Newsgroup: it.comp.reti.ip-admin
Titolo: Problema di routing

Ciao a tutti,
ho qualche dubbio su un problema di routing:
situazione aziendale:
ROUTER
amministrabile solo attraverso Telecom
connesso ad internet tramite HDSL       =    IP interno 193.184.100.153
                                                                  subnet
255.255.255.0
SERVER NT interno alla LAN =                IP             193.184.100.155
                                                                  subnet
255.255.255.0
                                                                  gateway
193.184.100.153
Avendo la necessità di frapporre un firewall multihomed tra il Server NT ed
il router, sembra da quanto ho letto, si renda necessaria la modifica del
segmento di rete di appartenenza o del Server NT o del Router in quanto
nessun tipo di routing può avvenire tra reti dello stesso segmento.
Cioè il problema si risolverebbe con l'indirizzo di una delle due interfacce
di rete del firewall ad es. 193.184.100.1 e l'altra 193.184.101.1
Ciò imporrebbe di cambiare l'indirizzo IP o del Router o del Server NT,
infatti la macchina connessa all' interfaccia del firewall 193.184.101.X
dovrà avere a sua volta un indirizzo 193.184.101.X
Facendo così, però, in caso di un eventuale guasto alla macchina firewall,
la rete interna rimarrebbe isolata da Internet anche operando una
connessione fisica tra Server NT e router Telecom (bypassando il firewall).
Io preferirei far cambiare l'indirizzo IP di quest'ultimo, anche perchè al
server NT è associato un indirizzo IP pubblico che punta a quello privato.
Però mi chiedo: esisterà un modo di cui io non sono a conoscenza per evitare
di toccare entrambi gli indirizzi IP ed ottenere il routing?

di toccare entrambi gli indirizzi IP ed ottenere il routing?
Secondo me esiste, e si chiama proxy arp. Ad esempio il Guardian (un fw sw
che gira su NT) e' in grado di implementarlo, e non devi cambiare una
virgola della cfg esistente. Anche linux, mi sembra, e' in grado di fare
proxy arp.
buon fw a tutti
bepin

 wrote in message
9igtat$1eejd$1...@news02.it.net...


di toccare entrambi gli indirizzi IP ed ottenere il routing?
No.
Anche perche', se ci metti in mezzo un firewall, tutto il traffico *deve*
passare di li'.
Se lasci il server esposto, anche per brevi periodi, tanto vale che ti
risparmi i mal di testa.
E' un discorso di policy: se il firewall non funziona alla rete, da fuori, non
ci si accede e viceversa, punto e basta.
Tutto IMHO ovviamente.
-- 
BlueRaven
Prima di parlare, ricorda:
mount -t auto /dev/brain /mnt/mouth

<Se lasci il server esposto, anche per brevi periodi, tanto vale che ti
<risparmi i mal di testa.
Certo, la policy di BlueRaven è molto accademica, e sicuramente
condivisibile, ma siccome io non devo difendere Fort Knox, credo che
comunque mi convenga guardarmi questo proxy-arp perchè possono presentarsi
situazioni di emergenza (spero molto rare) che costringano ad ignorare
momentaneamente la sicurezza pur di mantenere salva la connettività.
Visto che queste situazioni forse non si presenteranno mai, e comunque anche
qualora si presentassero sarebbero molto brevi, penso che tutto sommato il
rischio sia calcolato.
Ciao e grazie per le preziose risposte.