Newsgroup: it.comp.reti.locali
Titolo: CPU per firewall???

Fra qualche giorno dovrei dare "l'estrema unzione" alla mia vecchia WS
biprocessore, volevo pero' tentare di utilizzarla come firewall
dedicato gestito da Linux (IPtables mi sembra) a valle del quale
collegare portatile, nuova ws, ecc 
Mi chiedo:
impiegando un pc con queste caratteristiche:
- due CPU Xeon che "oscillano" a 450 mhz (per evitare fraintendimenti)
- kernel Linux stringatissimo (solo bastione firewall)
- 256 mb di ram
- connesso ad una LAN che cammina a 10 mb/s (Fastweb) 
- le due ovvie schede LAN sulla mobo
si riesce a soddisfare un elaboratore con P4 2.8 Gb (win 2000) posto a
valle della vecchia macchina biprocessore (paracolpi/firewall) o mi
ritrovo con un collaccio di bottiglia che mi rallenta i vari FTP,
HTTP, Telnet, ecc?
Esiste un calcolo "fisso" che tiene in considerazione differenti
variabili (clock, ram, transferates vari...) per determinare la
"capacita'" che deve avere il pc dedicato al firewalling/filtraggio?
Se si puo': posso provare ad implementare anche la "traslazione degli
IP" di casa in modo da apparire mascherato dietro ad un unico
indirizzo IP?
Beve molto questo processo (NAT)?
Spero di essermi fatto capire.
grazie
  Roberto

 HTTP, Telnet, ecc?
Ekkekaxxx .... certo che che la fai, considera che in ogni caso la LAN
a 10 sarà + veloce della connex internet, inoltre il "carico" di lavoro
non mi sembra eccessivo per un dual-cpu; io installerei IPCop sulla
macchina (se vuoi una config pre-cooked) altrimenti puoi installare
una delle distro "minime" di Linux (o FreeBSD che mi piace di + :D)
e configurarla "a manovella" come necessario; in qualsiasi caso
*EVITA* assolutamente di usare la macchina firewall per altro, non
installarci mail-servers, web-servers o altro, il firewall deve fare solo
da firewall -PUNTO- qualsiasi altro servizio genera un problema di
sicurezza
Ciao
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 Beve molto questo processo (NAT)?
La potenza di elaborazione che sta dietro alla linea vuole dire meno di
zero.
Il calcolo del throughput lo fai vedendo gli studi che sono disponibili in
rete sull'argomento  (non mi ricordo il link ma c'era in giro uno studio
comparativo sulle prestazioni della stessa macchina con iptables, ipf e
pf... devo averla ancora in qualche cassetto.. cerca su benzedrine,
comunque) e tenendo in considerazione il fatto che:
1) il fatto che sia biprocessore è ininfluente
2) il fatto che abbia 256 MB di ram è ininfluente.
L'unica cosa che conta è avere abbastanza ram da contenere il kernel e le
tabelle di iptables (16MB sarebbero già abbondanti, se non fosse per lo
userspace) e avere un processore più veloce possibile (e bus di sistema,
ovviamente).
Posto che non ho avuto a che fare con i processori indicati da te e che in
conseguenza di questo conosco anche poco le sue prestazioni,il mio
spannometro indica comunque per una macchina con l'hardware da te indicato
un throughput di circa 65/75 Mbps, se non devi inserire più di un
centinaio di rules e se non le fai proprio con i piedi... Il che significa
che ci sono maggiori probabilità che il collo di bottiglia sia la scheda
di rete.
Per inciso, HW come quello lo userei ancora validamente per un serverino
:-/
Ciao
-- 
Emanuele Balla  aka Skull -  Public Key #661E5CBF on 
www.keyserver.com
+----------------------------------------------------------------------+
"And 1.1.81 is officially BugFree(tm), so if you receive any bug-reports
on it, you know they are just evil lies." (By Linus Torvalds)

 un serverino
Oppure rivenderlo e con il ricavato acquistare un fw hardware :-)

