ADSL+Firewall Linux+ISA Server+Exchange 2000: AIUTOOOOOO!!!

[Bautzen]

Salve a tutti quanti voi :-)
scrivo per esporvi la mia attuale situazione casalinga e i dubbi a cui mi trovo di fronte:

PREMESSA:
7 Client di diversa natura notebook e da tavolo (win9X, Win2k pro, Linux SuSe 7.3....) (tra mia sorella e il suo ragazzo, la mia ragazza, mio papà e cugini vari si è messa un certa cifra tutti insieme per costruire una piccola rete a casa per TUTTI)
2 Stampanti Laser di rete (HP4050N e HP4+)
2 Stampanti a getto su print server D-LINK 300 (HP895cxi, BJC-240)
1 PC Windows 2000 Server (AMD Duron 1.3, 1GB RAM, 2HDD 80GB RAID1, 2HDD 10GB RAID1, 2 Schede di rete 100Mbit, DAT 2/4GB, DVD, Master, Netsystem, CD-ROM, Live 1024!, ATI Radeon 7000 32MB, Pinnacle PCTV)
1 PC Linux RedHat 8.0 (Pentium II 266, AHA-2940, 8GB SCSI UW, 2 Schede di rete 100Mbit, AWE 64Gold, CD-ROM. 256MB RAM, DAT 2/4GB)
1 Switch 3Com 16Porte 10/100Mbit
1 MiniHUB 10Mbit 4 Porte (per dividere il traffico generato dai serverl da e verso internet)
1 Modem/Router ADSL Telecom (il famoso Ericsson HM220dp) configurato in PPPoA con abbonamento Alice FLAT PPPoA

Detto questo la mia idea "titanica" era quella di creare una Lan modesta ma con un minimo di pretese di sicurezza.

quindi ho proceduto per gradi:
(1) PREPARAZIONE:
- la lan si svolge sullo switch 16 porte 3Com utilizzando la classe 10.1.x.x
- Il Server win2k ascolta la lan e distribuisce i servizi DHCP,DNS,WINS su una scheda ed esce verso il server linux e Internet sull'altra scheda che utilizza la classe 192.168.0.x sul secondo HUB (una specie di primitivo DMZ)
- Il server linux ascolta il Server Win2k su una scheda di rete e fa il forward sull'altra utilizzando la classe 192.168.254.x cioè la stessa dell'Ericsson (il tutto sempre sul miniHUB)

(2) CONFIGURAZIONE FIREWALL:
- Ho per prima cosa configurato il Server Linux da "firewall" usando il solo strumento che conosco (e nemmeno troppo bene!!!!) cioè "iptables" creando uno script per le nostre esigenze (Navigazione WWW, POP3, SMTP, ICQ, C6, DNS esterno, FTP) droppando tutto il resto (almeno spero!!!!!) anche i ping!!!!!
- A questo punto Windows 2K Server nudo e crudo con il GW giusto ha cominciato a fare quello che deve fare (a parte l'ftp che nemmeno uscendo diretto con il router Telecom riesce a fare, ma sarà un problema secondario, probabilmente sarà un problema di Telecom, bohhh ma non dei PC visto che funziona con il modem ananlogico e ISDN)

(3) INSTALLAZIONE ISA Server Microsoft (copia dimostrativa 120gg):
- E' stato un pò difficile il parto ma alla fine sbattendo qua è là, provando e riprovando è andato su, configurando i vari report e le Access Policy.
- Ora tutti i client navigano con il WWW attraverso il proxy su porta 8080, si inchiodano sull'FTP (seppur configurato a mio parere giusto e non funzionante nemmeno in modo diretto PC->ADSL).

(4) PROBLEMI ATTUALI:
- Outllok Express 6.0 SP1 sui client non arriva ai Server di Posta POP3,SMTP sebbene il "protocol rules" sembra essere configurato bene (Sul server invece funziona in quanto non passa attraverso l'ISA ma va verso Linux direttamente dove sono aperte le porte 25 e 110 SOLO ed ESCLUSIVAMENTE per i domini di posta che si utilizzano in famiglia). Naturalmente ho installato anche il "firewall client" dell'ISA sui PC Win98 e WIn2k ma .... ahimè nulla!!!!!
- l'FTP!!!!!!!! Io penso che al di là del problema che non mi funzioni nemmeno in connessione diretta tra un notebook e il modem ADSL, il problema sia nella presenza di 2 firewall allo stesso tempo (ISA e LINUX) ma "teoricamente" l'ISA invia i dati su porte specifiche infatti come fa passare il traffico WEB sulla porta 80 a Linux il quale lascia passare il pacchetto, così dovrebbe essere pure per la porta 25 e 110 e addirittura per la porta 21 dell'FTP. Bohhhhh Chiedo aiuto
- WinMX non mi funziona nemmeno in linea diretta con ADSL (un pò come l'FTP) meno che meno con sti firewall e affini. Qualche idea? Consigli utili?

