Newsgroup: it.comp.sicurezza.unix
Titolo: firewalling senza ip

sono alle prime armi quindi scusate se la domanda risulta malposta...
Ho una piccola ethernet di 6 macchine dietro ad un server che fa da
firewall con ip masq per le altre (ho un solo IP pubblico), sul server
stanno anche tutti i servizi esterni ed interni (http, pop, smtp.. e
NIS compreso).
Pensavo di aggiungere una macchina che facesse da firewall prima del
server,
le possibilita' che ho immaginato sono dare l'IP pubblico al firewall
e fare forwarding all'interno delle porte che mi servono (che in
quanto a sicurezza non mi sembra granche') oppure dare l'ip pubblico
al firewall e fargli fare da switch tra un server su cui risiedono i
servizi esterni ed uno su cui risiedono i servizi interni e la lan (un
po' meglio ma complicatino) oppure, e qui volevo il vostro aiuto,
mettere il firewall all'esterno *senza* dargli un ip, cioe' fargli
semplicemente intercettare tutto quello che gli passa per la scheda di
rete esterna, farglielo filtrare e farlo ributtare nella rete interna
dopo averlo filtrato, in modo che il firewall sia praticamente una
macchina stand-alone e lasciare l'IP pubblico nel server all'interno.
In questo modo eviterei per ora di riconfigurare il server interno ma
avrei una macchina sicura e intoccabile dall'esterno che fa da
firewall. Se po fa ? Si puo' convincere linux a fare una cosa del
genere?
ciao e grazie, 
leonardo.
PS la rete e' fatta con roba di scarto... non mi date consigli tipo
"puoi comprare un tal router cisco..." :)

 macchina stand-alone e lasciare l'IP pubblico nel server all'interno.
Ho fatto la tua stessa domanda poco tempo fa e mi è stato risposto di
guardare questo:
http://www.linuxdoc.org/HOWTO/BRIDGE-STP-HOWTO/index.html
in breve si può fare :)

 in breve si puň fare :)
Direi molto bello, ma ci si puň fidare di un software versione 0.0.9 ??
Ovvero c'č chi l'ha provato in produzione?
-- 
Roberto Tagliaferri<-> r.tagliaferri@(forse)
tosnet.it
	Il giovane marito si ammira nudo allo specchio...
	"Vedi cara, con qualche centimetro in piů sarei un re"
	e la moglie "e con qualche centimetro di meno saresti una regina!"

 macchina stand-alone e lasciare l'IP pubblico nel server all'interno.
Non penso che sia una buona soluzione: chi riuscisse ad entrare nel
server vedrebbe tutta la lan, con tutti i pericoli del caso.
In pratica i rischi sono gli stessi della tua prima ipotesi.
Comunque quello che ti serve in questo caso e' una macchina che faccia
da bridge. Un how-to te lo hanno gia' indicato ma prova anche a guardare
anche questo:
http://hogwash.sourceforge.net/
Forse per un ambiente di produzione non e' ancora consigliabile (sono
alla pre7) ma puoi tenerlo eventualmente presente per il futuro. Puo'
diventare una cosa interessante.
Fabio

 Roberto Tagliaferri<-> r.tagliaferri@(forse)
tosnet.it
Nei kernel della serie 2.4 il supporto al bridging è presente e non è
segnato come experimental, già questo secondo me segnala che può essere
considerato affidabile.
L'unica cosa da scaricare è l'utility per la configurazione ed eventualmente
la patch per iptables (credo di aver letto che il kernel di RedHat 7.2 è già
patchato in tal proposito).
Non ho ancora avuto modo di provarlo ma so che presto ne avrò occasione per
lavoro.
Per maggiori info prova a guardare qui:
http://bridge.sourceforge.net/faq.html
l'autore fa un interessante confronto tra un bridge linux software e un
bridge hardware.

 diventare una cosa interessante.
siamo una banda di studentelli con un po' di voglia di imparare e
qualche macchina raccattata a destra e a manca.. sentir parlare di
"ambiente di produzione" mi fa sorridere :-))
comunque grazie per tutti i consigli.
ciao,
leo.

 pubblico ha bisogno di un bridge... senza IP.
Beh, puoi fare una DMZ con IP privati anche con un solo IP pubblico
sulla interfaccia esterna. Poi puoi fare accedere gli utenti con ssh
ad una macchina in DMZ da dove vanno a vedere le loro home sulla
lan interna. In questo modo hai la possibilita' di filtrare tutto il
traffico DMZ<->LAN che non sia strettamente necessario alle vostre
necessita': chi riuscisse a violare il server in DMZ non potrebbe
fare molto prima di venire scoperto. Un'altra posibilita' e' quella
di fare entrare gli utenti sul firewall via ssh (magari su una porta
diversa dalla 22) da dove, poi, avranno accesso alla rete interna.
Pensate anche ad un IDS, se vi va di perderci un po' di tempo.
Fabio

, 
billto...@subdimension.com
 says...






mi era venuta voglia di provare a fare un firewall trasparente, ma non mi ci
sono ancora messo...
sarebbe possibile farlo anche con linux kernel 2.4 e iptables?
o si tratta di una feature particolare di openbsd?
è una domanda da pigro, lo so, basterebbe guardare qualche man e un pò d
doc, ma magari qualcuno ha già provato e mi sa dire almeno se si può fare o
no...
:-))
grazie
    paolo

 sarebbe possibile farlo anche con linux kernel 2.4 e iptables?
Si, č possibile. 
http://bridge.sourceforge.net/download.html
Alla prossima :)