Newsgroup: it.comp.reti.locali
Titolo: Due domande su DMZ con Squid.

Mi sono incasinato con delle configurazioni di rete; è un po' che non ne 
faccio ed ero convinto che fosse come andare in bicicletta, ma 
evidentemente mi sbaglio e continuo a ruzzolare a terra.
 
L'ambiente di test che sto usando è simile a ciò che mi chiedono di 
realizzare.
 
Cerco di fare un diagramma in ASCII
 
    IP Pubblico Statico
          !
          !
    +-----------------+
    ! Modem / Router  !                   Server per VM (con 2 NIC)
    +-----------------+                  +--------------------------+
     192.168.1.1    !                    !               +---------+!
          !         !  eth1:192.168.1.10 ! e0:192.168.1.3! FW Virt !!
          !         +--------------------!---------------+         !!
          !                              !               !         !!
          !            eth1:192.168.2.10 ! e1:192.168.2.3!         !!
          !                +-------------!---------------!         !!
          !                !             !               +----+----!!
     192.168.1.2           !             !      e2:192.168.3.3!     !
    +-----------------+    !             !                    !     !
    !  FW Netgear     !    !             !   altre VM 192.168.3.x   !
    +-----------------+    !             +--------------------------+
     192.168.2.1  ! !      !           Il Gateway è su eth0 e punta
                  ! +------+            a 192.168.1.1
                  !                    eth2 è virtuale
         PC LAN (192.168.2.x)          eth0 e eth1 sono in Bridge
 
 
Sono fermo ad un maledetto ping!
 
Se sui PC metto il gateway 192.168.2.1 (quindi il Firewall NG) e nel 
loro browser il Proxy 192.168.2.3 (il Firewall VM) riesco a fare ogni 
cosa, compreso il ping al Modem (192.168.1.1) ed ai domini esterni come 
Google.com
 
Se invece utilizzo il DHCP, DNS, GTW e Proxy della macchina virtuale 
(192.168.2.3) riesco a navigare senza problemi usando proxy web e proxy 
DNS, ma non riesco a fare il Ping sul Modem (192.168.1.1) e neppure 
all'esterno o la posta.
 
Il punto è che le Iptables sono o vuote o tutte aperte 
(Input/Output/Forward Accept)
 
Che accidenti mi sta bloccando? Non credo che le porte vadano indicate 
nel proxy, nè che serva una static route visto che il server virtuale 
conosce le sue schede.
 
Oltre tutto è una cosa che a me non serve un gran che visto che a regime 
il DHCP con la cache del DNS lo potrebbe fare direttamente il Firewall 
Netgear, ma è diventata una questione di principio.
 
 
La seconda domanda è relativa alla configurazione stessa della DMZ 
perché con questa configurazione ci troveremmo:
+ il Modem collegato sia al Firewall Netgear che al "FireWall Virtuale"
+ La DMZ collegata al "Firewall Virtuale"
+ Il Firewal Netgear dietro a tutto.
I PC che possono raggiungere La DMZ e Internet dal Firewall Virtuale, ma 
di fatto anche dal Netgear
+ Un potenziale "buco" nel proxy virtuale
 
Non sarebbe stato meglio invece questa seconda configurazione?
--- IP Pubblico
+ Modem sempre con IP interno 192.168.1.1
+ Netgear sempre con IP verso Modem 192.168.1.2 e IP interno 192.168.2.1
+ Firewall Virtuale con:
--- IP esterno 192.168.2.2 collegato al Firewall
--- IP LAN 192.168.3.1 collegato allo switch della LAN
--- IP DMZ 192.168.4.1 virtualizzato
 
+ PC LAN con 192.168.3.x
+ Server DMZ con 192.168.4.x
 
Mi sembra meglio organizzata, no?
 
Grazie per i suggerimenti

 Mi sembra meglio organizzata, no?
 
Domande sceme: perche' due firewall?
Sicuro che ti convenga avere DMZ (con IP diversi dai client)?
 
 bye

 Sicuro che ti convenga avere DMZ (con IP diversi dai client)?
 
Le risposte sono due.
La prima ï¿œ perchï¿œ sul FW hardware posso mettere dei filtri sul traffico, 
ma serve anche il proxy, reverse proxy, controllo dei contenuti, ecc.
Che devo perciï¿œ installare a parte.
 
La seconda ï¿œ perchï¿œ questo ï¿œ un laboratorio di test.
In varie occasioni mi sono trovato di fronte a due Fw, uno che protegge 
la DMZ dall'esterno ed uno dall'interno (e l'interno dalla DMZ, semmai 
ci fossero arrivati)
Quindi ho voluto replicarla e studiarla meglio.
 
