Newsgroup: it.comp.reti.ip-admin
Titolo: Chiedo consiglio MailServer e WebServer

Ciao a tutto il NG.
Ho una rete cosi impostata. Router Cisco con IP statico su adsl. Macchina
linux che fa da gateway/firewall e natta tutte le macchine della rete.
Dovrei installare un mail server e un web server. Ho a disposizione altri 6
ip pubblici. Non so se dare ai server 2 degli ip pubblici e collegarli al
Router oppure metterli dietro il firewall e modificare iptables in modo che
natti in ingresso anche questi due server.
Per il mail server non mi preoccupo, è linux e se gli da un ip pubblico ci
installo sopra il firewall, ma il web deve essere windows 2000 e non mi fido
di quel coso.
Che mi consigliate....natto? e mi risparmio gli ip pubblici? (e uno switch,
visto che il router è sulla seconda scheda di rete del firewall...)
Ciao e grazie

 natti in ingresso anche questi due server.
Beh, se possibile ... installerei una terza scheda di rete sul firewall, a
questo
punto creerei una DMZ e piazzerei i servers nella DMZ, in questo caso puoi
usare IP privati (nattati) per la DMZ oppure IP pubblici, nel qual caso
dovrai
"splittare" la subnet pubblica ed aggiornare la config del router e del f/w
Ciao

 aggiornare la config del router e del f/w
Non c'e` bisogno di dividere la subnet. Puo` usare il proxy-arp, si 
risparmia ip e la riconfigurazione del router.
-- 
Vincenzo


Ok ... stavo cercando di mantenere la cosa "semplice"
in ogni caso non è detto che implementando solo il proxy
arp risolva "tutto", meglio (secondo me, ovvio) se possibile
usare IP pubblici e splittare la subnet, resta inteso che se
questa soluzione non è utilizzabile e il NAT dei servers non
è proponibile, usare proxy-arp va bene... ma ripeto, presenta
alcuni problemi aggiuntivi

 presenta alcuni problemi aggiuntivi
ooops ... cancella tutto ... ho decisamente bisogno
di un caffè e di una boccata d'aria (purtroppo non
fresca)

 usare IP privati (nattati) per la DMZ oppure IP pubblici, nel qual caso
buona la dmz... mi piace, non ci avevo pensato, mi sa che farň cosi.
grazie

 grazie
Di nulla, giusto una nota, se usi IP privati per la DMZ assicurati
che siano su di un'altra subnet rispetto alla LAN, ad esempio
avendo un'IP block pubblico 
81.117.161.64/255.255.255.248
(hosts=81.117.161.65 - 81.117.161.70 broadcast=81.117.161.71)
ed un'IP LAN (es.) 192.168.100.x/
255.255.255.0
 se decidi di
usare un'IP privato per la DMZ dovrai evitare 192.168.100.x
ma potrai usare (es.) 10.100.100.x .. detto questo, un'alternativa
(che perň ti "mangia" alcuni IP) č quella di "splittare" il netblock
pubblico, ossia attualmente hai
Subnet            81.117.161.64
Mask               255.255.255.248
Hosts              81.117.161.65 - 81.117.161.70
Broadcast     81.117.161.71
a questo punto, cambiando la mask in 255.255.255.252 avresti
Subnet            81.117.161.64
Mask               255.255.255.252
Hosts              81.117.161.65 - 81.117.161.66
Broadcast     81.117.161.67
Subnet            81.117.161.68
Mask               255.255.255.252
Hosts              81.117.161.69 - 81.117.161.70
Broadcast     81.117.161.71
come vedi ti restano pochi IP utilizzabili in questo caso dato
che avresti qualcosa del tipo
IP Router        81.117.161.65
IP Firewall      81.117.161.66 (pubblico)
IP Firewall      81.117.161.69 (DMZ)
IP DMZ            81.117.161.70
ossia un solo IP disponibile per la DMZ ... meglio in questo
caso usare NAT ... oppure, procedere come sopra ma ...
mettere un NAT in DMZ ad 81.117.161.70 :-)
Ciao

 (che però ti "mangia" alcuni IP) è quella di "splittare" il netblock
Grazie per l'assistenza, farò una dmz con ip privati cosi mi risparmio gli
ip pubblici per uso futuro e ho la possibilità di aggiungere in seguito
quanti più server mi pare, per ora saranno 2 , mail e web.
Per conferma....: iptables lo devo modificare in modo da accettare pacchetti
di *nuova connessione* solo per la porta 80 e 110 e redirigerli ai
rispettivi server giusto? non mi devo inventare niente di strano!
Grazie e ciao


Beh si, dovrai attivare il port forward verso gli IP DMZ e creare
le necessarie regole sul firewall, come nota aggiuntiva, non è
proprio il massimo usare lo stesso IP sia per "uscire" (NAT x
LAN) sia per i servers, in questo caso sarebbe meglio installare
un secondo firewall con un'altro IP pubblico ed usarlo per la
protezione/NAT dei servers pubblici (ovvio che nel caso di
una piccola rete potrebbe essere "troppo") in ogni caso la
config diventerebbe (con un firewall in più)
Internet
|
Router
|
switch---fw/nat--- "DMZ" servers
|
fw/nat
|
LAN
Ciao
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 di quel coso.
Io qui ti riprenderei...
windows 2000  č molto sicuro SE lo si sa usare e configurare.
Per prima cosa installa SUBITO prima di sbatterlo in rete con ip pubblico,
il service pack4 e tutti i successivi hotfixes. Configura l'aggiornatore
automatico di windows per scaricare e installare da solo gli hotfixes.
Se lometti su ip pubblicio (io lo consiglierei se ci devi fare girare altri
servizi), metti due schede di rete nel server, una con ip pubblico l'altro
com ip di lan se ce l'hai oppure lasciala isolata solo con un ip pubblico
(cosamolto sicura)
Attiva sulla connessione ethernet, il filtro TCP/IP di sistema, specifica le
porte TCP/UDP che vuoi avere aperte... e quello funzionerą quasi come un
bell firewall hardware, quel filtro si disattiva solo dopo reboot.
E' molto utile se ti becchi x caso un trojan e lui apre una porta... il
filtro la blocca a livello kernel proprio.
fammi sapere
ciao cioao

 servizi), metti due schede di rete nel server, una con ip pubblico l'altro
[cut]
Grazie per i consigli, ma ho preferito fare una dmz, ho messo una macchina
linux con 3 sk di rete. 1 ip pubblico, 2 sulla lan e 3 sulla dmz con altri
ip privati. Configurato iptables per firewall e nat. Server Web W2K che mi
serve pure per i componenti mts su com+ , applicativo asp e database sql 2K
su altro server e mail server linux.
Facendo qualche prova sembra che funzioni tutto.
Ciao e grazie
tagan

 protezione/NAT dei servers pubblici (ovvio che nel caso di
Ne approfitto per una domanda? nel caso il firewall sia unico e abbia
diversi alias sull'interfaccia pubblica (con, appunto, diversi ip pubblici)
č corretto usare un ip per il nat della rete green e un altro per il port
forwarding verso la DMZ?
Ciao
Duck
** Articolo inviato tramite i servizi gratuiti di 
www.x-privat.org
 **