Newsgroup: it.comp.reti.locali
Titolo: Configurare Firewall Zyxell Zywall 35

Ciao, devo installare nella rete aziendale un firewall Zyxell zywall
35 prima della connessione Internet via onde Radio.
Considerando che ho un ip pubblico (che poi mi servirà per una VPN), e
che devo impostare 3 tipi di abilitazioni per gruppi di IP, del tipo:
ip da  1 a 20, abilitare solo porte http, smtp, pop3
ip da 20 a 100, abilitare solo porte smtp pop3
ip da 100 a 200  , porte http, smtp, pop3 , piu' altre porte
come devo impostare dal pannello di controllo del router??
Es. il mio IP pubblico è 111.111.111.11, l'IP che voglio dare al
firewall sarà 100.100.100.100, come devo procedere??? Ho sotto il
manuale del firewall, ma non riesco a capirci niente.
Grazie, saluti.

 firewall sarà 100.100.100.100, come devo procedere???
Ma tra l'ip pubblico e il firewall fai NAT inbound? te lo chiedo
perchè in questo caso mi sa che sei costretto ad inoltrare il traffico
gestendo le policy con PAT. Per l'assegnazione dell'ip mi aspetto che
ci sia in configurazione la possibilità di assegnare manualmente l'ip
sulla wan...
magari prova a descrivere lo scenario con un pò più di dettaglio!
bye

 wrote:

Ciao
Come connetti il 35 a internet? con un'altro router?
se il router che ti connette ad internet è per emempio wan tuo ip
pubblico lan 10.0.0.1 devi settare la wan del 35 in 10.0.0.2 e la lan
del 35 a 192.168.0.1 con dhcp attivo.
Poi devi mettere nel router che connette a internet l'ip 10.0.0.2 come
server DMZ per far girare tutto quello che arriva da internet al
firewall.
connetti tutti i pc della rete (sia wifi che su cavo) che prenderanno
in automatico l'ip dal dhcp del 35.
a questo punto nelle regole del firewall crei in uscita una regola che
blocca tutto tipo : tutti gli ip lan con porta tutte verso tutti gli
ip esterni tutte le porte blocca
a questo punt crei le tre regole che dicevi tipo: ip range 1 a 20
porte tutte perso ip esterni tutti porta25, 80,110 consenti
attento che le regole che le regole per uscire devono essere messe
sempre sopra a quella che blocca tutto in questo modo i pacchetti che
non si fermano su una regola che lascia uascire arrivano sull'ultima
che gli blocca.
Ciao

 LAN) e per QUALI servizi.
Ma ... lui IMHO vuole limitare il traffico *OUTBOUND*.
Vuole limitare l'accesso all'esterno da parte degli utenti INTERNI.
Il default - almeno in tutti i prodotti consumer/SOHO che ho visto ... č
"allow all" in uscita.
ciao, f.

Vuole limitare l'accesso all'esterno da parte degli utenti INTERNI.
? scusa non ti capisco. se io avessi bisogno di gestire il traffico in
uscita metterei un proxy e non un semplice firewall..anche perchè mi
sembra di aver capito che la sua necessità è proprio quella di
forwardare il traffico verso gruppi ip di host in ascolto su
determinate porte.
bye


con un proxy non fai passate smtp e pop
nel firewall basta fare le regole in uscita per ogni gruppo di ip
infatti per aumentare la sicurezza avolte è utile chiudere tutto in
ingresso e in uscita e poi creare le regole per ogni servizio.
Ciao

 uscita metterei un proxy e non un semplice firewall..anche perchè mi
Un proxy lo usi in combinazione con le regole di firewall non al posto
del firewall.
In questo caso con 3 regole di firewall ottieni il risultato e non è
detto che ti serva anche il proxy.
Inoltre quella che chiede l'OP è proprio la configurazione standard
che si fa sui firewall aziendali, tutto chiuso in uscita lasciando
passare solo quello che serve (nel caso specifico ci saranno 3 gruppi
diversificati).
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

 ip esterni tutte le porte blocca
correggo solo questa parte dicendo che non serve fare la regola, ma
basta impostare il comportamento di default sulla lan-to-wan a deny.


 ma utilizzabile solo per temi inerenti il NG corrente.
non mi ricordavo di questa funzione degli zyxel parlavo in generale.
Ciao

 determinate porte.
Ma no ! Io ho capito il contrario. Lui vuole fare un LAN in cui ALCUNI 
navigano, altri no, ecc.
ciao, f.


