Newsgroup: it.comp.reti.locali
Titolo: info su ipcop

Allora,
nella mia scuola (collegata ad internet con  router e IP statico) hanno
aggiunto il firewall in IPCOP 1.3
La rete interna è suddivisa in 2  parti:
- laboratori  d'informatica
- segreteria + presidenza + file server
 Tutto ciò premesso mi sembra che abbiano:
- collegato i laboratori alla scheda verde;
- collegato la segreteria+presidenza+file server (win2003server) alla
gialla;
- collegato il  router alla scheda  rossa;
Hanno fatto un bel lavoro?
Mi è stato detto che la segreteria ed il server sono stati collegati alla
gialla per dare la possibilità del controllo remoto !?
Ma con IPCOP un server può essere ragiunto dall'esterno anche se è collegato
alla sche da verde?
A mio modo di vedere i dati di una scuola non interessano a nessuno (forse
sbaglio) è quindi era sufficiente  utilizzare e configurare (sfruttando le
funzionalità incorporate)a modo il router.
Ultima domanda, come posso verificare il perfetto funzionamento del firewal
o come controllo l'efficacia e correttezza dell'installazione?
Grazie a tutti
pippo

 o come controllo l'efficacia e correttezza dell'installazione?
Verifica esattamente in base a quello che ti occorre; io direi:
- segreteria+presidenza GREEN
- laboratori ORANGE
- router RED
Non e' un tipo di topologia molto ortodossa, ma sempre meglio di niente.
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Security, Networking, Windows NT/2000/XP
http://support.microsoft.com/newsgroups/default.aspx
IDRCI Italia - 
http://www.idrci.it
 - 
http://forum.idrci.it
CHX-I, CHX-I NAT Stateful Packet Filter

 A mio modo di vedere i dati di una scuola non interessano a nessuno
Si potrebbero rendere disponibili all'esterno (genitori, studenti) dati
su programmi, progetti, assenze dei propri figli, comunicazioni con le
famiglie, pagelle... In questi casi, pero', il web server deve comunque
essere ospitato nella zona gialla che, come dice Luca, e' accessibile
dalla zona verde (segreterie).
MimmoL


Non ho capito perchè la topologia non è ortodossa.
Purtroppo non sono un esperto.
Ringrazio Luca e gli altri per eventuali ulteriori info!
saluti
Pippo

 di quelli che sono organizzati secondo IPCOP.
Si tratta di un firewall basato su piattaforma Linux.
http://www.ipcop.org
E' un fork open source di
un prodotto commerciale : SmoothWall.
Come ha spiegato Luca, in DMZ, interfaccia gialla,
ci vanno le risorse raggiungibili dall'esterno.
Sono in un segmento separato, in modo che se anche
queste macchine vengono compromesse, la LAN è
ancora salva.
Se c'è la necessità di rendere disponibili risorse
interne dall'esterno, dovrebbero essere in copia.
Mi spiego : se avete un application server o un
db server in segretaria e ci fosse la necessità
di rendere parte di queste informazioni/applicativi
accessibili dall'esterno, i servers in DMZ dovrebbero
essere replicati.
Per separare i laboratori dalla segreteria servirebbe
un altro firewall interno.
-- 
SpeedTech
ing. Roberto Gerola
Email : roberto_dot_gerola_at_speedtech_dot_it
WWW : 
http://www.speedtech.it

 Non ho capito perchè la topologia non è ortodossa.
In sostanza, e' stato installato un firewall con supporto DMZ ... 
laddove non c'e' una DMZ :-)
Nella DMZ trovano posto server pubblici, che risultano raggiungibili sia 
dalla LAN che da internet e protetti da attacchi.
La configurazione che presenti, definisce l'amministrazione e segreteria 
in DMZ, il che non ha molto senso; credo sia stata fatta questa scelta 
per disporre di due ambienti che possano connettersi ad internet, 
restando separati, cosa che avrebbe richiesto una linuxbox con iptables 
e due interfacce di rete per i due ambienti.
IpCop permette grosso modo questo funzionamento, ma a mio avviso le 
connessioni GREEN e ORANGE sono state invertite, con il risultato che le 
macchine della segreteria sono accessibili dal laboratorio, il che non 
mi sembra una gran bella idea ;-)
Volendo, pero', pubblicare in internet alcuni servizi, allora sarebbe 
opportuna una soluzione un poco piu' complessa, ovvero:
- IpCop con interfaccia ORANGE verso i server pubblici
- linuxbox con connessione WAN su interfaccia GREEN di IpCop, e due 
schede di rete, su network diverse e senza routing fra loro, per 
permettere l'accesso ad internet alle macchine delle due LAN, senza che 
si possano vedere fra loro.


