🚀 go-pugleaf

Przemysław Safonow wrote:
> 
> Witam :)
> 
> Mam zamiar w pracy postawić firewall'a na Linux'ie. System ma oddzielać
> lokalny ethernet od sieci rozległej. Proszę o radę czy użyć gotowego
> firewall'a, np: Sinus'a czy zrobić to inaczej. Jakie sš minimalne
> wymagania sprzętowe dla takiego systemu. Czy może chodzić DNS na tym
> kompie. Master DNS i inne serwisy pracujš już na wydzielonym serwerze
> wewnštrz sieci . Jak skonfigurować firewall'a żeby z zewnštrz był dostęp
> do poczty, WWW, ftp i news'ów.
> 
Najlepij postaw dwie podsieci, widoczną i niewidoczną (2 kartu sieciowe)
Ta niewidoczna to dla kompów które niczego na zewnątrz nie serwują
(stacje robocze). Dajesz im adresy z puli prywatnej (10.x.x.x,
192.168.x.x)
i stawiasz ip-masquerading. Serwey czegoś stawiasz w drugiej podsieci,
a ipwfadm-em (ipchains-em) wycinasz wszystki porty oprócz potrzebnych.

A co do dns-a, to lepiej postaraj się o secondary w jakiejś zupełnie
innej podsieci.

-- 
Konrad Stępień          | InterData s.c. http://www.interdata.com.pl
konrad@interdata.com.pl | Łódź al. Kościuszki 3 tel +48+42 639-81-71

On Wed, 23 Dec 1998 18:43:15 GMT, Konrad Stępień <konrad@interdata.com.pl> wrote:
>A co do dns-a, to lepiej postaraj się o secondary w jakiejś zupełnie
>innej podsieci.

Tutaj ostatnio właśnie zacząłem się zastanawiać nad sensem takiego rozwiązania.
Przecież secondary DNS w innej sieci jest Ci potrzebny głównie, jeśli pada łącze
do Ciebie. Tylko po co wtedy  komu IP twojego hosta, jak i tak do niego nie
można się dostać? Chyba, że są jeszcze jakieś inne powody (np. wydajność, ale to
raczej podciąga DNS'cache).

Siaco.

-- 

Ryszard Łach
Internet Designers
http://www.id.pl

Tue, 29 Dec 1998 11:13:06 GMT, Ryszard Lach na pl.comp.os.linux.sieci napisał:
>On Wed, 23 Dec 1998 18:43:15 GMT, Konrad Stępień <konrad@interdata.com.pl> wrote:
>>A co do dns-a, to lepiej postaraj się o secondary w jakiejś zupełnie
>>innej podsieci.
>
>Tutaj ostatnio właśnie zacząłem się zastanawiać nad sensem takiego rozwiązania.
>Przecież secondary DNS w innej sieci jest Ci potrzebny głównie, jeśli pada łącze
>do Ciebie. Tylko po co wtedy  komu IP twojego hosta, jak i tak do niego nie
>można się dostać? Chyba, że są jeszcze jakieś inne powody (np. wydajność, ale to
>raczej podciąga DNS'cache).
autorytatywne ustalanie MXów dla poczty. (wiem, qmaila to nie 
obchodzi i to jest jeden z głownych zarzutów wobec niego). 

-- 
Ziemek Borowski ZB137-RIPE http://faq-bot.ziembor.waw.pl/zmb/ 

On Tue, 29 Dec 1998 11:20:42 GMT, 
Ziemek Borowski <zmb@FAQ-bot.ZiemBor.Waw.PL> wrote:
>Tue, 29 Dec 1998 11:13:06 GMT, Ryszard Lach na pl.comp.os.linux.sieci napisa³:
>>On Wed, 23 Dec 1998 18:43:15 GMT, 
>>Konrad Stêpieñ <konrad@interdata.com.pl> wrote:
>>>A co do dns-a, to lepiej postaraj siê o secondary w jakiej¶ zupe³nie
>>>innej podsieci.
>>
>>Tutaj ostatnio w³a¶nie zacz±³em siê zastanawiaæ nad sensem takiego rozwi±zania.
>>Przecie¿ secondary DNS w innej sieci jest Ci potrzebny g³ównie, 
>>je¶li pada ³±cze
>>do Ciebie. Tylko po co wtedy  komu IP twojego hosta, jak i tak do niego nie
>>mo¿na siê dostaæ? Chyba, ¿e s± jeszcze jakie¶ inne powody (np. wydajno¶æ, 
>>ale to
>>raczej podci±ga DNS'cache).
>autorytatywne ustalanie MXów dla poczty. (wiem, qmaila to nie 
>obchodzi i to jest jeden z g³ownych zarzutów wobec niego). 
>
>-- 
>Ziemek Borowski ZB137-RIPE http://faq-bot.ziembor.waw.pl/zmb/ 

Ziemek ma racjê. MTA lepiej siê zachowuj±.


