Newsgroup: it.comp.reti.ip-admin
Titolo: subnet di dimensioni diverse

Ciao a tutti,
ho affittato un pacchetto di 32 indirizzi IP e ora mi trovo a dover 
configurare una LAN.
Dovendo inserire un Firewall e ipoteticamente creare 2 sottolan (DMZ/Lan 
aziendale) mi chiedevo se è possibile creare 3 subnet di dimensioni 
diverse cioè:
- una subnet diciamo di 4/8 IP tra router e firewall
- una subnet di 8 IP per la DMZ
- una subnet di 16 IP per la lan aziendale
E' possibile o ci sono incompatibilità nel crearle ?
Altrimenti dovrò cererne solo 2 insernedo in una unica subnet sia i 
server della DMZ che la Lan aziendale.
Ciao, grazie.

 E' possibile o ci sono incompatibilità nel crearle ?
Tieni presente che con il subnetting perdi due IP per ogni subnet 
aggiuntiva..
Aiutati con questo:
http://www.wildpackets.com/products/free_utilities/ipsubnetcalc/overview
:)
-- 
		Luca Amicone
		ICQ: 14890779
		Microsoft MVP
"How to Alter Logo Information on the System Tool's General Tab" 
http://support.microsoft.com/?id=218176

 E' possibile o ci sono incompatibilità nel crearle ?
A che pro? Visto che il firewall si presume fara' NAT, non hai nessun
limite in merito al numero di host su ip classe *privata* in lan e
dmz... In poche parole, da dove l'esigenza di "subnettare" la tua rete?
In realta' poi hai 29 o 30 indirizzi disponibili, devi valutare tu se ti
bastano per i server in dmz (senza contare che su porte/servizi distinti
nessuno ti obbliga a usare ip differenti, dipende da quanti server
ospitano uno stesso servizio... e con i virtual server su http non e'
vero neanche questo).
bye G.L.


Nessuno ha detto che il firewall farà da NAT. Tutte le macchine (4 nella
DMZ) e 12 nella (Lan) avranno assegnato uno dei 32 IP.
Ovviamente i server che avranno servizi non hanno IP multipli, me ne 
serve solo 1.
Ciao

 DMZ) e 12 nella (Lan) avranno assegnato uno dei 32 IP.
Quindi vuoi mettere un firewall che operi in modalita' bridge?
bye G.L.


No, mi spiego meglio.
Il firewall avrà 3 interfacce di rete: eth0,eth1,eth2
eth0 collega firewall-router
eth1 collega firewall-switch rete DMZ (4 servers)
eth2 collega firewall-switch lan aziendale (12 workstation)
Avendo a disposizione 32 indirizzi IP mi chiedevo se è possibile creare 
3 subnet di dimensioni diverse, quindi con una netmask diversa senza 
creare problemi. Cioè date le esigenze di numeri IP creare 2 reti da 8 
IP (eth0 eth1) e una rete da 16 IP (eth2).
Ovviamente il firewall mi farà anche il routing tra le reti create.
Più precisamente vorrei sapere se subnettando una rete di 32 IP è 
necessario che i segmenti siano di dimensione uguale (4 reti da 8 IP) o 
è possibile avere segmenti di dimensioni diverse?
Ciao e grazie.

 è possibile avere segmenti di dimensioni diverse?
Sinceramente non so se sia possibile fare cio'. Cioe', in altre parole,
vedrei un router che "sputa" fuori l'intera subnet "collidere" con un'
interfaccia eth del firewall che si ritaglia una subnet mask diversa,
e che pretende di fare routing su altre due subnet senza che il router
xDSL sappia nulla in merito . Peraltro, continuo a non capire le ragioni
per cui vorresti fare questo.
bye G.L.


Secondo me si può fare ...
L'ISP ruota i pacchetti (verso la subnet da 32) verso la WAN del router, il 
router dovrà aver attivato un routing protocol con il firewall per 
scambiarsi le route internet (potrebbe bastare anche il RIPv2).
Il firewall avrà sulla eth0 (quella collegata con la LAN del router) una 
subnet /29 (2 IP usabili) e sulle altre due eth ti subnetti i restanti ip 
come vuoi.
A questo punto, i pacchetti che arriveranno da Internet, verranno ruotati 
verso il firewall e da li alle connected interfaces e viceversa, i server 
"spediranno" verso il firewall e lui redirigerà (a causa del routing) verso 
il router che a sua volta manderà all'ISP ... (tramite uan default route) 
...se non vuoi usare un RP puoi lavorare con delle statiche (sul router 
avrai la DR verso l'ISP e due route per le due eth del firewall) e sul 
firewall avrai una DR verso la LAN del router ..
Lo so, sono contorto ma spero di essermi fatto capire .... ;)
Ciao
-- 
Ettore 

 Lo so, sono contorto ma spero di essermi fatto capire .... ;)
No, sei stato chiarissimo.  :-)
bye G.L.

