Newsgroup: it.comp.reti.locali
Titolo: IPcop & subnetting

Ciao a tutti!
Mi sto trovando a dover riprogettare una rete aziendale in condizioni
abbastanza disastrose, ed č il primo progetto che devo portarmi avanti da
solo mettendo finalmente in pratica la tanto bella teoria vista al
politecnico... :-D
Preamboli a parte, adesso come adesso la rete ha indirizzi del tipo
100.0.0.x con router (non gestito da noi ma dal nostro provider)
100.0.0.230
Anzitutto ho pensato che un bel firewall non potesse che fare bene quindi
ho preparato una macchina con IPcop (+ tipici addons).
Ora viene il momento di suddividere la rete in 4 e, per minimizzare
l'impatto sugli indirizzamenti attuali, pensavo di fare una cosa del
genere:
Int. Green: 
100.0.0.126 con mask 255.255.255.128 
(e indirizzi che vanno quindi da 100.0.0.1 a 100.0.0.126)
Int. Red: 
100.0.0.254 con mask 255.255.255.128 
(e indirizzi che vanno quindi da 100.0.0.128 a 100.0.0.254)
Int. Orange: 
100.0.2.254 con mask 255.255.255.0 
(e indirizzi che vanno quindi da 100.0.2.1 a 100.0.2.254)
Int. Blue: 
100.0.3.254 con mask 255.255.255.0 
(e indirizzi che vanno quindi da 100.0.3.1 a 100.0.3.254)
In questo modo dovrei solo cambiare ip ai 2 server che diventerebbero tipo
100.0.2.1 e 100.0.2.2, corretto?
Devo chiedere al provider di cambiare la subnet mask del router in
255.255.255.128?
Chiedo a chi ha piů esperienza di me, č corretta come idea di base?
Grazie a tutti!
Francesco

 100.0.0.230
Direi intanto di dire al vostro provider che le reti private sono 
regolamentate (RFC1918), e che la rete 100.0.0.0 e' riservata allo 
IANA. Fatevi quindi assegnare (o sceglietevi) una network da RFC1918.
Dopodiche', dato che dovrai impostare le network ex novo, puoi assumere 
delle subnet /24 e vivere tranquillo.
Ciao
Luca

 Ora viene il momento di suddividere la rete in 4
Perche'? Che tipologia di distribuzione dei servizi avete? Quanti 
server e quanti client?
Se ti occorre che il firewall svolga funzione di routing liberamente 
assegnabile, probabilmente ti troverai meglio con m0n0wall 
http://m0n0.ch/wall
 oppure pfSense 
www.pfsense.com
; se il traffico 
previsto fra le network e' elevato, puoi fare una macchina con quattro 
nic gigabit (o una nic gigabit quad) con funzione di centro stella 
verso altrettanti switch. Una nic 10Mbps verra' dedicata alla 
connessione verso il router.
Considera che l'impostazione tipica di IPCop prevede un set-up tipico 
da DMZ per la Orange, mentre m0n0 permette di decidere da scratch come 
impostare le regole di forwarding fra le nic.
Ciao
Luca

 Luca
Grazie!
Francesco

 
Il traffico non è esagerato, ho messo quattro nic 10/100 su questo
pentiumII di recupero con 4GB di HDD.
Diciamo che il setup tipico mi sembrava potesse adattarsi al caso mio e non
mi sembrava il caso di definire regole di fwd personalizzate.
Adesso devo capire perchè collegano la nic red al router questa non si
accende... mentre se la attacco allo switch si... non mi piace questa cosa
per cui non posso gestire il router, potrebbe essere che non sia in
autosense e quindi non comunichi nel modo giusto con la scheda di rete?
Grazie per i consigli!
Francesco

 autosense e quindi non comunichi nel modo giusto con la scheda di rete?
hai usato un cavo cross tra la red ed il router :) ?



ma possibile che cado sempre sulle ca**ate :-D
Avevo già collegato il mio pc al router diretto ma essendo nuovissimo mi sa
che ha la scheda che si adatta automaticamente... 
Non avendo cavi cross, se passo attraverso un hub infesto la rete di
pacchetti????
Francesco



ehm .. l'interfaccia RED di IPCop è quella che dovrebbe essere
connessa verso "internet" quindi se tu usi un HUB per connettere
IPCop al router e se sullo stesso hub connetti anche la LAN.. il
risultato finale sarà bypassare totalmente IPcop :) fatti uno schema
e ti renderai conto da solo :D
ciao

