Newsgroup: it.comp.reti.locali
Titolo: Impedire l'accesso alla rete LAN

Un saluto a tutto il newsgroup,
dispongo di un router ADSL e di una rete locale a cui sono collegati 5 
computer. E' possibile permettere alla macchina l'accesso a internet e 
impedire l'accesso alla rete locale senza l'utilizzo di un server?
Ringrazio in anticipo per le risposte.

Matteo ha scritto:

Un firewall a se stante o un router+firewall che abbia una porta DMZ.
-- 
Fa freddo nello scriptorium, il pollice mi duole. Lascio questa 
scrittura, non so per chi, non so più intorno a che cosa...
U. Eco

 ha scritto nel messaggio 
news:46c6c318$0$37198$4faf...@reader3.news.tin.it...


 impedire l'accesso alla rete locale senza l'utilizzo di un server?
Dipende da cosa intendi per "accesso alla rete locale". Non e' poi
abbastanza chiaro se vuoi ottenere questo per una sola macchina o piu'
macchine della lan.
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam al contrario, e cambia nazione
"E' assolutamente evidente che l'arte del cinema si ispira
alla vita, mentre la vita si ispira alla TV" - Woody Allen

 cambiare altro
Serve a nulla: al limite, basta fare start . esegui \\<nome_pc> o
\\<ip_pc> e lo vedi lo stesso. Inoltre il browsing di piu' gruppi di
lavoro e' sempre possibile, almeno in win2k o winXP pro.


 ha scritto nel messaggio 
news:46c6c318$0$37198$4faf...@reader3.news.tin.it...

usa la configurazione del router :-) 

 usa la configurazione del router :-) 
Sempre che sia anche uno switch managed, del che ne dubito... ;-)


Che ne dite di usare 5 sottoreti diverse nei pc ed estendere il
netmask del router? in questo modo settando i gateway dei pc all'ip
del router lui dovrebbe riuscire a creare le connessioni con le
macchine nelle sotto reti.
Non ho idea se però poi il router esegua comunque il nat

Omero ha scritto:


Potrebbe funzionare. Anche se questi espedienti li considero alla
stregua di "dirty tricks". :-)


 stregua di "dirty tricks". :-)
Come no... Ritengo difficile che sia possibile porre l'ip del gateway
entro il range di ogni subnet...


non ho capito cosa intendi, che in un pc 192.168.0.5 255.255.255.0 non
puoi mettere gateway 192.168.1.1?

 
Certo che no... il gateway deve far parte sempre della stessa sottorete...

io ho provato e funziona il gateway e solamente una route statica del
tipo 0.0.0.0 mask 0.0.0.0 gateway x.x.x.x interfaccia y.y.y.y puoi
benissimo non inserirlo nelle proprietà della scheda di rete ed
inserirlo con un add route lo puoi vedere con un route print la riga
con metrica 1 è il gateway predefinito

Omero ha scritto:

Ok... prendiamo questo banalissimo schema...
Server... tre interfacce di rete... 192.168.0.x 10.0.0.x 172.16.10.x
Su queste tre interfacce ci sono tre linee di pc e il gateway si trova 
sulla linea 10.0.0.x ... Sei sicuro che mettendo gateway 10.0.0.x su 
tutti i pc, questi riescano a navigare attraverso il gw ?

 
Infatti, non potrebbe raggiungerlo direttamente.
Altra cosa se vi è un altro dispositivo intermedio che conosce quella 
rotta e che qundi faccia routing.
Saluti, Fabio

