico
 
Mmmh no buono... Quel firewall è stato messo per aprire un VPN con 
l'ufficio, vorrei variare il meno possibile e di certo non perdere un IP 
pubblico statico.
RAY

 2) che l'ip sarà dinamico
fin tanto che non sproofi il mac del telecom... ;)
 

Dopo dura riflessione, Ray ha scritto :

Scusa, ma il server non è SOTTO il firewall?

 
 
Quoto.
Io ormai ho "chiuso tutto quello non necessario" e l'accesso avviene 
esclusivamente via VPN
 
-- 
Saluti
Bruno

 Perchè sei un bravo ragazzo. :-)
 
LOL, ecco un altro seguace di Simon :-)
 
Bye, G.

 Chi? Simon il caneneo? Sono ateo.
 
Sì scusate, in effetti ricordavo male, è il modem Telecom che dall'IP 
standard è stato spostato su 192.168.2.1, il firewall è sotto modem e ha 
IP 192.168.1.1, tutto il resto ha mantenuto la famiglia 192.168.1.X
 
Riguardo la VPN, per aprire la prima il sistemista del fornitore che 
l'ha richiesta ci ha messo un'ora di tentativi, non vorrei avventurarmi 
in qualcosa del genere.
A richiedere l'apertura della porta è stata l'assistenza del programma 
di contabilità, non è un'iniziativa mia, quindi mi attengo a quanto 
richiesto, ma se sono in grado di darmi assistenza per aprire una 
seconda VPN può anche andare.
RAY

 Scusa, ma il server non è SOTTO il firewall?
 
Ecco, infatti ricordavo male, è il modem Telecom che dall'IP standard è 



io insisto sull'idea di creare una connessione PPPoE indipendente per il 
firewall e, per quanto riguarda l'IP pubblico, affidarsi ad un servizio 
di DNS dinamico. Anche se ultimanete cominciano ad avere costi un po' 
meno accessibili (si', e' vero ci sono quelli gratuiti, ma ogni mese 
devi confermare che ti servono..).
A tutto vantaggio di una semplificazione e velocità successiva.. in 
attesa che qualcuno decida che vanno usati gli indirizzamenti IPV6..

 attesa che qualcuno decida che vanno usati gli indirizzamenti IPV6..
 
Oppure gettare nel cestino router telecom e firewall (come ho fatto io) 
e con un semplicissimo (si fa per dire) avm FritzBox! hai sia 
terminatore VPN, raggiungibilità esterna sul DNS gestito da AVM, 
telefonie varie (non solo quella di Telecom o simili) ed una serie 
imbarazzante di altri vantaggi...

 attesa che qualcuno decida che vanno usati gli indirizzamenti IPV6..
 
Capisco, ma è una cosa che non ho mai fatto, quindi un po' fuori dalla 
mia portata, e chi mi ha chiesto di aprire quelle porte riuscirà al 
massimo a darmi una minima assistenza per fare nello specifico quella cosa.
Sentiamo se ne sanno più di me e riescono a supportarmi, altrimenti 
credo proprio che, come da tuo primo suggerimento, dovrò limitarmi a 
mettere l'IP del firewall in DMZ sul modem e poi aprire la porta sul 
firewall.
In giornata dovrei metterci mano, se me la vedo grigia tornerò a 
disturbarvi, per ora grazie dell'aiuto.
RAY

 imbarazzante di altri vantaggi...
 
