Newsgroup: it.comp.reti.ip-admin
Titolo: Server ftp in ufficio

Cortesemente,
come da oggetto abbiamo intenzione di mettere in ufficio un server ftp. 
Accediamo ad internet tramite HDSL. Mi vengono in mente due soluzioni ma non 
so quale sia la migliore.
1- fare un port forwarding del servizio ftp, tramite il nostro firewall, 
all'indirizzo ip privato del server
2- posizionare il server sulla dmz del firewall. In questo caso bisogna 
assegnare al server un ip privato o pubblico?
La seconda soluzione con ip pubblico mi pare ad intuito la più sicura, ma 
gradirei molto qualche dritta generica per la configurazione
Grazie
Piero 

 gradirei molto qualche dritta generica per la configurazione
Il firewall viene settato in questo modo:
LAN -> WAN: solo i servizi consentiti (es. 21, 25, 80, 110, 143)
LAN -> DMZ: solo i servizi usati verso DMZ (es. 21, 22)
DMZ -> LAN: blocco
DMZ -> WAN: solo i servizi usati dalle macchine DMZ (es. 80)
WAN -> LAN: blocco
WAN -> DMZ: solo i servizi che debbono accedere alla DMZ (es. 21)
I client della LAN avranno come default gateway l'IP LAN firewall, 
mentre le macchine DMZ avranno per default gateway l'IP DMZ del 
firewall.
Se vuoi pubblicare il server FTP in DMZ, apri il port forwarding della 
porta 21/tcp da WAN al server FTP. Se prevedi di usare il passive mode, 
prevedi un forward di un gruppo di porte alte (es. 50000-50100) da WAN 
verso il server FTP; inoltre il server FTP verra' configurato per 
comunicare al client il proprio IP pubblico.
Per l'accesso al server FTP da LAN userete la modalita' attiva.
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Server, Security


Intanto ti ringrazio per l'attenzione. Quello che non ho capito è cosa 
significa il modo passivo e attivo. Inoltre ho notato che tu non accenni 
all'utilizzo di un ip pubblico. Ma la Telecom perchè ce ne ha dati 8? Cosa 
dovremmo farci? Non servono appunto per pubblicare eventuali servizi?
Grazie ancora per la pazienza
Piero 

 Ma la Telecom perchè ce ne ha dati 8?
E' una /classe/ da 8; come in tutte le reti, l'IP piu' basso e quello 
piu' alto sono riservati (network e broadcast), mentre un altro IP 
sara' assegnato al router del gestore, a meno che questo non venga 
settato in bridged mode.
Pertanto gli indirizzi IP pubblici /spendibili/ sono 5, uno dei quali 
potra' essere dedicato alla pubblicazione del vostro FTP.



Ti ringrazio ancora per le esaurienti spiegazioni, ma mi sono accorto di 
essermi spiegato male nella domanda per quando riguarda l'ip pubblico.
La nostra lan esce già con un ip pubblico che è quello del router che la 
telecom ci ha installato. Pertanto, come è stato già detto, posso 
configurare un forwarding sul firewall in modo che si possa raggiungere il 
server su un ip privato di classe diversa.
Ma volendo assegnare un ip pubblico al server ftp dato che ne abbiamo? E' 
una soluzione più sicura? Eventualmente come si configura il firewall a 
grandi linee?
Grazie ancora per la pazienza.
Piero 

 linee?
Piu' sicura forse non tanto, pero' conviene lavorare con le regole del 
firewall come detto, in modo da avere il server in DMZ.
Se non puoi gestire il router, fallo configurare in bridged mode, in 
modo da gestire il tutto dal tuo firewall (a proposito: che fw usi?).
Dopodiche' fai port forwarding da un IP libero al server in DMZ.



Uso il firewall Zywall 5 della Zyxel. Per il router non ci sono problemi, è 
già configurato nel modo che tu dici.
Però mi rimane sempre lo stesso interrogativo: a cosa servono gli ip che 
telecom fornisce se poi il modo più sicuro per pubblicare un servizio è il 
port forwarding sul firewall verso un ip privato?
Grazie ancora
Piero 

 port forwarding sul firewall verso un ip privato?
Il port forwarding, in questo caso, e' solo un modo per permettere ad 
una risorsa di essere protetta e allo stesso tempo visibile in rete.
In pratica, sull'IP pubblico scelto viene operato un NAT delle porte 
che occorrono (PAT), verso il server; in questo modo, il server e' 
raggiungibile solo per i servizi voluti sull'IP pubblico scelto. In 
questo modo, chi accede al server si trova prima davanti il firewall, 
che protegge il server da attacchi DoS o da pacchetti che non hanno 
nulla a che vedere con quel servizio; dopodiche' i pacchetti leciti 
vengono inoltrati in DMZ e raggiungono il server.
Avere piu' IP pubblici permette di pubblicare piu' risorse aventi la 
medesima porta, ad esempio tre server FTP o altrettanti server web, o 
una combinazione degli stessi.
Non so se ti ho risposto :-)


 Non so se ti ho risposto :-)
Si grazie, adesso ho capito.
Piero