questo non è il caso che stiamo trattando ma:
in questo caso il gateway del pc punta alla scheda dove è collegata la
rete per esempio se il pc 192.168.1.2 e collegato ad un switch di rete
a sua volta collegato alla scheda 192.168.0.X che diceva tacci_tua il
gateway del pc deve puntare 192.168.0.X poi io nel server con le tre
schede dico che il gateway del server con le tre schede è l'apparato
successivo alla scheda 10.0.0.X cioè giro tutto il traffico senza
route locali verso quella scheda, posso dire anche (che è meglio nel
caso descritto) che tutto il traffico diretto verso 192.168.1.X
255.255.255.0 deve uscire tramite la scheda 192.168.0.X così funziona
tutto ma il caso dei 5 pc collegati ad una unica rete è molto più
semplice, 5 pc uno switch e un gateway (per semplificare) ogni pc una
sotto rete, puntano al gateway, quindi i pacchetti arrivano al gateway
il problema è il ritorno o creo 5 route (nel gateway che in questo
caso è il router) una per sotto rete per dire al gateway la strada di
ritorno verso le 5 sotto reti  (gateway>switch>5pc)  o posso dire che
per esempio che la scheda del gateway è 192.168.0.1 255.255.0.0 in
questo modo oltre a non far vedere i pc tra loro viene bloccato il
traffico broadcast il sistema è lo stesso usato nelle reti con vlan
per permettere il routing tra vlan e per esmpio propagare il broadcast
solo tra alcune reti.(il traffico nella rete viene attenuato)

 puoi mettere gateway 192.168.1.1?
Ok (facciamo finta pero' che tu abbia erroneamente indicato uno dei due:
il gateway 192.168.1.1 NON sta nella subnet 
192.168.0.0/24
 - ergo la
risposta sarebbe NO) :-) , ma tu parlavi di subnettare ulteriormente:
ad esempio, secondo te, un gateway ip come 192.168.0.1 e' impostabile in
una subnet 
192.168.0.192/26
?  ;-)
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam letto al contrario, e cambia nazione.


 caso è il router)
[SNIP]
Che casino! :-D IMHO ti stai complicando inutilmente la vita:
su un sistema con su applicato l'ip forwarding non hai generalmente
bisogno di impostare route statiche perche' i pacchetti vengano
inoltrati correttamente fra le diverse interfacce. O meglio, si hanno
generalmente delle route di base predefinite. Ad esempio in windows e
in linux basta modificare una voce di registro o un flag del kernel, ed
ecco realizzato un router basico. E' sufficiente mettere il gateway di
default giusto ai client, dipendentemente dall'interfaccia a cui questi
si... affacciano (oppure delle route statiche "mirate"). ;-)
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam letto al contrario, e cambia nazione.


si ma a questo punto tutti i pc si vedono tramite il router che hai
creato mentre matteo chiedeva di avere 5 machine che non si vedano in
rete ma che possano andare in internet.

Omero wrote:

Si', non ho dato una soluzione, ma dissertavo sulle tue affermazioni.
Peraltro, neanche tu mi sembra abbia dato una soluzione. A tal proposito
mi interesserebbe una tua risposta all'altra mia replica, riguardo i
subnettamenti.


Omero wrote:

O meglio: adesso ho capito cosa vorresti proporre, ma, a parte che
dubito che sia cosa corretta in linea teorica, dubito anche che si
possa fare con gli strumenti che ha a disposizione l'OP.


in linea teorica non so ma in pratica è il metodo che usa fastweb per
unire le sottoreti per esempio.
nel netgear dg834 è fattibile grazie alla compilazione delle route
statiche che sono messe li per fare queste procedure.
comunque sto studiando il routing e sto facendo prove su macchine
virtuali.
io uso questa procedura quando creo tra due macchine virtuali
collegamenti che simulano internet per esempio una macchina con ip
80.80.80.80 255.255.255.0 e una 90.90.90.90 255.255.255.0 collegate a
uno switch non si vedono allora creo le route statiche su loro o
aggiungo una terza macchina che simula completamente internet. a quel
punto mi faccio le prove che devo fare (software vpn o qualsiasi)
direttamente nel mio pc simulando nat forward ecc.