Grazie
mi avete dato una notizia gradita
spero di riuscire a realizzare il NAT dinamico senza combinare un
casino.
Dimenticavo....!
La realase e' di Nandrake...
L'abito del monaco e' KDE.
ciao
Roberto

 bottiglia" a quel punto è .. la connex internet :-)
Ricordo di aver letto da qualche parte di una macchina con 128 MB ram e
cpu celeron 1000, patch per il filtering su bridge e qualcosa come 200
regole caricate che teneva botta a 70 Mbps pieni.
Il mio calcolo è stato spannometricamente valutato in funzione della
maggiore leggerezza del routing rispetto al bridging e al fatto che il
suo processore è comunque meno potente..
Forse hai ragione a ipotizzare di meno, ma, come dicevo, il calcolo l'ho
fatto un po' alla cieca...
In ogni caso, immagino che lo scarto dal massimo reale sia di qualche
Mbps, non certo di ordini di grandezza...
;-)


 L'abito del monaco e' KDE.
Non serve alcun abito per fare un fw. Bash e ssh straavanzano.
Da' un occhio a 
http://smoothwall.org


 L'abito del monaco e' KDE.
Brrrr....


 32 Mb ram. DMZ compresa. I 10 Mbit ci sono tutti. :)
Si ma ... quante macchine in LAN ? E' quello il punto :-) !


> L'abito del monaco e' KDE.
Eh ? Non vorrai installare "X" su un firewall ?
Elimina *tutto* e dico *tutto* il superfluo, niente
KDE o Gnome (che sia) e nessun altro servizio
a parte lo stretto necessario

 Si ma ... quante macchine in LAN ? E' quello il punto :-) !
8, al momento. Se ne aggiungo altre, mi tocca uscire di casa.


 a parte lo stretto necessario
Agreeed. Tira via pure il compilatore.


> Agreeed. Tira via pure il compilatore.
E poi fai girare "Bastille Linux" ;-) !

 E poi fai girare "Bastille Linux" ;-) !
Questo mi manca. Sgoogolerò al fine di colmare la lacuna. :)


 Questo mi manca. Sgoogolerò al fine di colmare la lacuna. :)
http://www.bastille-linux.org/
facile facile :-) !

 ciao
Ecco, parto da qui perchè è l'unica cosa che ho capito esattamente !!!! hi
hi
A parte gli scherzi, considerato che:
1) non conosco l'inglese se non come autodidatta (ehm! smanettone e meglio);
2) anche se avessi i soldi per comperare un firewall hardware (diciamo un
pix
    501) non saprei come gestirmelo e dovrei mettere mano al cervello per
    capire "come";
3) dispongo di un P233mmx con 64 MB di ram e 10 GB di Hard Disk;
4) voglio traghettare fuori dai sistemi windows tutto ciò che mi è
possibile;
5) voglio "imparare"! il mondo del pinguino o del diavoletto,
Vi chiedo?
Funziona veramente un firewall in ambiente linux a bordo di una macchina del
genere (vedi punto3) considerando che dovrebbe nattare pacchetti a (max) 4
pc sparsi per casa (oggi windows domani unix like) e che la connessione al
www è dato da una classica ADSL 1024/256 (PPPoA) ?.
Mi basta un SI oppure un NO
Della serie, se c'è già qualcuno che utilizza una realta simile e possa
affermare senza "se, ma, però"  che funziona io mi butto a capofitto.
Buone cose e, già che siamo vicini, buona pasqua a tutti.
Vcam (Fabio)

 
iptables, vpn server (pptpd) con in più squid per circa 30 utenti su lan 
100mbit su un p120 con 64mb di ram e disco ide da 1.2Gb.
chi mi batte?
quando scarico dal proxy, arrivo tranquillamente al limite dell'adsl che 
ho dietro.
:-)
ps: al posto di pptpd volevano mettere due cisco. adesso che hanno visto 
che funzia e costa meno, spero mi prendano una macchina un pò più 
performante! ;-P
-- 
+-------
| Paolo opg
|
| janickg ( at ) hotmail ( dot ) com
+-------

