Newsgroup: it.comp.reti.ip-admin
Titolo: Server web "dietro" router

Ho installato un pc-server che esegue un server web all'interno della  rete 
aziendale, ip privato del server 192.168.0.100, tutta la rete aziendale č a 
sua volta collegata ad internet tramite un router adsl Dynamode, il quale 
dispone verso internet di un ip pubblico statico.
Chiamando da un pc su internet  il mio ip pubblico non ottengo risposta dal 
server, cosa che succede tranquillamente all'interno della rete aziendale 
chiamado da IE il previsto 192.168.0.100.
Sicuramente devo configurare qualche parametro del router ma non so quale, 
sono molto inesperto, qualcuno potrebbe gentilmente suggerire.
Grazie
Carlo 

 sono molto inesperto, qualcuno potrebbe gentilmente suggerire.
Prendi il manuale e cerca voci come "virtual server", port redirection,
NAT, PAT, NAPT (purtroppo, ogni produttore referenzia la cosa a suo
modo, anche se la sostanza e' sempre la stessa).
Nella pratica, si tratta di redirigere con un destination NAT (network
address translation) le connessioni entranti sull'ip pubblico porta tcp
80, verso l'indirizzo privato 192.168.0.100 alla porta tcp 80.
Stai attento che il server sia aggiornato, il server web ben
configurato soprattutto dal p.d.v. della sicurezza, e i siti che ospita
non abbiano loro stessi problemi di sicurezza.
Anche perche', visto che si presume tu non stia usando un firewall e una
dmz (terza rete per i server), se ti bucano il server potrebbero
attraverso di esso "disporre" anche della rete lan.
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam al contrario, e cambia nazione
"E' assolutamente evidente che l'arte del cinema si ispira
alla vita, mentre la vita si ispira alla TV" - Woody Allen

 ha scritto nel messaggio 
news:f4dne3$jtj$1...@tdi.cu.mi.it...


 il server dall'esterno?
si; purtroppo molti routers usano impropriamente il termine DMZ
per indicare una funzionalità che permette di pubblicare "in toto"
una qualsiasi macchina posta sulla LAN; una vera e propria DMZ
invece è strutturata in questo modo
internet
|
firewall-esterno
|
DMZ -- server pubblici
|
firewall-interno
|
LAN
come vedi in questo caso la DMZ è un segmento di rete separato
dalla LAN ma da questa raggiungibile attraverso il firewall interno
a sua volta la DMZ è protetta dal firewall esterno e l'accesso dalla
DMZ verso la LAN normalmente è interdetto o comunque limitato
alle eventuali regole impostate sul firewall interno; un'alternativa a
tale configurazione è la cosiddetta "screened subnet" in questo caso
si una un singolo firewall con tre interfacce di rete, ossia
Internet
|
firewall --- DMZ
|
LAN
l'effetto pratico è lo stesso; il firewall filtra il traffico tra LAN,
Internet e
DMZ separando le tre e proteggendo sia la LAN che la DMZ; in tutti
e due i casi comunque gli hosts NON vengono MAI esposti in modo
diretto ad internet ma pubblicati attraverso opportune regole che
ne garantiscano un sufficente livello di sicurezza
Il vantaggio dell'uso di una DMZ "reale" come quelle viste sopra è
che, nel caso di compromissione di una delle macchine pubblicate
(e residenti in DMZ) non verrà compromessa anche la LAN
ciao

 ha scritto nel messaggio 
news:f4itr8$boj$1...@megan.servidellagleba.it...


 (e residenti in DMZ) non verrà compromessa anche la LAN
Perchè ritieni che, nel secondo caso che hai esposto, in caso di 
compromissione della macchina sulla DMZ viene compromessa anche la LAN?
Di solito con FW configurato a dovere DMZ e LAN non si vedono e da DMZ 
non puoi accedere all'interfaccia del FW. Altrimenti tanto varrebbe 
mettere tutto sulla LAN (tipo virtual server).
-- 
Fa freddo nello scriptorium, il pollice mi duole. Lascio questa 
scrittura, non so per chi, non so più intorno a che cosa...
U. Eco

 compromissione della macchina sulla DMZ viene compromessa anche la LAN?
Uhm... cosa c'e' di poco chiaro in "come *quelle* viste sopra" ? :-)
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam letto al contrario, e cambia nazione.


 
Cosa c'è di poco chiaro in "nel secondo caso che hai esposto" ? :)


 Cosa c'è di poco chiaro in "nel secondo caso che hai esposto" ? :)
AHO! Non l'ha scritto Obi, l'hai scritto TU. :-)