 100.0.0.230
il che significa che state usando un range di indirizzi riservati IANA
per la LAN invece di usare gli indirizzi raccomandati da RFC1918
(come ha giustamente detto anche Luca); a parte il fatto che una
cosa del genere è indice di "grande professionalità" (SIC) da parte
di chi ha messo in piedi la cosa; l'uso di indirizzi non "a norme" è
FORTEMENTE sconsigliato e potrebbe creare una serie di problemi
inclusi problemi di sicurezza; a questo punto direi che la prima cosa
da fare potrebbe essere riorganizzare la rete in modo da utilizzare
indirizzi "a norma" 
http://www.faqs.org/rfcs/rfc1918.html
 come puoi
vedere dal documento (par. 3) i ranges definiti sono
10.0.0.0 - 10.255.255.255  (10/8 prefix)
172.16.0.0 - 172.31.255.255  (172.16/12 prefix)
192.168.0.0 - 192.168.255.255 (192.168/16 prefix)
a questo punto una possibile soluzione, considerando che non sia
possibile modificare le impostazioni IP del router, potrebbe essere
la seguente (notare la config della RED e la relativa netmask)
* RED:
Subnet        100.0.0.228
Netmask    255.255.255.252
IP                  100.0.0.229
GW              100.0.0.230
B-cast         100.0.0.231
* GREEN:
Subnet        10.100.100.0
Netmask    255.255.255.0
IP                  10.100.100.254
B-cast         10.100.100.255
* BLUE:
Subnet        10.116.100.0
Netmask    255.255.255.0
IP                  10.116.100.254
B-cast         10.116.100.255
* ORANGE:
Subnet        10.132.100.0
Netmask    255.255.255.0
IP                  10.132.100.254
B-cast         10.132.100.255
quanto sopra permetterà di mantenere separate le subnets
assegnate alle varie interfacce, di usare per le "LAN" indirizzi
a norme RFC e di avere la possibilità se necessario di aumentare
il numero di hosts per subnet modificando la relativa netmask
a questo punto la configurazione dei clients sarà
client GREEN:
IP           10.100.100.x
Mask    255.255.255.0
GW       10.100.100.254
client BLUE:
IP           10.116.100.x
Mask    255.255.255.0
GW       10.116.100.254
client ORANGE:
IP           10.132.100.x
Mask    255.255.255.0
GW       10.132.100.254
ciao



no no! non mi sono spiegato...intendevo usare un hup tra IPCop e il router,
es:
RED ------ HUB -----ROUTER
Lo switch della LAN sarebbe connesso direttamente alla GREEN.
In questo modo è corretto, vero?
Francesco

 
Ok grazie mille! Sei stato davvero chiaro.
Mi sono letto la RFC e già che devo riprogettare tutto faccio che cambiare
anche tutti gli indirizzi... vedrò di farmi modificare anche quello del
router, spero non ci siano problemi.
Grazie ancora per la pazienza, è che voglio fare le cose come si deve per
non ripetere i pasticci che ha combinato il "sistemista" che ha messo in
piedi la rete anni fa (che poi ho scoperto essere un tassista con l'hobby
dell'informatica!!! :-D ).
Francesco

 In questo modo è corretto, vero?
si.. basta che tu non metta in piedi una config come questa
http://blogs.dotnethell.it/obiwan/La-sicurezza-e-unopinione__3088.aspx
notare il "cavo rosso :D

 l'hobby dell'informatica!!! :-D ).
Uhm .. tassista senza apostrofo :) ? Scherzi a parte; prendi le cose con
calma, inizia a progettare per bene la rete, individua bene gli obbiettivi
e cerca di capire cosa vuoi ottenere e poi passa all'implementazione
tieni presente che le classiche carta & matita funzionano ancora :D

 tieni presente che le classiche carta & matita funzionano ancora :D
Questo mi rincuora perchè ho già un notes pieno e pile di manuali stampati
perchè purtroppo non riesco a digerire i pdf :-D
Grazie ancora, mi hai aiutato a continuare con più sicurezza... purtroppo
il non avere nessuno qua in azienda che ci capisca veramente qualcosa mi
costringe a armarmi di pazienza, documentazioni e voglia di fare bene.
Francesco

