Firewall... Ma dove?

[best1980]

Ho una rete di questo tipo:

ADSL Alice con

router ADSL Bintek collegato ad uno switch con dietro una ventina circa di PC, nattati all'occorrenza sul router.

Mi hanno chiesto di tirare su un firewall Linux sulla rete che oltre che proteggere gestisca anche la posta interna (solo quella però)...

il problema è dove lo metto secondo voi? in che posizione nella rete?

è utile inserirlo? o è inutile?

Qualsiasi commento e considerazione mi farà comodo...

[dirtyblackhole]

con la rete nattata stai gia da Dio cmq per raggiungere una sicurezza del 90% mettici un bel firewall all' ingresso della linea ADSL sulla rete cosi filtra tutti i pacchetti e stai un po piu rilassato.
poi se ti hanno chiesto di metterlo... mettilo no?

Dalle mie parti si dice

VUTT ' U CIUCC ANDO VOL U PADRUN

TRADOTTO:

metti l' asino dove vuole il padrone.

[alaric_morgan]

Originariamente inviato da best1980
Ho una rete di questo tipo:

ADSL Alice con

router ADSL Bintek collegato ad uno switch con dietro una ventina circa di PC, nattati all'occorrenza sul router.

Mi hanno chiesto di tirare su un firewall Linux sulla rete che oltre che proteggere gestisca anche la posta interna (solo quella però)...

il problema è dove lo metto secondo voi? in che posizione nella rete?

è utile inserirlo? o è inutile?

Qualsiasi commento e considerazione mi farà comodo...

www.ipcop.org
www.astaro.com
www.efw.it

Sono le migliori 3 distro per sicurezza. Sui rispettivi siti trovi anche come impostare la rete.

Ciao
Al

[indre]

fai
router-->firewall-->switch-->LAN

ipcop con i vari plugin è ottima.

[best1980]

Originariamente inviato da indre
fai
router-->firewall-->switch-->LAN

ipcop con i vari plugin è ottima.

Avevo pensato anche io a questo...

Ma quindi ora sul firewall (ipcop) ci sarà impostato il forwarding e su una scheda di rete ci sarà collegato il router (192.168.1.x) e sull'altra scheda ci collego lo switch (192.168.0.x)

giusto?

N.B. gli host sono 192.168.0.x

Il nat va in automatico come prima passando da IPCOP o devo impostare qulcosa anche su ipcop?

Grazie

[billiejoex]

router ISP --> [eth0] linux_box [eth1]
                                   |
                                   |
                      client <-- switch --> client
                                   |
                                   |
                                 client

Sulla linux box oltre a mettere un firewall e il server di posta ti conviene mettere anche un dhcp e un dns caching server.

DHCPd+DNS caching server: se la rete è medio piccola al posto di dhcpd + bind di consiglio il pacchetto dnsmasq. Con 4 righe nel file di configurazione hai gia tutto operativo.

SERVER DI POSTA: non ti so aiutare, mai fatto, però ti chiedo: ti serve veramente un server di posta interno?
Potresti usare un "mail proxy server" che filtra le e-mails dei client in entrata e in uscita facendolo lavorare in coppia con ClamAV. In questo caso dai un occhio a p3scan (http://p3scan.sourceforge.net/)

FIREWALLING: utilizza iptables chiudendo di default tutto in entrata e aprendo via via quello che ti serve sulla sola interfaccia LAN. Esempio:

iptables -P INPUT DROP
### INPUT
iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -s 127.0.0.1 -j ACCEPT
iptables -A INPUT -i eth1 -p UDP --dport 53   -j ACCEPT     #dnsd
iptables -A INPUT -i eth1 -p UDP --dport 67   -j ACCEPT     #dhcpd
iptables -A INPUT -i eth1 -p TCP --dport 25   -j ACCEPT     #smtpd
iptables -A INPUT -i eth1 -p TCP --dport 110   -j ACCEPT     #pop3d

ROUTING:
Decidi se permettere tutto in uscita (come nel caso qui sotto) o chiudere tutto e permettere via via la navigazione, ftp ecc...

iptables -P FORWARD DROP
echo "1" > /proc/sys/net/ipv4/ip_forward
modprobe ip_nat_ftp
iptables -A FORWARD -i eth1 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

Valuta anche la possibilità di installare un http proxy per velocizzare la navigazione ai client.


PS - Giusto a titolo informativo: quanto ti darebbero per questo lavoro?

Saluti

[best1980]

Quanto mi danno? non c'è una cifra...

Lavoro in una azienda di telecomunicazioni e mi occupo di VOIP e linux.. è un lavoro interno all'azienda e hanno chiesto di farlo a me nel poco tempo libero che ho... :-)

Ciauz

[indre]

ottima spiegazione billiejoex

per server posta SE NECESSARIO vai di POSTFIX