Newsgroup: it.comp.reti.locali
Titolo: [Lungo] Una vera rete, mica bau bau micio micio

Mi serve un consiglio - Io esprimo le mie idee e mi piacerebbe sapere se
sbaglio qualcosa.
PREMESSA
Attrezzature:
Ho un router Cisco 2611 gestito dal mio ISP
Uno Switch 3Com superstack che supporta VLAN IEEE 802.1Q
Ho due range di 8 ip a disposizione: x.x.238.80--87 (80 e 87 non
utilizzabili) e y.y.225.56--64
6 server linux con i seguenti indirizzi ip: x.x.238.82,83,84,85,86 e
y.y.225.56 (solo un indirizzo della seconda rete è in uso)
Ho inoltre 8 workstation con indirizzi di rete privata 10.100.10.10 fino a
10.100.10.10
CONFIGURAZIONE ATTUALE:
Tutte questa macchine vanno allo switch
Il router è configurato in modo da fare NAT in modo statico per i server
linux mentre dinamico per le workstations, in pariticolare:
x.x.238.82 <->10.100.10.3
(segue in modo identico)
x.x.238.86<-> 10.100.10.7
y.y.225.56<-> 10.100.10.8
I server linux hanno, sulla scheda di rete sia l'indirizzo privato che
l'indirizzo pubblico (alias eth0:1)
Il router ha indirizzo IP privato 10.100.10.1
Tutti i computer hanno come gateway impostato 10.100.10.1
Tutte le workstation hanno indirizzi 10.100.10.10->fino a 10.100.10.100
visti dall'esterno come x.x.238.81
Il problema è questo:
Vorrei eliminare completamente tutti i riferimenti agli indirizzi di rete
privata sulle macchine non effettivamente associate alla rete privat (i
server linux in pratica)
In praticolare vorrei fare questa cosa inserendo un firewall che NATTI solo
le workstation (che avranno indirizzi di rete privata)
Mi troverei con una configurazione di questo tipo:
                                                           <-----> Server
Linux con indirizzi x.x.238.82,83,84,85,86
Router <---> firewall <---> SWITCH <-----> Server Linux con indirizzi
y.y.238.56
                                                           <----->
Workstation con indirizzi di rete privata 10.100.10.X
Tralasciando il fattore 'firewall e policy di filtraggio', il firewall
all'inizio dovrebbe solo nattare le workstations per fare una DMZ e lasciare
andare il resto del traffico come se fosse un transparent bridge
Il mio ISP sostiene che per fare una connessione "punto punto" tra il router
ed il firewall è necessario spaccare la rete 238.80-87 in due reti distinte,
ma facendo ciò con la rete di 8 indirizzi, di cui solo 6 utilizzabili, mi
ritroverei due reti 80-83 e 84-87 di cui solo 4 'utilizzabili', ovvero 2 per
ogni 'micro' rete
Quello che io invece avrei fatto sarebbe:
<-------------> Servers Linux da 238.81 a 86
Router (225.57) <--->(225.58) firewall (225.59)<--->SWITCH<-------------->
Servers Linux 225.56, 59-63
                                            (10.100.10.1 eth0:1)
<--------------> Workstations varie con indirizzi 10.100.10.x (che
dovrebbero apparire come
225.58 dall'esterno
E le mie domande diventano:
Che netmask uso sulla porta interna del firewall (225.59) ?
Il firewall sarà in grado di vedere i pacchetti delle 3 sottoreti nello
switch ? (lo switch permette di mettere macchine con ip diversi)
Che ne dite ?
Avete conoscenze per aiutarmi (anche come consulenza) a Milano ?
Grazie per ogni eventuale aiuto
Julien

 Avete conoscenze per aiutarmi (anche come consulenza) a Milano ?
Boh, a Milano ci sono una settimana si e una no. Da che parte stai?
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Networking, Windows NT/2000/XP
http://support.microsoft.com/newsgroups/default.aspx

 Boh, a Milano ci sono una settimana si e una no. Da che parte stai?
Piazza Repubblica
Grazie Luca
Julien Buratto

 Piazza Repubblica
Secondo me dovresti risolvere. Alla peggio contattami in email: 
luca-at-sasdelli-punto-it
Ciao
Luca

Oggi approfittando del blocco del traffico, sono andato in ufficio a
studiare un po' la cosa.
Mi sono inoltre accorto che il mio modello di switch non è VLAN, quindi mi
attacco.
Nel frattempo ho installato SmoothWall ed ho già messo su la rete di
indirizzi ip privati usando dhcp del firewall
Con i client di 'ip privati' sono riuscito a navigare senza problemi (ho
impostato come gateway sul dhcp l'indirizzo del dhcp server stesso).
Purtroppo non ho potuto applicare la configurazione finale per due semplici
motivi:
1) Mi manca uno switch
2) Non ho modo io stesso di disattivare il NAT sul router (che natta con ip
privati, quindi se metto gli ip pubblici e basta sui server non va più un
cazz)
Questo prevede che i server (e non è un problema perchè tanto le policy sui
server linux sarebbe stata 'aperta a tutto') rimanda limpida e i server
siano collegati in modo 'dritto' sullo switch dove c'è il router.
Morale, ho abbassato di un livello la posizione del firewall lasciando
'pubblici' i server.
Ora devo studiare le VPN perchè non so una mazza di ipsec etc etc e devo
installare un software di Omnitel che usa un client IPSEC (e non so cosa
sia) però ci devo sviluppare sopra un'applicazione java e quindi devo
muovermi in fretta
Grazie ancora (soprattutto per avermi segnalato SmoothWall)
Julien

 Ora devo studiare le VPN perchè non so una mazza di ipsec etc etc e
Questo non c'entra nulla con le premesse che avevi indicato nel post
iniziale. Cosi' come il dhcp e le VLAN.
Puoi spiegare nuovamente, senza andare in dettagli eccessivi, esattamente
*cosa* devi fare?


 *cosa* devi fare?
Per quanto riguarda VPN, dalla DMZ devo creare delle connessioni ad un
server esterno tramite ipsec, ma questo trascende totalmente dal discorso di
topografia della rete, così come dhcp.
Vlan invece sarebbe stato utile per non acquistare uno switch in più.
magari ti contatto via email e ti mando la topografia della rete su immagine
GIF
Ciao
Julien

 GIF
Dai, forse cosi' arriviamo da qualche parte.
Ah: dettaglietto da poco: specifica chiaramente cosa ti serve, che 
servizi vuoi pubblicare in web, quali in lan ... insomma, fin'ora so 
solo che hai sei server (che non si sa cosa facciano, eccetto per un 
DNS, che non ho capito se linkato a un forward o no) due classi da 8 IP 
sullo stesso router (e gia' questa e' un po' a se') e uno switch.
Ecco: partiamo da qui.
Ho cambiato il subj, perche' mi sembra molto piu' appropriato, visto 
l'evolversi della cosa :-)
Ciao
Luca