Newsgroup: it.comp.reti.ip-admin
Titolo: Problemi firewall

Salve a tutti.
La configurazione della mia rete è la seguente:
172.31.1.x
RETE PRIVATA AZIENDALE (NT)
    |
    |
172.31.1.1
Linux con firewall
    |
    |
172.31.1.34
CISCO 760
    |
    |
Interent
E' da una settimana che mi danno sulla configurazione ottimale del mio
firewall.
Le ho provate tutte, ed anche quando chiudevo l'esterno alle macchine
NT (su cui avevo impostato  gateway 172.31.1.1), loro passavano
ugualmente.
E non capivo come!
Poi provo per caso il comando route su NT e scopro che le dannate
macchine si erano create una LORO tabella di instradamento che passava
direttamente dal router CISCO (che doveva vedere solo la mia macchina
Linux).
Ma è normale?
Ho fatto delle prove.
Ogni volta che caricavo una pagina WWW con Netscape, nella tabella di NT
si creava una nuova voce.
Consigli, aiuti, qualsiasi cosa!!!! PER FAVORE.
Nicola
PS: Oggi ho provato a inibire l'ingresso al router a qualsiasi macchina
che non sia 172.31.1.1 con il comando
SE IP FI IN SO = NOT 172.31.1.1 BL
Risultato -> zero assoluto.

Ciao Nicola,
una configurazione coma la tua e' estremamente pericolosa.
Il passaggio per il firewall non deve assolutamente essere garantito
dalla sole tabelle di routing ! Basta che qualcuno le cambi, et
voila', eliminato il filtro !!
Un firewall serio, deve essere multihomed, con piu' di una scheda di
rete ! Ad una la rete interna, all'altra quella esterna (eventualmente
anche una dmz, ecc). Il routing tra le schede DEVE essere
disabilitato, lasciando al software di firewalling l'unica possibile
percorribile strada per unire le due reti.
Compra una seconda scheda di rete, unisci il router e la scheda
esterna del FW con solo un cavo ethernet crossed, assegnagli IP di
un'altra net e usa come default gateway delle macchine interne la
scheda interna del fw. Ricordati di disabilitare il routing, il
forwarding !!!
Ciao
Sergio

 
Su questo non saprei.. lo hai messo su profilo LAN? perche'
se lo metti sul profilo "internet" non puo' funzionare visto
che una volta che il pacchetto entra nel profilo "internet"
il suo indirizzo viene PATtato all'indirizzo Internet assegnato
dal provider.
-- 
Eugenio e una TDM Rossa "Piomba"
Il mio angelo custode ha un problema con il casco:
Gli schiaccia l'aureola.

 la destinazione in questione.
Non e' una route statica, proprio perche' e' inserita dinamicamente :^)
Ciao.
-- 
 Daniele
-------------------------------------------------------------------------------
 Daniele Orlandi - Utility Line Italia - 
http://www.orlandi.com
 Via Mezzera 29/A - 20030 - Seveso (MI) - Italy
-------------------------------------------------------------------------------

 Esiste una specifica di comportamento per questo tipo di messaggi?
Si, la specifica e' nelle RFC e dice che l'host, al ricevimento del
redirect dovrebbe cambiare la routing table in accordo, ma puo' anche
ignorarlo.


 
-- 
Eugenio e una TDM Rossa "Piomba"
"Il mio angelo ha un problema con il back-prot:
gli schiaccia le ali!"

 indipendentemente dall'esistenza o meno di defaults.
emmmh... scusa ma ho qualche dubbio... una volta Leonardo Serni disse che
l'icmp redirect ti poteva consentire di pingare un host tramire un altro
host... forse ho capito male, perche' leggendo sull'rfc ho visto che si
trattava di un pacchetto usato per cambiare le route... ma e' possibile che
abbia capito ancora peggio... l'rfc non mi e' parsa molto esauriente in quel
punto... potresti levarmi un po' di dubbi pls ?
Ciao.
Claudio

 potresti levarmi un po' di dubbi pls ?
Il redirect e' un pacchetto che dice all'host che lo riceve:
"Puoi raggiungere la rete XXX/YY attraverso il router ZZZ"
