Newsgroup: it.comp.reti.ip-admin
Titolo: Firewall ZyXEL

Vi prego non prendetemi in giro se sono abbastanza a zero come
firewall/router e compagnia bella.
Nell'azienda dove lavoro c'è una Adsl con Ip fisso collegata ad un Hub
Switch con una ventina di pc ed un As/400.
La Lan è di tipo 192.168.0.x / 255.255.255.0
Il modem/router non fornisce il DHCP quindi su ogni PC ho configurato il
proprio numero IP, maschera di sottorete, gateway (l'indirizzo del
modem/router: 192.168.0.254) e i DNS. Tutto funziona benissimo.
Nel modem/router CISCO 1600 fornito dal provider non posso entrare.
Poichè nel contratto Adsl sono compresi 32 indirizzi pubblici (da
151.x.x.x.1 a 151.x.x.x.32, /
255.255.255.224
) il primo indirizzo è anche
quello che risulta quando navigo su internet) ed avrei bisogno di accedere
dall'esterno alla rete o semplicemente ad alcuni dispositivi (telecamera,
server, telnet As/400) ho acquistato un Firewall Zyxel Zywall 2 Plus
Internet Security Appliance.
E qui sono nati i problemi: ho letto tutti i manuali, le faq sul sito,
articoli su siti ma evidentemente per mia ignoranza non solo ci ho capito
poco ma non sono riuscito nemmeno a configurare il Zyxel in maniera
trasparente, cioè quando scollego il cavetto del modem/router Cisco dall'Hub
Switch e lo collego alla porta WAN dello ZyXel e a sua volta collego il
Zyxel all'Hub i pc non vanno più in Internet.
Ho provato a cambaire il gateway dei pc mettendo l'indirizzo del Zyxel
(192.168.0.30), ho provato a riempire le videate dei parametri WAN ma non
riesco a capire cosa devo mettere.
Sul manuale nella parte Wan dice di mettere su My WAN Ip Address l'indirizzo
IP Pubblico e la maschera di sottorete
e di metterne un altro sul gateway ma non funziona nulla, figuriamoci poi
quando tenterò di configurare gli accessi esterni.
Potreste darmi una mano almeno a far navigare i pc rendendo "trasparente" il
Zyxel che poi con più comodo cercherò di far funzionare gli accessi esterni
con Ip pubblici !
Grazie scusate Steve
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 Internet Security Appliance.
Intanto sicuro che il primo indirizzo sia 151.x.x.x.1 (che dovrebbe 
essere di rete) e non 151.x.x.x.2 ? Poi forse ora cisco ha il nat attivo 
quindi forse è quello il punto. Prima di mettere il FW gli altri ip 
pubblici erano inutilizzati? Hai sentito il provider su come è 
configurato il tutto?? E che ip hai dato al Firewall lato WAN?
Fammi sapere.
Ciao
-- 
Dott. Hellboy
MSN: 
simo...@hotmail.com
If I'm curt with you, it's because time is a factor.  I think fast, I
talk fast, and I need you guys to act fast if you want to get out of this.

 E che ip hai dato al Firewall lato WAN?
lato rete LAN gli ho dato 192.168.0.30....lato Wan che ci devo mettere ? un
Ip pubblico come da esempio sul manuale ? (non mi funziona)
E l'indirizzo LAN del Cisco (192.168.0.254) che attualmente utilizzo come
gateway per i PC che fine fa? rimane quello sui pc oppure lo devo mettere da
qualche parte nel firewall e il nuovo gateway dei pc diventa l'indirizzo LAN
del firewall ?
E soprattutto, prima ancora di utilizzare gli accessi esterni con gli IP
pubblici come faccio a interporre il firewall tra Cisco e l'HUB (quindi la
mia Lan) facendo in modo che i Pc continuino a navigare ?
Grazie, abbi pazienza con me che sono un As/400entista ! Steve