(5) PUNTI DI ARRIVO:
- Installazione di Microsoft Exchange Server 2000 SP3 per messaggistica interna e gestione posta elettronica con Outlook.
(1) Problema: capire come Exchange potrà gestire i vari domini
di posta elettronica ed abbinarli ai profili utenti
interni logati come cassette postali di Exchange
cioè fare in modo che ogni cassetta postale sia
abbinata ad un utente del "mio dominio"
(mia-sorella.pippo.it) ma che Exchange
sia allo stesso tempo in grado di gestire indirizzi
e-mail esterni (mia.sorella@t-online.de
papà@web.de ......). Cioè come dire ad Exchange
che accetti anche altri domini
(2) Problema: Gestire la messaggistica interna che se non
ricordo male, può essere fatta anche tramite
il client di MSM.
- Poter vedere la stanza dei miei due Server da Remoto utilizzando una comune WebCam
- Poter far vedere in rete i canali Netsystem ai client (qualcosa del tipo "Terminal Server")
- Installazione e test del "Veritas Backup" per "tentare" un backup centralizzato dei client
- E molte altre "stupidaggini" che ora non valgono la pena di essere menzionate

Mi rivolgo a CHIUNQUE sia in grado di darmi una mano in questa mia opera "titanica" da autodidatta (con tutti i limiti che ne conseguono). Mi auguro altresì di essermi spiegato decentemente (non conoscendo a fondo tutta la terminologia del caso).
e...... niente solo un forte HELP ME PLEASEEEEE

[Second Reality]

Ma te sei fuori.

Punto1: o conosci BENE linux o non ti conviene fare configurazioni "a Mano". Pialla la macchina e installaci smoothwall o astaro.
Punto 2: che te ne fai di Exchange per fare messaggistica interna? E poi ISA a che te serve? La protezione deve rimanere sulla macchina linux che e' l'unico gestore della sicurezza!
Quindi: leva ISA e metti al posto di Ex programmi come mailtraq.

La lan deve essere cosi:

ADSL
|
|
Macchina LinuX --- DMZ con servizi per l'esterno
|
|
Resto della LAN (server e cient)

Ciao e buon lavoro!

[haendel]

Concordo pienamente con l'amico Second Reality.

Non capisco cosa ti serve isa server.

Il firewall lo fai gestire da Linux, per il mail interno puoi utilizzare tranquillamente sendmail già presente su linux.

Per quanto riguarda il firewall ti passo questi due link:

http://www.commedia.it/ccontavalli/docs-it/iptables/iptables4dummies/

http://members.xoom.virgilio.it/kbytesystem/linux/firewall

Nel primo spiegano passo passo come installare e configurare uno script che faccia da firewall, da forwarding e da nat. E' prevista pure l'utilizzo di una terza scheda di rete per una dmz.
Nel secondo link invece c'e' uno script bello e pronto (quello che sto utilizzando io) per fare le stesse cose senza però la dmz.

Tutti e due gli script vanno chiaramente ritoccati, il primo più pesantemente in quanto mancano per esempio tutte le istruzioni di log (sono facilmente ricopiabili dal secondo script). E' indubbiamente però un buon punto di partenza e una bella fonte di apprendimento.
Nel secodo c'e' da modificare gli indirizzi ip e poi la parte relativa alla porte da lasciare aperte.

[ziobystek]

se vuoi fare un piccolo dominio è una kosa epotrebbero servirti tutte ste kose titanike....ma se vuoi fare una piccola LAN e meglio ke lasci perdere tutti questi software pachidermici.

ne avete messi di soldi per comprare la licenza di 2000 server e Exchange 2000!

[Bautzen]

Grazie delle vostre considerazioni, ma tutto sto "casino" nasce dal desiderio di imparare, tutto qui!!! Certo esistono altre soluzioni di certo di più facile attuazione, ma io volevo "ricreare" almeno in parte lo scenario che mi trovo di fronte ogni giorno al lavoro (anche se io non sono l'amministratore ma solo il manutentore e tecnico). Certo una situazione del genere gestisce una utenza di più di 200 PC senza contare VPN e filiali sparse per il mondo, ma ..... niente volevo capire i vari meccanismi per un interesse personale. Quindi io continuerò sulla strada che ho descritto all'inizio (o almeno ci proverò!!!!).

PER HAENDEL:
Naturalmente il primo link era già stata la "bibbia" per la creazione del mio script e penso che quel manualetto lo conosco ormai a memoria per il tuo secondo link invece, lo trovo un pò troppo macchinoso per il mio debole cervello grigio anche se alla fine, mi sembra di capire, si arrivi al medesimo risultato (+ o -). Il tuo è più automatizzato e più professionale, il mio primitivo ma almeno mi sembra di aver toccato tutti i punti fondamentali.
Il mio è uno script che lancio dalla riga di comando come utente root. Cioè quando avvio il firewall, si carica tutto in modo standard, poi con lo script parte il tutto. Più laborioso ma sono per ora soddisfatto del mio "piccolo" e sudato lavoro di questo script!!!

