Newsgroup: it.comp.reti.ip-admin
Titolo: Pirelli netgate VOIP v.2 e Zywall 2 plus

Ciao a tutti,
utilizzo un pirelli netgate VOIP v.2 che mi ï¿œ stato fornito da eutelia 
(ho un indirizzo ip statico in quanto mi serve essere raggiungibile da 
remoto)
Tale modem/router ha anche delle porte per utilizzare il voip ma io lo 
utilizzo solo per l'adsl.
Adesso avrei la necessitï¿œ di collegare a valle del netgate un firewall 
zywall.
Credo che l'unica possibilitï¿œ sia quella di collegare appunto in 
cascata lo zywall dopo aver impostato il netgate in modalitï¿œ bridge, 
giusto?
E' fattibile?
E' l'unica strada percorribile oppure ci sono altre possibilitï¿œ?
Grazie
ciao

 giusto?
Non necessariamente, puoi anche lasciare il netgate con NAT
e firewall attivi e connettere lo zyxel dietro al netgate a questo
punto avrai tre "networks"; quella pubblica, quella tra il netgate
e lo zyxel e quella privata dietro lo zyxel, gli indirizzi delle due
dovranno essere diversi, ad esempio
netgate        192.168.1.1
zyxel wan     192.168.1.2
gateway        192.168.1.1
zyxel lan       192.168.2.1
dhcp             10.100.2.2 .. 255
i pc LAN avranno come gw 192.168.2.1 (ed indirizzi nel
range DHCP visto sopra)

 dovranno essere diversi, ad esempio
Quindi, se non ho capito male, avrei l'ip statico sul netgate; su 
questo dovrei configurare il nat per "girare" tutte le chiamate allo 
zywall e poi gestire tutto dallo zywall.
ho capito bene?
Ci sono differenze rispetto all'altra configurazione che prevede il 
netgate in bridge?
Quando andrebbe utilizzata l'una piuttosto che l'altra?
Grazie
ciao

 Quando andrebbe utilizzata l'una piuttosto che l'altra?
dipende dalle esigenze, con la config di cui sopra avresti
la possibilitï¿œ di pubblicare servers su internet attestando
gli stessi nella "dmz" in tal modo tali servers/hosts sarebbero
protetti dal netgate ed a loro volta sarebbero isolati dalla lan
dallo zyxel, in tal modo in caso di compromissione di un
host posto in dmz la LAN sarebbe ancora protetta

 host posto in dmz la LAN sarebbe ancora protetta
Scusami, ma se configuro il netgate in bridge, non posso ottenere 
comunque la dmz (ovviamente non sarebbe una dmz "pura" come quella da 
te descritta) gestendo il tutto dallo zywall?
Se configuro la una porta dello zywall in dmz su una classe diversa, ai 
fini pratici, non dovrei avere lo stesso risultato, cioï¿œ avere la lan 
isolata dalla dmz?
Grazie
ciao

 isolata dalla dmz?
hai presente cosa ï¿œ una DMZ propriamente detta :) ?

 hai presente cosa ï¿œ una DMZ propriamente detta :) ?
Da quello che so:
- Firewall
   |
   V
- Server in DMZ
   |
   V
- Firewall
   |
   V
- LAN
io invece mi riferivo ad una situazione:
- Firewall --> Server in DMZ
   |
   V
- LAN
Mi chiedevo, ai fini pratici, che differenza ci sarebbe tra le due.
Grazie
ciao

 Da quello che so:
[cut]
La prima (due firewalls) � una DMZ propriamente
detta, la seconda (singolo firewall con 3 NIC) viene
chiamata "screened network" e sebbene abbia dei
punti di contatto con la DMZ non � una DMZ vera e
propria

 propria
Ecco, ï¿œ proprio quello che intendevo; mi interesserebbe perï¿œ sapere, ai 
fini pratici, quali differenze sostanziali comporta la screened network 
rispetto alla dmz e se comunque ci sono sostanziali differenze, per 
esempio in termini di sicurezza.
Grazie
ciao

 in termini di sicurezza.
In termini di sicurezza, con la screened, se ti "bucano"
l'unico firewall, ti troverai senza protezione mentre con
la configurazione classica con firewall frontend e backend
l'attaccante dovr� riuscire a "bucare" anche il firewall di
backend per avere accesso alla LAN, inoltre con la
screened hai un "single point of failure" visto che tutte
le funzionalit� sono accentrate in un unico box, che altro...
con la DMZ il traffico tra hosts LAN e DMZ non "carica"
il firewall front-end ed � anche pi� semplice implementare
soluzioni di monitoraggio del traffico, ad esempio sarebbe
sufficiente installare qualcosa di questo tipo
http://www.bothunter.net/
nella DMZ per essere in grado di monitorare sia il traffico
da/verso gli hosts DMZ che quello da/verso LAN e
DMZ/Internet permettendo cos� di aumentare il livello di
sicurezza dell'infrastuttura... poi, ovvio, tutto dipende da
quello che ti serve ottenere, alla fine della fiera se devi
solo trasportare un francobollo � inutile usare un camion :)

 sufficiente installare qualcosa di questo tipo
Grazie mille per la spiegazione.
Quindi, il linea generale, il tutto ï¿œ riconducibile all'avere 1 
firewall aggiuntivo con tutte le considerazioni del caso.
Ciao

 firewall aggiuntivo con tutte le considerazioni del caso.
Dal punto di vista della topologia ... si