Newsgroup: it.comp.sicurezza.unix
Titolo: firewall e subnet (quasi OT)

Ciao a tutti.
Sto cercando di configurare correttamente un firewall linux (IPCHAINS) sulla
mia Lan e mi sono venuti dei dubbi:
il provider mi ha assegnato 64 IP ( subnet 255.255.255.192 ).
io a questo punto dovrei subnettare la rete per dividere la parte protetta
da quella "pubblica" (DMZ).
La cosa più logica sembrerebbe dividere la rete in due ulteriori reti con
subnet 255.255.255.224.
Una tra il router del provider e il firewall e l'altra quella dietro il
firewall.
Fatto questo dovrebbe bastare un modifica sul router (cisco1400)
distinguendo le due reti una sulla ethernet (il primo blocco da 32 IP ) e
l'altra che va instradata sul firewall e la cosa dovrebbe andare subito.
ci sono errori fin qui?
la cosa che non mi piace è che il 32 ip della rete "pubblica" non li userò
se non in minima parte.
che alternative ho?
utilizzare tra il router e il firewall indirizzi di una classe privata?
utilizzare una subnet più piccole ?
Grazie sin da ora.
Andrea.

,

Ma devi mettere sugli IP dei server che il pubblico possa vedere oppure no?
Nel primo caso puoi splittare come vuoi, nel secondo metti tutto su una rete privata
e usi un IP per uscire; io ho varie macchine pubbliche e 7-8 private che nessuno puo' vedere.
-- 
Tagliaferri Roberto
roberto.t...@videosoft.it
http://www.videosoft.it

,
roberto.t...@videosoft.it
 (Roberto Tagliaferri) è stato scritto:

Si le macchine devono essere visibili.
sono macchine che devono fare da server internet per varie aziende.
con Ipchians e il mascheramento IP ovviamente non ci sono problemi, e non va
fatta nessuna modifica a livello di routing.
Di solito i PC nei reparti più 'sensibili' amministrazione, progettazione,
sono dietro un firewall con IP MASQ.
rigrazie...
Andrea.

 Andrea.
Scusa.....ma non capisco, il blocco di ip deve tutto essere disponibile sulla
internet e sulla intranet? e firewallato.....che intendi?
io ho 2 schede di rete x esempio una intranet e una internet con ipchains, ma i
server intranet hanno ip 192.168 e non son visibili dall'esterno.........non e'
che puoi spiegarti meglio? :)
--
Ciao, Alessio.
- 
http://www.jubil2000.org


certo!
l'architettura dovrebbe essere la seguente.
collegamento ATM con il provider verso un router ( 
195.135.20.33/27
) cisco
1400
il Cisco è collegato ad un Hub, a cui  è collegato il firewall ( Linux con
IPchains )
il firewall è configurato cosi un indirizzo 
195.135.20.34/27
 sul Eth0 verso
il cisco 1400 e 
195.135.20.1/27
 + 
192.168.1.1/24
 sulla Eth1.
La eth1 è collegata ad uno switch dove ci sono i vari server Internet e le
altri Pc della azienda con indirizzo privato.
Quindi dietro al firewall ci sono sia Pc privati sia pc pubblici.
E questo dovrebbe essere abbastanza liscio.
Il mio problema è il seguente:
la subnet 
195.135.20.32/27
 é sostanzialmente composta da due macchine che
sono il firewall e il router dal ISP e da eventuali altre macchine che non
hanno bisogno di protezione. 
E' evidente che cosi spreco un pò di IP circa 28.. nella prima subnet.
allora mi chiedo non c'è un modo elegante per fare la stessa cosa senza
sprecare IP ?
spero di essere stato sufficientemente chiaro...
ciao.
Andrea

 sprecare IP ?
 Secondo me si: non dividere le subnet ! visto che hai solo due macchine
"fuori", puoi perdere mezz'ora e impostare delle route statiche sul
firewall e sul CISCO per quei due "casi speciali" che sono le macchine
sullo hub esterno. 
Sergio

 Andrea
Non puoi mettere come mask 255.255.255.252 (rete, 2 ip+broadcast)?