Avevi in mente qualche altra idea?

 ETH1, una delle due ï¿œ Eth0, quella inferiore.
 
traceroute al 192.168.1.1 dove si interrompe?

 Avevi in mente qualche altra idea?
 
Boh!
Un firewall con tre schede (WAN, LAN, DMZ)?
Niente DMZ e il firewall (software) che protegga anche se stesso e le VM
anche dalla LAN?
Dipende molto dai dettagli...
 
 
 bye


Non lo fa proprio! Da solo "Richiesta scaduta" su 30 passaggi.
 
Facciamo un passo indietro, perchï¿œ so di perdermi in un bicchiere 
d'acqua ed il problema ce l'ho sotto il naso.
Sarï¿œ la mia ruggine, ma proprio non lo vedo.
 
Faccio l'esempio reale, dopo che ho attivato di nuovo la configurazione 
base senza Virtual Machine di mezzzo.
 
PC              192.168.4.100
Server NIC1     192.168.4.2
Server NIC2     192.168.2.2
FW PortaInterna 192.168.2.1
Fw PortaEsterna 192.168.1.2
Modem/router    192.168.1.1
 
Da PC
Ping 192.168.4.2 Ok
Ping 192.168.2.2 Ok
Gli altri IP non li vede.
 
Tracert 192.168.2.2 Ok
Tracert sugli altri ho subito "Richiesta scaduta"
 
Tutte le NIC hanno netmask 255.255.255.0
Il PC ha Gtw 192.168.4.2
Il server ha Gtw 192.168.2.1 associata a Eth1 che nei dati sopra 
indicati ï¿œ associata a NIC2
Nel Fw il Gtw ï¿œ 192.168.1.1
 
Per la precisione il file interfaces del Server ï¿œ
auto eth0
iface eth0 inet static
  address 192.168.4.2
  netmask 255.255.255.0
  network 192.168.4.0
  broadcast 192.268.4.255
 
auto eth1
iface eth1 inet static
  address 192.168.2.2
  netmask 255.255.255.0
  network 192.168.2.0
  broadcast 192.268.2.255
  gateway 192.168.2.1
  up ip route add 
192.168.2.0/24
 via 192.168.2.2
  up ip route add 
192.168.1.0/24
 via 192.168.2.1
 
Le iptables non ci sono. con iptables -l non appare nulla.
 
Dove cacchio ï¿œ il blocco?
Perchï¿œ se il Server non instrada il traffico tra le sue schede ï¿œ inutile 
parlare del resto.
 
Grazie.
Ciao

Il 07/01/2013 19:11, Elephant ha scritto:
 > ...
 
Ho risposto nell'altro messaggio.
Il Ping non viene instradato a livello di server, vedo le sue due 
schede, ma oltre non vado.
 
Se prima non supero questo intoppo, non ha senso discutere delle VM e 
tanto meno del firewall.
 
Grazie anche a te.
Ciao
 

   up ip route add 
192.168.1.0/24
 via 192.168.2.1
 
Queste potresti anche toglierle visto che 2.1 ï¿œ il default gateway.
 
Sul server il routing ï¿œ abilitato?
 

 + il Modem collegato sia al Firewall Netgear che al "FireWall Virtuale"
 
per come la vedo io � sbagliato.
un solo firewall (f1) � connesso con la sua wan al router. 
un solo firewall (f0) � connesso con la sua lan alla lan
la dmz sar� connessa alla wan di f0 e alla lan di f1.
 
se invece vuoi fare una configurazione a singolo firewall (screened)
avrai un firewall con le tre porte, lan, wan e dmz.
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo em@il non � da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

Il 08/01/2013 15:55, Mirko Borsari ha scritto:> Ciao Gerry  in data Thu, 

Su questo sono d'accordo con te, ma se non metto in contatto i due come 
passa il traffico http della navigazione?
Attraverso la DMZ?
Uhmmm. Non sono convinto.
 
 > se invece vuoi fare una configurazione a singolo firewall (screened)
 > avrai un firewall con le tre porte, lan, wan e dmz.
 >
 
Il progetto prevede due firewall, poi possiamo anche discutere se sia 
utile o no, ma vogliono questo.
 
Il primo firewall (FW0) blocca l'accesso dall'esterno ed indirizza il 
traffico HTTP e della Posta verso la DMZ dove ci sarannno i server.
Il traffico HTTP della navigazione viene invece indirizzato verso il 
secondo firewall (FW1).
 
