Newsgroup: it.comp.reti.locali
Titolo: Chiarimento sul routing

Ciao a tutti !
Ho in progetto la configurazione di una piccola rete
( 3 client + un server web e un mailserver ).
La mia intenzione era quella di collegare un router per
l'accesso alla rete esterna e subito sotto configurare un firewall 
linux-based. Da qui poi con 2 schede hai client e ai server.
Tutto mi è abbastanza chiaro ma mi sorge pero' 
un dubbio riguardante il routing, sulle singole macchine.
Come raggiungere la rete esterna ? i client e i server devono 
puntare al firewall (cioè lo vedono come default-gateway)
e poi quest'ultimo redige il traffico verso il router ?
E soprattutto se fosse così come deve essere impostata 
la tabella di routing del firewall ?
Scusate l'interccio di parole ma in effeti il discorso
non mi è chiaro.
Ho fatto una ricerca in rete, ma ho trovato poco. Mi pare di aver
capito che la cosa potrebbe essere possibile impostando 
un bridge-firewall che è trasparente per la rete,
ma rimane comunque oscuro il discorso del routing e preferirei
non adottare questo metodo.
Qualcuno puo' aiutarmi a fare chiarezza ?
Ciao e grazie.
Beppe
 

  Beppe
ciao ...
-- 
#include <stdio.h>
int main(void){char c[]={10,65,110,116,111,110,105,111,32,98,97,114,98,111,110,
101,32,60,104,105,110,100,101,109,105,116,64,116,105,115,99,97,108,105,110,101,
116,46,105,116,62,10,10,0}; printf("%s",c); return 0;}

Ciao e grazie inanzitutto, della risposta.
Bene ora inizio a vederci molto piu' chiaro,
apprifito ancora un'attimo della tua disponibilità
per una curiosita ;
Per lo snat/dnat ip forwarding tutto ok.
Mi chiedevo perchè far fare il masquerading a Linux
e non direttamente al router !
Ne traggo qualche vantaggio oppure la cosa è indifferente?
Grazie Beppe
Grazie Beppe


  Grazie Beppe
ciao ... spero di essere stato chiaro, ma se hai dubbi, chiedi pure ...


Ok !
riassumendo linux è il punto centrale della rete.
E tutti i pacchetti che giungono a lui devono essere mascherati
con le procedure " DNAT / SNAT "
prima di essere instardati sulla nuova rete, in modo che appaiano
sempre provenienti da lui. 
Grazie 1K per l'aiuto, sei stato chiarissimo.
Beppe


  Beppe
ciao ... figurati ...


Ciao Antonio,
risposte chiare e didattiche.
Leggo solo oggi, " navigando" tra i messaggi, le tue risposte sul firewall
linux, che sto studiando anche io.
La mia ossessione è questa: per consigliare un firewall linux i clienti
vogliono sapere se esso li difende anche dai virus.
Assolutamente sembra di no, ma ti chiedo, come si puo' difendere la rete con
un firewall anche dai virus?
Grazie, helius

Poi un'altra cosa, scusa
Un firewall linux rallenta la rete?
Che tipo di macchina posso mettere come firewall, va bene anche un pentium
II 350?
Grazie, elio

elio ha scritto:

I Firewall NON difendono dai virus, quei Clienti fanno una domanda
sbagliata, il Firewall non e' fatto per questo, semmai puo' bloccare
certe porte che certi virus-troyans usano per comunicare e scambiare
dati con l' esterno... di piu' NON puo' fare e NOn deve fare, anzi la
PRIMA buona politica di firawalling e' che l' apparato adibito a tale
scopo non deve fare ALTRO che quello, al massimo si puo' fare in modo
che Router e firewall stiano sulla stessa macchina ma MAI metterci
altri servizi o farci girare altre applicazioni.
perche'? Perche' piu' auenta in n° dei servizi piu' aumenta la
possibilita' che qualcuno sfrutti possibili "difetti" di quelle
applicazioni per entrare nel sistema come amministratore e "abbattere
il muro", piu' un sistema e' complesso piu' statisticamente e'
soggetto a difetti.
Per una buona politica di protezione dai virus con sistemi Windows
occore PRIMA di avere un firewall e di installare l' antivirus
prendere determinate precauzioni:
Un lettore di posta che NON consenta l'avvio automatico di script ed
applicazioni e che permetta di distinguere il reale contenuto degli
attachments (Eudora ad esempio dedica una dir al deposito degli
attachments, in cui appaiono con il loro vero nome e la loro vera
estensione); Se usate Outlook usate sempre le ultime patch e
disabilitate l' avvio automatico degli script con l' uso
dell'anteprima.
Un borwser che consenta anche il blocco di script e applicazioni e con
cui si aposas avere il massimo controllo possibile su cio' che viene
eseguito e/o scaricato. Se usate IE scaricate sempre le ultime patch.
EVITARE come la peste l' uso della condivisione files tra i PC-clients
della rete ma utilizzare allo scopo uno o piu' fileservers in cui gli
utenti condividano i files (piu' sicura e' la cond. delle stampanti);
eventualmente si potrebbero usare per scambiare files e messaggi tra i
clients delle applicazioni peer to peer tipo il WinPOPUp ma piu'
evolute (ce ne sono in rete).
Se si usano workstation NT o 2000 non entare MAI come amministratore
ma usare sempre (a meno di motivi di installazione o manutenzione
particolari) un utente generico con al massimo i diritti di PowerUser;
Gli utenti normali non dovrebbero mai avere i diritti di
amministratore.
Istruire gli utenti sul riconoscimento degli allegati nelle e-mail,
sul funzionamento dei virus e sul riconoscimento dei potenziali virus
negli attachments.
Impedire severamente agli utenti di scaricarsi programmini,
screeensevars e porcherie varie, pena l' interdizione all' uso del PC
e l' uso forzato del PALLOTTOLIERE.
Non consentire agli utenti di scaricarsi le patch da windows update,
questa e' un' operazione da lasciar fare SOLO al SysAdmin.
[piccolo_consiglio]
Installate TweakUi o applicazioni simili e disabilitate tutto cio' che
non ritenete necessario per l'utente medio in modo particolare
***DISABILITATE*** il contenuto WEB sul Desktop, l' Active Desktop.
[/piccolo_consiglio]
POI e solo POI:
mettere gli antivirus prima di tutto sui servers, specie quelli che
fungono da fileservers e da eventualmente servers di posta.
Mettete gli antivirus sui clients.
[piccolo_consiglio]
Volendo si potrebbe designare UN PC per scaricare le patch e gli
aggiornamenti dell' antivirus, creare uno script (un.bat o .cmd) che
li copi in una cartella condivisa e far puntare gli altri antivirus
dei vari PC-clients a questa cartella per gli aggiornamenti, cosi' si
evtitano accessi in massa verso internet per gli aggiornamenti,utile
specie se i clients che accedono ad internet sono tanti.
[/piccolo-consiglio]
-- 
Alessandro
-------------------------------------------
Ubi Maior minor cessat
-------------------------------------------

  Grazie, elio
ciao ...