 Secondo me si può fare ...
E aggiungo, che IMHO ci sono troppi rischi: non vedo perche', se
proprio si vuole adottare una simile soluzione, non usare direttamente
un bridge. Anche perche' BTW, degli attuali 28 ip utilizzabili dagli
host (perche' dei 32 se ne perdono gia' uno per l'ip di rete, uno per il
broadcast, uno per il router, uno per il firewall), subnettando
ulteriormente se ne perderebbero altri 6: 2 * (1 ip rete + 1 ip broad. +
1 ip gw), rimarrebbero cioe' 22 ip utilizzabili. Inoltre, in un caso o
nell'altro (routing o bridge), insisto che non vedo ne' l'utilita' ne'
il significato di mettere ip pubblici sulla lan (peraltro con un
limite, per me inaccettabile anche su una piccola rete, di 13 o 16 ip).
Meglio sarebbe una soluzione intermedia, con la lan in NAT e la DMZ in
bridge (dove hanno piu' senso gli ip pubblici, col traffico comunque
filtrato dal firewall).
bye G.L.


Si, il subnetting sarebbe valido in tutta la rete ... è un po come se l'ISP 
considerasse la route assegnata al cliente come una summary delle altre 
route create "a mano" ..
Come dici tu, il firewall lavorerebbe come un normalissimo router che però 
filtra i pacchetti, come se ci fossero delle ACL sulle varie interfacce ....
Sono pienamente d'accordo sul fatto che la DMZ va fatta con gli ip pubblici 
mentre la LAN no .... in tal caso, la soluzione si semplificherebbe ... 
anche perchè, come dici tu, il router potrebbe agire da bridge e il firewall 
fa "tutto" il lavoro.
Ciao
P.s: /30 ovviamente .... ecco perchè non ho ancora dato la CCNA :P
-- 
Ettore 

 route create "a mano" ..
Lo vedo anche interrogando il ripe, mi pare di ricordare: delle route
verso grosse blocchi di io. Ma penso che siano i c.d. sistemi autonomi,
che poi possono subnettare come gli pare. Il mio dubbio e' se la subnet
del sistema autonomo dell'ISP assegnata al cliente possa facilmente
essere subnettata in modo naturale senza artifizi strani...
BTW, il come mi interessa: un giorno prendo un paio di macchine e
quattro schede di rete e provo a "subnettare".  :-)
bye G.L.

 verso grosse blocchi di io.
"...verso grossi blocchi di ip", errata corrige. :-)
bye G.L.


Mah, io dico di si ...
se il cliente si rivolge all'isp con una default route ... e l'isp verso di 
lui con una statica .... dove potrebbe essere l'inghippo ?
Se provi, poi facci sapere !
Ciao
-- 
Ettore 


La rete e' tua... finche fai contenti quelli che ti pagano dentro ci
puoi fare quello che vuoi :) 
Le tre subnet ci stanno.
ciao
Marialaura


vedi sopra.
pero' ripeto... puoi fare quello che vuoi dentro alla tua rete (era
questo il senso della mia battuta), anche configurare IP privati sulla
/30 Router<--->FW se a te garba cosi :)
(se lo fai filtrali in uscita pero' !!!)
ciao
Marialaura

 assegnano.
Ah, buono a sapersi. E mi pareva, che dovesse dipendere dalla
configurazione del router.  :-)
bye G.L.

 nessun problema...il subnetting VLSM si usa da anni ormai
A proposito, VLSM stand for?
bye G.L.


Variable lenght subnet mask ?
-- 
Ettore 

 Variable lenght subnet mask ?
Ah... ho capito. Subnetting mediante subnet mask invece delle canoniche
classi predeterminate? Non e' che si usa da anni... si usa da
un'eternita', direi. :-) Sara' un termine cisco? :-) Su internetworking
with tcp/ip non mi sembra di averlo mai visto menzionato.
bye G.L.

 configurazione del router.  :-)
E non solo. Con questo ho capito anche perche' nella configurazione wan
su un router zyxel in modalita' bridge non viene citata la subnet mask,
mentre e' obbligatoria nella parte lan.
bye G.L.