> > E che ip hai dato al Firewall lato WAN?
aggiungo: quando entro in configurazione degli IP WAN del Firewall mi
chiede:
My WAN IP Address . . .
My WAN IP Subnet Mask . . .
Gateway IP Address ...
nell'esempio (ma non copisco come mai) del manuale mette su My WAN IP
Address il primo indirizzo IP pubblico e sul Gateway il secondo Ip
Pubbblico.
Io ho provato ma i pc non escono su Internet. AI pc poi che gateway mettere
?
Ho visto che accetta come WAN IP e Gateway IP solo IP su una stessa classe
di rete e devono essere diversi dalla classe di rete LAN locale...altrimenti
mi da errore.
boh ?
Grazie Steve


 mi da errore.
Questo è corretto. devo essere della stessa sottorete. E' importante che 
come gateway sul firewall imposti l'ip del router (il primo pubblico 
utilizzabile).
In ogni modo prova ad attaccare un pc diretto al cisco con un ip 
pubblico (sempre impostando il gateway) e vedi se esce. Una volta che 
esci così, il più è configurare le policy del firewall.


 esci così, il più è configurare le policy del firewall.
Grazie x la pazienza.
Ho fatto la seguente prova come mi hai consigliato:
Ho preso uno dei pc attaccati all'hub della mia rete e gli ho dato come
indirizzo IP:
il secondo indirizzo pubblico: 151....194
sottorete (quella degli indirizzi pubblici): 255.255.255.224
e come gateway:
il primo indirizzo pubblico cioè quello che risulta quando navigo:
151......193.
Il pc esce su internet senza problemi, navigo e se da un Pc "esterno" pingo
l'indirizzo pubblico configurato nel pc lo vedo (mentre giustamente non
pingo gli altri indirizzi IP pubblici che non ho assegnato ad alcun pc).
Quindi gli indirizzi IP funzionano. Ora però mi chiedo come faccio ad
accedere dall'esterno alla mia LAN
senza dover cambiare la classe 192.168.0.0 dei miei pc, telecamere, ecc.ecc.
? non vorrei assegnare ad esempio ad un server un indirizzo pubblico
direttamente. Immagino che si possa fare una sorta di reindirizzamento
dentro al mio firewall (modalità bridge ?).
E soprattutto, per poter far le prove con tranquillità senza dover ogni
volta aspettare che non lavori nessuno: come fare a interporre questo
benedetto firewall tra hub e modem-router continuando a far navigare gli
utenti sulla rete 192.168.0.0 come se fosse trasparente?
Grazie Grazie Grazie Steve


 Grazie Grazie Grazie Steve
HO RISOLTO IL PRIMO PROBLEMA; cioè interporre il firewall in maniera
trasparente per far navigare
i pc.
Ho configurato il firewall con indirizzo IP lan 192.168.0.30 e poi come
accesso Internet il secondo ip pubblico e gatway il primo ip pubblico e
relativa maschera di sottorete e dsn.
Poi ho dato ai pc come gateway l'indirizzo del firewall 192.68.0.30 e
FUNZIONANO !
Adesso mi rimane da configurare l'accesso esterno !
Grazie ciao Steve


 Adesso mi rimane da configurare l'accesso esterno !
Per quello bisogna capire cosa intendi. hai dei servizi che girano su 
delle macchine nella LAN ? In tal caso devi fare il port forwarding sul 
firewall. Ad esempio nel caso in cui ci sia un server http sulla 
macchina 192.168.0.100 devi mettere una regola che "inoltri" il traffico 
dalla porta 80 sulla 192.168.0.100. Chiaramente poi il firewall non deve 
bloccare il traffico con qualche regola!
Fammi sapere


