Newsgroup: it.comp.reti.ip-admin
Titolo: Firewall

La situazione e' la seguente:
router cisco collegato a internet da una parte e ad un Firewall Linux
dall'altra.
Il server Linux ha tre schede di rete, una per la connessione con il 
router usando un IP reale, poi un'altra scheda per una LAN 192.168.0.0
masquerade, e poi sull'altra scheda vorrebbero collegarci due server http
che pero' devono avere IP reali...
Ovviamente anche se le tre schede funzionano, non so come far "vedere" i
server http dietro al firewall, tutto il resto funziona come al solito
(per questo usiamo Linux)
E' possibile far "vedere" dall'esterno due macchine con IP reali, che
pero' sono collegate ad un firewall che poi e' l'unico ad essere collegato
direttamente con il router..
Inutile dire che il router non lo possiamo toccare perche' come al solito
lo puo' fare solo Interbusiness...
idee?
--
Alex   |  mailto:
hawk
|at|
ascu.unian.it
 |  
http://www.ascu.unian.it/~hawk
SySadm |  [ascu|studenti|www].
unian.it
 |  phone/fax      
+39-071-2204491

 (per questo usiamo Linux)
Devi collegare la terza scheda al router, poi configurare Apache per fare
un server virtual su quella sk.
Se il server risulta o meno dietro al firewall dipende da come e' configurato,
e' probabile dobbiate mettere mano alla configurazione
-- 
Live free or die.  --  Debian/GNU/Linux die hard.

 SySadm |  [ascu|studenti|www].
unian.it
 |  phone/fax      
+39-071-2204491
Certo che e' possibile.
E' una configurazione di firewall abbastanza comune, terza scheda di rete
in pratica forma una DMZ (Zona demilitarizzata).
Il problema e' che il firewall in questo caso deve fungere anche da router,
ovvero deve routare i pacchetti che arrivano dal router interbusiness
verso la DMZ.
Per far questo devi definire una subnet di ip a partire dal pool di ip 
che interbusiness ti ha fornito, oppure, se non hai altre macchine fuori 
dal firewall, routare TUTTA la subnet(o classe c completa) che interbusiness
ti ha fornito direttamente verso la DMZ.
Il problema di questo approccio e' che devi anche cambiare la configurazione
del router, e considera che se mandi un fax ad interbusiness con le richieste
di configurazione non ci sono grossi problemi.
In pratica supponendo per assurdo che tu hai una subnet 
195.12.13.0/255.255.255.0
devi dire al router interbusiness che tutta questa subnet fa routata
attraverso 
il gateway 195.12.13.x , ovvero l'ip del firewall.
Inutile dire che anche il firewall va configurato per routare la subnet 
verso la scheda di rete appropriata.
Le macchine della DMZ avranno comedefault gateway il firewall stesso
(il firewall e' il secondo router...)
Questo e' sicuramente il metodo migliore (e quello classico).
Spesso pero' si ha il problema di aver gia' assegnato degli ip a delle
macchine 
che ormai svolgono servizi universalmente riconosciuti su internet
(ovvero web server ....mail..ftp) e questa soluzione comporterebbe lo
stravolgimento di questi ip a causa della definizione delle subnet.
Un modo per render la cosa indolore o quasi  (ovvero non subnettare il
pool di ip 
a disposizione), e' quello di usare il proxy arp.
Con il proxy arp si dice alla scheda di rete del firewall connessa direttamente
al router (quindi quella "pubblica") che la rete 
195.12.13.0/255.255.255.0
si trova sullo stesso segmento fisico  di rete del firewall, ovvero visibile
anche dal router.
In questo modo il roter di frontiera (quello interbusiness) credera' di
aver 
la subnet sulla sua ethernet (il routing di default butta tutto su
ethernet0 )
ma in effetti tutto il traffico verra' catturato dal firewall  tramite
proxy arp 
che con opportune regoile di routing provvedera' a forwardare il
traffico 
sulla ethernet apposita.
Il proxy arp si rivela un semplice sistema da usare quando non si ha la
possbilita' di assegnare spazi di indirizzi a subnet adeguate 
(il non poter metter mano al router interbusiness direttamente non e'
una impossibilita'), ma espone anche la rete a problemi di insicurezza
intrinsechi al modo in cui il meccaniusmo del proxy arp funziona.
Per veder comunque come realizzare ambedue le soluzioni basta spulciarsi 
il subnet howto ed il proxy arp howto, i nomi esatti non li ricordo
degli 
howto, ma in qualsiasi /usr/doc di qualsiasi distribuzione linux e'
possibile trovarli.
In particolare nel subnetting howto viene anche spiegata la teoria del routing
e dei criteri alla base del subnetting.
Spero di esserti stato di aiuto.
Have Fun, Davide Bozzelli 
boz...@itereu.de

On Fri, 10 Dec 1999 22:00:30 +0100, Michele Baccala' wrote:
[snipped]
Grazie e onore al merito questa volta Interbusiness e' intervenuta in meno
di 24 ore! 



Anche a me intervennero prontamente, peccato che capirono male il mio 
fax e routarono a cazzo...ma suvvia ..non chiediamo troppo a questi poverelli
...gia' la velocita' e' troppo.
Ciao