 HTTP, Telnet, ecc?
io uso un p233mmx (pentium UNO) 128MB di ram e mi fa da firewall/router, 
dns interno, webserver/database di sviluppo interno, smtp e non da' 
alcun segno di cedimento. connesso 10mbits fastweb. direi che con la tua 
macchina puoi fare da firewall ad una LAN aziendale :)
-- 
signature: No such file or directory

Scrutinizer wrote:

ovviamente dimeticati di installare X. chettenefai? usa ssh. sul mio 
firewall/router non ho nemmeno collegato tastiera/mouse/monitor.


 Mi basta un SI oppure un NO
SI


 macchina puoi fare da firewall ad una LAN aziendale :)
Beh, per come la vedo io sarebbe meglio riutilizzare la macchina
per altri servizi (es, mailserver o webserver) e riciclare un'altro
sistema per fare da firewall .. ma ognuno è libero di "sprecare"
cicli di CPU come meglio crede :-)

 cicli di CPU come meglio crede :-)
amen :)


Calma
arrivo da anni di winzoz e ho deciso di convertirmi a Linux da 1 mese.
E' chiaro che di "istinto" cerco un'interfaccia grafica.
Di fatto sulla rivista LINUX n.7(22) si parla di un wizard che
facilita la configurazione chiamato "Firestarter".
Pensavo che prima di "metterci le mani" con righe di comando e script,
fosse meglio capire il funzionamento di un FW, anche se questo implica
l'utilizzo di una GUI.
Pensate un po' come puo' essere confuso uno che usava il firewall di
Agonia (Internet Security quello di quel signore con gli occhiali
anemico che si occupa di virus).
Roberto

????? Perche?
Roberto

E' quello che ho al momento, poi nel caso di una MAN si accende la
macchina la mattina e si spegne quando si va a letto
(moglie/winMX....Terrible!!!).
In base a quello che affermate, dovrebbe essere possibile aggiungere
anche qualche "cosina" in "+" su sto Xeon.....
"Cosine" che utilizzano modalita' diverse da un FW, ma credo molto
utili se usate assieme ad esso.
Roberto


Se è un FW *DEVE* fare solo da FW; se invece lo usi
per altro allora non c'è problema; il discorso è molto
semplice, installando altri servizi su di un firewall rendi
il firewall stesso vulnerabile ad attacchi, è assiomatico
per cui .. o fa da firewall o fa da altro *NON* entrambe
le cose !
Ovvio che ognuno è libero di spararsi in un piede se
questo gli fa piacere, la scelta è completamente tua !

 anemico che si occupa di virus).
Hm ... ISA non è malaccio come firewall, certo che se pretendi
che la stessa macchina su cui gira faccia anche ..che so da
web server, mail server, file server o altro beh .. auguri, ma
questo vale per qualsiasi firewall s/w .. una macchina che fa
da firewall deve fare *SOLO* da firewall -PUNTO- :-)

 le cose !
hai ragione, pero' puoi anche chiudere TUTTO dall'esterno verso e 
offrire servizi all'interno della rete. in una LAN domestica e' 
accettabile, in una aziendale NO di certo. poi dipende dal livello di 
paranoia personale. io sto migrando i servizi interni (domestici) su 
un'altra macchina perche' la paranoia aumenta :)


