Newsgroup: it.comp.reti.cisco
Titolo: Firewall linux su ip dinamico

Salve,
vorrei installare un firewall linux tra la mia rete locale e un cisco 2600
adsl con ip dinamico. Ho naturalmente un solo ip pubblico e ho creato una
configurazione tipo
rete locale--->ethloc firewall 192.168.0.1---->ethpub firewall
192.168.1.1 ---->eth0 router 192.168.1.254 ---->int dialer router
xxx.xxx.xxx.xxx. Se avessi piu' di un indirizzo pubblico ne assegnerei uno
al firewall, giusto?
Questa è l'unica configurzione che mi viene, ci sono alternative?
Grazie anticipate

 ---->eth0 router 192.168.1.254 ---->int dialer router xxx.xxx.xxx.xxx. Se
e' l'unica cosa che puoi fare, tralasciando il bridging.
un mayhem e le canzoni alla radio
-- 
 Everyone is gay, with someone else's ass 
 Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
 SPP  wpage: 
http://www.spippolatori.com
 Key on 
pgp.mit.edu
 ID C7393613


Grazie per la risposta

) tra la 
rete locale ed il router, in modo da poter bloccare alcuni servizi (file 
sharing, etc.) ed eventualmente impostare delle regole di traffic 
shaping sul firewall, per evitare che un singolo computer impegni tutta 
la banda a disposizione.
Il traffico in entrata dovrebbe essere gia' abbastanza sicuro grazie al 
NAT, ma avere un firewall e' un ulteriore sicurezza :)
In futuro, eventualmente vorrei avvere la possibilita' di connettermi al 
firewall NetScreen dall'esterno (Internet) con una client VPN, visto che 
il firewall supporta le connessioni VPN.
Avendo un unico IP pubblico, qual'e' il modo migliore per configurare il 
firewall?
Mi vengono in mente tre possibile alternative:
A) E' possibile configurare il router Pirelli in modo che "ceda" il suo 
indirizzo IP pubblico al firewall NetScreen?
In questo modo l'interfaccia untrust del firewall avrebbe l'indirizzo IP 
pubblico, assegnerei a quella trust un indirizzo IP locale (es. 
192.168.2.1) ed imposterei il firewall a fare da NAT server per i 
clients Windows.
Questa sarebbe una buona soluzione, ma e' tecnicamente possibile?
Se si', praticamente, Telecom Italia mi impostera' il router in questo modo?
Io non ho le informazioni per accedere al loro router e cambiare la 
configurazione.
Per bridging si intende questa soluzione? Dove posso trovare maggiori 
info a proposito?
B) Imposto l'interfaccia untrust del firewall sulla stessa rete locale 
del router (es. 192.168.2.2) e l'interfaccia trust su una diversa rete 
locale, la stessa dei clients Windows (es. 192.168.1.1).
In questo modo il firewall sara' il default gateway per i PC Windows ed 
il router sara' il default gateway per il firewall.
Se non sbaglio, dovro' impostare sia il router che il firewall per fare 
da NAT server, in quanto si tratta di indirizzi privati per entrambi le 
rete locali.
Ci sono problemi di performances o funzionalita' con il doppio NAT?
A me non sembra una soluzione molto elegante, ma se mi dite che funziona 
bene, potrei farci un pensierino :)
C) Richiedo ulteriori indirizzi IP pubblici a Telecom Italia ed assegno 
uno di questi all'interfaccia untrust del firewall: il firewall fara' da 
NAT server per i clients Windows ed il router sara' il default gateway 
per il firewall.
Questa mi sembra la soluzione piu' elegante, pero' c'e' un canone 
mensile aggiuntivo da pagare per ottenere altri indirizzi IP pubblici e 
vorrei evitarlo se possibile, specialmente considerando che non ho 
nessun servizio pubblico sulla mia rete locale.
Inoltre mi sembra che Telecom Italia, offra subnet da 8 indirizzi IP 
pubblici come minimo, quando 2 sarebbero sufficienti per me.
D) Imposto il firewall NetScreen in modalita' trasparente tra il router 
e la rete locale, ossia lo faccio lavorare a layer 2, senza assegnare 
indirizzi IP alle sue porte di rete (tranne l'indirizzo IP locale alla 
porta trust per la gestione del firewall).
Quindi per il router Pirelli ed i computer Windows e' come se il 
firewall non esistesse, ma esso continuera' comunque a fare il suo 
lavoro di filtraggio, traffic shaping, VPN, etc.
Ci sono limitazioni impostando il firewall in transparent mode?
Io ho il sospetto che non tutto funzionera' come se il firewall 
lavorasse a layer 3...
Scusatemi per la lunghezza del post, spero che sia tutto chiaro.
Aspetto i vostri consigli :)
Grazie.

Firewall linux.... pessima scelta.
Molto meglio questo:
http://www.openbsd.org/faq/pf/index.html
Rick


 
http://www.openbsd.org/faq/pf/index.html
non voglio scatenare flame, so che siamo OT, ma lo uso da quando e' uscito
(fuck darren) ed e' fenomenale.
e' l'unica altrnatica che concepisco al pix, vista la flessibilita' e la
semplicita'.
bravo theo!
un mayhem che contribuisce attivamente 



***
PF was originally developed by Daniel Hartmeier and is now maintained 
and developed by Daniel and the rest of the OpenBSD team.
***
Ciao.

 semplicita'.
Scusa ma non ho capito quale distribuzione linux usi al posto del Pix.
Grazie
Matteo C.
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 Per l'esattezza PF non e' opera di Theo :)
lo credo ben.
il complimento era al team leader per il lavoro di tutto lo staff.
e per essersi comportato in modo corretto quando darren ha fatto le bizze.
un mayhem ed il computer lento


 Scusa ma non ho capito quale distribuzione linux usi al posto del Pix.
openbsd, 
www.openbsd.org
. ma non e' linux, e' BSD
un mayhem e le troppe mail


Qunado hanno abbandonato ipf,
in pochi mesi hanno sviluppato un packet filter che secondo me e' meglio di 
ipf, la sintassi poi e' fenomenale.
Rick
