Newsgroup: it.comp.reti.ip-admin
Titolo: configurazione ipcop in rete locale

Ho qualche problema nella configurazione di una rete e di un pc con ipcop.
Credo che il problema sia solo di configurazione, non di blocco del 
traffico da parte di ipcop.
Prima di inserire il firewall la rete era cosi' configurata:
server con 4 schede di rete
192.168.0.1
192.168.1.1
192.168.2.1
192.168.3.1
Ad ogni scheda e' connesso un hub a cui sono collegati pc e stampanti di 
rete.
Alla rete 192.168.3.* e' anche connesso un router isdn con indirizzo 
192.168.3.10.
Il gateway del server e' l'indirizzo del router isdn.
A questo punto entra in gioco ipcop. Volevo inserirlo tra il router isdn 
  e l'hub connesso a 192.168.3.1, ma non riesco a far funzionare il tutto.
Ipcop e' configurato cosi':
GREEN: 192.168.3.5
RED: 192.168.3.6
gateway: 192.168.3.10
In questo modo pero' viene visto il router, ma non il resto della rete 
192.168.3.* (ping 192.168.3.1 si istrada su 192.168.3.6 invece che su 
192.168.3.5).
Ho provato a modificare la tabella di route con:
route add 192.168.3.1 eth0
e ping 192.168.3.1 riceve risposta, ma non vorrei che in questo modo si 
perda la protezione fornita da ipcop.
Inoltre rimangono comunque problemi dal server e dagli altri pc.
Dal server ping 192.168.3.10 non risponde.
Qui ho provato ad aggiungere:
route add 192.168.3.5 eth0 (scheda che corrisponde alla rete 192.168.3.1)
ma il router continua a risultare irraggiungibile.
Sapete darmi qualche indicazione?
grazie
	maxx
-- 
NOSPAM: Rimuovere i trattini dallo username!
Cut hyphens from my username!

 gateway: 192.168.3.10
<snip>
Ecco l'errore, la GREEN e la RED sono sulla stessa
subnet per cui ... IPCop non è in grado di routare il
traffico come necessario; a questo punto per correggere
il problema dovresti modificare l'IP del router usando
(ad es.) 192.168.4.10 e riconfigurare IPCop come segue
green        192.168.3.5
red             192.168.4.6
gw (red)    192.168.4.10
ovviamente il server a questo punto avrà come gateway
l'IP green di IPCop, ossia 192.168.3.5 ... spero sia chiaro
Ciao

Il 03/11/2004 17.06, ObiWan scrisse:

L'avevo sospettato, avevo dimenticato il manuale su carta con i punti 
critici evidenziati. :-(
Puo' anche andare bene se lascio il gateway del server a 192.168.3.10, 
metto come green 192.168.3.10 ed il resto come da te suggerito?


 metto come green 192.168.3.10 ed il resto come da te suggerito?
Certo, purchè la GREEN e la RED (e nel caso l'eventuale ORANGE)
siano su subnet diverse tra loro; uh, a proposito, con una config come
quella che prospetti avrai un "doppio NAT" dato che IPCop fungerà da
NAT ed a sua volta sarà NATtato dal router; se possibile potresti
modificare la config del router impostandolo come "bridge" in questo
caso la RED di IPCop avrà come IP l'indirizzo pubblico
Ciao

 
Ed essendo l'ip pubblico del router dinamico, imposto la red di ipcop 
per l'utilizzo del dhcp?
	maxx


 per l'utilizzo del dhcp?
Dipende ...ipotizzo sia PPPoE... cmq controlla la config del router; al
limite
prima di modificare la config del router e di IPCop fatti un backup di
entrambe così sarai in grado di ripristinare la situazione precedente in
caso di necessità
Ciao

>L'avevo sospettato, avevo dimenticato il manuale su carta con i punti

Allora, ho fatto qualche prova ma senza buoni risultati.
Riepilogo la configurazione:
- server con 4 schede di rete funzionante come bridge
192.168.0.1
192.168.1.1
192.168.2.1
192.168.3.1
Ad ogni scheda e' connesso un hub.
Il gateway del server e' 192.168.3.10 che corrisponde al router isdn.
Il router isdn ha quetsa tabella di route:
192.168.0.1 gw 192.168.3.1
192.168.1.1 gw 192.168.3.1
192.168.2.1 gw 192.168.3.1
Cosi' la navigazione in internet funziona correttamente.
Ho interposto una macchina con ipcop 1.4 tra il router e lo hub connesso 
alla rete 192.168.3.*
Ipcop e' configurato cosi':
Green: 192.168.3.10
red: 192.168.4.1
gw: 192.168.4.10
Quest'ultimo e' il nuovo indirizzo ip del router isdn.
Ho anche modificato la tabella di route del router impostando 
192.168.4.1 come gw delle sottoreti.
Le macchine che stanno sulla rete 192.168.3.* riescono ad andare su 
internet, le altre no. :-(
Ho fatto qualche test con tcpdump e modificando la tabella di route di 
ipcop sono riuscito a ricevere risposta ad un ping da parte di una 
macchina su 192.168.0.* solo sino alla macchina ipcop, il router pero' 
non risponde.
Per ottenere cio' ho dato un comando simile a questo su ipcop:
route add -net 192.168.0.1 gw 192.168.3.1
Il consiglio di usare il router isdn come bridge non era poi cosi' 
stupido, pero' volevo evitare di complicare ancora di piu' la situazione 
  mettendomi a manipolare anche il router.
Volendo mantenere la configurazione del router (come gestore della 
chiamata) cosa manca per far funzionare il tutto?
Inoltre e' lecito andare a manipolare la tabella di route di ipcop senza 
  che questo pregiudichi la sicurezza del sistema?


