Newsgroup: it.comp.reti.ip-admin
Titolo: Firewall e VPN

Ciao a tutti,
dopo il flame sui firewall che ho generato qualche giorno fa, ho raccolto un
po' di info su internet e il mio intento sarà (proviamo, tentar non nuoce)
quello di usare una macchina linux, con un transparente bridging + iptables
e ebtables. Qualcuno mi aveva detto che il codice non era ancora sicuro, in
effetti nel progetto su sourceforge non c'è un gran movimento, ma ho trovato
molti report positivi di persone che lo usano in production e sembra essere
molto stable.
Mettendo poi un IP sul dispositivo logico del brige la macchina diventerebbe
"governabile" anche da remoto.
La mia domanda di oggi è questa....meditavo una cosa: normalmente dovrei
lasciare aperte determinate porte, come ftp, ssh per l'accesso alle macchine
da remoto. Avendo IP statici si potrebbero proteggere le porte e renderle
accessibili solo da alcuni IP, qauesta è una pratica banale. Però se
ovviamente non sono in ufficio e magari vado in dialup la soluzione diventa
improponibile per le restrizioni su IP...
Ho pensato questa cosa (che ho già visto fare), creare una VPN, o un tunnel
dalla macchina che deve lavorare sul sistema al firewall, così da avere
l'accesso nella rete. Di solito so che il tunnel però si crea dal client al
GW o al router e poi si ha l'accesso in rete. Usare una cosa di questo
genere con il firewall, è fattibile? O magari è solo una pensata nata male?
Grazie
Stefano

 pensata nata male?
Se domandi se è fattibile, è fattibile ;-)
Il problema è casomai se " è consigliabile farlo"...
-- 
Emanuele Balla  aka Skull -  Public Key #661E5CBF on 
www.keyserver.com
+----------------------------------------------------------------------+
"And 1.1.81 is officially BugFree(tm), so if you receive any bug-reports
on it, you know they are just evil lies." (By Linus Torvalds)

 
puoi inoltre creare una DMZ dove pubblicare i servizi che vuoi.
Tutto questo utilizzando anche un 486 con 32MB di ram.

 > Stefano

 Il problema è casomai se " è consigliabile farlo"...
Dici che sarebbe consigliabile non farlo? A naso non ci vedo niente di così
negativo, se non il lavoro di configurarlo, ma sicuramente mi sfugge
qualcosa...


 sfugge qualcosa...
No, di tuo hai anche ragione, ma mettere una vpn sul firewall significa
tenere aperto sul firewall il relativo servizio, con tutte le conseguenze
che questo comporta...
Ti posso dire cosa faccio io di solito, poi valuta tu se fa al caso tuo:
di norma, sulle macchine da amministrare da remoto, installo ssh, con
accesso limitato alla rete del mio ufficio.
Sempre sulla macchina remota, uso vtund, configurato come client, il cui
server sta nella mia dmz.
La scelta di vtund è dovuta da un certo punto di vista a ragioni storiche
(oltre che all'indubbia flesibilità che ha ;-).
Ma qualsiasi sistema che ti permetta una vpn in ras sarebbe la stessa
cosa (purchè il server sia da me...)
Gli accessi a queste macchine li faccio per questa via, dopo aver
lanciato alla bisogna il client remoto via ssh (o direttamente da console
da parte del cliente qualora la macchina non sia mia ma la debba solo
amministrare).
Se dovessi pensare di garantirmi un accesso dal resto del mondo,
onestamente, penserei di mettere un vpn concentrator per i roadwarrior
sempre in dmz da me, e non di metterlo sul fw dei server di produzione.
Tutto IMHO, è probabile che tutto 'sto casino sia poi un accrocchio
insensato ;-)
Byez...
