Newsgroup: it.comp.reti.ip-admin
Titolo: DMZ e chiarimenti per principiante

Ciao,
scusatemi per le domande banali ma sono alle prime armi e sto cercando, 
con molta teoria e un po di pratica di capirci qualcosa.
Se in una piccola lan, diciamo 4 pc più un server, volessi inseire un 
ulteriore server per pubblicare un sito internet, mi sembra di capire 
che, la scelta migliore sarebbe la seguente:
1) router
     |
     V
2) firewall -> dmz -> server web
     |
     V
3) server + client
Così facendo, il server web sarebbe "isolato" dalla lan e, nel caso 
qualcuno riuscisse a manomettere il server dall'esterno, essendo questo 
in DMZ, non si potrebbe accedere alla lan, giusto?
1) Mi chiedo ...ma quindi il "filtraggio" firewall non avverrebbe anche 
sul server web?
2) Il server web, essendo in dmz, non potrebbe scambiare dati con la 
lan? Se dovessi trasferire dei file dalla lan al server web, o 
viceversa, non potrei farlo?
3) Mettendo il server web in DMZ, è comunque necessario configurare un 
portforwarding sul firewall?
Grazie
ciao

 configurare un portforwarding sul firewall?
Dipende dalla configurazione, relativamente alla config che
hai postato, direi proprio di si

 imposte sul (sui) firewall
Quindi la DMZ serve per isolare il server web dalla lan, ma questo non 
implica che la protezione del firewall vengam meno, giusto?
In definitiva, in una situazione come quella che ipotizzavo ...router 
con server + 4 client, dovendo aggiungere un server web per un piccolo 
sito internet, e volendo stare tranquilli, quale sarebbe la soluzione 
migliore?
Grazie
ciao

 soluzione migliore?
Sarebbe utile conoscere marca/modello del router; ad ogni
modo, ammesso che il router implementi una vera DMZ
basterebbe qualcosa di questo tipo
internet
|
router -- switch -- hosts DMZ
|
switch
|
hosts LAN
connettendo poi il webserver allo switch che serve la DMZ
(e SOLO a quello, altrimenti salta tutto il discorso) ed impostando
sul router/firewall le opportune regole

 implica che la protezione del firewall vengam meno, giusto?
Dovresti vedere un firewall (un vero firewall, si intende...) con una
visione piu' generale ed elastica: una macchina che ha "N" interfacce e,
al di la' del ruolo che assegni a dette interfacce, catene contenenti
regole di filtraggio configurabili a piacere del traffico che transita
fra le varie interfacce (questa e' la funzionalita' di base: poi,
natting, vpn, vlan etc. e' altro discorso).
bye G.L.
-- 
"E' assolutamente evidente che l'arte del cinema si ispira
alla vita, mentre la vita si ispira alla TV" - Woody Allen

 impostando sul router/firewall le opportune regole
Mi puoi indicare brevemente il tipo di regole da impostare?
Oppure dove posso reperire documentazione in merito?
Grazie
ciao

 visione piu' generale ed elastica:
E' quello che mi piacerebbe fare, proprio per questo cerco di 
informarmi.
Se anche tu hai da suggerimenti della documentazione...
Alla fine, quello che mi piacerebbe sapere, è quali sono le differenze 
tra il port forwarding e la dmz.
Ovviamente parlo di differenze applicate al mio caso.
Se il server web è l'unico pc che deve essere accessibile da internet, 
che differenze ci sono tra una dmz e un port forwarding?
La dmz protegge meglio la lan in quanto, a differenza del port 
forwarding, impedisce il traffico dal server web verso la lan?
Oppure non ci sono differenze?
O ancora, nel mio caso, sarebbe preferibile il port forwarding in modo 
da avere aperto, verso il server web solo la porta forwardata?
In questo caso, inserendo il server web server su un indirizzo diverso 
da quelli utilizzati in lan, la protezione web server lan ci sarebbe 
comunque?
Grazie
ciao

 Oppure non ci sono differenze?
La DMZ serve sostanzialmente per proteggere la LAN dai
server che devono essere accessibili da internet.
Per ovvi motivi un server accessibile da internet dovrà essere
soggetto a regole di firewalling meno ferree rispetto alla lan, dove
solitamente, non si autorizza nulla in ingresso proveniente
dall'esterno.
se il server fosse nella tua stessa lan, dovresti fare un
portforwarding
ma non avresti alcuna protezione. Se per qualsiasi motivo ti dovessero
bucare il server, tale server sarebbe già dentro la tua lan ed avrebbe
libero accesso alle risorse.
Se invece il server sta in dmz, se te lo dovessero bucare, da li non
andrebbero
ugualmente da nessuna parte, perchè l'unico modo che avrebbe il server
di comunicare con la LAN sarebbe sempre e solo tramite il firewall, ed
il
firewall, avendo l'interfaccia connessa al server configurata in DMZ,
non permetterebbe alcuna comunicazione tra server e LAN.
In pratica, è come avere una sorta di firewall in più tra server e
lan, cosa che
non avresti con un port forwarding.

 non avresti con un port forwarding.
Ecco, fin qui ci sono.
Ma se, oltre al portforwarding, utilizzo un indirizzo ip, per il server 
web, in classe diversa rispetto alla lan, non ottengo la stessa cosa?
Inoltre, nel caso di DMZ, il firewall deve avere una porta alla quale 
attaccare il web server per "isolarlo" dalla lan, o cosa?
Grazie
ciao

 attaccare il web server per "isolarlo" dalla lan, o cosa?
Be certo, il firewall deve avere almeno tre schede di rete.
una per la wan, una per la lan, una per la dmz