 Fammi sapere
Si, mi spiego. Facciamo l'esempio più semplice delle telecamere Axis.
Ci sono tre telecamere con ip locale 192.168.0.154-155-156 che fungono da
server http porta 80 (e anche ftp con porta 21) tant'è che da qualsiasi pc
battendo 
http://192.168.0.154
 si possono (previo battere utente e password)
vedere, settare,ecc.
L'intenzione sarebbe quella di collegare altri tre indirizzi pubblici agli
indirizzi locali in modo che battendo dall'esterno uno dei miei indirizzi
pubblici venga reinstradato sull'indirizzo locale della mia telecamera (che
è come se fosse un server http).
Sono entrato nella videata di configurazione NAT del firewall e mi propone:
Address mapping:
ho provato a dare l'IP locale e l'ip globale (ma cosa è il globale ?...sarà
l'ip pubblico ?) di tipo one-in one
(da quello che ho capito si può associare un indirizzo locale ad un
indirizzo globale come ho fatto, un range di indirizzi locali ad un ip
globale , un range di ip globali ad un indirizzo locale e un range di
indirizzi globali ad un range di indirizzi locali).
Port Forwarding Rules:
mi chiede un indirizzo del server (ho messo quello locale della telecamera)
e la porta (80)
ma digitando dall'esterno l'indirizzo pubblico IP (il terzo che avevo)
associato non funziona, nè pinga.
Se invece digito il secondo indirizzo pubblico IP mi fa entrare nel firewall
nella stessa maniera di come mi fa entrare con l'indirizzo locale
192.168.0.30
Ciao, Stefano


stever ha scritto:

Allora la cosa più semplice che puoi fare è dare un ip privato ad ogni 
telecamera e usare una porta diversa per ognuna (tipo 81,82,83) poi 
nelle rules del forwarding dici che alla richiesta sulla porta 81 ti 
rigira la richiesta su 192.169.0.154 (con la 81 attiva) e così via. Ci 
sono anche altri modi in cui puoi dire quale è la porta privata e quella 
pubblica cmq questa deve andare.
Altrimenti puoi attaccare le camere direttamente al router con un ip 
pubblico, questo sistema elimina il problema della variazione della 
porta. Altro modo che mi viene in mente è mettere le camere con ip 
pubblico in una DMZ gestita dal firewall, ma è la cosa più complicata e 
qui non ho tanta esperienza per dirti esattamente cosa fare.
Magari fai una prova con il primo sistema, il secondo cmq potrebbe 
andare bene, in fondo credo che le webcam non abbiamo forte bisogno di 
un firewall  (lì basterebbe una ACL sul cisco peccato non te lo facciano 
usare).
Fammi sapere
ciao


 porta.
Mamma mia che spavento. Oggi proprio mentre facevo le prove è saltata
internet (nel mezzo del lavoro di 50 persone) per due volte per mezz'ora e
tutti hanno pensato che fossi stato io (anche io l'ho pensato) ...ed invece,
incredibile a dirsi, per la prima volta in due anni è saltato il provider
che ha telefonato avvertendomi che mezzo centro e sud italia era in tilt !
quando si dice fortuna ! :-)
Ti spiego meglio come sono messo ad esempio con le telecamere. Facciamo
l'esempio per una, poi penso che per le altre sarà lo stesso.
L'indirizzo Ip è come ti dicevo: 192.169.0.154 e non lo voglio cambiare (non
posso usare l'ip pubblico altrimenti era troppo facile:-) perchè a questo
indirizzo Ip sono collegati programmi legati all'antifurto che girano su un
server al quale ha l'accesso la società che ha fornito il software e non mi
va di toccare nulla altrimenti avrebbero la scusa in caso di
malfunzionamenti (già accaduti per causa loro).
Ho però l'esigenza di interrogare la telecamera dal di fuori perchè
richiesto dai miei titolari e dalla società di vigilanza. La telecamera di
suo ha per fortuna utente e password.
Una volta entrato nei menù del Zyxel sono andato su:
NAT/Port Forwarding Rules. (ho saltato per ora Full Feature Address Mapping
Rules )
su NAT/Port Forwarding Rules mi chiede i seguenti paramentri:
Name (il nome del Port Forwarding Rules, a piacere ho messo CAM1)
Incoming Port(s): ho messo: 80 80
Port Translation: ho lasciato 0 0 ma ho anche provato a mettere 80 80
Server IP Address: 192.169.0.154
Da un pc esterno cosa devo battere ?
ho provato a battere l'indirizzo ip pubblico primario ed il secondo ma nulla
di fatto.
C'è una particolare sintassi da battere sul browser ?
Grazie ciao


mi sto aiutando anche con questo sito:
http://zywall70utmdemo.zyxel.com/
che ha le videate simili alle mie (solo che questo zyxel gestisce 2 wan
mentre il mio una)
continuo le prove !


