Newsgroup: it.comp.reti.ip-admin
Titolo: Subnetting e Firewall

Salve,
ho una subnet pubblica X.X.X.64 - X.X.X.95 attestata su un'HDSL
ed attualmente funzionante con un router Cisco 1721.
Vorrei inserire un firewall e vorrei sapere come e se posso ulteriormente
subnettare (es. X.X.X.64-X.X.X.67 e X.X.X.68-X.X.X.95) in modo
da mettere una interfaccia sul 65 ed una sul 69 con le oppurtune subnet
mask in modo da disciplinare il traffico per mezzo di opportune rules.
Questa è solo un mio approccio, vorrei un consiglio e/o eventuali soluzioni
alternative.
Grazie in anticipo

mask in modo da disciplinare il traffico per mezzo di opportune rules.
mi sfugge il motivo di questa subnet
puoi usare 2 indirizzi della net che hai senza crearti questi problemi
puoi usare il 65 per un firewall su cui naviga la ditta e un 66 per il
server di posta, o per il server web.
scusa, ma non capisco il motivo, forse se ci spieghi meglio cosa vuoi
fare ...
Ciao

 ha scritto nel messaggio 
news:1sv8o2l8pa44kar8m...@4ax.com...


solo le porte necessarie... Come posso risolvere... Transparent firewall ?
nei server lasci aperte solo le porte necessarie ...
se vuoi puoi mettere un firewall, ma in questo caso dovresti spostare
i server su una dmz, o una lan del firewall.
di solito io preferisco mettere un firewall sulla rete esterna, e sul
firewall configuro una dmz per i server che devono essere visti
dall'esterno (tipicamente posta, web e ftp), poi sempre sullo stesso
firewall uso un'altra scheda per fare navigare la rete aziendale.
in tutti i casi non devi toccare nulla sul router, devi solo impostare
il firewall ( o il server) con un indirizzo pubblico(66, 67,..), e
impostare il default gw verso il router (65).

 ha scritto nel messaggio 
news:7l79o29e29fpu4pgh...@4ax.com...


 ip per il firewall stesso? (Non voglio usare IP privati/NAT)
Un bridge firewall.
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam al contrario, e cambia nazione
"E' assolutamente evidente che l'arte del cinema si ispira
alla vita, mentre la vita si ispira alla TV" - Woody Allen

 ha scritto nel messaggio 
news:em39k0$te2$1...@tdi.cu.mi.it...


 esperienze ?
Prodotti hardware non saprei consigliarti, esperienza al riguardo zero,
ma in quanto ai strumenti puramente software ad esempio con linux puoi
realizzare un bridge firewall. Aspettiamo i consigli degli altri.


Ciao
direi che molto dipende dal budget, e dalla conoscenze tue o del
gestore della cosa.
sredo si possa partire da un normale firewall messo in mezzo tra rete
esterna, e il server, fino a router/switch/firewall configurabili.
io l'ho sempre fatto con un firewall in mezzo, e per me andava più che
bene.
 l'ho visto fare ad un cisco grosso 5000 se non sbaglio (o almeno il
tecnico cisco mi diceva che lo faceva, io non conosco cosi bene cisco)
in pratica il 5000 disponeva di un firewall sw interno, ed erano state
configurate delle vlan per la rete esterna con delle regole sulle
porte.
inutile dire che il 5000 non è molto  economico ;)
Ciao

 Ciao 

 
  Ok ho capito cosa vuoi fare. Ahime però bisogna intervenire nella 
configurazione delle route statiche dentro al router Cisco. Però se non 
hai accesso al router devi riuscire a far capire al tuo gestore 
(provider) cosa deve fare.
Io avevo un problema simile su un Cisco 2600 su una HDSL interbusiness, 
purtroppo non riuscivo a far capire al gestore come operare e il gestore 
non mi voleva dare le password. Così ho applicato la procedura del 
recovery password sul Cisco resettandolo e me lo sono riprogrammato da 0 
secondo le mie esigenze.
Comunque proverò a spiegarti la procedura da fare nel Cisco:
Facciamo finta che hai 2 firewall per semplicità (in realtà saranno poi 
2 interfacce di rete sulla stessa macchina, una per ogni subnet 
indipendente)
Fw1: X.X.X.65
Fw2: X.X.X.69
Quindi tu puoi avere n macchine collegate direttamente al router con il 
proprio ip pubblico.
Tu vuoi che gli ip X.X.X.64, X.X.X.66, X.X.X.67 siano collegati e 
gestiti dal tuo Fw1 in base alle regole che stabilirai (DMZ).
Bene nel router Cisco 1721 devi entrare in programmazione (ci vuole la 
password di en) e digiti quanto segue:
ip route X.X.X.64 255.255.255.255 X.X.X.65 permanent
ip route X.X.X.66 255.255.255.255 X.X.X.65 permanent
ip route X.X.X.67 255.255.255.255 X.X.X.65 permanent
In questa maniera quando al Cisco arriverà una richiesta per l'ip 66 ad 
esempio, verrà girata direttamente a Fw1 e dopo se ne occuperà lui di 
gestire i pacchetti in base alle regole definite
Per la seconda "subnet" procedi in maniera analoga:
ip route X.X.X.68 255.255.255.255 X.X.X.69 permanent
ip route X.X.X.70 255.255.255.255 X.X.X.69 permanent
ip route X.X.X.61 255.255.255.255 X.X.X.69 permanent
e così via.
L'unico scoglio da superare è appunto l'abilitazione alla programmazione 
del router.
Spero di essere stato chiaro.
Ciao

 ha scritto nel messaggio 
news:45855867$0$19091$4faf...@reader4.news.tin.it...


Ciao
dato che le esigenze sono di protezione, e blocco delle porte (almeno
questo è emerso fino ad ora), non credo che il subneting della rete
risolva il problema in qualche modo.
tra l'altro continuo a non capire a cosa serva in situazioni di questo
tipo .
ma forse ho capito male.;)
Ciao

 nulla sul router.
Ma sul router non avresti cambiato comunque nulla, usando il NAT,
e avresti "perso" solo un ip (quello del firewall).
Da qualche parte hai detto inoltre che non volevi sprecare nessun
indirizzo IP. Col bridge ci riesci certamente, ma nella tua intenzione
precedente, volendo risolvere il problema subnettando, ne avresti perso
comunque due per ogni subnet (ed inoltre per subnettare mi sa che
saresti comunque dovuto intervenire sul router).
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam letto al contrario, e cambia nazione.


 e avresti "perso" solo un ip (quello del firewall).
E comunque, "perso" per modo di dire: Viene comunque utilizzato per i
server, assieme agli altri eveentuali alias.