 affermare senza "se, ma, però"  che funziona io mi butto a capofitto.
Sì. Io lo affermo perchè lo sto facendo. Va' su 
www.smoothwall.org
, 
scaricati la .iso della smoothwall beta4 e installala. E' una 
minidistribuzione messa insieme con l'unico scopo di avere un 
router/firewall. Nulla di più, nulla di meno, funziona perfettamente 
senza bisogno di monitor, tastiera, cdrom e quant'altro (una volta 
installata ovviamente).
PERO': così non impari nulla. L'amministrazione avviene interamente via 
web, con interfaccia grafica. Molto comodo, ma non ti fa imparare ad 
usare iptables. Mi sono avvicinato a Linux da poco, per colpa di un 
amico cazzone che posta pure qui (denny, ci sei ? :) ). Io _NON_ so 
configurare iptables a mano. Se vuoi imparare, magari prova a farlo a 
mano, ma sappi che la soluzione pronta c'e' già. La documentazione la 
trovi ovunque. Io separerei l'ambito didattico da quello delle 
necessità, tuttavia. Smoothwall è comoda, ma nulla ti vieta di imparare, 
se vuoi.


 amico cazzone che posta pure qui (denny, ci sei ? :) ). 
eccomi. naturalmente il *cazzone* e' per via delle dimensioni del pene. 
mi sembra ovvio.


 questo gli fa piacere, la scelta č completamente tua !
Bum. AAAAAAAHHH!. (ho sparato sul piede di denny, che ti credevi ?) :)


 mi sembra ovvio.
No, per via del tuo aspetto. Se ti metti in piedi, braccia parallele al 
corpo e sorridi, sembri un pisellone. :)
vabbč dai, basta. :)


 Bum. AAAAAAAHHH!. (ho sparato sul piede di denny, che ti credevi ?) :)
non fare il figo, perche' fino a poco fa usavi win2k server (con un 
proxy di merda) che oltre a fare da router/firewall (firewall? HAHA!), 
faceva anche da domain controller e file server... mo' ti ripigli la 
pallottola e te la ficchi in c.... :))))
meno male che ho il cazzone e che sono tuo amico, cosi' ti ho convinto a 
passare al firewall pinguino :)


 corpo e sorridi, sembri un pisellone. :)
ROTFL :)


 Roberto
perchè un firewall con mandrake e kde è come un u-boot cabrio con
capottina in tela..
IMHO, ovviamente...
-- 
Emanuele Balla  aka Skull -  Public Key #661E5CBF on 
www.keyserver.com
+----------------------------------------------------------------------+
"And 1.1.81 is officially BugFree(tm), so if you receive any bug-reports
on it, you know they are just evil lies." (By Linus Torvalds)

 passare al firewall pinguino :)
Mai negato che ci fosse il tuo zampino. Ci mancherebbe altro !


 esperienza. L'ho fatto, ho valutato, ora non lo faccio piů.
I know. stavo scherzando :)


 macchina perche' la paranoia aumenta :)
Beh, io i servizi domestici li ho migrati su una lavatrice invece
che su una macchina così ho il vantaggio che il traffico viene
completamente ripulito - senza contare che la lavatrice ha un
consumo inferiore - con quello che costa la benzina ...
Ciao

 consumo inferiore - con quello che costa la benzina ...
scusa non capisco. tu nel traffico con quale macchina ti muovi? io di 
solito con un'_automobile_. :)


 io di  solito con un'_automobile_. :)
Uh ... azz ecco perchè quando vado in giro con il portatile diesel
mi guardano tutti in modo strano .. pork .. dovrò rimediare .. !!

 
questa me la segno!
è troppo bella...
:-)


CUT:
Oh! qui oltre ad imparare si ghigna pure!!!!
Siete una forza!!!
Un grazie a tutti per le info che ho carpito, in particolare a Scrutinizer
(perchè mi sono agganciato al tuo post per rilanciarne un'altro) e a
Cuojo per la dritta della "smoothwall beta4" oltre al preziosissimo
"SI io lo faccio".
Purtroppo ho subito incontrato dei problemi tipo:
Non ho nemmeno uno straccio di modem usb da collegare come modem.
Il mio protocollo attuale è PPPoA.
Purtroppo la mini distro "smoothwall beta4" sembra predisposta per un
collegamento semplice, semplice tipo:
MODEM USB >>> COMPUTER >>> SCHEDA di RETE >>> HUB
RETE di computer collegati all'HUB.
E pensare che ho regalato:
- 1 modem USB alcatel (il manta),
- 1 modem USB Ericsoons 120 dp,
- 1 modem Ericssons 220 dp,
- 1 bridge Telindus 1110,
ed ora mi trovo con 4 minchioni di router e nemmeno un modem, arghhh!.
Non me ne va mai bene una.
L'unica buona notizia è che rovistando in garage è saltata fuori una pistra
con a bordo un PII 450 MHZ e 128 MB di ram.
Se continuo cosi, apro un negozio.
Bye e buone cose a tutti i lettori.
Vcam (Fabio)

