Newsgroup: it.comp.reti.ip-admin
Titolo: DMZ con IP privati o pubblici ?

Salve,
ho la necessità di configuare un firewall (Netfilter) con 3 NIC (PUB 
eth0, DMZ eth1, LAN eth2).
Alcuni server dovranno esporre servizi su Internet quindi ho due 
possibilità:
1 - DMZ con indirizzi privati RFC 1918
Configuro gli alias su eth0 (IP pubblici) e col NAT traslo solo i 
servizi necessari sugli indirizzi in DMZ (privati)dei vari server (DNS, 
SMTP...)
2 - DMZ con indirizzi publici
Routing e packet filter.
Quale soluzione è migliore (e perchè)?
Ci sono altre soluzioni praticabili ?
Ciao, saluti.

 ha scritto nel messaggio
news:Tgbnb.69924$vO5.2...@twister1.libero.it...


 
Se ho ben capito dovrei configuare eth0 ed eth1 con lo stesso indirizzo 
IP (publico), attaccare eth0 con un cavo cross al router, eth1 allo 
switch,rimettere a posto il routing,  attivare il proxy-arp, e poi dare 
IP pubblici ai server... giusto ?
Hai dei link da consigliarmi (non tanto su cosa sia il proxy-arp ma su 
come implementarlo al meglio con Linux)?

 IP pubblici ai server... giusto ?
piu' o meno si  comunque se non lo hai gia' fatto dai un occhiata qui'
http://lartc.org/
e poi vedi pure questo  
http://www.shorewall.net/
 , specialmente la
documentazione
si tratta di  un firewall che usa netfilter  che implementa anche il
proxy-arp, traffic shaping, ecc
Bruce

 Bruce
La soluzione proxy-arp presenta un livello di sicurezza analogo (o 
addirittura superiore)al NAT ?

 addirittura superiore)al NAT ?
Il nat non fornisce *alcuna* sicurezza. La sicurezza la fa il filtro.
Uno skull che mette il carico con un firewall in bridging
-- 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
The Skull says:
The old signature is gone...
Won't you suggest me a new one?!?

Skull, vai a giocare da un'altra parte se sei annoiato... ;-)

 Skull, vai a giocare da un'altra parte se sei annoiato... ;-)
Non stavo giocando, mi riferivo a questo:
http://bridge.sourceforge.net/docs.html
che č una alternativa al proxy arp (con vantaggi e svantaggi, a seconda
del caso).
Skull e capire di cosa stai parlando, prima di farlo


 del caso).
Quali vantaggi/svantaggi nel caso esposto da me ?
Ho letto attentamente tutta la doc ma non ne ho trovati di evidenti 
(rispetto a proxy arp).
Ci puoi spiegare ?

 Ci puoi spiegare ?
In primis il fatto di non necessitare di indirizzi ip, e pertanto di non
essere raggiungibile o attaccabile in alcun modo basato sullo stack di
rete.
Inoltre il fatto di poter essere per natura ridondante, sia sulle singole
nic sia tra macchine distinte (il bridging implementato da linux incorpora
anche STP).
Come svantaggio il fatto che, se vuoi averlo privo di ip, non puoi
amministrarlo da remoto in maniera diretta (per ovvie ragioni).
Tipicamento io lo utilizzo a coppie (per la ridondanza, ma non č
necessario se non ne hai bisogno)con 3 nic per macchina: metto in bridging
la inside e la outside, filtrando il traffico in transito attraverso le
due, senza assegnare ip al bridge, mentre la terza scheda, con ip privato,
la faccio affacciare ad una rete di manutenzione/amministrazione/raccolta
dati, dove va a posizionarsi l'IDS (i 2 fw sono per struttura adatti a
fare da sensore), il log server ecc.
Nel totale, rispetto al proxy arp č un'altra bestia...
Come dicevo, ci sono vantaggi e svantaggi...
Hola!


 Nel totale, rispetto al proxy arp è un'altra bestia...
Grazie per il tuo interessante punto di vista, mi hai dato spunti nuovi 
e comincerò subito ad allestire un'infrastruttura per il test.
Saluti

 secondo tempo, cosa utilizzi ? Consigli un'interfaccia dedicata?
Uso snort con logging su mysql e acidlab per il digging.
Aggiungo spesso anche logsnorter per cacciare nel db anche i log di
netfilter (loggando in remoto viene aggratis) passando tutto dentro a
stunnel (non si sa mai...).
Cmq molto dipende da quanto vuoi incasinarti la vita....
Buon divertimento...