 costringe a armarmi di pazienza, documentazioni e voglia di fare bene.
Scusa se arrivo solo ora, ma ero in giro per Clienti e ho visto che 
ObiWan ti ha comunque fornito le info necessarie. Se ti serve ancora 
qualche dettaglio, chiedi tranquillamente nel ng: e' fatto apposta.
Ciao
Luca

 e voglia di fare bene.
beh voglia e pazienza sono già un'ottimo armamentario :) per il resto come
ha scritto anche Luca, se hai problemi o se hai bisogno di chiarimenti,
posta
pure e cercheremo di darti una mano
che altro.. ah si.. io darei un'altra occhiata a m0n0wall
(
http://m0n0.ch/wall
) non
che IPCop sia male; però personalmente preferisco m0n0 :) .. per tutta una
serie di motivi; del resto provare non ti costa nulla per cui.. perchè no ?

 serie di motivi; del resto provare non ti costa nulla per cui.. perchè no ?
Ok! In effetti googlando quando dovevo decidere mi ero imbattuto anche in
m0n0... poi mi sono orientato su IPCop perchè mi sembra più diffuso quindi
ho pensato di trovare più facilmente aiuto in caso di problemi.
m0n0 funziona bene anche come proxy??? Adesso mi scarico il manuale e ci
faccio un pensierino...
Grazie ancora!
Francesco

  m0n0 funziona bene anche come proxy???
m0n0 funge da NAT, router e firewall; non implementa un "proxy"
come IPcop (che usa SQuid) ma sinceramente preferisco una
tale soluzione anche perchè se *veramente* avessi bisogno di
un proxy potresti sempre installarlo in un secondo momento su
una macchina "a parte" .. il fatto è che .. secondo me un firewall
deve fare il firewall e basta.. e non altre 10.000 cose :)
ciao

 notare il "cavo rosso :D
non so se ridere o piangere... :-)
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

 non so se ridere o piangere... :-)
E' la stessa reazione che ho avuto io quando, appena assunto, sono sceso
nella server room dell'azienda e ho scoperto che non era configurato nessun
firewall e non c'era nemmeno un antivirus sui server... non so come abbiano
fatto a andare avanti 5 anni cosě... adesso ci sono serissimi problemi di
navigazione web e temo sia dovuto a virus e robaccia sparsa per la rete.
F

 per la rete.
costruisciti questo cavo 
http://www.linuxjournal.com/article/6985
 poi
installa
su un portatile qualche tool appropriato (wireshark, snort...) ed usa il
tutto
per connetterti a vari "punti" della rete e controllare il traffico; in
questo modo
dovresti riuscire a farti un'idea su "cosa" passa sulla rete e possibilmente
a
scoprire la causa dei rallentamenti; tra l'altro con il cavo "read-only"
potrai
connettere lo sniffer anche "fuori dal firewall" senza alcun problema
ciao

 ciao
Bello! Assolutamente da fare!
Per ora ho fatto un po' di prove con ethereal... ho usato questo metodo
(non so quanto sia corretto): ho messo il mio pc al posto del router
settando l'ip della mia scheda di rete uguale a quello del router, in modo
da vedere se c'era qualche host che mi inviava traffico strano.
La cosa più anomala è stata vedere che uno dei due server mi inviava una
marea di pacchetti DNS indirizzati al windows liveupdate... e su quella
macchina non sono ancora riuscito a disattivarlo, comunque mi loggo
l'opzione nel pannello di controllo è non modificabile.
Francesco

 da vedere se c'era qualche host che mi inviava traffico strano.
Aggiungo anche The Dude 
http://www.mikrotik.com/thedude.php
, tool free 
che pemette di costruire automaticamente la mappa della rete e di 
monitorare continuamente i dispositivi, meglio se con SNMP abilitato.
Puo' fare un mare di cose, incluso ovviamente mandare avvisi in caso di 
superamento di soglie di controllo assegnabili.
Ciao
Luca

> Aggiungo anche The Dude 
http://www.mikrotik.com/thedude.php
,
concordo al 100% :) !
che altro.. ah si.. se servisse uno switch, questo è in offerta
http://www.smc.com/index.cfm?event=promotion&localeCode=EN_ITA&pageNum=13
ed anche gli altri switches di SMC
http://www.smc.com/index.cfm?event=viewCategory&localeCode=EN_ITA&cid=8
non sono malaccio ;)