Questo funge da proxy ed indirizza le richieste HTML verso il FW0 e le 
richieste verso i server aziendali in DMZ, quelli visibili da fuori e 
quelli accessibili da dentro come i NAS.
 
Presumibilmente le VPN saranno soltanto verso i server ed i NAS in DMZ, 
quindi la farei gestire da FW0.
 
Nella mia logica entrambi i firewall dovrebbero avere tre schede.
 
FW0 verso Internet, DMZ e verso FW1
FW1 verso FW0, DMZ e LAN.
 
Per� FW0 ha solo due porte, verso Internet e quelle associate al suo 
Switch. A meno di utilizzare la porta che indirizza verso la funzione 
DMZ del firewall, attualmente disabilitata.
Per�, se non ricordo male, questa se attivata dirotta TUTTO il traffico 
verso la DMZ.
 
Su FW1 ho le tre schede, di cui una virtuale e due in bridge con le due 
della macchina hardware.
 
Io ho pensato ad un secondo schema, forse pi� snello.
 
Internet
    |
  Modem
(192.168.1.1)
     |
     |
(192.168.1.2)
    FW0
(192.168.2.1)
     |
     |
(192.168.2.2)
+--------------------------------------+
!   |  Server Hardware                 !
!   |                                  !
!  (192.168.2.3)                       !
! +-------------+                      !
! ! FW1         ! (192.168.3.3) ---DMZ !
! +-------------+                      !
! (192.168.4.3)                        !
!    |                                 !
!    |                                 !
+--------------------------------------+
  (192.168.4.1)
      |
   PC LAN
 
Se posso utilizzare la porta DMZ di FW0, posso sempre installare una 
terza NIC sul Server Hardware e mettere pure questa in bridge con la 
terza NIC di FW1, anzich� averla virtuale.
 
 

    PC LAN
 
ma fw0 a cosa serve? Alla fine fai tutto con fw1.
io farei, fw0 connesso con la sua lan ad uno switch virtuale (una
scheda del server) connesso a DMZ e a wan del FW1 che a sua volta
tramite la lan (seconda scheda del server) si collega allo switch
fisico della rete. con il routing e le regole dei firewall poi fai
girare tutto come ti pare.


 fisico della rete.
a grandi linee stai descrivendo ipcop..... :)

Ciao meddix on ubububu  in data Wed, 09 Jan 2013 09:20:15 +0100, hai
scritto:

non ti seguo...


 i NAS in DMZ? e perch� se non devono essere accessibili dall'esterno?
 
Perch� come ti dicevo c'� la necessit� di creare delle VPN dall'esterno 
e questo pu� avvenire solo per accedere a dei server applicativi oppure 
ai "contenuti" sul NAS.
 
Se non ci fossero le VPN, allora terrei questi server e questi NAS in LAN.
 
 


Attenzione, restiamo "sul pezzo", altrimenti scivoliamo su un discorso 
teorico.
 
IPCop � un Firewall e c'� gi� un Firewall (fw0).
Questo non viene cambiato perch� se anche cos� fosse, allora tanto vale 
andare su un appliance che ha pi� schede, che mi gestisce pi� servizi, ecc.
 
L'idea � quella descritta:
-Fw0 esterno
-DMZ con i server pubblici/privati e semmai decidere come garantire la 
sicurezza per questi ultimi.
-Proxy su una VM che gestisca il traffico HTTP, faccia da ulteriore 
firewall (fw1) verso la LAN-DMZ e magari reverse proxy per il server 
http aziendale (pubblico).
 
Per questo (fw1) avevo pensato di installare IPCop, ma poi ho pensato di 
limitarmi a Squid+Dansquardian per il proxy ed IPTables per il firewall 
vero e proprio.
Su Debian.

 girare tutto come ti pare.
 
Non avevo visto il commento.
 
Fw0 � il firewall hardware, un Netgear gi� esistente.
 
Io sono arci convinto che con un solo Fw sia tutto pi� semplice e che 
sia cos� la stragrande maggioranza dei casi.
Per� non � che la soluzione con due Fw sia cos� peregrina e a mio avviso 
offre una maggiore protezione.
Che poi in taluni casi sia eccessiva posso essere d'accordo, ma in fin 
dei conti si sta ragionando su due Fw.
Non � che mi sono svegliato e mi sono detto "oggi mi complico la vita 
perch� mi annoio".
 

