Newsgroup: it.comp.reti.ip-admin
Titolo: DMZ

La nostra lan si compone di una rete privata con indirizzamento 192.168.1.x
e di una rete pubblica con 32 Ip assegnatici dal provider. Attualmente uno
degli indirizzi Ip è occupato da un web server. Per poter implementare un
maggior livello di protezione abbiamo deciso di configurare un firewall con
DMZ. Il problema è che gli indirizzi pubblici fanno parte tutti della stessa
subnet (255.255.255.224) mentre mi sembra di aver capito che la scheda di
rete della DMZ e quella della zona Internet devono avere subnet diverse.
Come potrei procedere?
Grazie.


Potresti usare una classe privata per la DMZ (es. 
10.0.0.0/8
), assegnare
all'interfaccia esterna del router gli indirizzi pubblici delle macchine che
vuoi rendere raggiungibili (es. mail, www, ecc) e poi NAT/PAT.
Fabio


Ma posso assegnare ad una singola interfaccia piu' indirizzi? Comunque se
possibile mi piacerebbe risolvere il problema senza ricorrere al NAT. Potrei
ulteriormente subnettare il mio pool di 32 indirizzi?
Grazie.

 ulteriormente subnettare il mio pool di 32 indirizzi?
Qualsiasi altra soluzione prevede la modifica delle tabelle di routing del
router che ti collega al tuo provider. Lo avete in comodato o è vostro?
Comunque la configurazione che ti ho proposto è piuttosto comune e non ha
nessuna controindicazione. E' anche più semplice da configurare e gestire.
Fabio


Il problema e' che sul web gira una procedura che se messa dietro ad un nat
ha dei problemi...In ogni caso non ho capito come posso assegnare piu'
indirizzi pubblici ad una unica interfaccia del router...

 indirizzi pubblici ad una unica interfaccia del router...
Dipende dal sistema operativo.
Mi viene un dubbio: sull'interfaccia interna del router in comodato avete un
indirizzo pubblico o privato? Che equivale più o meno a dire: chi è che fa il
NAT per la tua rete interna in questo momento? Perchè la cosa funzioni senza
mettere ulteriormente le mani sul router il NAT deve farlo il firewall. O non
devi farlo affatto, ma è un po' rischioso avere tutte macchine con IP
pubblici.
Fabio


Al momento abbiamo un firewall con 2 schede di rete che fa il nat tra la
rete privata e quella pubblica. Il router infatti sull'interfaccia interna
ha un indirizzo ip pubblico.

 ha un indirizzo ip pubblico.
Allora l'interfaccia a cui dovreste eventualmente assegnare più indirizzi IP è
quella pubblica del vostro firewall e quindi le modalità per farlo dipendono
dal SO del firewall.
Fabio


Quindi ricapitolando la configurazione migliore sarebbe questa:
eth0: Lan - ip privato (192.168.1.x)
eth1: Internet - Ip pubblico (194.xxx.xxx.100 con getway 194.xxx.xxx.99 -
indirizzo del router)
eth2: DMZ - diversi ip pubblici sulla stessa scheda di rete
(194.xxx.xxx.102/103/104) con nat a diversi server con ip privati.
Mi viene una domanda: ma se la eth1 e la eth2 hanno la stessa subnet non
succedono pasticci? Se ho sbagliato qualcosa correggimi...
Grazie.

 (194.xxx.xxx.102/103/104) con nat a diversi server con ip privati.
Allora ...
Se vuoi usare una DMZ con IP privati:
<FIREWALL>
eth0   = Lan      - ip privato (192.168.1.x)
eth1   = Internet - 194.xxx.xxx.100 default gw 194.xxx.xxx.99
eth1:0 = Internet - 194.xxx.xxx.102 (es. www)
eth1:1 = Internet - 194.xxx.xxx.103 (es. mail)
eth1:2 = Internet - 194.xxx.xxx.104 ...
eth2   = DMZ      - ip privato 10.0.0.1
</FIREWALL>
<SERVER HTTPD>
eth0   = DMZ      - 10.0.0.2
</SERVER HTTPD>
<SERVER SMTP>
eth0   = DMZ      - 10.0.0.3
</SERVER SMTP>
NAT con IPTables  - 194.xxx.xxx.102:80 --> 
10.0.0.2:80
NAT con IPTables  - 194.xxx.xxx.103:25 --> 
10.0.0.2:25
Se vuoi usare una DMZ con IP pubblici puoi provare con:
<FIREWALL>
eth0   = Lan      - ip privato (192.168.1.x)
eth1   = Internet - 194.xxx.xxx.100/27 default gw 194.xxx.xxx.99
eth2   = DMZ      - 194.xxx.xxx.110/32
</FIREWALL>
<SERVER HTTPD>
eth0   = DMZ      - 194.xxx.xxx.102/32 default gw 194.xxx.xxx.110
</SERVER HTTPD>
<SERVER SMTP>
eth0   = DMZ      - 194.xxx.xxx.103/32 default gw 194.xxx.xxx.110
</SERVER SMTP>
Niente NAT
Il router deve avere due voci nella tabella di routing per 194.xxx.xxx.102 e
194.xxx.xxx.103 che usino 194.xxx.xxx.100 come gateway.
Il firewall deve avere delle voci nella tabella di routing per inoltrare i
pacchetti destinati a 194.xxx.xxx.102 e 194.xxx.xxx.103 attraverso
eth2:194.xxx.xxx.110.
Se vuoi che server web e di posta comunichino tra loro devi inserire nelle
rispettive tabelle di routing delle voci statiche.
Spero di non aver dimenticato niente e di non aver fatto errori.
Fabio

 ha scritto nel
messaggio news:CVvK7.136486$sq5.6...@news.infostrada.it...