 andare su internet, le altre no. :-(
<snip>
dunque, vediamo ... supponiamo che tu abbia un IP pubblico
4.2.2.2 (giusto per buttarne giù uno); a questo punto avrai....
un primo NAT implementato dal router che transla gli IP
192.168.x.y in 4.2.2.2
un secondo NAT implementato da IPCop che transla gli
IP 192.168.0...3.x in 192.168.4.1 ora... di impostare come
gw 192.168.4.1 nel router  non ha molto senso dato che
IPCop presenta sempre e comunque l'indirizzo "RED"
al router (NAT su IPCop) il problema è che IPCop non
sa come "routare" gli indirizzi 0...2 dato che la sua NIC
"GREEN" ha un'indirizzo sulla subnet 3; la soluzione
più veloce imho dovrebbe essere quella di modificare
la tabella di routing di IPCop aggiungendo il gateway
192.168.3.1 per le subnet 0, 1 e 2 (ossia "spostare" la
config del router sulla GREEN di IPCop) in questo
modo dovresti essere in grado di far funzionare il tutto
inoltre NON avrai più bisogno di impostare il gateway
per le tre subnet nel router dato che quest'ultimo vedrà
sempre e solo l'indirizzo di IPCop (che fa da NAT)
Ciao e ... fammi sapere
-- 
* ObiWan
Microsoft MVP: Windows Server - Networking
http://www.microsoft.com/communities/MVP/MVP.mspx
http://mvp.support.microsoft.com

 
Come ho scritto nel post precedente ho fatto alcune prove modificando la 
tabella di route di ipcop, ma pingando il router da una macchina sulla 
rete "0", i pacchetti transitano dal server, arrivano ad ipcop, vengono 
reinviati al router, ma dal router non torna indietro nulla (con tcpdump 
vedo arrivare il ping da 192.168.0.27 sulla porta GREEN e partire il 
ping per 192.168.4.10 dalla RED, ma non torna indietro nulla.
Ovviamente il problema potrebbe essere dovuto alle 3 gateway sul router, 
anche se non capisco come possano influire visto che il router dovrebbe 
vedere tutti i pacchetti provenienti da ipcop con indirizzo nattato 
192.168.4.1 (come mi suggerisci giustamente tu).
Forse c'e' qualche blocco sulle porte del router.
Provero' a fare dei test sul router sperando che abbia un comando 
tcpdump o un log comprensibile...
Per ora grazie, spero di non dover fare altre domande banali


 Per ora grazie, spero di non dover fare altre domande banali
Di nulla e ... non sono comunque domande banali :-)
Ciao

 e ad esso, in teoria ;-) non ho il permesso di accedere.
Beh .. a parte il fatto che il "comodato" non implica necessariamente il
non avere la possibilità di modificare la config (dipende dal contratto)
poi .. potresti chiedere a chi ti ha fornito il router di riconfigurarlo
come
"bridge" semplice, a quel punto l'interfaccia RED di IPCop avrebbe
l'IP pubblico e potresti fare .. come ti pare :-)
Ciao

 problemi...
Ho rimosso le ACl del router, aggiunto alcune route sulla macchina ipcop 
ed ora funzioan tutto a dovere.
Un'altra domanda: adesso mi farebbe comodo poter accedere da remoto alla 
pagina web di amministrazione di ipcop.
Ovviamente per come ho configurato il sistema l'interfaccia RED di ipcop 
non ha un indirizzo ip pubblico.
Devo necessariamente impostare un reindirizzamento di una porta sul 
router e su ipcop o esiste un altro modo.
Il problema e' che una delle lan che amministro ha un router in comodato 
e ad esso, in teoria ;-) non ho il permesso di accedere.
grazie


 
Il comodato e' con una nota azienda che si occupa di AFFARI ed ha a che 
vedere con una sfortunata squadra di calcio milanese. :-(
Tale azienda in teoria non mi ha rilasciato la password di accesso al 
router ed in pratica ogni richiesta di modifica implica passaggi 
burocratici da repubblica sovietica.
Il router fornito dall'azienda ovviamente fa schifo, ha un noto baco che 
permette di "vedere" la password (quando avro' tempo faro' anche qualche 
domanda sulle conseguenze penali che questo puo' avere per loro e per 
noi), pero' volevo evitare di mettermi a fare pasticci con la 
configurazione del router.
Comunque valutero' se sia il caso di fare 30 telefonate e mandare 20 fax 
e/o email per ricevere assistenza dalla suddetta azienda.