 ciao
niente da fare :-(
Ho provato come da esempio riportato sul sito-demo a mettere
contemporaneamente:
Address Mapping Rules:
con local ip: 192.168.0.154 e Global Start IP un indirizzo pubblico libero
(il terzo)
e Port Forwarding Rules:
mettendo come Server IP Address: 192.168.0.154 e come Incoming Port(s) 80-80
e Port Translation: 80-80
ma digitando da esterno il terzo indirizzo pubblico non succede nulla.
steve


 continuo le prove !
se devi accedere alle webcam devi accedere al ip pubblico del firewall 
(il secondo)
ho dato una occhiata alle schermate, tu hai abilitato il NAT su WAN1 
(immagino tu abbia configurato quella)? poi hai messo il flag su active 
sulla regola in port forwarding? in ogni modo prova anche a controllare 
i log se segnalano qualcosa di strano.
Di più è difficile da capire ....
Ciao


 i log se segnalano qualcosa di strano.
ho pulito i log e ho incominciato a battere gli indirizzi ma il log è
rimasto pulito ! :-(
Grazie comunque Ciao


Volevo avvertiti che funziona tutto !
Non so perchè puntando la telecamera non funzionasse con i consigli da te
dati.
La telecamera è un normale server http e ftp con porte aperte 80 e 21 ed in
locale è ok !
Avendo provato di tutto ho semplicemente sostituito all'indirizzo locale Ip
della telecamera con l'indirizzo locale di un vecchio server W2000 server
che avevo inutilizzato e subito si è collegato !
Ora mi basterà giocarcii un pò e fare a limite una paginetta web con il
flusso delle telecamere.
Grazie di cuore, se passi da Pomezia colazione pagata !
Ciao, Stefano


Ho risolto bene la faccenda di accedere alle telecamere esterne via internet
e ti volevo far sapere come l'ho realizzato.
Mi č stato ultilissimo sapere (da te) che, comunque avrei fatto, avrei
dovuto utilizzare come accesso esterno il secondo numero Ip pubblico (non
che non l'avessi provato prima ma č un conto avere una costante e provare
poi tutte le eventuali variabili ed un altro avere due variabili e provare
tutte le combinazioni ) :-)
A parte configurare la LAN e la WAN in modo da far navigare trasparentemente
mi č bastato configurare nel menů NAT il Port Forwarding (mentre l' Address
Mapping l'ho lasciato vuoto) cosě:
nel campo dell'Server IP Address ho messo tutti gli indirizzi locali delle
telecamere, mentre nel campo Port Translation ho lasciato a tutte la porta
80; nel Incoming Port(s) invece ho aperto delle porte a piacere per esempio:
200
201
202
203...e cosi' via.
Le telecamere Ip Axis ovviamente erano giŕ state configurate con l'indirizzo
locale 192.68.0.200-201-202-203 ecc.
la subnetmask locale e come gateway l'indirizzo locale del firewall Zyxel.
Per poter accedere dall'esterno ora mi basta battere l'indirizzo Ip (il
secondo) seguito da :200 oppure :201, :202 e cosi' via ! Ovviamente le
telecamere sono protette da password.
Grazie ciao, Steve


 telecamere sono protette da password.
In effetti questa specifica (quella di mettere :numeroporta) mi ero 
dimenticato di dirtelo.. spero di esserti stato utile lo stesso. 
Spiegare queste cose mentre stai a lavoro non è facilissimo ;)
Ciao buon lavoro!


 Spiegare queste cose mentre stai a lavoro non è facilissimo ;)
mi sei stato utilissimo, stavo quasi per lasciar stare.
E' stato importante soprattutto essere sicuro di quale indirizzo battere
dall'esterno, dato per buono quello ho potuto affrontare meglio le prove.
Ed è stato utile avere i vari suggerimenti che mi hanno tranquillizzato sul
fatto che qualcosina a forza di leggere internet l'avevo capita e dovevo
andare avanti !
Capisco che via web poi è difficile spiegarsi, capita anche a me quando
spiego via telefono /email righe di programma RPG su As/400
Grazie buon fine settimana a te !
