Newsgroup: it.comp.reti.ip-admin
Titolo: Router + Firewall : problema di indirizzamento [lungo]

Mi scuso in anticipo per l'estrema lunghezza del post ma sono alle prese con
una
questione che mi sta facendo non poco penare; spero che qualcuno mi possa
aiutare.
Il mio provider mi ha assegnato un pool di indirizzi ip pubblici
di classe /28. La situazione attuale della rete di ufficio è la seguente
(il router cisco è un 2610 nostro)
[INTERNET]
          |
[router cisco]
          | x.y.z.89
          |
          | x.y.z.90,91 etc.
[rete interna]
e da qualche giorno funziona tutto benissimo anche se ci sono ovvi problemi
di sicurezza.
Vorrei dunque interporre tra router e rete interna un firewall Linux, però
non capisco
che indirizzi assegnare alle due schede di rete.
Il problema centrale è trovare un metodo per far comunicare il router e la
linuxbox senza
sprecare indirizzi ip. Dalla rete interna deve essere possibile la normale
navigazione
e alcune applicazioni server devono essere visibili all'esterno e per quanto
mi sembra
di aver capito, per questo non posso usare NAT (almeno in generale);
Premesso che al momento il numero di ip assegnatimi è sufficiente
per entrambe le funzionalita (navigazione/servizi server) e che per svariati
motivi non vorrei, se possibile, usare il NAT etc (e qundi creare una DMZ
per
i servizi etc.), le mie domande sono:
1) Alle due schede eth del firewall dovrei dare indirizzi appartenenti a
subnet diverse
   dunque sarei costretto a subnettizzare il risicato pool ip e perderne
dunque la metà (o no ?)
   Esiste un qualche metodo che mi permetta far fare a linux il
router/firewall
   con una configurazione come la seguente ?
[router cisco]
          | x.y.z.89
          |
          | x.y.z.90
[firewall linux]
          | x.y.z.91
          |
          | x.y.z.92,93  etc.
[rete interna]
ho provato una cosa molto simile e (come sospettavo) NON funziona
2) in alternativa: è possibile usare per la microrete router/firewall
indirizzi di
rete privati  ? (sarebbe molto bello :) ovvero:
[router cisco]
          | 192.168.0.1
          |
          | 192.168.0.2
[firewall linux]
          | x.y.z.89
          |
          | x.y.z.90,91  etc.
[rete interna]
non l'ho provato ma penso che funzioni ma è una cosa corretta ?
3) l'ultima domanda: ipotizzando invece di usare il NAT e dunque
usando nella rete interna soltano indirizzi di rete privati (192.168.x.x),
posso
rendere accessibili i server dall'esterno con qualche tecnica particolare ?
Cioè mi chiedo: siccome è una situazione che può capitare di frequente come
ci si regola in questi casi ? probabilmente ho le idee un po' confuse ma al
momento
non trovo una soluzione... ringrazio in anticipo chi avrà la pazienza di
rispondermi.
saluti,
Leonardo Perria

mi sembra di aver capito, per questo non posso usare NAT (almeno in generale)
Il NAT ti serve per far uscire le macchine della rete interna.
Per permettere, invece, di usufruire dall'esterno di alcuni servizi le
strade sono due:
1. crei una DMZ, dove metterai una o piu' macchine con IP pubblico, che
offrono i servizi necessari;
2. usi le funzionalita' di port forwarding su Linux per rimappare le
richieste dirette ad un determinato IP pubblico verso una macchina interna.
La prima soluzione e' piu' complessa, ma da' maggiori garanzie in termini di
sicurezza (la tua LAN e' *completamente* isolata dalla DMZ).
Volendo, e' possibile anche combinarla parzialmente con la seconda,
assegnando alle macchine in DMZ IP privati _diversi_ da quelli della LAN ed
effettuandone la mappatura sul firewall.
La seconda e' piu' semplice e, se ben impostata, abbastanza efficace.
Se vuoi documentarti un po', ti consiglio di leggerti un paio di HOWTO, che
puoi trovare su 
http://linuxdoc.org
:
IPCHAINS-HOWTO
Firewall-HOWTO
Ciao! :-)
-- 
BlueRaven
"Information anarchy basically means that
Microsoft cannot charge you for it..."