Ciao Roberto
di alcune cose che dici sapevo gia'. Pippo mi aveva fatto pensare a un
prodotto hardware gia' preconfezionato che montasse IPCOP come livello
software. Infatti, per la mia scuola abbiamo difficolta' a montare IPCOP
su, per esempio, un PC di risulta; invece, un box limitato da porre
nello stesso armadietto contenente il router, sarebbe l'ideale. Era in
tal senso la mia domanda.
Attualmente ci e' stato proposto lo ZYWALL 30 della Zyxel, ma ho paura
che non preveda porta DMZ; nel momento in cui decideremo di aprire un
lato WEB server, allora ci troveremmo a dover cambiare tutto. Percio',
se trovassimo un hardware del tipo anzidetto, per noi sarebbe l'ideale.
Se poi fosse fondato su IpCop, meglio ancora! Vorrei infatti cimentarmi
con ACL e compagnia bella, delle quali ho avuto qualche introduzione in
un corso recente.
Ciao e grazie,
MimmoL

 che si possano vedere fra loro.
visto che sei sempre molto disponibile e autore di buone indicazioni, ti
posso sfruttare un altro pochino? :-)
Per capire meglio, gradirei uno schemino di questa tua ultima
implementazione, tipo quello da te usato nel tuo post precedente. A
cominciare dal router, giu giu fino a LAN Segreterie, LAN Laboratori e
LAN Servizi pubblici. Te ne sarei grato.
MimmoL

Cosimo wrote:
 > Ciao Roberto
 > di alcune cose che dici sapevo gia'. Pippo mi aveva fatto pensare a un
 > prodotto hardware gia' preconfezionato che montasse IPCOP come livello
 > software. Infatti, per la mia scuola abbiamo difficolta' a montare IPCOP
 > su, per esempio, un PC di risulta; invece, un box limitato da porre
 > nello stesso armadietto contenente il router, sarebbe l'ideale. Era in
 > tal senso la mia domanda.
Ho capito.
Probabilmente c'è qualche incompatibilità hardware,
bisognerebbe verificare con la hadware compatibility
list di IpCop.
Ho consigliato un piccolo server, perchè queste macchine
sono ingegnerizzate appunto per essere sempre operative.
In ogni caso io spenderei qualcosa in più per l'hardware
proprio per avere un minimo di garanzia di qualità.
Se il problema sono le dimensioni, potreste pensare
ad una soluzione basata su motherboard
mini itx : 
www.mini-itx.it
, anche se, personalmente
consiglierei un piccolo server DELL 400SC.
Ciao