 Mi puoi indicare brevemente il tipo di regole da impostare?
Dipende da cosa devi fare, da quali servizi vuoi pubblicare
in DMZ, da che tipo di accesso vuoi avere tra DMZ e LAN
e da diversi altri fattori, non esistono regole "precotte" o,
per meglio dire, esistono solo alcune regole "di base" ma
vanno comunque impostate in base all'infrastuttura
Inizia con un minimo inventario dei servizi attivi sulla rete;
ad esempio, hai un DNS/DHCP sulla rete ? Hai un tuo
mailserver ? Quali servizi vuoi pubblicare (mail, web, ftp ...) ?
Hai pi� di un IP pubblico ? L'IP pubblico � statico o dinamico ?
Come vedi servono parecchie informazioni e comunque il
setup va fatto in base alle proprie personali esigenze ed
all'infrastuttura

 forwarding, impedisce il traffico dal server web verso la lan?
stai paragonando pere e banane, sono due cose differenti

 tra il port forwarding e la dmz.
secondo me ti stai confondendo.
molti router economici intendono con "DMZ" un full port forwarding. ed è 
una cosa che ha a che fare con il NAT (il PAT) e che non centra nulla 
con lo "schema di rete".
la "DMZ", intesa come "schema di rete" è una "zampa" di rete dedicata 
(newl tuo caso) ai server pubblici e FISICAMENTE divisa dalla lan e 
dalla wan (aggiungo: in un dominio di broadcast diverso, meglio ancora).
quindi se il router da 50 euro ti dice "DMZ" significa che fa un PAT di 
tutte le porte verso l'ip che specifichi. questo non centra nulla con lo 
schema di rete a DMZ (perchè in realtà non ti divide davvero la rete). 
in questo caso ti servono 3 interfacce sul firewall:
LAN  ---- FIREWALL ---- ROUTER/OUT/WAN
               |
             DMZ con server
             pubblici
in questo caso la "DMZ" del router (sempre facendo riferimento al modo a 
mio avviso erroneo di chiamare un full-PAT) sarebbe il firewall su cui 
poi vai a giostrare le security policy.

 quindi se il router da 50 euro ti dice "DMZ" significa che fa un PAT
già questo è il problema, i venditori hanno scoperto che il termine
DMZ "fa figo" e quindi usano tale termine per una funzionalità di
alcuni routers domestici da pochi euro, peccato che la "DMZ"
di tali routers sia tutto meno che una vera DMZ

> Se anche tu hai da suggerimenti della documentazione...
prova a leggere questo
http://en.wikipedia.org/wiki/DMZ_(computing)
l'articolo esiste anche in italiano
http://it.wikipedia.org/wiki/Demilitarized_zone
ma la versione in inglese è più completa ed anche più chiara

 ma la versione in inglese � pi� completa ed anche pi� chiara
gi� che ci siamo
http://articles.techrepublic.com.com/5100-22_11-5756029.html

 tali casi viene sottoposto a normale routing
ovviamente. anzi, direi che la DMZ nattata 1:1 o ruotata direttamente è 
quasi la normalità.

 o ruotata direttamente è quasi la normalità.
Beh... si, anche se bisogna anche saperlo e non credo
che mario abbia la più pallida idea della cosa; non che
sia un delitto eh, per carità, solo che credo che mario
prima di avventurarsi in qualcosa che non conosce
farebbe bene a documentarsi un pochino oppure se
ha fretta (un classico) ad appoggiarsi a qualcuno che
abbia già le necessarie conoscenze

 Hai più di un IP pubblico ? L'IP pubblico è statico o dinamico ?
Unico indirizzo ip statico, l'unico servizio che mi serve pubblicare è 
il web server, niente ftp o altro.
Non ci sono servizi quali dhcp o dns o ancora mailserver, la lan è 
talmente piccola che forse non ne vale nemmeno la pena di pensarci
Quindi, ad oggi, router + server + 4 client; nienter altro.
Dovrei aggiungere un server web per un sito (dinamico) e vorrei 
staccarlo dalla lan (quindi dmz).
Ovviamente è da acquistare il firewall e magari anche il router o mi 
consigli un unico apparecchio?
Tralasciando quello che ho adesso che è da escludere in quanto non fa 
al caso, mi consiglieresti un modello che potrebbe fare al caso, 
ovviamente parlo di questa tipologia di situazione.
Grazie
ciao

 una per la wan, una per la lan, una per la dmz
Chiedo anche a te, se possibile, un esempio di modello che potrebbe 
fare al caso, come dicevo ...il tutto rapportato alla situazione da 
gestire.
Grazie
ciao

 hosts posti in DMZ abbiano IP privati)
A cosa servono in teoria lo so, almeno credo.
Nell'utilizzo pratico, ovviamente della situazione da me esposta, 
cercavo di capire le differenze.
Grazie alle vostre indicazioni inizio a capirci qualcosa.
Grazie
ciao

 ti servono 3 interfacce sul firewall:
Ok, deve essere proprio come dici, forse è questo che mi traeva in 
inganno.
Grazie
ciao

 
http://articles.techrepublic.com.com/5100-22_11-5756029.html
Grazie mille per i link.
Me li studio per bene.
Grazie
ciao

Il 09/04/2010, ObiWan ha detto :

Nessuna fretta, niente ma mettere in opera per "lavoro", cerco solo di 
documentarmi e capire, almeno per il momento ...spero  ;-)
Grazie
ciao