[iptables/Firewall]aiuto per configurazione

[RaouL_BennetH]

Ciao a tutti

La mia situazione credo sia abbastanza classica, ma, per questioni di energie personali attualmente dedicate purtroppo ad un problema lavorativo da risolvere entro certi tempi stretti, non riesco a trovare la calma e la concentrazione tale da permettermi di leggere con le dovute attenzioni le varie guide in merito. Chiedo quindi un aiuto più esplicito sperando di avere in seguito tempo per farne tesoro personalmente.

Detto questo.. passo a descrivere la situazione:

ho un server che offre dei servizi on-line in ascolto su un determinato numero di porta, per esempio 4000.

A questa macchina, ci si collegano sia degli utenti che stanno all'interno della rete, sia utenti dall'esterno, questi ultimi però, hanno comunque degli indirizzi ip fissi.

In sostanza, quello che vorrei fare è quanto segue:


mettere su un pc che faccia da firewall/gateway che:

1) dalla rete locale permetta il collegamento al server
2) dalla rete locale permetta ai pc interni di andare su internet
3) dall'esterno consenta solo agli ip da me scelti di collegarsi al server

A questo proposito, cosa mi consigliate di installare come distribuzione e come servizi ?

Per lo scopo, ho rimediato un pc con tre schede di rete.

Grazie a tutti in anticipo

RaouL.

[RaouL_BennetH]

Allora, seguendo la guida di IpCop, distribuzione che ho scelto leggendo un pò di info in giro, sono arrivato al punto di dover configurare le tre schede di rete, la RED, la GREEN, e la ORANGE.

Prima avevo dimenticato di dire che in ufficio ho fastweb, e quindi mi chiedevo:

la scheda di rete che sarà collegata direttamente al router fastweb, quale dovrà essere, la RED, la GREEN o la ORANGE?

Se non ho letto male, o meglio, se ho capito quello che ho letto sulla guida, dovrei attaccare la RED, è giusto?

Grazie

RaouL.

[W.S.]

Per IpCop non so aiutarti, non l'ho mai visto...

Come distro ti consiglierei una debian minimale. Dipende molto dalle preferenze personali, installa la distro che ti piace di più e che conosci meglio, l'importante è che monti meno "roba" possibile e che sia configurata bene.

Per i servizi, nessuno. Per quello che richiedi non necessita di alcun servizio.

Una volta configurata la rete, ti basta inserire poche regole in iptables e sei a posto.

Mettendo che hai eth0 (LAN), eth1 (DMZ), eth2 (EXT) bastano le regole seguenti:

# default blocca tutto
iptables -t filter -P FORWARD DROP
iptables -t filter -P OUTPUT DROP
iptables -t filter -P INPUT DROP

# accetto connessioni già stabilite
iptables -t filter -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t filter -I OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t filter -I FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

# Accesso ssh da LAN
iptables -t filter -I INPUT -i eth0 -p tcp --dport 22 -j ACCEPT

# Da LAN fai passare qualunque cosa (punti 1 e 2)
iptables -t filter -A FORWARD -i eth0 -m state --state NEW -j ACCEPT

# punto 3 per l'ip xxx.xxx.xxx.xxx
iptables -t filter -A FORWARD -i eth2 -o eth1 -s xxx.xxx.xxx.xxx -m state --state NEW -j ACCEPT

# Natto lan e dmz
iptables -t nat -I POSTROUTING -o eth2 -j MASQUERADE

Ovviamente andrebbero "sgrezzate" e rifinite, vedi queste righe come un punto di partenza.

[RaouL_BennetH]

intanto, grazie per l'esauriente esempio

Ho installato IpCop perchè ho letto che nasce proprio come distribuzione firewall, ed è una debian ridotta "all'osso". Ha anche un gestore web che a quanto vedo è molto user-friendly se non fosse che....

attualmente le cose stanno in questo modo:

c'è una macchina con linux con ip: 192.168.0.2 collegata al router di fastweb.
Questa macchina fa da gateway ai pc interni della rete.
Sempre a questa macchina, è assegnato un ip pubblico, per esempio:

80.80.80.80

Ora, dalla guida leggo che:

RED == scheda rete collegata ad internet (sarebbe quindi la mia 192.168.0.2 ??)

