Skip to topic | Skip to bottom
Home
Web attivi: Reteisi | Pmb
user: TWikiGuest
Registrazione | Mappa | Cambiamenti | Indice | Ricerca | Vai | Calcolatrice

Sei qui: Reteisi > FwSede



Start of topic | Skip to actions

IL FIREWALL

Si tratta della macchina a cui sono affidati i compiti di
  • protezione da attacchi esterni (firewalling)
  • gestione del networking per quanto riguarda il traffico proveniente da tutte le VLAN (servizio e compatibilita' 802.1q)
  • gestione del routing tra le vlan (funzionalita' di redirezione/inibizione del traffico inter-vlan, SNAT/DNAT)
  • DNS e DHCP per tutte le sottoreti (tranne quella della Segreteria)
  • gateway Internet (masquerading)
  • controllo e logging della navigazione Internet

Hardware

La macchina adibita a firewall puo' essere un normalissimo PC, neppure tanto potente. Tipicamente un P2/350 con 64 Mb di RAM e' piu' che sufficiente, al Saraceno di Morbegno e' al momento utilizzato un P3/600 con 128 Mb di RAM. Qualunque HD di capacita' superiore a un paio di giga va bene, anzi, potreste anche decidere di non utilizzare alcun disco rigido. Una caratteristica essenziale di ArgoLinux? infatti e' quella di girare direttamente da CDROM con configurazione su floppy, il che rende virtualmente inattacabile il firewall.Nel caso di compromissione del file system in ram, anche il ripristino di un sistema pulito viene reso banale consistendo nel semplice spegnimento e riaccensione del PC. Inoltre, se la macchina in questione svolge esclusivamente funzioni di firewall interposto tra il router ADSL e il resto della rete la soluzione adottabile e' quella di un PC pentium anche datato (166/266 MHz, con 32 Mb di RAM) privo di hard disk e dotato del solo lettore di cdrom e di floppy. Questa potrebbe essere la situazione tipica di una rete di plesso. Quale che sia l'hardware disponibile, la possibilita' di salvare la configurazione su floppy consente il ripristino delle funzionalita' del firewall anche da parte di personale del tutto inesperto. Le uniche operazioni essendo accendere il PC con il cd di ArgoLinux? e il floppy inseriti.

Nella nostra architettura il Firewall posto nelle sedi principali degli Istituti ospita in realta' una serie di servizi aggiuntivi e svolge fondamentali funzioni di networking come la gestione delle vlan, il routing con funzionalita' di bilanciamento del carico fra piu' connessioni adsl (es. la connessione propria e quella in via di fornitura da parte del Ministero riservata alla Segreteria).

Software e servizi

I servizi ospitati sul Firewall di sede sono i seguenti
Servizio Software originale e/o pacchetto Debian Note
802.1q modulo del kernel si tratta della funzione che aggiunge al kernel linux la compatibilità con il protocollo 802.1q per la gestione del traffico tcp/ip proveniente da vlan diverse. Questo è un esempio significativo della potenza e versatilità di un sistema Linux: con un modulo software di semplicissima installazione si ottiene ciò che di solito dipende dalla disponibilità di hardware dedicato e costoso
Firewall netfilter/iptables script apposita il firewall controlla tutto il traffico inter-vlan, effettua il masquerading di tutte le sottoreti, garantendo l'accesso internet a tutti gli host presenti in Istituto e in piu' effettua DNAT per la redirezione del traffico proveniente da internet verso le macchine che ospitano servizi attivi, con cio' utilizzando un unico ip pubblico
DHCP ISC-dhcp il server dhcp assegna dinamicamente l'indirizzo ip alle macchine che si connettono alla rete, questo servizio viene svolto per tutte le sottoreti che compongono la intranet dell'Istituto, tranne che per la segreteria
DNS Bind9 il server DNS effettua la risoluzione dei nomi degli host sulla rete interna, la risoluzione di nomi internet e' inviata direttamente a forwarders esterni
PROXY Squid/squidGuard il servizio proxy, oltre che velocizzare l'accesso internet permette il controllo e il logging del traffico anche con autenticazione dell'utente

Per i firewall di plesso, dove tipicamente non prevediamo vlan,

Su tutte le macchine linux e' in piu' attivo il servizio SSH per l'amministrazione remota della macchina stessa.

Configurazione

-- MassimoMancini - 23 Nov 2021

Reteisi.FwSede r1.5 - 26 Nov 2021 - 14:49 - MassimoMancini
Copyright © 1999-2006 degli autori degli articoli. Tutto il materiale presente su questa piattaforma collaborativa è di proprietà di chi l'ha prodotto. Idee, richieste, problemi relativi a TWiki? Invia feedback