 mi guardano tutti in modo strano .. pork .. dovrò rimediare .. !!
beh, ma guarda che parcheggiare con il portatile e' di un comodo :)


 ed ora mi trovo con 4 minchioni di router e nemmeno un modem, arghhh!.
scusa dov'e' il problema? infili 2 schede di rete nel pc che ospita al 
smoothwall, poi colleghi il router ad una scheda e la LAN all'altra.


 smoothwall, poi colleghi il router ad una scheda e la LAN all'altra.
K Denny è quello che ho fatto.
Ma non c'è verso di pingare il router da nessuna parte.
Dalla rete (collegata alla 1 scheda) pingo sia la prima scheda di rete
che la seconda.
Dal prompt di 'root' della macchina "SmoothWall" pingo le due schede
di rete a bordo ed i pc nella rete, ma il router (che è su 10.10.10.1) NO!
Non riesco a venirne fuori! Ma non mollo
Comunque l'interfaccia del firewall via HTML è veramente good!.
Vcam

 di rete a bordo ed i pc nella rete, ma il router (che č su 10.10.10.1) NO!
Non so se ho capito bene, ma il router deve stare su una subnet diversa 
da quella dei pc interni alla LAN.


 una subnet diversa  da quella dei pc interni alla LAN.
Esatto, in pratica supponendo di avere anche una DMZ
dovresti avere *tre* subnet .. ad esempio
router
|
192.168.1.x Out
|
IPcop -- 192.168.2.x DMZ
|
192.168.3.x LAN
ovvio che questa è una configurazione realmente semplice
perchè in realtà quando si tratta di reti di una certa dimensione
gli IP del router sono pubblici come anche quello esterno del
firewall e quelli della DMZ; in questo caso per ottenere subnet
diverse tra router/fw e DMZ si utilizza il subnetting del blocco
di IP assegnato, oppure ... ma questo è un'altro discorso :-)

 di IP assegnato, oppure ... ma questo è un'altro discorso :-)
Ok, ok, ok... ma in quel caso non ti serve una smoothwall :) La config 
che ho consigliato andava considerata per questo specifico caso. 
Altrimenti puoi sempre prender un bel router con i controc***i e fare 
nat, port forwarding, e quello che ti pare direttamente da lì.
... ma il costo non è quello di un vecchio pc da buttare. :)
ps: (per l'esame di reti, ci fu chiesto di progettare la rete per una 
biblioteca molto grande e molto moderna (CREDO sia in costruzione ora). 
Tra le varie richieste vi era la necessità di implementare una forma di 
streaming video, telefonia su ip, accesso dall'esterno, e un mare di 
altra roba, circa un migliaio di postazioni. Il costo stimato per le 
sole apparecchiature (routers - switch - cavi - cazzate) mi pare avesse 
raggiunto svariati MILIARDI. Non ricordo bene, ma se lo trovo te lo 
mando. :)


ciao
Dove posso trovarlo questo progetto?
Sono curioso....
grazie

 Sono curioso....
... da nessuna parte, se non (forse) su un cdr da qualche parte in fondo 
  ad un mio armadio... :)
Era lo svolgimento di una prova d'esame... fui abbastanza impressionato 
dai costi delle apparecchiature di un certo livello.
