Newsgroup: it.comp.reti.locali
Titolo: DMZ

cos'è una DMZ, una rete per scopi particolari..? qualche esempio ?
grazie

 cos'č una DMZ, una rete per scopi particolari..? qualche esempio ?
DMZ sta per zona smilitarizzata e per la storia ti rimando qui:
http://www.threeland.com/dmz1.htm
In pratica si tratta di una rete separata sia da internet che da una LAN, e
viene allestita per pubblicare server accessibili da entrambi i mondi.
La DMZ viene gestita generalmente da un firewall con questa funzione; in
pratica e' una struttura a sandwich costruita come segue:
INTERNET (tutto)
|
FIREWALL (filtro porte da internet a locale)
|
DMZ (servizi pubblici e LAN)
|
FIREWALL (blocco di tutto il traffico da DMZ a LAN, eventuale NAT)
|
LAN
Il primo firewall ha una funzione generica di blocco dei servizi (o meglio
porte) che possono essere o meno accessibili; in pratica, gestendo la DMZ,
permette di impostare un NAT statico da internet:porta verso uno specifico
ip:porta della DMZ. In sostanza, chi accede da internet al sistema, che so,
sulla porta 25, accedera' solo al mail server della DMZ e basta.
Il secondo firewall (che poi e' sempre parte del primo) permette di
applicare NAT alle richieste dalla LAN verso internet, e di accedere alle
macchine in DMZ agendo semplicemente come un router. Caratteristica di
questo firewall e' che e' idealmente a senso unico, e impedisce qualsiasi
connessione impartita dalla DMZ verso la LAN. In questo modo, un hacker che
riesca a superare la prima barriera, non avra' alcun tipo di porta che gli
permetta di raggiungere la LAN.
C'e' un'eccezione, che si chiama DMZ Pinhole, e che permette di aprire porte
specifiche con NAT statico, ad esempio dalla porta xxx della macchina yyy
nella DMZ, alla porta www della macchina zzz della LAN. Pericoloso, ma
spesso indispensabile.
Normalmente, in DMZ sono ospitati server web, ftp, mail e proxy. Nel caso di
quest'ultimo, il NAT statico fra LAN e esterno non si applica, aumentando la
sicurezza e impostando le macchine della LAN a servirsi del proxy in DMZ.
Dal lato pratico, un firewall DMZ avra' tre porte di rete, destinate a WAN,
DMZ e LAN; a seconda del modello, DMZ e WAN potranno avere e gestire i
medesimi indirizzi (firewall hardware) oppure applicare un NAT statico fra
le due e gestire IP pubblici solo sulla WAN e IP privati sulla DMZ (firewall
software).
Se hai una macchina di recupero e tre schede di rete, scarica la iso di
IpCop 
www.ipcop.org
, installala (10 minuti a far tanto, non c'e' quasi nulla
da configurare e fa tutto da solo) e fai un po' di prove, scegliendo il
modello RED+ORANGE+GREEN (WAN+DMZ+LAN).
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Networking, Windows NT/2000/XP
http://support.microsoft.com/newsgroups/default.aspx

 caso di quest'ultimo, il NAT statico fra LAN e esterno non si
Mi correggo: NAT e basta. Si tratta di un NAT/masquerading.


 proxy in DMZ.
Io il proxy lo tengo all'interno della lan.
Uso squid ed oltre al proxy web ho anche un proxy ftp e un sock server per
poter raggiungere su internet tutti gli altri servizi non raggiungibili con
squid.
Tutti su una stessa macchina.
Tutti i client si servono di questi servizi per raggiungere internet.
La macchina con tali servizi poi usa il firewall come gateway per collegarsi
ad internet e nel firewall ci sono impostate le regole opportune quindi
atraverso tale firewall escono dal proxy server solo i tre servizi suddetti
e cioe' il proxy, il sock e l'ftp.
Sul server ho due interfacce una verso la lan e altra verso il firewall.
Sulla prima passa tutto il traffico lan mentre sull'altra solo il traffico
destinato ad internet.
E' sbagliato?
Ciao.