Newsgroup: it.comp.reti.ip-admin
Titolo: firewall linux - IP pubblici

Ciao a tutti, spero che mi sappiate dare una mano perchè sto impazzendo! 
Ho scritto tempo fa un post al quale non ho avuto risposta, provo a 
riformulare il problema in altro modo.
Il problema che devo affrontare è quello di installare un firewall, con 
un server linux, che si occupi anche di fare Traffic Shaping e QoS.
La mia situazione è la seguente:
- ho a disposizione una rete di 64 ip x.y.z.64/26
- il gateway fornitomi dal provider è x.y.z.65/26
Ovviamente il mio obiettivo è quello di 'proteggere' e gestire il carico 
di banda di vari gruppi di server che andrò a installare. Parlo di 
gruppi perchè la banda non verrà per forza divisa tra singole macchine, 
ma anche tra gruppi di macchine.
I vincoli avrete intuito sono quelli di avere macchine con IP pubblico 
(verrà poi creata una LAN privata, ma per ora non interessa), che escano 
sulla rete con il proprio IP e non con quello del firewall (escluderei 
quindi masquereding, ma correggetemi se sbaglio). Altro vincolo è il 
fatto che il gateway non si trova su una sottorete, quindi teoricamente 
su entrambe le porte del firewall dovrebbe esserci la stessa rete (?!?!).
Come mi consigliate di procedere?
Grazie mille!

 firewall dovrebbe esserci la stessa rete (?!?!).
Hmm .. bella complicatina la config.. prima di tutto vorrei
capire se ti andrebbe bene anche una soluzione "precotta"
(distro firewall) o se preferisci mettere tutto in piedi da solo;
ora, visto che dici di stare impazzendo ti suggerirei di provare
la prima soluzione; ed in particolare 
http://m0n0.ch/wall
 che
implementa firewall, routing, NAT e traffic shaping e che
funziona piuttosto bene (però invece di essere basato su
Linux è basato su FreeBSD)
Per quanto riguarda il discorso WAN (pubblica) e LAN (privata)
direi che potresti risolvere il problema usando una macchina
con tre schede di rete (screened subnet), una delle schede sarà
connessa al gateway, un'altra ai servers pubblici ed una terza
all'eventuale LAN
resta ora il discorso "avere le due interfacce del firewall sulla
stessa subnet" questo impedirebbe sicuramente il funzionamento
di tutto l'ambaradan, le soluzioni in tal caso potrebbero essere
1) attivare il NAT verso i servers utilizzando per questi ultimi un
    indirizzamento IP privato, assegnare quindi i vari IP pubblici
    all'interfaccia WAN del firewall e creare gli opportuni mapping
    tra IP pubblico ed IP privato relativi ai vari servers
2) modificare la netmask in modo da "spezzare" il range di IP
    pubblici in due subnet, assegnare all'interfaccia WAN del
    firewall un IP appartenente alla prima subnet, a quella "DMZ"
    un IP appartenente alla seconda ed usare i restanti IP della
    seconda subnet per i servers
per quanto riguarda invece QoS direi che la soluzione più semplice
potrebbe essere quella di acquistare degli switches managed che
supportino QoS e configurarli opportunamente
Oltre a ciò, considera che se il volume di traffico dovrà essere elevato
la macchina che fungerà da firewall dovrà essere "carrozzata" in modo
corretto, ossia una CPU di livello decente e delle schede di rete che
non finiscano per essere il collo di bottiglia dell'intero sistema .. per
cui
evita schede basate su chip "realtek" e punta direttamente a schede
"di marca" (es. Intel o 3Com)
ci sarebbe da discutere ulteriormente su quanto sopra, ma credo che
quanto detto per il momento possa bastare, oltretutto per evitare di
ammattirsi è meglio procedere un passo alla volta
Ciao
-- 
* ObiWan
Microsoft MVP: Windows Server - Networking
http://www.microsoft.com/communities/MVP/MVP.mspx
http://italy.mvps.org
DNS "fail-safe" for Windows 2000 and 9X clients.
http://www.treewalkdns.com
Support and discussions forums/groups
http://forums.treewalkdns.com
news://
news.treewalkdns.com
408 XP/2000 tweaks and tips
http://www.treewalkdns.com/tq/index.htm

 
Grazie per l'interessamento! :)

 Grazie mille!
Metto ancora un po' di carne al fuoco....
e se facessi bridging sfruttando la direttiva "physdev" di iptables per 
risolvere il problema di diversi livelli TCP/IP?
Ho trovato in rete questa pagina
http://bwachter.lart.info/linux/bridges.html
Che ne pensate?

 come indicato
beh.. come ho scritto anche questa sarebbe una soluzione, ovvio
però che "sprecheresti" alcuni indirizzi a causa del subnetting; in
ogni caso credo che parlando con il tuo ISP la cosa sia fattibile
Ciao

 di tutto l'ambaradan, le soluzioni in tal caso potrebbero essere
...un bridge, ed ebtables.  ;-)
bye G.L.

> ...un bridge, ed ebtables.  ;-)
anche.. ma visto che all'inizio si parlava
di "ammattirsi" ho preferito mantenere le
cose sul "semplice" :-)


per ora sto sbattendo la testa sul proxy arp dopo aver trovato questo 
articolo
http://www.sjdjweis.com/linux/proxyarp/
che sembra illustrare il mio caso