Puoi sempre utilizzare proxy arp perdendo uno degli indirizzi pubblici per
ottenere la DMZ con indirizzi pubblici e tutti filtrati attraverso il
firewall
in pratica sul fw con 3 sk di rete ad una assegni un indirizzo privato per
la LAN e alle altre due interfaccie lo stesso ip pubblico abilitando proxy
ARP, in questo modo sia dalla dmz che dal router il firewall è assolutamente
trasparente.

 trasparente.
Ma questo proxy ARP esiste solo per linux o anche per NT? Dove posso trovare
maggiori informazioni?
Grazie


Ummmh, ... questo non è Proxy ARP ma transparent bridging.
Fabio

scusa Daemon ...
Mi sembra che il proxy-Arp sia un'altracosa ... e soprattutto se abiliti o fai
una cosa del genere
sei sostretto a passare sempre dal Gateway, della rete appesa alla sk, per
qualsiasi
comunicazione in Broadcast ... !!?!?!
No ??
salutz


Ciao super ...
Mi sembra un problema risolvibile in questo modo:
Tu hai una classe di 32 IP che vengono ruotati verso una tua macchina/ router/
firewall .. o quello che
hai a disposizione.
Puoi implementare una macchina UNIX (se non hai un router) con 3 schede.
Una Inside, con IP priv, una DMZ con la tua classe spezzata a maschera
255.255.255.248,
ed una outside con la seconda parte di classe spezzata 255.255.255.248 ...
Es. Ind Pub: 15.16.17.0   255.255.255.224   tagliata un due classi
sk1  - outside  15.16.17.0 255.255.255.248
sk2 -  DMZ       15.16.17.8 255.255.255.248
A questo punto e' la macchina che sa' dove ruotare i pacchetti perche'
dall'esterno la classe totale e' routata
verso il PC UNIX, dall'interno hai una default verso l'ip della interfaccia di
Inside privata.
Conclusione .
La tua DMZ e' sempre pub e la macchina web (per es ) non ha bisogno di NAT/PAT
etc.
Inoltre con una conf del genere hai fatto anche un firewall sul quale puoi
aggiungere regole.
Sta roba con un 2621 cisco  si ottiene in ca 30 sec di programmazione  IOS, con
una macchina UNIX circa
lo stesso tempo..   salvo il fatto che immagino che un pc si trovi sempre in
casa !!!!
Personalmente ... (io sono cisco Polarized ..)  meglio cisco 2621 ....
Ditemi cosa ne pensate !!!
alex BG


OPS ...
sono arrivato in ritardo ... :(((
Ho letto adesso la storia ..
alex


 Inside privata.
In questo modo sur router fornitomi dal provider la subnet dovrebbe rimanere
255.255.255.224?
Inoltre sempre sul router del provider non dovrei aggiungere nessuna route
statica in quanto sarebbe la macchina linux a reindirizzare i pacchetti...ho
detto giusto?
Grazie.


Un'ultima domanda. Subnettando a 255.255.255.248 quanti dei 32 ip
disponibili andrebbero persi?

 255.255.255.224?
Si in effetti mi sono dimenticato di alcune cose ...
Supponiamo che il tuo prov ti abbia portato un router la cui interfaccia a valle
della P2P
ci sia la classe di IP Pub.
In questo caso la risp  e' "SI" perche' devi affettare la SUBnet anche sul loro
router e
fagli aggiungere una route verso la macchina che vuoi costruire come Firewall.
Cioe' :
|  IF esterna  -----------------------------|
--- router ---------------------------------|
|  IF interna  (15.16.17.1 255.255.255.248)-| Aggiungi  <--- ip route 15.16.17.8
255.255.255.248 gw 15.16.17.2
-----------------|--------------------------|
                 |
                 |
|----------------|--------------------------|
| IF outside (15.16.17.2 255.255.255.248)   |
|-------------------------------------------|---|DMZ 15.16.17.9 255.255.255.248|
| IF inside ( qualunque ip Priv )           |
|----------------|--------------------------|
Subnet ...
15.16.17.0 mask 255.255.255.248 --- da 15.16.17.1 al .6 (esclusi 0 e 7 )
15.16.17.8 mask 255.255.255.248 --- da 15.16.17.9 al .14 (esclusi 8 e 15 )
ciao


I miei SI=NO ...
:))


 comunicazione in Broadcast ... !!?!?!
visto che la macchina con le tre schede di rete funge anche da firewall, i
broadcast si possono bloccare li
saluti
Pier

 wrote in message news:3bfcc15a$1...@news.cis.it...
