Newsgroup: it.comp.reti.ip-admin
Titolo: Screened network con 1 ip pubblico

Ciao a tutti,
vorrei configurare una screened network per rendere raggiungibile da
Internet un web server, da tenere separato dalla lan.
Come prodotto firewall sto utilizzando Smoothwall, che per i poco
esperti come me sembra abbordabile, e come accesso ad Internet ho una
Vodafone Station.
La configurazione improntata è la seguente:
IP Pubblico
Vodafone Station
192.168.1.1
|
|
|
192.168.1.2
FW/Smoothwall---DMZ---192.168.30.x---HTTP Server
|
|
|
192.168.10.x
LAN
IP pubblico disponibile: 1
Spero aver rappresentato bene la cosa: interfaccia fw verso VS
192.168.1.2, Interfaccia fw verso DMZ 192.168.30.x, interfaccia fw
verso lan 192.168.10.x
Configurando il fw affinchè consenta traffico dalla DMZ verso la LAN
(ho letto che non andrebbe fatto ma è solo per provare) funziona, il
server in DMZ naviga anche.
Il traffico dalla LAN verso la DMZ è abilitato per default.
Ora il problema è che non riesco a raggiungere il server http da
Internet.
Sul router (VS) ho impostato sia una regola che mi gira tutto il
traffico dall'ip pubblico verso gli ip 192.168.1.1 e 192.168.1.2, e
sia una port forwarding verso l'ip 192.168.1.2 ma niente non riesco a
farlo funzionare.
Per favore qualcuno puoi aiutarmi a capire dove sbaglio?
Grazie, sto impazzendo.

 traffico dall'ip pubblico verso gli ip 192.168.1.1 e 192.168.1.2,
No, il 192.168.1.1 non c'entra un tubo, se proprio vuoi fare un NAT 1:1
(girare tutto il traffico) devi redirigere il traffico verso l'IP "RED"
del
tuo smootie ossia 192.168.1.2

 tuo smootie ossia 192.168.1.2
Grazie 1000 Obi.
Purtroppo non posso seguire i tuoi consigli perchè da oggi (che
tempismo!!!) la VS è andata giù.
Spero venga ripristinata al più presto così applico.
Comunque per ora grazie ancora.

 - Mostra testo citato -
Ciao Obi,
la VS è di nuovo ok e ho verificato le configurazioni facendo anche un
piccolo passo in avanti ma ancora sbaglio qualcosa.
prima prova bypassando smootie (per capire se sbaglio la conf su VS o
smootie)
VS 192.168.1.1
red 192.168.1.2 - gw=192.168.1.1
orange 192.168.30.2 (gw per DMZ)
green 192.168.10.250 (gw per LAN)
server http 192.168.1.6 su porta 8081
VS con port forwarding da porta 80 a 192.168.1.6 su 8081
FUNZIONA dall'esterno raggiungo la home di prova su 192.168.1.6.
Quindi sbaglio la conf di smootie.
seconda prova
VS con port forwarding da porta 80 a 192.168.1.2 su 80
al server http ho dato ip 192.168.30.152 per riportarlo in orange
Su smootie ho creato la seguente regola nella sezione Incoming
TCP da external 192.168.1.1 source port 80 destination ip
192.168.30.152 port 8081
NON FUNZIONA.
Grazie.

 server http 192.168.1.6 su porta 8081
uh... perch� 192.168.1.6 ? Hai piazzato il server tra la
RED di smootie ed il VS ? Altrimenti il server dovrebbe
essere connesso alla orange, avere un IP tipo 192.168.30.6
e gw=192.168.30.2 - a quel punto dovresti aggiustare le
regole di forwarding; ammesso che il VS faccia NAT 1:1
verso 192.168.1.2 (la RED di smootie) ti baster� impostare
su smootie un forward della 8081 (red) verso 192.168.30.6
sulla porta desiderata (che potr� essere una qualsiasi
porta sulla quale avrai attestato il webserver)

 porta sulla quale avrai attestato il webserver)
scusa forse ho cannato il copia incolla!!!
Ora la configurazione è
red 192.168.1.2 - gw=192.168.1.1
orange 192.168.30.2 (gw per DMZ)
green 192.168.10.250 (gw per LAN)
server http 192.168.30.152 con apache su porta 8081
su smootie ho creato la seguente regola nella sezione Incoming


 192.168.30.152 port 8081
Da external 192.168.1.2 ... la RED mica ha .1 e le se le connex
dal VS sono in NAT 1:1 ... in pratica devi mappare la porta 8081
della *RED* sulla porta 80 del server HTTP in DMZ; l'IP del VS
non c'entra assolutamente una mazza


ORA FUNZIONA.
Però c'è una differenza rispetto alla conf da te suggerita
Ricapitolo: sulla VS non c'è NAT 1:1 ma port forwarding di http sulla
porta 80 verso l'ip 192.168.1.2.
Su smootie ho creato una regola (port forwarding) nella sezione
Incoming, nel menù Networking, così fatta:
TCP da external 
0.0.0.0/0
 (lui ha tradotto in ALL) source port 80
destination ip 192.168.30.152 (ip del webserver) port 8081.
Se non ho capito male smootie come external voleva l'ip publico da cui
arrivano le richieste ed io indicando 
0.0.0.0/0
 gli ho abilitato tutta
Internet, perchè non posso conoscere tutti gli ip pubblici.
Giusto o secondo te c'è ancora qualche errore nella configurazione?
Comunque ripeto ora da Internet riesco regolarmente a raggiungere il
mio webserver.

 il mio webserver.
L'importante è questo; a questo punto sai come pubblicare
eventuali altre porte; già che ci sei, se non hai un IP statico o
un dominio, potresti crearti un account su uno dei servizi di
dynamic DNS e configurare smootie per aggiornare l'IP
come necessario, così sarai in grado di raggiungere il tuo
host utilizzando un nome, indipendentemente dall'IP che
sarà assegnato in un dato momento
per quanto riguarda il discorso NAT 1:1 secondo me ti CONVIENE
impostare il VS in quel modo dato che così potrai gestire tutte le
regole di filtraggio/forward direttamente da smoothwall e dato che
così avrai anche i logs degli "hits" sul firewall :D


Ok.
Grazie ancora per l'aiuto.