IL FIREWALL
Si tratta della macchina a cui sono affidati i compiti di
- protezione da attacchi esterni (firewalling)
- gestione del networking per quanto riguarda il traffico proveniente da tutte le VLAN (servizio e compatibilita' 802.1q)
- gestione del routing tra le vlan (funzionalita' di redirezione/inibizione del traffico inter-vlan, SNAT/DNAT)
- DNS e DHCP per tutte le sottoreti (tranne quella della Segreteria)
- gateway Internet (masquerading)
- controllo e logging della navigazione Internet
Hardware
La macchina adibita a firewall puo' essere un normalissimo PC, neppure tanto potente. Tipicamente un P2/350 con 64 Mb di RAM e' piu' che sufficiente, al Saraceno di Morbegno e' al momento utilizzato un P3/600 con 128 Mb di RAM. Qualunque HD di capacita' superiore a un paio di giga va bene, anzi, potreste anche decidere di non utilizzare alcun disco rigido.
Una caratteristica essenziale di
ArgoLinux? infatti e' quella di
girare direttamente da CDROM con configurazione su floppy, il che rende virtualmente inattacabile il firewall.Nel caso di compromissione del file system in ram, anche il ripristino di un sistema pulito viene reso banale consistendo nel semplice spegnimento e riaccensione del PC.
Inoltre, se la macchina in questione svolge esclusivamente funzioni di firewall interposto tra il router ADSL e il resto della rete la soluzione adottabile e' quella di un PC pentium anche datato (166/266 MHz, con 32 Mb di RAM) privo di hard disk e dotato del solo lettore di cdrom e di floppy. Questa potrebbe essere la situazione tipica di una rete di plesso.
Quale che sia l'hardware disponibile, la possibilita' di salvare la configurazione su floppy consente il ripristino delle funzionalita' del firewall anche da parte di personale del tutto inesperto. Le uniche operazioni essendo accendere il PC con il cd di
ArgoLinux? e il floppy inseriti.
Nella nostra architettura il Firewall posto nelle sedi principali degli Istituti ospita in realta' una serie di servizi aggiuntivi e svolge fondamentali funzioni di networking come la gestione delle
vlan, il routing con funzionalita' di bilanciamento del carico fra piu' connessioni adsl (es. la connessione propria e quella in via di fornitura da parte del Ministero riservata alla Segreteria).
Software e servizi
I servizi ospitati sul
Firewall di sede sono i seguenti
Servizio | Software originale e/o pacchetto Debian | Note |
802.1q | modulo del kernel | si tratta della funzione che aggiunge al kernel linux la compatibilità con il protocollo 802.1q per la gestione del traffico tcp/ip proveniente da vlan diverse. Questo è un esempio significativo della potenza e versatilità di un sistema Linux: con un modulo software di semplicissima installazione si ottiene ciò che di solito dipende dalla disponibilità di hardware dedicato e costoso |
Firewall | netfilter/iptables script apposita | il firewall controlla tutto il traffico inter-vlan, effettua il masquerading di tutte le sottoreti, garantendo l'accesso internet a tutti gli host presenti in Istituto e in piu' effettua DNAT per la redirezione del traffico proveniente da internet verso le macchine che ospitano servizi attivi, con cio' utilizzando un unico ip pubblico |
DHCP | ISC-dhcp | il server dhcp assegna dinamicamente l'indirizzo ip alle macchine che si connettono alla rete, questo servizio viene svolto per tutte le sottoreti che compongono la intranet dell'Istituto, tranne che per la segreteria |
DNS | Bind9 | il server DNS effettua la risoluzione dei nomi degli host sulla rete interna, la risoluzione di nomi internet e' inviata direttamente a forwarders esterni |
PROXY | Squid/squidGuard | il servizio proxy, oltre che velocizzare l'accesso internet permette il controllo e il logging del traffico anche con autenticazione dell'utente |
Per i
firewall di plesso, dove tipicamente non prevediamo vlan,
Su tutte le macchine linux e' in piu' attivo il servizio SSH per l'amministrazione remota della macchina stessa.
Configurazione
--
MassimoMancini - 23 Nov 2021