( ( ( ( ( ( help-pc.it ) ) ) ) )

Configurazione di un gateway router Linux

Questo articolo vuole essere una semplice condivisione di conoscenze che possono essere utili a chi, dovendo installare un server gateway, si trova di fronte alla scelta del software e delle configurazioni. Quella che vi propongo è essenzialmente una configurazione di base; sta a voi particolareggiarla a seconda delle vostre esigenze. Naturalmente su internet potete trovare un mare di documentazione relativa a questi software che sto per descrivere.
Supponiamo che il server abbia due schede di rete: eth0 è connessa alla rete locale (quindi con un indirizzo ip del tipo 192.168.1.1/255.255.255.255.0), eth1 direttamente ad internet (quindi ad essa sarà assegnato l'indirizzo pubblico ip assegnato dal provider con rispettivo gateway e dns).
Possiamo installare sul server una versione di linux che piu preferiamo. Io ho fatto tutte le prove con la Ubuntu 6.0; facile da installare, stabile, veloce. Quindi l'installazione di tutto il software necessario l'ho fatta utilizzando Synaptic (solo Webmin è stato scaricato direttamente dal sito, ma comunque poi installato con synaptic).

Software necessari
Webmin
Questo è il software che useremo per la configurazione del nostro server. Sostanzialmente, dopo averlo installato, con il browser a disposizione digiteremo l'indirizzo https://localhost:10000 . Ci troveremo di fronte alla prima schermata di Webmin e ci verrà richiesta la login e la password. Naturalmente per avere tutti i privilegi di configurazione, inseriremo login e password di root.
Squid
Il server proxy piu utilizzato dalla comunita di linux
Squid analisys report e Monitorin network
Questi software (utilizzabili entrambi dall'interfaccia di webmin) ci permetteranno di monitorare il traffico di rete.
Shorewall
Un potente software che farà da firewall e da router gateway.

Ora, utilizzando Webmin, configuriamo prima Shorewall e poi il server proxy Squid.

Configurazione di Shorewall
Apro Webmin (https://localhost:10000), inserisco login e password, vado nella sezione network, scelgo Shorewall e sezione per sezione inserisco le seguenti configurazioni.

Network zones

Zone ID	Zone Type
frw	Firewall system
net	Ipv4
loc	Ipv4

Network interface

Interface	Zone name	Broadcast address	Options
eth1	net	Autmatic	none
eth0	loc	Automatic	none

Defaul Policies

Source zone	Destination Zone	Policy	Syslog level	Traffic limit
loc	net	Accept	None	None
loc	Firewall	Accept	None	None
Firewall	loc	Accept	None	None
Firewall	net	Accept	None	None
net	any	drop	info	None
Any	Any	Reject	info	None

Firewall Rules

Action	Source	Destination	Protocol	Source port	Destiantio port
Accept	Zone net	Firewall	TCP	any	80,443,22
Accept	Zone net	Firewall	ICMP	any	8
Redirect	Zone loc	Port 8080	TCP	any	www

Nota: Naturalmente le regole del firewall cambiano a seconda dei servizi che avete nella vostra rete, esempio:
The redirection to the proxy server
REDIRECT    Zone Local Port 3128 TCP Any www
Web server
Action      Source      Destination Protocol    Source ports Destination ports
ACCEPT      Zone Net    Firewall    TCP Any 80,443
Domin name server
ACCEPT      Zone Net    Firewall    UDP Any 53
ACCEPT      Zone Net    Firewall    TCP Any 53
Shh server
ACCEPT      Zone Net    Firewall    TCP Any 22
Ftp server
ACCEPT      Zone Net    Firewall    TCP Any 20,21
Mail server
ACCEPT      Zone Net    Firewall    TCP Any 25
Pop and imap server
ACCEPT      Zone Net    Firewall    TCP Any 109,110,143
Windows file shearing
ACCEPT      Zone Net    Firewall    UDP Any 137,138,139,445,1024:1100
ACCEPT      Zone Net    Firewall    TCP Any 137,138,139,445,1024:1100
Echo ping
ACCEPT      Zone Net    Firewall    ICMP Any 8

Masquerading

Outgoing Interface	Network to masquerade
eth1	192.168.1.0/255.255.255.0

VPN Tunnels

VPN	Type zone for interface
GRE	loc
Ipsec	loc

Tutte le altre impostazioni non descritte in questo capitolo potete lasciarle per il momento con il settaggio di default.
Avviate ora il firewall, se non ci sono errori partirà senza problemi, altrimenti rivedete tutta la configurazione.

Configurazione di Squid
Vi elencherò solo quello che bisogna cambiare rispetto al settaggio di default.
Nella sezione MISCELLANEUS OPTIONS
impostare il valore HTTP ACCEL HOST a “virtual”,HTTP ACCESS WITH PROXY a “on”, HTTP ACCEL USER HOST HEADER a “Yes”. Lasciate il resto invariato.
Nella sezione Ports and Networking Options settate la Porta a 8080 (quella impostata per default è 3128). Lasciate il resto invariato.
Nella sezione ACCESS CONTROL bisogna creare un nuovo controllo attraverso il pulsante CREATE NEW ACL: name: local_network, type: Client Address, matching: 192.168.1.0/255.255.255.0.
Ora nella stessa sezione aggiungiamo un'ACCESS RESTRICTION: Action:allow, ACLs: local_network. Assicuriamoci che l'ultima riga sia Deny All.
E' fatta, il server proxy è configurato, avviatelo.

C'è un problema: quando il server si riavvia a volte Shorewall sembra non funzionare, ma la soluzione è semplice: da Webmin, nella sezione di Shorewall, premete prima CLEAR FIREWALL e poi START FIREWALL. Io faccio eseguire questi due comandi automaticamente al riavvio di Linux (ho aggiunto queste istruzioni utilizzando sempre Webmin dalla sezione System, Bootup and Shutdown).

Ora sta a voi fare di più: collegare delle blacklist, magari installare Dansguardian per proteggere la vostra rete dai virus, personalizzare il firewall, ecc..
Mi piacerebbe avere i vostri suggerimenti ed eventualmente miglioramenti e correzioni al documento che io ho redatto.

Luigi Totaro

1 Commenti

Antonio Salvatore 19-06-2008 19:40:03

Trovo quest'articolo molto utile.

Scrivi un commento

Attenzione: I commenti sono valutati da un moderatore, non tutti i commenti vengono pubblicati.

Informativa Privacy (art.13 D.Lgs. 196/2003): Per poter postare un commento, oltre all'email, é richiesto l'inserimento di nome e cognome. Nome e cognome vengono pubblicati - e, quindi, diffusi - sul Web unitamente al commento postato dall'utente, l'indirizzo e-mail non viene utilizzato se non per inviare comunicazioni relative al commento inserito. Le opinioni ed i commenti inviatici dagli utenti e le informazioni e dati in esso contenuti non saranno destinati ad altro scopo che alla loro pubblicazione su questo sito. In ogni caso, l'utente ha in ogni momento la possibilit´ di esercitare i diritti di cui all' art. 7 del D.Lgs. 196/2003.