Differenze

Queste sono le differenze tra la revisione selezionata e la versione attuale della pagina.

--- formazione:linux_sysadmin:shorewall [2011/04/13 15:46] – [Esempio di firewall dual-homed] niccolo
+++ formazione:linux_sysadmin:shorewall [Data sconosciuta] (versione attuale) – eliminata - modifica esterna (Data sconosciuta) 127.0.0.1
@@ Linea 1: / Linea 1: @@
-====== Shorewall ======
-===== Esempio di firewall dual-homed =====
-Firewall con due schede di rete, una sulla rete locale e l'altra su internet con IP pubblico (verso il router del provider).
-Dobbiamo scrivere 6 file in **''/etc/shorewall/''**:
-**zones**
-Elenca le //zone// gestite dal firewall:
-<file>
-net     ipv4       # Internet
-loc     ipv4       # Rete locale
-vpn     ipv4       # Accessi via VPN
-</file>
-**interfaces**
-Associa ciascuna zona all'interfaccia di rete relativa:
-<file>
-net     eth1    detect
-loc     eth0    detect
-vpn     tun0    detect
-</file>
-**policy**
-Policy predefinite tra le varie zone:
-<file>
-$FW     all     ACCEPT
-loc     net     ACCEPT
-vpn     loc     ACCEPT
-net     $FW     DROP    info
-all     all     REJECT  info
-</file>
-**rules**
-Eccezioni alle policy predefinite.
-Esempio:
-  - Accetta connessioni SSH sul firewall da qualunque provenienza
-  - Accetta traffico Samba (condivisione cartelle) da un singolo indirizzo IP internet
-  - Accetta Samba da tutta la rete locale
-  - Accetta traffico web da qualunque origine
-  - Ridirigi il traffico rdp (porta 3389) da 88.57.16.26 verso il server interno 192.168.3.4
-NOTA: vedere il file **''/etc/services''** per la corrispondenza tra nome di un servizio e le porte usate
-<file>
-ACCEPT  all             $FW             tcp     22
-ACCEPT  loc             $FW             tcp     10000
-ACCEPT  net:88.57.16.26 $FW             tcp     445
-ACCEPT  loc             $FW             tcp     445
-ACCEPT  all             $FW             tcp     80
-DNAT    net:88.57.16.26 loc:192.168.3.4 tcp     3389
-</file>
-**masq**
-Tutti i computer della rete locale saranno mascherati con l'indirizzo IP pubblico del firewall quando escono su internet (eth1):
-<file>
-eth1    192.168.9.0/24
-</file>
-**shorewall.conf**
-Abilita il forwarding dei pacchetti IP (funzione tipica di un router/firewall):
-<file>
-IP_FORWARDING=Yes
-</file>
-===== Da riga di comando =====
-Vedere le regole iptables attive in questo momento (nessuna regola in questo esempio):
-<code>
-iptables -L -n
-Chain INPUT (policy ACCEPT)
-target     prot opt source               destination
-Chain FORWARD (policy ACCEPT)
-target     prot opt source               destination
-Chain OUTPUT (policy ACCEPT)
-target     prot opt source               destination
-</code>
-Verificare le regole prima di attivarle, quindi attiva le regole
-<code>
-shorewall check
-shorewall restart
-</code>