Newsgroup: it.comp.reti.locali
Titolo: iSCSI e Firewall

Ciao a tutti... 
Quali sono le porte che devo aprire e nattare per poter accedere ad un 
target iSCSI dall'esterno? 
Ho aperto la 3260 che � la porta standard assegnata, in effetti 
dall'esterno l'initiator vede il nome della LUN ma poi la connessione vera 
e propria va in timeout. 
Cos'altro gli serve?

 Cos'altro gli serve?
Non riesci a vederlo leggendo i log del firewall e guardando cosa viene
bloccato?
-- 
Flavio Visentin
Ubuntu in Zulu significa "Non so usare Debian". (cit. CtRiX)

 viene bloccato?
Eh.... il DFL-200 non ha questa gran versatilit� nel logging interno. 
Speravo in qualcosa di "noto" ... altrimenti attiver� un syslogd esterno e 
cerceher� di capire cosa viene bloccato. 

 Eh.... il DFL-200 non ha questa gran versatilit� nel logging interno.
ad ogni modo, di BASE (solo iSCSI) dovrebbe bastare qualcosa tipo
iptables -A INPUT -i eth0 -s xxx.xxx.xxx.xxx -p tcp --dport 3260 -j
ACCEPT
iptables -A INPUT -i eth0 -s xxx.xxx.xxx.xxx -p udp --dport 3260 -j
ACCEPT
iptables -A OUTPUT -p tcp --dport 3260 -m state --state NEW -j ACCEPT
iptables -P INPUT DROP
se poi ti servisse anche SMB dovresti aprire anche la 445/tcp

 ad ogni modo, di BASE (solo iSCSI) dovrebbe bastare qualcosa tipo
... sfortunatamente non basta, ma perch� a quanto ho letto � una 
incompatibilit� nota verso il NAT: il target durante il discovery delle 
LUN restituisce l'IP della macchina su cui risiede, che ovviamente dentro 
ad una rete nattata � un indirizzo privato. Di conseguenza l'initiator 
quanto tenta la connessione alla LUN non ci riesce. 
Come work-around potrei spostare un IP pubblico direttamente sulla porta 
della macchina, ma visto che si tratta di un "esperimento" senza 
requisiti strani, tanto vale che veicolo la connessione iSCSI attraverso 
una VPN per il tempo che mi serve. Andr� pi� piano, ma almeno non ho 
questo problema. 

 O_o
...purtroppo � proprio vero... non so se dipende dalle implementazioni 
del target (credo di si, ho letto che in alcuni puoi impostare il target 
in modo che restituisca un nome di dominio o un IP diverso da quello 
della macchina)... ma, sniffer alla mano, nella mia realt� il discovery 
viene fatto dall'initiator verso l'indirizzo pubblico che inserisco io 
(89.184.x.x, nattato verso l'indirizzo interno 10.128.2.22) e infatti ha 
successo, ma poi il tentativo di accesso alla LUN viene fatto 
dall'initiator verso 10.128.2.22. Ovviamente non ci arriver� mai :-(

 LUN restituisce l'IP della macchina su cui risiede, che ovviamente
Ahem...
<quote>
When an iSCSI discovery connection is to be used through a port
redirector, a target will have to be configured to return a domain name
instead of an IP address in a SendTargets response, since the port
redirector will not be able to map the IP address(es) returned in the
iSCSI message.
<quote>
per ulteriori info - 
http://www.faqs.org/rfcs/rfc3721.html
in pratica devi configurare il target in modo da ritornare un hostname
(che *deve* essere risolvibile) invece di ritornare un indirizzo IP

 (che *deve* essere risolvibile) invece di ritornare un indirizzo IP
Eh lo so, l'ho letto anche io (subito dopo aver postato quella 
risposta)... peccato che il mio target non preveda questa opzione... :-)

 
io su una lan ho un iscsi target che gira su slackware e, fuori dalla
lan, riesco a connettermici tranquillamente sia con macchine mac che con
macchine win
il problema col nat puï¿œ nascere quando in una lan ci sono piï¿œ gateway.
ad esempio: in una lan io ho una macchina linux che funge da proxy e da
router per la lan, mandando poi tutto il traffico al router adsl: puï¿œ
capitare che una macchina interna che riceve traffico da una regola nat
sul router adsl, avendo come default gw la macchina linux, risponda al
router linux invece che al router adsl

 con macchine win
Non ho dubbi... e ho verificato che con un'altra implementazione del target 
nemmeno io ho questo problema... ma � con questa che dovevo avere a che 
fare :-) 
E con questa non c'� storia: se il target comunica all'initiator un IP 
privato, non c'� santo che tenga.