Newsgroup: it.comp.reti.ip-admin
Titolo: DMZ e routing... chi mi aiuta?

Allora... anzitutto CIAO a tutti!
Ho un HDSL di Telecom Italia e loro mi hanno fornito il router CISCO 1720.
Mi hanno anche dato una subnet di 16 indirizzi IP.
Ora mi ritrovo in questa condizione: tutto il traffico del router è connesso
ad un PC Linux che effettivamente fa routing per i miei scopi (WAN ed altre
CDN)... Ovviamente quest'ultimo ha un IP pubblico nella classe assegnatami.
Ora ho installato anche un'altra scheda di rete per fare una DMZ con il mio
Firewall Linux, ma ho riscontrato il seguente problema: dando alla scheda
diretta all'HDSL l'IP del router + 1, ho dato alla scheda diretta alla DMZ
l'IP router +2... ecco quindi che mi ritrovo con la macchina che sta in DMZ
con l'IP del router +3.
Quindi:
router               aaa.bbb.ccc.17
eth2                 aaa.bbb.ccc.18
eth1 (DMZ)     aaa.bbb.ccc.19
PC in DMZ      aaa.bbb.ccc.20
Ora però il PC in DMZ non risulta raggiungibile, perchè il router Telecom ha
una sola route che dice che la rete da 16 a 31 è raggiungibile attraverso
lui stesso. Quindi cosa mi conviene fare??? Chiedere a Telecom lo
"splittaggio" dei miei 16 IP in due ulteriori subnet e farmi riconfigurare
il router???
Grazie in anticipo!

 il router???
No, abilita il proxy_arp :
http://www.tldp.org/HOWTO/Adv-Routing-HOWTO-16.html
-- 
Vincenzo

 lui stesso.
Per far funzionare bene le cose dovresti IMHO usare il destination nat (DNAT):
1) Assegnare una classe privata alla dmz (per quanto forse ti possa sembrare
strano, ma prosegui), e assegnare quindi un indirizzo privato di quella classe a
eth1, ed ovviamente un indirizzo privato della stessa classe al pc, il cui
default gateway deve puntare ovviamente all' eth1 della linux box.
2) Impostare l'indirizzo aggiuntivo ip router+3 alla interfaccia di rete eth2 di
linux che si affaccia al router (ip-aliasing, l'interf. ha piu' indirizzi ip: #
ifconfig eth2:0 aaa.bbb.ccc.20 netmask <tua_netmask> up).
3) Mascherare la tua lan sulla linux box per permettergli di accedere a internet
(ipchains o iptables)
4) Effettuare un DNAT (ipfwadm, ipmasqadm, iptables) per fare in modo che le
richieste che arrivano all'indirizzo router+3 vengono redirette sull'indirizzo
interno privato del pc sulla lan.
La situazione nuova sarebbe:
router               aaa.bbb.ccc.17
eth2                 aaa.bbb.ccc.18
eth2:0              aaa.bbb.ccc.20
eth1 (DMZ)     192.168.0.19
PC in DMZ      192.168.0.20
E poi vai su 
netfilter.samba.org
 che ti spiegano come fare...   ;-)
comunque oggi sono magnanimo ed ho il tempo di fare qualche esemplificativo
copia/incolla...   :-)
Dovrai affinare le tecniche leggendo la documentazione di netfilter, perche'
cosi' com'e' fa acqua da tutte le parti riguardo la sicurezza...  ;-)   (Insomma
devi configurarti anche un firewall, e ti consiglio il piu' presto possibile)
Ad esempio, col kernel 2.4x o superiore, dai questi comandi:
#configura l'interfaccia sulla dmz
/sbin/ifconfig eth1 192.168.0.19 netmask 255.255.255.0 up
#configura la seconda interfaccia "virtuale"
/sbin/ifconfig eth2:0 aaa.bbb.ccc.20 netmask 255.255.255.240 up
# caricare i moduli richiesti per il NAT
/sbin/modprobe iptable_nat
/sbin/modprobe ip_conntrack_ftp
/sbin/modprobe ip_nat_ftp
/sbin/modprobe ip_conntrack_irc
/sbin/modprobe ip_nat_irc
# Abilita il forwarding (fa da router, inzomma...)
echo 1 > /proc/sys/net/ipv4/ip_forward
# Masquerazione rete privata per farla accedere all'internet
/sbin/iptables -t nat -s 
192.168.0.0/24
 -A POSTROUTING -o eth2 -j MASQUERADE
# Destination NAT sul tuo pc perche' sia visibile dall'esterno.
/sbin/iptables -A PREROUTING -t nat -d aaa.bbb.ccc.20 -j DNAT --to 192.168.0.20
Buona fortuna.   :-)
bye G.L.

 /sbin/iptables -A PREROUTING -t nat -d aaa.bbb.ccc.20 -j DNAT --to
192.168.0.20
Bene... ho capito il tutto...
al momento ho questa "rule" alla fine del mio file "rc.firewall":
iptables -t nat -A POSTROUTING -o eth2 -j MASQUERADE
Domanda: ma se aggiungo sulla eth2 un alias (come suggerisci tu) eth2:0, la
riga che attiva il MASQUERADING qui sopra farebbe MASQ anche sulla eth2:0, o
sbaglio? IPTABLES se non ricordo male fa affidamento alle interfaccie
fisiche, non quelle "alias"...

 fisiche, non quelle "alias"...
Non ti saprei dire con certezza: in ogni caso non dovrebbe creare problemi
(almeno a me non ne crea...). Comunque in realta' tui hai in una unica rete
fisica la lan privata e la DMZ: cio' comporta gravi problemi di sicurezza in
caso di server exploitato, cosa assolutamente da mettere in conto, in quanto
"girellano" anche per il resto della tua lan, oltreche' poter uscire su internet
e causare altri giochetti che affibbierebbero sulle tue spalle. Ma questo,
naturalmente, dipende anche dalle possibilita' economiche di ciascuno.
bye G.L.

 "girellano" anche per il resto della tua lan, oltreche' poter uscire su
internet
Cosa intendi? Io ho 3 schede diverse, una su HDSL ed una sulla LAN. La eth1
invece l'ho messa con IP pubblico per la DMZ che stavo creando. Ecco quindi
che non mi pare che siano sulla stessa rete fisica, o si?!?!? Non capisco
come lo intendi tu!

 come lo intendi tu!
Da come lo descrivevi non sembrava: a dire il vero, sul momento non ho fatto
caso al fatto che le due schede che menzionavi fossero eth1,eth2 invece di
eth0,eth1. Quindi abbiamo eth0 sulla lan, eth2 sul router, eth1 sulla dmz,
giusto? Comunque, se ti va, possiamo continuare per e-mail.
bye G.L.