Newsgroup: it.comp.reti.locali
Titolo: Firewall e IP pubblici

Salve
Volevo sapere se è possibile piazzare una macchina dotata di IP pubblico
DIETRO in firewall.
Mi spiego meglio: in azienda abbiamo un contratto IBS Multigroup Mega
con 6 ip pubblici, un ip è stato dato al router, uno al firewall, ne
rimangono 4.
La struttura è così fatta
LAN----->FIREWALL---->ROUTER----->INTERNET
Tutti i pc della lan aziendale hanno ovviamente ip privati e sono sotto
NAT ed escono tutti con l'ip pubblico del firewall.
Il firewall è un Zywall 35.
Io volevo mettere un'altra macchina dietro il firewall ma dotandola di
IP pubblico:
LAN----------->FIREWALL---->ROUTER----->INTERNET
             |          
             |
PC IP-PUB----|
E' possibile ?

 DIETRO in firewall.
Mi ero dimenticato di dire che su quella macchina dovranno essere
installati servizi accessibili dall'interno, tipo FTP e cose del genere.

IlVentu wrote:

Assolutamente sì, sia nel caso il tuo firewall disponga di una porta DMZ sia
che non ne disponga.
Nel primo caso la DMZ ti garantisce che nesseno possa interferire nella tua
lan; nel secondo il firewall ti garantisce un po' meno perché dovrai
comunque aprire delle porte.
ciao.
-- 
http://www.emcquadro.com/

 ha scritto:

Si, il fw ha porte DMZ, il problema è che non saprei come configurare la
cosa... non tanto a livello "fisico" quanto a livello logico.

IlVentu ha scritto:

che firewall hai?

 che firewall hai?
Zyxell Zywall 35

IlVentu ha scritto:

non conosco questo modello di firewall, ti posso però dare delle 
indicazioni a livello logico.
1) gli host su dmz possono avere tanto ip privati quanto pubblici;
2) se gli ip sono privati devono (altrimenti sarebbe inutile avere una 
dmz e sarebbe sufficiente effettuare un port forwarding) appartenere a 
una subnet diversa. tanto per fare un esempio se la tua lan è di classe 
c, puoi inserire degli host su dmz con classe b o a. In tal caso deve 
sicuramente utilizzare il nat.
3) per ciascun servizio in esecuzione su host che vuoi rendere pubblico 
su dmz devi naturalmente assegnare una porta tcp.
4) può essere previsto che gli host della tua LAN possano comunicare con 
gli host su dmz.
queste sono solo delle regole di carattere generale.
cerca nei pannelli di configurazione del tuo firewall qualcosa che a 
livello logico abbia a che fare con questi concetti - ci sarà un menu o 
qualcosa del genere che faccia riferimento a DMZ.
mi auguro che queste poche idee possano aiutarti.
ciao.
enrico

 la cosa... non tanto a livello "fisico" quanto a livello logico.
hai provato a dare un'occhiata al manuale dello zw35? solitamente trovi
esempi di configurazione.. e comunque l'interfaccia grafica web è abbastanza
chiara..
saluti
-- 
Stefano Zamboni  - 
zam...@freemail.it
Legge di Rudin:
In casi di crisi che obbligano la gente a scegliere tra varie linee di
condotta, la maggioranza sceglierà la peggiore possibile.

Cercherò di essere il più preciso possibile, scusate le domande insulse che farò
ma è la prima volta che mi trovo a trattare un argomento simile.
Il firewall ha 4 porte LAN, ognuna di queste può essere settata come DMZ, quindi
mi pare di capire che devo collegare fisicamente il pc con i servizi ad una di
queste porte.
In questo screenshot vedete il pannello di configurazione del firewall riferito
alle porte DMZ 
http://www.esse-i.it/files/dmz.jpg
Fatto ciò, devo dare al pc con i servizi l'ip pubblico e la subnet, ma come
gateway devo dare l'ip pubblico del firewall o quello pubblico del router ?
Vi allego altri screenshots dei pannelli di configurazione del DMZ poichè il
"manuale" è una quick reference... molto quick che non spiega nulla :(
Menù generale 
http://www.esse-i.it/files/menu.jpg
DMZ 
http://www.esse-i.it/files/dmz.jpg
IP alias 
http://www.esse-i.it/files/ipalias.jpg
Port roles 
http://www.esse-i.it/files/portroles.jpg
Grazie dell'aiuto :)

 riferito alle porte DMZ 
http://www.esse-i.it/files/dmz.jpg
Ad occhio e croce dovresti mettere in piedi le cose in questo modo:
Internet
|
firewall -- DMZ switch -- macchine DMZ
|
LAN switch
|
macchine LAN
ossia, connettendo alla porta DMZ del router uno switch che verrà
poi utilizzato per la connessione dei servers pubblici ospitati nella
DMZ, a questo punto dovrai assicurarti di impostare una subnet
per la DMZ diversa dalla subnet che usi per la LAN, fatto questo
creerai una serie di aliases (IP aggiuntivi) mappando ciascun IP
su una delle macchine della DMZ, quindi dovrai creare le relative
regole di accesso per permettere l'accesso da internet ai servizi
esposti dalle macchine in DMZ; un esempio veloce (sempre che
io abbia capito il senso di quell'immagine); supponendo che la
tua LAN sia su una subnet 192.168.1.x/24 (255.255.255.0) potresti
impostare la DMZ su (es.) 192.168.20.x/24 il che significa:
IP Address            192.168.20.0
IP Subnet Mask   255.255.255.0
poi, supponendo di avere due macchine in DMZ con indirizzi IP
192.168.20.100 e 192.168.20.101; e che la prima pubblichi un
webserver mentre la seconda un server SMTP, ed assumendo
di volerle pubblicare su due IP pubblici (es.) 80.1.2.5 ed 80.1.2.6
dovrai aggiungere due alias relativi ad i due IP e "mapparli"
rispettivamente su 192.168.20.100 e 192.168.20.101 poi dovrai
creare due regole relative a 
192.168.20.100:80/tcp
 e, per l'altro
server  
192.168.20.101:25/tcp
sempre, come ripeto, che io abbia capito qualcosa dalla rapida
occhiata che ho dato all'immagine della config della DMZ
Ciao
-- 
* ObiWan
Microsoft MVP: Windows Server - Networking
http://www.microsoft.com/communities/MVP/MVP.mspx
http://italy.mvps.org
DNS "fail-safe" for Windows clients.
http://www.ntcanuck.com
Newsgroups and forums
news://
news.ntcanuck.com
http://forums.ntcanuck.com
408+ XP/2000 tweaks and tips
http://www.ntcanuck.com/tq/Tip_Quarry.htm