 direttamente nel mio pc simulando nat forward ecc.
Ok. E' quello che pero' manca al poster originale (terza macchina),
per poter realizzare cio'. :-)
Sono dell'opinione a questo punto che la soluzione piu' razionale
sarebbe equipaggiare tutte le macchine con firewall free di terze parti,
configurarle con ip statici, e configurare ogni firewall in modo da:
tu passi... anche tu passi... tu invece no. :-)


ma guarda che normalmente i router adsl hanno la possibilita di
editare da configurazione web le route statiche per risolvere questi
problemi.
be a questo punto basta andare nella configurazione della scheda di
rete dei pc e disabilitare condivisione di file e stampanti e client
per reti microsoft così non ti puoi più collegare ai pc della stessa
rete tutti i pc nella stessa sottorete e via internet non hai
limitazioni

 limitazioni
Mmhh... no, perche' lui non ha specificato quali pc devono accedere ad
altri e quali no: il problema si potrebbe complicare, ed io ho cercato
di escogitare una soluzione il piu' generale possibile.
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam al contrario, e cambia nazione


 di routing con linux e...
Il mio router (D-Link 302T) ha un pannello di configurazione dove c'è la
possibilità di inserire route statiche per sottoreti e IP.
Con linux se devi aggiungere una route basta dare:
route add 80.80.80.80 gw 192.168.1.1
(aggiungi -net dopo add per una sottorete intera, e la netmask):
route add -net 80.80.80.0 netmask 255.255.255.0 gw 192.168.1.1
Se devi "creare" un router, su linux ti basta fare un
cat 1 > /proc/sys/net/ipv4/ip_forward
così trasformi la tua linux box in un router.
Enrico

 così trasformi la tua linux box in un router.
Ok... qui ci siamo...

 route add 80.80.80.80 gw 192.168.1.1
[SNIP]
Lo so bene... se rileggi il thread si parlava di realizzare ben altro:
Ogni pc ha una subnet distinta perche' non si vedano tra loro. Poi,
configurare il router per permettere l'accesso a internet a tutti
i pc. Con un cisco o con una linux box probabilmente riesco a farlo
(pur se e' una soluzione "dirty"...), con un router soho qualunque?


 (pur se e' una soluzione "dirty"...), con un router soho qualunque?
Giusto per precisare: con il solo uso delle route, la vedo difficile:
se ho citato cisco e linux e' perche' mi riferisco prelomeno all'
impostazione di alias ip sulle interfacce fisiche del router, senno'
che cacchio "si beve" il router quando riceve dalla lan un pacchetto
con un ip non appartenente alla subnet dell'interfaccia? Alias che
spesso purtroppo non e' possibile impostare sui router di fascia soho...
Comunque, al di la' di tante s.m. accademiche, in assenza di server vedo
molto piu' pulito impostare un firewall su ogni pc. Se poi si ha
wsk/winXP pro, anche se i pc si vedono tra loro, e' meglio impostare
opportunamente utenti e acl. Se poi non ci si puo' permettere un server
di dominio microsoft, soluzione ottimale se i pc superano un certo
numero, si mette su linux e samba come pdc.


questo (scusa per la lunghezza) è il link ufficiale per il netgear
dg834 è un pdf cerca route e ci sono gli esempi.
in questo router come vedi dalle foto in lan ip setup puoi allargare
il range della rete anche alle sotto reti diverse dalla sua.
http://kbserver.netgear.com/pdf/dg834gt_manual.pdf#xml=http://kbserver.netgear.com/inquira/default.asp?ui_mode=answer&prior_transaction_id=6717677&action_code=6&highlight_info=352321587,9361,9461&turl=http%3A%2F%2Fkbserver.netgear.com%2Fpdf%2Fdg834gt_manual.pdf&answer_id=52947060
puoi cercare anche static route in 
http://kbserver.netgear.com
poi mi è capitato un dlink in mano qualche settimana fa e anche lui
supportava le route statiche
se lui deve isolare tutti i pc può usare il metodo del client microsft
altrimenti puo installare come dici tu un firewall (tipo zonealarm o
altri).
quello che non so è voglio proprio provarlo appena posso e se poi il
router riesce a fare il nat delle sottoreti.
si potrebbe aprire un post sul routing
ciao alla prossima

 puoi cercare anche static route in 
http://kbserver.netgear.com
Ripeto: non riesco a capire come agire *SOLO* sulle static routes
possa consentire di mettere sulla rete host con ip al di fuori della
subnet dell'ip lato lan assegnato al router, host che possano navigare.
(a tal proposito, leggi il mio post immediatamente precedente a questo
in ordine cronologico)
Ora, saro' scemo io (ne dubito, visto che lavoro nel settore da
un po' di anni...), ma ancora non sono affatto convinto...
Naturalmente "leggi e trova le risposte da te" sara' una risposta
assai meno convincente, visto che in tutto quel che mi hai proposto
non trovo ancora giustificazione a quanto hai detto.
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam letto al contrario, e cambia nazione.