 Se non ci fossero le VPN, allora terrei questi server e questi NAS in LAN.
 
bho... io i dati me li terrei comunque in lan.


 dei conti si sta ragionando su due Fw.
 
non dico che sia eccessiva, dico che la dmz sta nel mezzo tra i due
firewall, 
 
	INTERNET
		|
-----------------------------
|             FW0                   |
-----------------------------
		|_________________DMZ
		|
-----------------------------
|             FW1                   |
-----------------------------
		|
		LAN
 
 
e non:
 
		INTERNET
		|
-----------------------------
|             FW0                   |
-----------------------------
		|
-----------------------------
|             FW1                   |____DMZ
-----------------------------
		|
		LAN
 
in questo secondo modo FW0 cosa fa? passa tutto a FW1... 
Per carit�, uno pu� anche metterci n firewall in cascata, ma a cosa
serve? 


 Modem/router    192.168.1.1
ok
Spiegami un po'

 perch� mi annoio".
onestamente: il dubbio mi � venuto e non riesco a convincermi del contrario!


Ma no, sono in cascata.
 
Partendo dall'esterno:
 
Il modem a una porta WAN pubblica e la SUA porta LAN (192.168.1.1).
Il Netgear ha due porte: una verso il modem (192.168.1.2) ed una verso 
la SUA LAN (192.168.2.1).
 
Poi c'ï¿œ il Server Hardware che ha due NIC: una ï¿œ verso il Netgear 
(192.168.2.2) ed una verso la LAN vera e propria (192.168.4.2).
 
Sul server Hardware girano delle macchine virtuali.
Una di queste ï¿œ il proxy con 3 NIC due delle quali in bridge con le NIC 
hardware. La prima ï¿œ verso il Firewall (192.168.2.3), la seconda ï¿œ verso 
la LAN (192.168.4.3) mentre la terza ï¿œ virtuale (192.168.3.3) e verso la 
DMZ che sarï¿œ composta da altri server virtuali.
 
ï¿œ ovvio che i PC devono puntare come Gtw alla NIC virtuale (192.168.4.3).
Il server ha invece Gtw la LAN del firewall (192.168.2.1) e quest'ultimo 
il modem (192.168.1.1).
 
Sono 3 elementi concatenati di cui uno ï¿œ un "contenitore" di un altro, 
virtuale, ma che si sovrappone e con una terza appendice verso le altre VM.
 
Ma come le collegate voi le macchine virtuali?
Io non vedo altri modi oltre a questo.

 bho... io i dati me li terrei comunque in lan.
 
E come ci arrivano in LAN?
Dovrei far passare le VPN attraverso i due firewall?
 


Scusami, ma sar� stordito io, ma non la capisco.
Sul Netgear c'� lo switch ed una delle porte � identificata come DMZ.
Se l'attivo, tutto il traffico in entrata va verso questa porta (a meno 
di aver preso lucciole per lanterne).
 
Su FW1 quante NIC ci metti?
una verso lo switch della LAN, una va verso lo switch integrato del Netgear.
Ne vuoi mettere una terza?
 
Cio� dalla porta DMZ del Netgear verso un altro switch dove arriva la 
terza scheda di FW1?
 
In ogni caso la DMZ � virtuale, il che vuol dire che sul proxy la SUA 
terza NIC � pure questa in bridge con la terza NIC hardware.
 
Ma a me questa sembra una DMZ di lato.
Altrimenti, ti siace farmi un esempio con gli indirizzi?


Scusate, dimentichiamoci per un momento del server hardware e fingiamo 
che sia tutto hardware.
 
Modem
  |
FW0
  |
FW1 -- Switch -- DMZ
  |
Switch
  |
LAN
 
Se non ho capito male il suggerimento �:
 
Modem
  |
FW0 -----
  |       |
FW1 -- Switch -- DMZ
  |
Switch
  |
LAN
 
In questo caso devo capire come posso usare la porta DMZ di Netgear.
Al momento non l'ho fatto se non in modo superficiale.
 
Se invece il suggerimento �:
Modem
  |
FW0
  |
Switch
  |
DMZ
  |
Switch
  |
FW1
  |
Switch
  |
LAN
A parte che devo capire come virtualizzare la cosa (ma non � questo il 
problema), come faccio a far navigare i PC se i due firewall non si parlano?
 


 
Oppure intendete questo?
 
Modem
  |
FW0
  |
Switch ---- DMZ
  |
FW1
  |
Switch
  |
LAN
 
Quindi con gli IP
Modem 192.168.1.1
  |
192.168.1.2
FW0
192.168.2.1
  |
Switch ---- DMZ 192.168.2.x
  |
192.168.2.2
FW1
192.168.3.1
  |
Switch
  |
LAN
192.168.3.x

 Io non vedo altri modi oltre a questo.
 