Purtroppo bisogna sempre fare i conti con il fornitore che per aprire il 
proprio VPN ha richiesto espressamente il firewall da una sua ristretta 
lista, e lo Zywall era il più semplice ed economico tra quelli elencati.
RAY

 qualche consiglio su come agire (solo su Zywall o su entrambi?)
 
il mio pusher dice di aprire le porte a cani e porci sul router e solo 
quelle che servono sul firewall
 
l'operazione sul router si fa fare di solito direttamente al provider, da 
remoto, con richiesta scritta (diciamo che è un modo di pararsi il culo in 
caso salti fuori qualche magagna del firmware)
poi ovviamente dal firewall in poi la responsabilità è dell'azienda (o di 
chi glielo configura)
 
-- 
/-\ /\/\ /\/\ /-\ /\/\ /\/\ /-\ T /-\
-=- -=- -=- -=- -=- -=- -=- -=- - -=-
........... [ al lavoro ] ...........

 caso salti fuori qualche magagna del firmware)
 
Ok ma sul router per fare questo non basta mettere l'IP del firewall 
come DMZ, come mi è stato suggerito sopra? Al di là del fatto di farlo 
in autonomia, se la richiesta è scritta la responabilità resta di chi la 
scrive, più che di chi la attua :)
RAY
 

 scrive, più che di chi la attua :)
 
aspetta
 
se tu mi vendi un prodotto con determinate caratteristiche (tra le quali 
"apri le porte a cani e porci") la responsabilità per un malfunzionamento 
del router causata da un baco del firmware mica è mia (e magari nemmeno 
loro, ma di chi lo ha fabbricato)
 
ovviamente si parla "da fuori fino al router e ritorno"


Scriveva Ray giovedì, 07/05/2020:

E che ip ha il firewall sulla porta WAN?

 Chi? Simon il caneneo? Sono ateo.
 
Simon Travaglia :-)
 
Bye, G.

 Perchè sei qui?
 
beh dopo il 4 si può andare a far visita ai parenti no?

 Perchè sei qui?
 
Scusa credevo fosse Badoo.
 
RAY
 


192.168.2.2
Scusate ho fatto una prova e ho visto che è al di sopra della mia 
portata. Mi affido al sistemista di questa seconda azienda che deve 
aprire il collegamento, almeno capirò che tipo di soluzione ha scelto, 
grazie.
RAY

 Ok posta la lista...
 
Che importanza ha adesso? E' un lavoro di un anno fa, ormai il firewall 
è quello.
RAY
 

Sembra che Ray abbia detto :

Diciamo che lo Zyxel non è uno dei più semplici per iniziare a capire 
come aprire le porte

 sedere una prossima volta.
 
E' una nota multinazionale che chiede agli affiliati di procurarsi un 
determinato firewall e poi lo configura.
Ora come faccia tu senza informazioni a giudicare che hanno fatto un 
lavoro dozzinale, non saprei, ma come ho tranquillamente ammesso siamo 
fuori dalle mie competenze, quindi non mi ostino ad addentrarmi nei 
cavilli, scusate per il vostro tempo.
Riguardo le responsabilità metterò in chiaro col mio cliente, anche per 
iscritto se occorre, in ogni caso l'autorizzazione a mettere le mani sul 
firewall la dà il cliente alle terze parti e io sono l'unico che finora 
non ha configurato proprio nulla.
Ciao.
RAY

 Tutto qui.
 
Sì ma il meccanico dovrai almeno vederlo una volta prima di giudicarlo, 
altrimenti più che esperienza è chiaroveggenza :)
Ciao.
RAY
 

 come aprire le porte
 
piů semplice di quello cosa c'č?
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non č da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente

 più semplice di quello cosa c'è?
 
Tutti i router "SOHO" più commerciali

 Tutti i router "SOHO" più commerciali
 
scusa ma rincaro... più commerciale di uno zywall cosa c'è?
secondo me li trovi anche alla coop...
 
se poi mi parli di roba "home" ok, ma non sono sicuro siano comunque
più facili. Forse il fritz, che rasenta la banalità, e proprio per
questo non lo ricomprerei.
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non è da considerarsi pubblico,


 questo non lo ricomprerei.
 
Netgear, D-Link, Tp-Link... questi intendo per SOHO
Poi se si considerano Pro solo i Cisco configurabili solo via SSH, è un 
altro discorso

 altro discorso
 
Bhe non considero certo zyxel tra i Pro... anche se ha prodotti che
sconfinano verso l'alto dal loro mercato medio, ma che non hanno molto
senso.