ciao renaissance
allora per un esempio di uso delle route statiche ti posto il link
ufficiale del netgear dg834 anche se so che sicuramente a d-link lo
supporta
http://kbserver.netgear.com/
 qui cerca static route seleziona anche la
ricerca da manuali
seleziona il terzo
Reference Manual for the Model DG834GT 108 Mbps Super Wireless ADSL
Router
poi cerca nel manuale "static route" c'è la spiegazione e un esempio
dal manuale:
Static Routes provide additional routing information to your router.
Under normal circumstances,
the router has adequate routing information after it has been
configured for Internet access, and
you do not need to configure additional static routes. You must
configure static routes only for
unusual cases such as multiple routers or multiple IP subnets located
on your network.
un caso dove viene usato è per creare una linea di backup, con una
metrica inferiore al gateway predefinito del router adsl si crea una
route verso un router isdn per esempio, se la metrica più bassa non
può essere utilizzata perche cade la linea automaticamente il flusso
passa sulla linea isdn.
ci sarebbe materiale e sperimentazione in questo campo per fare una
nuova discussione.
in merito al consiglio sul client microsoft, io avevo capito che tutti
i pc devono essere isolati dalla rete e andare solo in internet.
comunque la tua idea è ok visto che un firewall in più (il personal
fiewall) non fa male e incrementa il controllo dei software installati

scusate per il semi doppio post ma oggi mi si è bloccato il pc al
lavoro quando postavo e credevo di non aver postato.
questa sera sono ripartito in quarta senza controllare ed ecco due
post quasi uguali

ad un certo punto stavo impazendo.
tre pc xp uno facenti funzione di router (a casa non ne ho uno) ho
fato anche qualche stamp per i non credenti
pcrouter
pc1
pc2
pcrouter 192.168.10.1 255.255.255.0 gateway in bianco ma attualmente
sono connesso a internet quindi il mio gateway è l'isp
pc1 192.168.11.1 255.255.255.0 gateway 192.168.10.1 xp non si lamenta
controllo con un route print trovo che è inserito con metrica 30
pc2 192.168.12.1 255.255.255.0 gateway 192.168.10.1 xp non si lamenta
controllo con un route print trovo che è inserito con metrica 30
pingo con -t
pc1 pinga pcrouter richiesta scaduta
pc2 pinga pcrouter richiesta scaduta
pc1 pinga pc2 richiesta scaduta
pc2 pinga pc1 richiesta scaduta
pcrouter pinga pc1 richiesta scaduta
pcrouter pinga pc2 richiesta scaduta
su pcrouter
route add 192.168.11.0 mask 255.255.255.0 192.168.11.1 metrica 1 su
scheda 192.168.10.1
mi risponde come è giusto che il gateway non è nella rete della scheda
(non avevo capito un tubo)
route add 192.168.11.0 mask 255.255.255.0 192.168.10.1 metrica 1 su
scheda 192.168.10.1
improvvisamente il pc1 inizia a pingare il pcrouter e il pc router a
pingare pc1 pc1 e pc2 non si vedono.
route add 192.168.12.0 mask 255.255.255.0 192.168.10.1 metrica 1 su
scheda 192.168.10.1
improvvisamente il pc2 inizia a pingare il pcrouter e il pc router a
pingare pc2 pc1 e pc2 non si vedono anzi dopo
5 o 6 ping iniziano a vedersi anzi o creato un routing totale pc1 pc2
e pcrouter si pingano a vincenda.
Obbiettivo non raggiunto
pc2 per pingare pc1 passa attraverso il gateway pcrouter che ha la
route per pc1 e instrada il pacchetto.
praticamente come settare pcrouter con 192.168.10.1 255.255.0.0
dove sbaglio?
elimino tutte le route e riparto
elimino i gateway da pc1 e pc2
nuovamente i ping cessano
a questo punto lascio pcroute su 192.168.10.1 255.255.0.0 sempre senza
gateway
faccio route print e mi accorgo che adesso per ogni ip nella lan
192.168.0.0 255.255.0.0 lui mette gateway 192.168.10.1
allora ho capito il problema è lato client
su pc1 do il comando
route add 192.168.10.1 mask 255.255.255.255 192.168.11.1 metric 1
pc1 pinga pcrouter ok
pc router pinga pc1 ok
pc2 è isolato
su pc2 do il comando
route add 192.168.10.1 mask 255.255.255.255 192.168.12.1 metric 1
pc1 pinga pcrouter ok
pc router pinga pc1 ok
pc2 pinga pcrouter ok
pc router pinga pc2 ok
pc1 e pc2 non si vedono
pc1 riesce a raggiungere pc2 tramite la route in pcrouter 192.168.0.0
255.255.0.0 ma la sessione non può iniziare perchè pc2 non conosce il
percorso di pc1
traguardo raggiunto e ho capito che non avevo capito niente (e sono
anni che lavoro in questo campo)
adesso qualcuno mi spiega perche queste route funzionano visto che ho
messo come gateway lo stesso ip della scheda di rete?
Renaissance non avevo dubbi che non ti sbagliavi infatti adesso l'ho
documentato
da quello che ho riscontrato lato route basta allargare il netmask, è
lato client che bisogna creare un gateway punto punto pc router
Da tutta questa storia io perlomeno ho capito il routing