 AHO! Non l'ha scritto Obi, l'hai scritto TU. :-)
Scusa onde evitare di andare verso il surreale mi spiego ulteriormente.
Avevo chiesto a OB1 una spiegazione più dettagliata del perchè ritenesse
la LAN nella seconda configurazione, cioè con firewall unico, comunque 
compromessa in caso di attacco alla DMZ. Almeno questo è quello che 
avevo inteso leggendo la sua risposta.
Mi aspettavo una replica da lui, ma naturalmente ogni intervento è 
gradito. Francamente, e sarà sicuramente una mia carenza, non ho molto 
chiaro il senso dei tuoi messaggi: nel primo direi che mi rimproveri 
bonariamente di non aver notato che Obi aveva indicato due 
configurazioni diverse, cosa che invece ritengo di avere ben chiara ed è 
proprio il presupposto della mia domanda.
Nel secondo mi rammenti di aver precisato che mi interessava il secondo 
caso forse alludendo al fatto che non ricordo quello che ho scritto: ora 
proprio giovane non sono più ma fortunatamente la memoria mi assiste 
ancora :)


 avevo inteso leggendo la sua risposta.
E intendi male: rileggi con piu' attenzione, che' l'italiano non e' un'
opinione. Poi, intendiamoci, poco mi interessa fare l'avvocato di Obiwan
o di chicchessia, ma per il poco che ne so Obiwan tratta questa materia
in maniera piu' che sufficiente per non poter dire la str****ta che
insisti ad attribuirgli... In poche parole, dovresti spiegare (o meglio
spiegare a te stesso) il perche' sei convinto (sempre italiano alla
mano) per quale arcano interpretativo secondo te si riferisse nella
frase "incriminata" alla sola seconda ipotesi di firewall. :-)
Ecco il senso del mio intervento, al di fuori di ogni intenzione di
far polemica, e chiudo qui. Se poi non sei convinto, ci pensera'
il diretto interessato... che te devo di'? ;-)


 avevo inteso leggendo la sua risposta.
Uh .. e dove avrei scritto una cosa del genere scusa ?
In ogni caso; occhio a non confondere la seconda configurazione
(screened network) con la DMZ "finta" implementata da molti routers
di categoria economica; la prima è una vera e propria area separata
dalla LAN, la seconda è solo una funzione che espone direttamente
un host della LAN ad internet; in quest'ultimo caso, se tale host
venisse compromesso, l'intera LAN sarebbe compromessa
in ogni caso..
http://it.wikipedia.org/wiki/Demilitarized_zone
ciao

 sola seconda ipotesi di firewall. :-)
rileggendo il thread, subito dopo la seconda configurazione ho
scritto "l'effetto pratico è lo stesso; il firewall filtra il traffico
tra LAN,
Internet e DMZ separando le tre e proteggendo sia la LAN che la
DMZ" ora.. non mi sembra di aver scritto che una tale configurazione
non protegga la LAN
vabbè

 frase "incriminata" alla sola seconda ipotesi di firewall. :-)
E adesso non state a prendere per il c**o per il pessimo
italiano, dato che l'ho scritto di getto. Sono stanco e
irritato, dopo aver passato mezza giornata a cercare di
far "digerire" correttamente una rfc1483-routed ad un 524t
(dotato oltrettuto di interfaccia web IMHO penosa... d-link,
te possino...). :-D


 non protegga la LAN
...me lo son riletto almeno 5 volte, e non son riuscito a trovare
nessuna ambiguita'. :-)


 insisti ad attribuirgli... In poche parole, dovresti spiegare (o meglio
[cut]
Io non insisto ad attribuire niente a nessuno, mi sembra che tu stia 
diventando un po troppo aggressivo per i miei gusti.


 venisse compromesso, l'intera LAN sarebbe compromessa
Chiarissimo, evidentemente avevo inteso male la risposta leggendo 
"quella" al posto di "quelle" e, visto che ho diverse installazioni con 
firewall e DMZ "all in one" mi interessava l'argomento.
Chiuso, non volevo polemizzare con nessuno.


 italiano, dato che l'ho scritto di getto. 
Ma no figurati :)
Chiudiamola qui e scusate per la distrazione.


 gusti.
E ti sembra male, ma scusami comunque se ti sono sembrato aggressivo.
:-)
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam al contrario, e cambia nazione


 venisse compromesso, l'intera LAN sarebbe compromessa
Li possino... ma perche' diavolo in quei casi la chiamano DMZ, mi
chiedo,  se non per questioni di marketing? Che lo chiamino, che so,
"full nat redirection to host", o qualcosa del genere... Io uso quella
funzione quando non e' possibile/facile impostare una connessione sul
router senza nat, specie se si e' in presenza di ip dinamico, ma solo
se c'e' un firewall a valle del router...
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam al contrario, e cambia nazione


 Chiuso, non volevo polemizzare con nessuno.
nessun problema.. e nessuno si è agitato; per lo meno non il
sottoscritto e da quanto ho letto neanche "Renaissance" :-D
il mio post ed i relativi commenti erano soltanto tesi ad evitare
che la funzione "DMZ" (sic) di alcuni routers di fascia bassa
venisse confusa con una *reale* DMZ causando in tal modo
una serie di problemi per la sicurezza della rete, null'altro :)
ciao

 d-link, te possino...). :-D
uh.. si, ho capito; quel tipo di operazioni che vengono compiute
leggendo a voce alta brani del manuale del router inframezzati
da smoccolamenti e commenti sulle mamme di coloro che
hanno scritto il manuale e/o il firmware del router :D
ciao