Mai usato proxy in VM, personalmente.
Comunque se dal PC pinghi 2.1 il pacchetto ICMP deve attraversare il 
proxy: non ï¿œ che blocca ICMP?

 192.168.3.x
 
Volendo proprio farsi del male con due firewall (di cui continuo a non
capire il senso), io voto per questa.
 
 bye

 LAN
 
alleluia... :-)


 Volendo proprio farsi del male con due firewall (di cui continuo a non
 
la vera dmz si fa con due firewall, meglio se diversi.
Se bucano il primo firewall sono solo in dmz e per entrare in lan ne
devono bucare un secondo.
E' per questo che dalla DMZ verso la LAN teoricamente dovrebbe essere
tutto bloccato.
Poi ovviamente bisogna vedere quali sono le necessit�. Se nel caso
specifico il cliente non si fida del firewall virtuale semplicemente
non lo metterei e metterei su solo il proxy...
E magari comprereri un firewall migliore dell'attuale.


 Dovrei far passare le VPN attraverso i due firewall?
 
Oppure attesti le vpn sul firewall virtuale...


 proxy: non ï¿œ che blocca ICMP?
 
Il problema del ping e dell'instradamento in realtï¿œ l'ho superato.
C'era un errore nell'attivazione del servizio, per questo non andava.
 
Poi qui ci siamo messi a parlare della struttura delle DMZ e mi sono 
dimenticato di segnalare che avevo risolto la cosa :-)


 
No, non mi sto facendo male.
Non ho voglia di spendere soldi per l'ambiente di test.
 
L'ESX non gira sul mio server, non vede i controller Raid SATA, nemmeno 
senza il RAID.
Poi il processore non ha il VT per la virtualizzazione.
 
C'era su VMware Server e non ne avevo bisogno.
Disinstallato adesso non c'� verso di installare altro, n� ESX e neppure 
Workstation.
Xen mi andava in palla, quindi dopo vari tentativi a questo punto ho 
installato VBox 64 e dentro le VM a 32.
 
Prima o poi cambio la macchina o almeno la MB, ma oggi d'entro ci sono 6 
dischi HotSwap, 2 controller, 6GB di RAM.
Buttarla mi scocciava. Per un ambiente di test, poi.
 
In seguito, come dicevo l'idea � di rifare il lavoro in VMware.
 

 E magari comprereri un firewall migliore dell'attuale.
 
Ti sfugge la situazione generale :-)
Qui siamo arrivati al punto che per risparmiare ci metterebbero anche la 
playstation se riuscissero a collegarla :-)
Magari quella vecchia che il figlio non usa pi�.
 
In quanto a fidarsi del FW virtuale, o per meglio dire software, s� non 
si fidano.
Quindi punto tutto sulla configurazione del Netgear ed il secondo 
firewall a proteggere la DMZ con in pi� il proxy per gli utenti.
 


Eh, alleluia un par di palle!
Come lo collego il firewall di ferro con lo switch virtuale?
 
Sto controllando, ma in VBox non c'� una funzione che virtualizza lo 
switch collegandolo per� ad una NIC fisica dell'Host.
 
Forse in ESX, e se non ricordo male anche in VM Workstation, ma in VBox 
lo switch virtuale non � collegabile al server Host.
Quindi dovrei creare in ogni caso un'ulteriore VM collegata allo switch 
ed anche in bridge con la NIC Host per poi configurare entrambi cos� da 
trasferire di peso tutto il traffico.
 
Forse in Debian c'� qualche cosa che virtualizza la rete, ma resta poi 
da collegare a VBox.
 
A sto punto tanto vale tornare allo schema di prima.

 switch collegandolo per� ad una NIC fisica dell'Host.
 
non ti so aiutare, uso solo vmware per virtualizzare, ma se poi
l'ambiente reale � vmware non hai problemi di sorta.


 Magari quella vecchia che il figlio non usa pi�.
 
no no � una situazione che comprendo perfettamente.
Spero a questo punto che l'infrastruttura per il virtuale sia gi� in
casa, perch� al contrario non � certo un firewall che fa la
differenza...


 dimenticato di segnalare che avevo risolto la cosa :-)
 
Si ho visto.
Dal punto di vista della sicurezza ti consiglio di chiudere come una 
cassaforte la 2.2 del server.
Il problema è che in caso di penetrazione del Netgear il server rimane 
esposto agli attacchi e se entrano lì dei firewall virtuali se ne fanno 
un baffo: questa configurazione la sconsiglierei nel caso dovessi 
esporre servizi su Internet. Meglio prendere un firewall fisico e 
mettere i server in DMZ per davvero.