Esatto č il classless routig specificato indicando che č possibile 
subnettare una classe (A/B/C) in piů classi usando mask differenti ...
Se parli del libro di Comerpenso che ci sia ...almeno non ricordo se l'ho 
letto anche li o solo sul ciscopress ..
-- 
Ettore 

 letto anche li o solo sul ciscopress ..
Che ci sia, e' pacifico. Non ricordo pero' il termine VLSM.
Intendiamoci: io poddeggo una revisione abbastanza anziana del
testo in questione, e' cambiato abbastanza di edizione in edizione.
bye G.L.
p.s.: ue', ne hai fatta di strada, da tempo fa, eh? :-) Ti vedrei
bene a lavorare in ambiti di networking in larga scala.

 bene a lavorare in ambiti di networking in larga scala.
;) Magaaaari .. è il mio sogno ... sto cercando di fare uno stage ma non 
avendo ancora finito il liceo è molto dura ... :(
Azz ... si "lavora" gratis e la gente rifiuta :P
Ciao
-- 
Ettore 

 Azz ... si "lavora" gratis e la gente rifiuta :P
Bisogna tener presente che se il lavoro non e' pagato non di rado per
il cliente non vale niente...  :-(
bye G.L.

 bye G.L.
Per il momento continuerò così ... se magari qualcuno sul NG è di Milano ... 
io sono qui ! :P
-- 
Ettore 

 io sono qui ! :P
Ti faccio i miei migliori auguri. Non hai pensato all'universita'?
bye G.L.

 bye G.L.
-- 
Ettore 

 Ciao
Salve,
Solo curiosità: come mai assegni ip pubblici perfino ai semplici client 
  della lan?
Spero di aver capito il discorso.
Saluti.
-- 
Federico Lagni,
AreaNetworking.IT STAFF
web: 
http://www.areanetworking.it
mail: 
nor...@areanetworking.it
irc: irc.azzurra.org@#areanetworking
mobile: 
+39 3470974699
http://www.areanetworking.it/index.php/Cisco_Users_Group
Mailinglists: 
http://ml.areanetworking.it/mailman

 Se provi, poi facci sapere !
Uhm... a 'sto punto, non ne vale forse la pena, si ha tutte le carte in
tavola: Punto-Punto.  ;-)
bye G.L.

 E qui collima perfettamente col discorso di marialaura.  :-)
Hihihi, due contro uno :P
-- 
Ettore 

 Sara' un termine cisco? 
No. RFC 1860 e 1878
ciao
Marialaura


Giusto per contestualizzare veramente un minimo, se no sembra un quiz.
Si tratta di un discorso storico...
ognuno dei termini di cui sopra pertiene al funzionamento di Internet
in determinati periodi della sua storia. Ogni termine e' stato
introdotto per ovviare a deficienze del sistema che cominciava a
mostrare la corda in determinati periodi storici.
Naturalmente,  l'introduzione di una "feature" per  non hai mai messo
"fuorilegge" cio' che veniva prima, proprio perche' (come si dice
sempre) Internet e' un insieme di parti funzionanti in modo distinto e
indipendente.
Quindi l'introduzione di VLSM all'epoca (prima meta' anni90) , non ha
significato che le reti che funzionavano classful (A,B,C) o subnettate
in modo classico (RFC917) cessavano di esistere, ANZI... (molte sono
sopravissute ben oltre il 2K) semplicemente invece veniva introdotto
una feature in grado (in questo caso) di risparmiare il consumo
indiscrimminato dei preziosi numeri IP, consigliandone (dai registry
agli ISP) l'uso da li in poi.
ciao
Marialaura

marialaura wrote:
[SNIP]
Ok. Ti ringrazio, sei stata molto esaustiva nel precisare.  :-)
Posso approfittare per farti una domanda?
Se ho un abbonamento adsl a singolo ip pubblico statico, metti
con pppoE, pppoA, ipOA, e' possibile fare in modo che il router
operi un bridge, e assegnare quindi detto ip pubblico statico all'host
o firewall che c'e' dietro, oppure c'e' bisogno comunque di una subnet
minimo /30? (intendo: tali link sono, escluso mi pare ipOA, dei
punto-punto ppp con subnet mask 255.255.255.255). Ah: non vale la
risposta, i merito al pppoE, di stabilire la connessione direttamente
tramite windows raspppoe, connessione larga banda di XP, linux rp-pppoe.
;-)
bye G.L.

  della lan?
Perchè in alcune situazioni ho la necessità di collegarmi dall'esterno a 
dei server http che girano sia sui server della DMZ che della lan interna.
ciao

 dei server http che girano sia sui server della DMZ che della lan interna.
E di grazia, in merito a cio', che problemi ci sarebbero in una normale
configurazione routing con nat?
bye G.L.


<SNIP>
prova a dare un occhiata qui :
http://tinyurl.com/82gb2
ciao
Marialaura

 ciao Marialaura
Ciao, e grazie.
bye G.L.


Nessuno, ma di grazia .... avendo indirizzi IP a disposizione, che 
problema c'è nell'usarli ?  :)
Ciao

 problema c'è nell'usarli ?  :)
Scusa se sono pedante, ma non capisco.
Se vuoi, li useresti comunque, nat o non nat.  :-)
bye G.L.