 messo come gateway lo stesso ip della scheda di rete?
IMHO non è tanto il gateway quanto l'associazione della route 
all'interfaccia.
Le route che tu hai inserito nei due PC spiegano come raggiungere il 
singolo host PCROUTER, i PC non si vedono perchè non sanno come 
raggiungere l'altro che non è sulla loro subnet e non hanno una route 
statica che lo spieghi.
In pratica è come se avessi scritto: se vuoi raggiungere 192.168.10.1 
instrada i pacchetti sulla tua (unica) intefaccia di rete.
Ciao
-- 
Fa freddo nello scriptorium, il pollice mi duole. Lascio questa 
scrittura, non so per chi, non so più intorno a che cosa...
U. Eco

 Da tutta questa storia io perlomeno ho capito il routing
Quindi convieni anche con me... almeno in parte. Non ho la stessa 
esperienza di Renaissance e seguo sempre con molto interesse i suoi 
interventi perche' c'e' sempre da imparare qualcosa, ma avevo anch'io 
constatato "a mie spese" quanto fatto da te... :)

certo che convengo anche con te
root@blabla ~]# route add -net 80.80.80.0 netmask 255.255.255.0 gw
192.168.1.1
SIOCADDRT: Network is unreachable
ho dovuto sbatterci il naso per capirlo
Ciao

 SIOCADDRT: Network is unreachable
In compenso, fino a windows XP (non so su vista) puoi mettere un
gateway fuori della subnet. Non solo: in certi casi... funziona.
http://groups.google.it/group/it.comp.reti.locali/browse_thread/thread/f23cea54c9f939d4?hl=it
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam al contrario, e cambia nazione


 gateway fuori della subnet. Non solo: in certi casi...
io ho provato nelle prove descritte, inserendolo con add route mi dava
errore ma invece ho visto che andando da proprità avanzate della
connessione è possibile aggiungere gateway fuori net mask, di default
mete metrica 30 però la si può abbassare manualmente togliendo metrica
automatica.
Ciao

 constatato "a mie spese" quanto fatto da te... :)
Lei e' tropppppo bbuono. :-D Penso che una solida esperienza di routing
la si possa fare lavorando per un sistema autonomo (...un grosso isp),
altro che le solite "pinzellacchere" a base di routing statiche o rip.
:-)


 gateway fuori della subnet. Non solo: in certi casi... funziona.
oops... link sbagliato: 
http://tinyurl.com/2w7mmy


 :-)
Il problema è che al momento di più non mi posso permettere... :-D ... 
Faccio gavetta per un futuro - chissà - grande salto. :-D

Tacci_tua ha scritto:


Perche', io me lo sono mai potuto permettere? :-)
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam al contrario, e cambia nazione