Certo che siete una potenza!
Francesco

 Certo che siete una potenza!
Uh ... ci si diverte, ecco ;-)
Ciao
Luca

> Certo che siete una potenza!
no.. io non sono di Potenza.. e neanche Luca :)

 no.. io non sono di Potenza.. e neanche Luca :)
:-)
Seguendo i vostri consigli ora sto iniziando i primi test (prima di
spostare tutto il traffico attraverso ipcop).
L'interfaccia green ora segue la RFC1918; la rossa per adesso è ancora
legata al vecchio indirizzo del router (di tipo 100.0.0.x) e provvederò a
farlo cambiare una volta sistemati tutti gli host attraverso ipcop, in modo
da non dover modificare tutti gli indirizzi e i gateway degli hosts due
volte.
Da un pc connesso alla green attraverso lo switch della LAN pingo ipcop
senza problemi e vi accedo attraverso la GUI.
IPCop a sua volta pinga senza problemi il router.
Ora, il problema è che ipcop non riesce a raggiungere alcun indirizzo
esterno... tutti i pacchetti vengono persi.
Inoltre se vado nella pagina per l'aggiornamento di ipcop mi dice internal
server error, credo che sia perchè ipcop non si connette all'esterno...
Devo chiedere al provider di fare qualche modifica nella configurazione del
router? Speravo di riuscire almeno in un primo tempo a usare il firewall
senza dover far disabilitare il NAT... è possibile? Un passaggio il più
trasparente possibile alla nuova configurazione di rete mi aiuterebbe
molto.
Francesco

 server error, credo che sia perchè ipcop non si connette all'esterno...
possibile, verifica quanto sopra

 configurati in IPcop 
Controllato.. i pc in configurazione "vecchia" hanno stessi DNS e Gateway
con cui ora ho impostato la RED.. per questo mi sono bloccato, mi sembra
tutto impostato correttamente!
Francesco



scusa mi sono espresso male... non è che ho impostato la RED con quegli
indirizzi; li ho inseriti come Gateway e DNS nel setup di IPCop.
Francesco

 nel setup di IPCop.
beh .. si; durante il setup quando ti chiede (menů "testuali")
la configurazione delle interfacce dovresti immettere l'IP, il
default gateway (occhio che IP e GW siano nella stessa
subnet eh :D !) ed i DNS; cmq in caso di dubbio, piazza uno
sniffer tra ipcop ed il router e vedi "cosa passa" (o cosa non
passa :D)
ciao

> Aggiungo anche The Dude 
http://www.mikrotik.com/thedude.php
,
tanto ormai ci siamo.. :) do per scontato che la rete sia una
rete "mista" con macchine Windows; a questo punto volendo
centralizzare i logs ed avere un unico "punto di controllo" si
potrebbe pensare di installare un syslogd su una delle macchine
nel caso di Unix/Linux il syslogd è nativo, se invece si volesse
usare una macchina win32 come syslog server sarà sufficiente
installare (es.) 
http://syslog-win32.sourceforge.net/
 su una delle
macchine che abbia IP statico e sia "sempre accesa"; fatto ciò
si potrà procedere installando sulle altre macchine questo s/w
http://www.edoceo.com/products/winlogd.php
 o alternativamente
questo s/w 
http://ntsyslog.sourceforge.net/
 configurando poi il
tutto per "puntare" all'IP della macchina sulla quale sarà stato
installato il "syslog server"
In questo modo tutti gli eventi registrati negli eventlogs delle varie
macchine verranno contestualmente inviati al syslog server ed in
questo modo potranno essere analizzati più comodamente, non
solo, avendo un syslog server sulla rete sarà possibile utilizzarlo
anche per i logs di varie periferiche (es. stampanti di rete ecc...)
ciao



Molto bello! Io avevo fatto delle prove con Netcrunch ma non ho avuto tempo
di approfondirne la conoscenza visti gli interventi prioritari che devo
fare sulla rete. 
Francesco

 fare sulla rete. 
NetCrunch e' un ottimo prodotto, ma e' piu' orientato al monitoraggio 
sul medio e lungo termine. Per un'overview di topologia di rete, IMHO 
The Dude basta e avanza, specie per l'utilizzo a piene mani di snmp.
Anche essendo rivenditore di AdRem, per il monitoraggio sia LAN che 
Clienti uso *cacti* 
www.cacti.net
, un po' piu' snello e molto pratico 
per mantenere una traccia visuale del funzionamento delle risorse.
Ciao
Luca

 questo s/w 
http://ntsyslog.sourceforge.net/
 configurando poi il
Aggiungo 
http://manageengine.adventnet.com/products/eventlog/index.html
, free 
fino a 5 macchine.
Ciao
Luca

 
http://manageengine.adventnet.com/products/eventlog/index.html
interessante, THX !