GREEN == scheda rete per la lan interna; suppongo quindi di poterle assegnare un ip a piacere, per esempio: 192.168.0.50

ORANGE == scheda rete per la dmz; dovrei quindi far arrivare a questa scheda, che per esempio ha un ip: 192.168.0.100, quello che arriva da computer esterni alla lan e dirottarlo sul server che offre servizi per l'esterno sulla porta 4000 che ha come ip 192.168.0.32

Come ragionamento è giusto oppure no?

Grazie Mille

@ W.S.: se non dovessi riuscire a configurare ipcop prenderò la net install di debian ed usero il tuo script come punto di partenza.

[W.S.]

La macchina linux ha più di una scheda di rete giusto?

L'ip pubblico è assegnato alla macchina nel senso che c'è una scheda con quell'ip o nel senso che il router natta quell'ip verso la macchina?

Comunque, se 192.168.0.2 è la scheda attaccata al router è da considerare la RED (di fatto è "attaccata" ad internet, anche se è un ip privato)

GREEN è la tua lan quindi puoi assegnare la subnet che vuoi, l'unica legge è che deve essere una subnet diversa dalle altre presenti, la 192.168.0.0/24 è già usata tra gateway e router, quindi non va bene, usa una 192.168.X.0/24 (es 192.168.1.0).

ORANGE: stesso discorso, devi usare una subnet diversa dalle altre due, es 192.168.2.0/24

Ogni interfaccia deve appartenere ad una subnet diversa.

[RaouL_BennetH]

Originariamente inviato da W.S.

La macchina linux ha più di una scheda di rete giusto?

L'ip pubblico è assegnato alla macchina nel senso che c'è una scheda con quell'ip o nel senso che il router natta quell'ip verso la macchina?

Comunque, se 192.168.0.2 è la scheda attaccata al router è da considerare la RED (di fatto è "attaccata" ad internet, anche se è un ip privato)

GREEN è la tua lan quindi puoi assegnare la subnet che vuoi, l'unica legge è che deve essere una subnet diversa dalle altre presenti, la 192.168.0.0/24 è già usata tra gateway e router, quindi non va bene, usa una 192.168.X.0/24 (es 192.168.1.0).

ORANGE: stesso discorso, devi usare una subnet diversa dalle altre due, es 192.168.2.0/24

Ogni interfaccia deve appartenere ad una subnet diversa.

Ah, ora è molto più chiaro

Ho quindi configurato per il momento così:

RED = 192.168.0.2
GREEN = 192.168.1.100
ORANGE = 192.168.2.100

In merito a questo poi, dato che i pc della lan interna sono tutti del tipo:

192.168.0.x, devo cambiare gli ip anche ai pc interni perchè comunichino con la GREEN ?

Grazie davvero tanto.

RaouL.

[W.S.]

Originariamente inviato da RaouL_BennetH

In merito a questo poi, dato che i pc della lan interna sono tutti del tipo:

192.168.0.x, devo cambiare gli ip anche ai pc interni perchè comunichino con la GREEN ?

Esatto, devono tutti avere un indirizzo del tipo 192.168.1.xxx e come gateway l'ip della interfaccia green del firewall (192.168.1.100)
La stessa cosa per i server.

Per convenzione, solitamente si assegnano gli indirizzi agli estremi al gateway, al posto di 192.168.x.100, usa 192.168.x.1 o 192.168.x.254

La RED non è un problema visto che il gateway di quella subnet non è il firewall può rimanere 192.168.0.2.

[RaouL_BennetH]

Originariamente inviato da W.S.

Esatto, devono tutti avere un indirizzo del tipo 192.168.1.xxx e come gateway l'ip della interfaccia green del firewall (192.168.1.100)
La stessa cosa per i server.

Per convenzione, solitamente si assegnano gli indirizzi agli estremi al gateway, al posto di 192.168.x.100, usa 192.168.x.1 o 192.168.x.254

La RED non è un problema visto che il gateway di quella subnet non è il firewall può rimanere 192.168.0.2.

davvero illuminante grazie !!!!

ho trovato anche questo schema grafico che mi ha finalmente dato una buona chiave di comprensione:

http://www.osservatoriotecnologico.i...wall_ipcop.htm

Grazie ancora

[W.S.]

figurati