Newsgroup: it.comp.reti.ip-admin
Titolo: Firewall senza ip-forwarding del router [lunghino]

Avrei il seguente problemino non solo prettamente informatico:
supponendo di dover proteggere con un firewall una rete attualmente in
questa configuraziione:
 
 
                                                 [IP PUBBLICI]
-----[router ADSL]-----<
                                                 [INTRANET CON IP PRIVATI]
ovverso si debba passare alla consueta situazione:
                                                          [DMZ]
[router ADSL]-----[firewall]<
                                                         [Intranet]
supponiamo inoltre che non ci sia stato dato alcun accesso al router ADSL.
Il problema che apparentemente si pone e' che, non potendo modificare
direttamente le tavole di routing del router,  per piazzare il firewall
apparentemente si deve chiedere alla telecom, o comunque alla societa' che
gestisce il router-adsl, di effettuare un ip-forwarding sull'ip del
firewall.
Ora mi pare sorga un problemino di ordine psicologico/morale: se uno
chiede una cosa del genere:
1) non sa quando tempo la societa' che gestisce il router ci mettera' ad
effettuare la modifica alla tavola di routing, per quanto ne so io ci puo'
mettere mesi,
 2) dal momento in cui fanno sto' ip/port/forward sul firewall al momento
 in cui
uno va  fisicamente li' e piazza  il firewall  i server con ip pubblico
sono tutti fuori rete (ergo i padroni della rete incazzati come bestie)
 3) se poi magari uno va li' ed il firewall per qualche 'x' motivo non va
 si hanno le seguenti:
3/a) ci si fa una figura orrenda
3/b)  sopratutto si deve RItelefonare alla telecom e chiedergli di
ripristinare la situazione di prima, almeno finche' non viene corretto
l'errore eventuale nella configurazione del firewall per poi
RIRItelefonare alla telecom ... e cosi' via
Insomma mi sembra che ci si possa venire a trovare in una situazione non
simpatica.
Il problema e' reale o e' mal posto?
L'unica possibilita' (mi pare) per non trovarsi in tali situazioni
imbarazzanti  e' di trovare  il modo di piazzare il firewall senza dover
dire al router di effettuare l'ip-forwarding (ovvero senza dover
interloquire con la societa' che gestisce il router); uno di questi modi,
come mi e' stato suggerito,  potrebbe essere di configurare il firewall
come proxy-arp server in modo che ad ogni arp request effettuata dal
router il firewall risponda "sono io passami il pacchetto" e poi si occupi
lui di instradarlo al vero destinatario. 
C'e' forse qualche altro metodo piu' fine?
Scusate per la lunghezza del post,
grazie per l'attenzione,
b.

 Avrei il seguente problemino non solo prettamente informatico:
preciso che non ho letto bene il post e magari ho frainteso, ma credo 
che quello che serve a te sia un bridging-firewall
con linux + iptables + patch per il bridging dovresti farcela, leggiti 
un po' di howto, ma se non hai un po' di esperienza di linux, mi sa che 
ti vuole un pochino di tempo.
cya
Banana

premesso che non si capisce bene come sia la tua rete, se la lan è 
attaccata direttamente al router, o se ci sta un gw con uno degli ip 
pubblici e la lan dietro, etc etc ...
una soluzione potrebbe essere configurare una macchinetta *nix con due 
schede di rete in bridging tra di loro e metterla subito dopo il 
routerino con lo scopo di packet filtering o altro.
un'altra soluzione è spakkare la tua subnet in due + piccole, ma per 
questo dovresti sentire il tuo provider. tecnicamente ci mettono circa 
10 secondi a farlo, proceduralmente non saprei.
ciap
p


 un po' di howto
ringrazio sia te sia phasma per la pronta riposta. In effetti dando
un'occhiata per esempio a
http://www.linuxgazette.com/issue76/whitmarsh.html
sembra proprio la soluzione che fa per me. Credevo il problema di piazzare
un firewall quando non si ha accesso al router fosse un po' piu' comune
o comunque standardizzato, ma ovviamente dipende dai punti di vista.
Grazie mille,
b