 ciao
Perfetto, con uno sniffing adeguato ho trovato tutti i problemi e ora è a
posto.
Volevo ringraziare te e Luca per il supporto: grazie di cuore davvero!
Ora sto utilizzando ipcop e passo passo lo sto configurando, sembra che ci
siano netti miglioramenti dal punto di vista del traffico.
Finalmente abbiamo una rete con indirizzi che rispettano l'RFC, abbiamo un
monitoraggio di tutto il traffico e adesso inizierò anche un controllo
dello spam con copfilter, tanto per iniziare. Poi in base al traffico
valuterò se sia il caso mettere su una macchina con m0n0 e un'altra
macchina con una distro di linux giusto per usare squid.
Direi che questi 2 giorni sono stati molto formativi per me ;-)
Francesco

 Direi che questi 2 giorni sono stati molto formativi per me ;-)
Bene. Obi: quanto gli facciamo di parcella? ;-)
Ciao
Luca

 Bene. Obi: quanto gli facciamo di parcella? ;-)
Uhm .. non ho controllato la zona nella quale risiede, sennň
ci si potrebbe informare sul menů di qualche ristorante della
zona .. ristorante che sia degno di tale nome, ovvio :)

 Direi che questi 2 giorni sono stati molto formativi per me ;-)
beh.. ottimo :)
tornando all'argomento principale; se stai smanettando su una rete
windows, e se (come sospetto) la rete ha un dominio (AD) verifica prima
di tutto che i clients della rete puntino al DC (che avrà il DNS installato)
come UNICO DNS e che NON puntino (MAI !!) ad indirizzi di DNS esterni
poi potrai provvedere a configurare il DNS del DC in modo da risolvere
richieste relative ad hosts esterni (internet..); oltre a questo, se
installerai
BOT ed assumendo che sulla rete ci sia un mailserver, assicurati di non
permettere l'accesso ai clients verso le porte 25/tcp e 53/tcp+udp di hosts
esterni, tale accesso verrà permesso SOLO al mailserver ed al DNS (DC)
se poi fosse necessario usare degli SMTP esterni crea delle regole ad hoc
che permettano l'accesso verso la 257tcp solo verso i servers che vengono
effettivamente usati e NON verso "qualsiasi server" (la cosa NON vale per
l'eventuale mailserver interno); che altro.. ah.. si.. blocca anche in
uscita tutto
il traffico NetBios e quello broadcast/multicast (ed anche quello
indirizzato
a netblocks privati .. ossia quelli della RFC)
ciao

 a netblocks privati .. ossia quelli della RFC)
perfetto allora mi butto subito su BOT!
Grazie per le innumerevoli dritte!
Francesco

 firewall?
No :) se hai una rete con ActiveDirectory avrai anche un Server che funge
da Domain Controller (DC) tale server dovrà avere installato anche il server
DNS di Microsoft che sarà configurato per gestire Active Directory; a questo
punto TUTTI i clients della rete dovranno essere configurati per usare come
DNS quello installato sul DC (o sui DC nel caso ve ne sia più d'uno) e con
"tutti i clients" intendo anche i DC stessi; ed ovviamente NON dovranno MAI
puntare a DNS esterni e men che meno al firewall; il DNS del DC dovrà poi
essere configurato opportunamente per la risoluzione di indirizzi esterni,
vuoi
usando la normale ricorsione, vuoi puntando al firewall come "forwarder"
per maggiori info vedi 
http://support.microsoft.com/kb/323380
in pratica (esempio)
WinServer (DC)
IP:         10.100.100.10
GW:     10.100.100.254
DNS    10.100.100.10
Client Windows
IP:        10.100.100.130
GW:     10.100.100.254
DNS    10.100.100.10
e non (MAI) configurare DNS esterni (es. il firewall o i DNS dell'ISP)

 e non (MAI) configurare DNS esterni (es. il firewall o i DNS dell'ISP)
Questi invece vedo che sono tutti configurati con i DNS dell'ISP.
Perchè non è corretto configurare i DNS esterni sui vari hosts del dominio?
Francesco