IL FIREWALL

Si tratta della macchina a cui sono affidati i compiti di

• protezione da attacchi esterni (firewalling)
• gestione del networking per quanto riguarda il traffico proveniente da tutte le VLAN (servizio e compatibilita' 802.1q)
• gestione del routing tra le vlan (funzionalita' di redirezione/inibizione del traffico inter-vlan, SNAT/DNAT)
• DNS e DHCP per tutte le sottoreti (tranne quella della Segreteria)
• gateway Internet (masquerading)
• controllo e logging della navigazione Internet

Hardware

La macchina adibita a firewall puo' essere un normalissimo PC, neppure tanto potente. Tipicamente un P2/350 con 64 Mb di RAM e' piu' che sufficiente, al Saraceno di Morbegno e' al momento utilizzato un P3/600 con 128 Mb di RAM. Qualunque HD di capacita' superiore a un paio di giga va bene, anzi, potreste anche decidere di non utilizzare alcun disco rigido. Una caratteristica essenziale di ArgoLinux^? infatti e' quella di girare direttamente da CDROM con configurazione su floppy, il che rende virtualmente inattacabile il firewall.Nel caso di compromissione del file system in ram, anche il ripristino di un sistema pulito viene reso banale consistendo nel semplice spegnimento e riaccensione del PC. Inoltre, se la macchina in questione svolge esclusivamente funzioni di firewall interposto tra il router ADSL e il resto della rete la soluzione adottabile e' quella di un PC pentium anche datato (166/266 MHz, con 32 Mb di RAM) privo di hard disk e dotato del solo lettore di cdrom e di floppy. Questa potrebbe essere la situazione tipica di una rete di plesso. Quale che sia l'hardware disponibile, la possibilita' di salvare la configurazione su floppy consente il ripristino delle funzionalita' del firewall anche da parte di personale del tutto inesperto. Le uniche operazioni essendo accendere il PC con il cd di ArgoLinux^? e il floppy inseriti.

Nella nostra architettura il Firewall posto nelle sedi principali degli Istituti ospita in realta' una serie di servizi aggiuntivi e svolge fondamentali funzioni di networking come la gestione delle vlan, il routing con funzionalita' di bilanciamento del carico fra piu' connessioni adsl (es. la connessione propria e quella in via di fornitura da parte del Ministero riservata alla Segreteria).

Software e servizi

I servizi ospitati sul Firewall di sede sono i seguenti

Servizio	Software originale e/o pacchetto Debian	Note
Firewall	netfilter/iptables script apposita	il firewall controlla tutto il traffico inter-vlan, effettua il masquerading di tutte le sottoreti, garantendo l'accesso internet a tutti hli host presenti in Istituto e in piu' effettua DNAT per la redirezione del traffico proveniente da internet verso le macchine che ospitano servizi attivi con cio' utilizzando un unico ip pubblico
DHCP	ISC-dhcp	il server dhcp svolge questo servizio per tutte le sottoreti che compongono la intranet dell'Istituto, tranne la segreteria
DNS	Bind9	la risoluzione dei nomi degli host sulla rete interna e' effettuata dal servizio DNS con forwarders esterni per gli host internet
PROXY	Squid/squidGuard	il servizio proxy, oltre che velocizzare l'accesso internet permette il controllo e il logging del traffico con autenticazione dell'utente

Su tutte le macchine linux e' in piu' attivo il servizio SSH per l'amministrazione remota della macchina stessa.

Configurazione

-- MassimoMancini - 23 Nov 2021