 LAN Servizi pubblici. Te ne sarei grato.
Spero solo che il font fixed-size faccia il suo dovere :-)
internet
  |
router/modem ethernet etc..
  |
  |
  |
RED (WAN) / modem USB / modem ISDN
  |
IpCop ----- ORANGE (DMZ, 
10.0.0.254/8
) --- WebServer etc.
  |
GREEN (LAN, 
172.16.0.2/30
)
  |
  |
  |
eth0
  |
linuxbox (*)
  |        |
eth1     eth2
  |         |
LAN1      LAN2
segr.     labs
(*) la linuxbox ha 3 schede di rete:
eth0 IP 
172.16.0.1/30
eth1 IP 
192.168.1.254/24
eth2 IP 
192.168.100.254/24
eth0 viene impostata come device per raggiungere il gateway 172.16.0.254
Il routing fra le schede di rete NON viene abilitato.
I client andranno settati per vedere il rispettivo default gateway 
(192.168.1.254 per la segreteria, 192.168.100.254 per i laboratori).
Sempre la solita linuxbox potrebbe avere:
- BIND per avere un DNS per le LAN (c'e' anche su IpCop)
- squid come proxy-cache, con squidguard oppure dansguardian per 
limitare gli accessi ad internet (anche questo si puo' fare su IpCop)
- iptables impostato per permettere i soli servizi necessari alle due LAN
- un eventuale mailserver interno, con antivirus
- CUPS e Samba per la gestione delle code di stampa
(e via andare ... ma a questo punto occorre una macchina opportunamente 
dimensionata)
La network 
172.16.0.0/30
 accetta due soli nodi, per cui non e' possibile 
bypassare la linuxbox e connettersi direttamente sulla GREEN di IpCop, 
scavalcando il proxy.
P.S.: il cavo fra linuxbox (eth0) e IpCop (GREEN) deve essere incrociato.
Il risultato e' che:
- abbiamo un accesso ad internet protetto
- c'e' una DMZ attrezzabile per macchine pubbliche
- c'e' un server DNS per la risoluzione di indirizzi a livello locale
- due LAN private hanno accesso controllato ad internet, senza 
possibilita' di accedere direttamente fra loro
- c'e' un server interno di posta, che puo' gestire anche la posta 
esterna oltre a forwardare quella interna senza uscire
- l'accesso ad internet viene limitato (contenuti dei siti, protocolli, 
blacklists/whitelists, fasce orarie per IP ecc...)
- c'e' una cache per le pagine web piu' richieste
- le code di stampa sono gestite da uno spooler (quindi, stampanti di 
rete non obbligatoriamente connesse a computer che debbono restare per 
forza accesi)


 eth0 viene impostata come device per raggiungere il gateway 172.16.0.254
172.16.0.2


 [ecc.ecc.]
Non c'e' che dire.
Luca, purtroppo, come dicevo sopra, nella mia scuola abbiamo fretta e
pochi soldi per cui saro' costretto ad arrabattare qualche guazzabuglio,
aspettando tempi migliori. Apro un nuovo thread ("Una LAN da
poveracci"), ti aspetto li. ;-)
Ciao, MimmoL

 consiglierei un piccolo server DELL 400SC.
Interessanti; potrebbero stare nell'armadietto del router e dello
switch. Terro' presente.
Grazie,  MimmoL

Cosimo ha scritto:

se e` per quello ci sono anche rackmount 1u, e` che costano
un botto per gli sbirulini che sono

 un botto per gli sbirulini che sono
Mizzica, quanto roba devo imparare ancora. 8-O
Grazie anche a te frick, sono tutte soluzioni da tenere d'occhio.
PS - Un botto = poco o molto?
PPS - Sbirulini = ? 
:-)
MimmoL

Cosimo ha scritto:

eh che vuoi, sono termini tecnici, da rfc =)
costano troppo considerato che ci fai quello
e poco + (in italia li trovi sui 600 euro, x
le epia formato libro stai sui 400)

 pochi soldi per cui saro' costretto ad arrabattare qualche guazzabuglio,
Guarda che quello che ho illustrato si mette in piedi, fra hardware e 
software, in una giornata :-)


 software, in una giornata :-)
La fretta si riferiva ai tempi di apprendimento del sottoscritto. ;-)
Tu dici in una giornata, eh?
Luca... di dove sei? Per caso ti trovi dalle parti di Lecce? :-D
Ciao, MimmoL

 Luca... di dove sei? Per caso ti trovi dalle parti di Lecce? :-D
Non esattamente (sto a Bologna), ma il volo per Bari impiega 1h35' ;-) 
Inoltre ho un amico a Melfi, che e' perfettamente in grado di fare 
questo lavoro (prima pero' dovrei sentirlo). Oppure mi spedisci le 
macchine, le preparo e te le rimando, oppure puoi cercare un sistemista 
linux nella tua citta' (figurati se non ne trovi); anche se, credo, la 
cosa migliore sia vedere il discorso a piu' mani, in modo da permetterti 
di intervenire ogni volta che si rendesse necessario.


 un botto per gli sbirulini che sono
Infatti paghi più il case rack che quello che c'è dentro.
A sto' punto con quei soldi si prende un armadio più grande.


 necessario.
Mizzica, non ti perdi in un bicchiere d'acqua, eh?
Mah, forse l'ultima che hai detto e' la strada migliore. A Lecce c'e' un
LUG abbastanza attivo, frequentato anche da miei ex studenti. Mi hai
messo la pulce....
Ciao,
MimmoL