Io in realtà avevo capito il contrario... ovvero gruppi ip che sono
SERVER e non CLIENT interni, e che devono essere raggiungibili da
fuori, ecco il perchè di tutto questo missunderstunding :-)
bye

 fuori, ecco il perchè di tutto questo missunderstunding :-)
**DUECENTO** server nattati dietro ad uno zyxel ??????
Naaaaahhh !!!
;)
ciao, f.

 del firewall.
E' vero, ma come ho scritto nel precedente post ho proprio capito ben
altre esigenze a riguardo :-)
bye

 del 35 non sono poi cosě da semplice ambiente SOHO ho ipotizzato che
che rimanga tra noi, ma il 35 č un mezzo cesso eh... :-)
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non č da considerarsi pubblico,


 non mi ricordavo di questa funzione degli zyxel parlavo in generale.
bhe comunque in generale se non ci sono regole il traffico viene
bloccato.
-- 
MirkoB.   
ne...@bsi-net.it



 ah si?! buono a sapersi! conosci invece gli ultimi USG e sai per caso
come vanno?

 come vanno?
no non li ho ancora provati. Sulla carta dovrebbero essere decisamente
superiori ma non posso dire altro. Personalmente da quando ho messo le
mani su Fortinet, zyxel cerco di usarlo il meno possibile.



scusare se mi intrometto ...
ho uno Zyxel 35 ormai da diversi anni, in una rete di una decina di pc, 
viene usato come firewall e VPN (no antivirus)...quale marca/modello 
potrebbe essere un degno sostituto? ( fascia di prezzo < 1000 euro).
TIA
ciao
fm


io direttamente non lo cambierei ma eventualmente direi o un nuovo 35
dovrebe costare sui 600/700 euro o un fortinet
Ciao

 o un fortinet
che forse dovrei imparare a conoscere
Grazie
ciao
fm


Per piccole e medie reti come la tua imho Kerio Enterprise non ha
rivali in termini di qualità/prezzo. E' versatilissimo, UTM (puoi
scegliere fino a 5-6 tipi di engine AV), ti puoi configurare
molteplici DMZ...ovviamente volendo è anche proxy. Tra l'altro è
compatibile con active directory ed implementa strumenti per il
monitoraggio molto carini. se non erro puoi scaricarti una versione
trial eventualemente da installare anche su un pentium3 800.
bye

 potrebbe essere un degno sostituto? ( fascia di prezzo < 1000 euro).
un 35 se non ha particolari problemi o non ti servono caratteristiche
più avanzate in un contesto con una decina di PC è più che sufficente
(in contesti simili si usa tranquillamente il 5).
Al limite se ti interessa l'AV potresti pensare al modulo UTM, ma non
credo ne valga la pena.
Se vuoi qualcosa di più ce ne sono molti altri, io uso Fortinet (il
60B si potrebbe definire nella fascia del 35),  però se vuoi
gestirtelo da solo devi anche avere il tempo per imparare a usarlo. Ed
alcune cose non sono così immediate come lo sono sullo zywall.
Se sei interessato, scrivi pure :-)
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non è da considerarsi pubblico,


 la maggior velocità ( e forse la funzione antivirus?)
ma riscontri problemi di lentezza? Un 35 senza servizi attivi che fa
solo da firewall con 10 utenti non dovrebbe avere problemi di
velocità.
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non è da considerarsi pubblico,



infatti non e' lento....gli utenti erano 5 quando l'acquistai e, anche 
secondo me, la macchina giusta era lo zywall 5,
ma preferii lasciarmi un po' di margine. IMHO ho fatto bene perche' in pochi 
anni gli utenti sono raddoppiati, e' stata aggiunta la  VPN, e la linead 
adsl e' passata da 1 a 7 Mbit.
 Diciamo che adesso bisogna pensare al futuro :-)
ciao
fm 

  Diciamo che adesso bisogna pensare al futuro :-)
Ripeto, se hai bisogno di funzionalità avanzate che il 35 non ti da
allora concordo con il cambio, ma farlo solo perchè pensi che 10
utenti e una banale adsl da 7Mb possa metterlo in crisi mi pare
eccessivo. Considera che ho un'azienda con un 5 da alcuni anni che
gestisce HDSL 2Mb, alcuni server con accesso da internet, regole
specifiche divise per gruppi, routing tra due subnet, content filter,
un paio di VPN e un totale di circa 30 utenti e non da nessun segno di
stanchezza (fra un po' gli farò gestire anche una seconda adsl).
Il problema degli zyxel è quando attivi i servizi, a parte la scarsa
configurabilità se il traffico è abbastanza sostenuto crolla, ma se fa
solo firewall problemi grossi non ne ha.