[Bautzen]

Dunque ora la situazione è migliorata, Outlook express funziona dovunque (win9X, Windows 2000, WinME....). Fatalità il PC client su dove testavo la connessione si è rivelato instabile (per via di una precedente installazione di un server di Dominio qualche mese fà in prova) e nonostante avessi disinstallato il precedente firewall client, lui misteriosamente cercava ancora il vecchio Server. Bohhh!!! Formattata la macchina e ripartito da 0 tutto è andato come doveva andare e anche su altri client Win9x e Win2k!!!!! Quindi per quanto concerne il primo problema.... è risolto!!!!

Per quanto invece concerne il file sharing e l'ftp, cercando su internet ed informandomi in giro, il modem Ericsson HM220DP della telecom Alice, configurato in PPPoA (quindi sbloccato) non riesce a gestire (per il Firmware a quanto pare, oppure per il protocollo in centrale!!!) il forward di questi pacchetti sulle proprie porte (21, 6696....). Ma sembra che invece con il blocco del firmware da parte della telecom con protocollo in centrale PPPoE, il modem miracolosamente funziona bene. Qualcuno ne ha mai sentito parlare? Capita anche a voi???? Fatemi sapere per piacere qualcosa e soprattutto come si può risolvere (se si può) senza cambiare la pila protocollare attuale (PPPoA)

Per chi conosce meglio "iptables" vorrei chiedere come mai il test di "Atlanet" riportato in una discussione in rilievo, non passa attraverso il firewall visto che io ho lasciato transitare i pacchetti WWW su porta 80 ed ho attivato le risposte alle mie richieste verso internet. Ho notato che sull'indirizzo a circa metà c'è qualcosa del genere "....net:81/..." sembra indicare una porta aggiuntiva per il test. Sarà forse che dovrei aprire anche questa????? E poi.... ci sono un paio di siti internet in cui sono capitato girando che non mi vengono visualizzati. Hanno nella homepage delle animazioni presumibilmente scritte in java script, qualcuno sa dirme se esista una relazione tra iptables e questi java script??? Anche perchè molti altri siti con animazioni iniziali, me li visualizza bene!!!!

Grazie dell'Interessamento (anche se in realtà mi aspettavo un pò più di interventi e letture , considerando questi temi interessanti e inerenti al tema del forum !!!)

Va behhhh, probabilmente sarò l'unico che la pensa così

Buona giornata a tutti
Buon weekend
e ....... anche buon lavoro

Ciaoooooo

[Bautzen]

Ma nessuno nessuno????? Provo con un UP

[gohan]

considera che SW come ISA o Exchange non vengono usati da molta gente sul forum.
Cmq mettere un FW linux e ISA insieme non ha senso: o uno o l'altro.

[Bautzen]

Certo gohan, hai perfettamente ragione, sono software un pò "particolari" ma tutto sommato affascinanti..... non credi????

Stato dei miei problemi:
(1) il sito che non mi veniva visualizzato ieri, ora miracolosamente funziona benissimo!!! Probabilmente era un momentaneo disservizio dell'Hosting remoto!!! Bahhhhh
(2) Per quanto riguarda Atlanet, effettivamente ho abilitato in uscita la porta 81 sul firewall linux e come per magia sono riuscito a fare imiei test di velocità!!!!!! Circa 33Kb con Alice Flat. Non è proprio il massimo ma in liniea mi sembra con il resto d'Italia
(3) le funzioni ftp con il modem/router HM220DP della Ericsson purtroppo rimangono a tutt'ora anche se devo fare una piccola precisazione: con WinMx mi fa un "tiro" strano. Succede che lui mi si connette (raramente) al file che devo scaricare comincia il download (anche a velocità considerevoli) ma dopo circa 4 minuti o 5 si interrompe. Sembra quasi che in realtà il problema non stia tanto nel firmware, bensì più alla centrale Telecom. Può darsi che accada lo stesso anche per i siti ftp che qualche volta riesco a visualizzare le cartelle ma dopo ..... niente più
Nessuno che ha riconosciuto questo problema??? Qualche consiglio ???

Ciaoooo e Grazie

[Bautzen]

Allora raga, la mia situazione descritta sopra ha avuto grossi passi in avanti:

1) Veritas funziona bene ed ho capito quello che mi serve per farlo funzionare come voglio :-)

2) Ieri sera penso di aver trovato la via per utilizzare il modem HM220DP con siti ftp e WinMX (ora devo solo impostare bene iptbales e l'ISA per queste connessioni, ma in modo diretto notebook-->HM220DP il tutto funziona

3) Ora rimane la questione della WEB Cam da remoto senza utilizzare però una telecamera ethernet!!!

Naturalmente se qualcuno ha qualche dritta, posti pure

un Saluto

[gohan]

ci sono web cam che forniscono dei SW di monitoraggio che permettono di inserire il video su pagine web.... però di più non so.
Una webcam ethernet sarebbe sicuramente molto più semplice.

[Bautzen]

Si ma hai visto i prezzi?????? :o

[Bautzen]

Scusa, ma sai dirmi eventualmente il modello di una di queste webcam?? Dovrebbero essere della Creative se non ricordo male

Grazie mille

[gohan]

non ne conosco..... sorry