Newsgroup: it.comp.reti.locali
Titolo: Firewall hw, router e DMZ

In una configurazione che preveda un firewall hardware + un router ADSL che 
sostanzialmente gestisca solo la connessione sarebbe scorretto (o inutile) 
piazzare il firewall sulla DMZ del router? (in sostanza dovendo configurare 
port forwarding etc. lo dovrei a quel punto fare solo sul firewall e non 
anche sul router il quale a quel punto non farebbe altro che il 
collegamento).
Sto dicendo delle bestialità? Grazie 

 Sto dicendo delle bestialità? Grazie 
Beh, no, nel senso che se chiedi, vuol dire che vuoi capirci qualcosa in
piu' :)
La DMZ viene definita dal firewall e non dal router. E' una subnet
differente sia dalla WAN che dalla LAN, verso la quale sono stabilite
regole specifiche in modo da contenere il traffico; se un attacker
dovesse forzare una macchina esposta su internet, la DMZ nella quale si
trova avrebbe una funzione di cella chiusa, bloccando il propagarsi
dell'effrazione.
Lo schema, trito e ritrito, e':
Internet
 |
 |
router
 |
 |
Firewall (lato WAN)
 |
 ------------------- Firewall (lato DMZ)------ utenze DMZ
 |
Firewall (lato LAN)
 |
 |
LAN
Per il port forwarding, l'ideale e' che il router sia configurato in
bridged mode, cioe' senza applicare alcuna NAT: sulla connessione verso
il firewall avremo gli stessi IP pubblici della WAN, in modo che sia il
firewall a definire i NAT opportuni.
Sommariamente, le regole classiche sono:
WAN -> DMZ: solo i servizi scelti e sulle macchine specifiche
WAN -> LAN: bloccato
DMZ -> WAN: permesso
DMZ -> LAN: bloccato
LAN -> WAN: a discrezione del sysadmin
LAN -> DMZ: permesso
Ciao
Luca

 firewall a definire i NAT opportuni.
Intanto ti ringrazio molto per la spiegazione cosě precisa.
Il mio problema č che non conoscevo (e non conosco) il bridged mode (adesso 
darň un occhiata sul router a come si fa, perň da quel che mi ricordo non 
capivo come fare la connessione visto che non mi faceva impostare user e 
pw), quindi avevo fatto qualcosa di diverso, cioč:
il router su 192.168.0.*
il firewall su uno dei 192.168.1.* sul lato LAN e ovviamente uno 192.168.0.* 
sul lato WAN per interfacciarsi col router.
In questo modo perň ho l'impressione (forse errata) che tutti i pc della 
rete 192.168.1.* passino attraverso un doppio NAT, e cosě mi ero chiesto se 
avrei avuto qualche beneficio a impostare sul router che il firewall fosse 
sulla sua DMZ (tanto poi tutti i pc sarebbero passati dal firewall).
Dici che la struttura della mia rete č illogica? ciao e grazie 

 Dici che la struttura della mia rete è illogica? ciao e grazie 
Beh, non piu' di tanto. Se ad esempio realizzi una DMZ "da manuale",
cioe' con due firewall, il doppio NAT te lo ritrovi per forza.
La tua configurazione presenta qualche difficolta' per il fatto che devi
per forza impostare un NAT statico sul router per ogni servizio da
pubblicare. Con un modem/bridge o con il bridged mode faresti tutto sul
firewall.
Ciao
Luca

 firewall.
Provo a documentarmi su come si realizza un bridged mode, visto che non ne 
ho la minima idea.
Ciao e grazie

 LAN -> DMZ: permesso
Lo permetto solo per i servizi necessari, e certi accessi li permetto
solo ai sysadmin. Motivo analogo, a quanto sopra, ma riguardante i
pericoli che possono provenire dall'interno della lan (e.g. il solito
bischero che si installa qualunque cosa trovi su internet...) :-)
bye G.L.

 ho la minima idea.
Dipende appunto dal router. Nell'IOS di Cisco, l'interfaccia LAN viene
impostata come unnumbered e linkata alla WAN, dalla quale "eredita" gli
indirizzi IP. Ovviamente non avviene alcun routing.
Ciao
Luca

 Di solito, lo permetto solo ai servizi strettamente necessari (smtp,
[...]
Certo; il mio e' solo uno schema di massima, come ho scritto. Volendo,
si puo' parlare anche di VLAN e di packet filtering sulle macchine in
DMZ eccetera ... ma arriveremmo al romanzo :-)
Ciao
Luca