-- 
Peterson's Rules:
	(1) Trucks that overturn on freeways are filled with something sticky.
	(2) No cute baby in a carriage is ever a girl when called one.
	(3) Things that tick are not always clocks.
	(4) Suicide only works when you're bluffing.

On Wed, 23 Dec 1998 18:43:15 GMT, 
Konrad Stêpieñ <konrad@interdata.com.pl> wrote:
>Przemys³aw Safonow wrote:
>> 
>> Witam :)
>> 
>> Mam zamiar w pracy postawiæ firewall'a na Linux'ie. System ma oddzielaæ
>> lokalny ethernet od sieci rozleg³ej. Proszê o radê czy u¿yæ gotowego
>> firewall'a, np: Sinus'a czy zrobiæ to inaczej. Jakie s¹ minimalne
>> wymagania sprzêtowe dla takiego systemu. Czy mo¿e chodziæ DNS na tym
>> kompie. Master DNS i inne serwisy pracuj¹ ju¿ na wydzielonym serwerze
>> wewn¹trz sieci . Jak skonfigurowaæ firewall'a ¿eby z zewn¹trz by³ dostêp
>> do poczty, WWW, ftp i news'ów.
>> 
>Najlepij postaw dwie podsieci, widoczn± i niewidoczn± (2 kartu sieciowe)
>Ta niewidoczna to dla kompów które niczego na zewn±trz nie serwuj±
>(stacje robocze). Dajesz im adresy z puli prywatnej (10.x.x.x,
>192.168.x.x)
>i stawiasz ip-masquerading. Serwey czego¶ stawiasz w drugiej podsieci,
>a ipwfadm-em (ipchains-em) wycinasz wszystki porty oprócz potrzebnych.
>
>A co do dns-a, to lepiej postaraj siê o secondary w jakiej¶ zupe³nie
>innej podsieci.
>
>-- 
>Konrad Stêpieñ          | InterData s.c. http://www.interdata.com.pl
>konrad@interdata.com.pl | £ód¼ al. Ko¶ciuszki 3 tel +48+42 639-81-71

Hmmm... Trochê bez sensu !
Musisz siê zastanowiæ co chcesz chroniæ .
Przecie¿ masquerada i brokada portów nie os³oni przed ewentualnym atakiem
serverów, a przeci¿ to mamy chroniæ.
proponowa³bym czê¶ciow± masqueradê i trzy karty sieciowe 
(na trzeciej serwery bez masquerady z filtracj±).
Je¶li masz router umo¿liwiaj±cy filtracjê pakietów to rozwi±zanie Kondrada
jest dobre.

-- 
Peterson's Rules:
	(1) Trucks that overturn on freeways are filled with something sticky.
	(2) No cute baby in a carriage is ever a girl when called one.
	(3) Things that tick are not always clocks.
	(4) Suicide only works when you're bluffing.

On Tue, 29 Dec 1998 11:13:06 GMT, Ryszard Lach wrote:
>>A co do dns-a, to lepiej postaraj się o secondary w jakiejś zupełnie
>>innej podsieci.
>
>Tutaj ostatnio właśnie zacząłem się zastanawiać nad sensem takiego rozwiązania.
>Przecież secondary DNS w innej sieci jest Ci potrzebny głównie, jeśli pada łącze
>do Ciebie. Tylko po co wtedy  komu IP twojego hosta, jak i tak do niego nie
>można się dostać? 

Poczta na swiecie nie odbije sie [nieznany serwer] tylko poczeka w
kolejce. Z list dyskusyjnych nie zostaniesz wypisany.
MX mozna odczytac, jak awaria sie przedluza [np powodz :-)] - mozna
jakis zapasowy serwer wystawic.
Potencjalny klient moze wykaze sie inteligencja i jak zobaczy 
"server not responding" to zajrzy jutro. Bo po "server not found" nie
zajrzy.
Niektore serwery ftp na swiecie moze Cie, dzwoniacego przez TPSA,
nie odrzuca informujac ze email podany jako haslo jest nieprawidlowy.

J.

Michał Tekiela wrote:
> 
> On Wed, 23 Dec 1998 18:43:15 GMT,
> Konrad Stępień <konrad@interdata.com.pl> wrote:
> >Przemysław Safonow wrote:
> >>
> >> Witam :)
> >>
> >> Mam zamiar w pracy postawić firewall'a na Linux'ie. System ma oddzielać
> >> lokalny ethernet od sieci rozległej. Proszę o radę czy użyć gotowego
> >> firewall'a, np: Sinus'a czy zrobić to inaczej. Jakie sš minimalne
> >> wymagania sprzętowe dla takiego systemu. Czy może chodzić DNS na tym
> >> kompie. Master DNS i inne serwisy pracujš już na wydzielonym serwerze
> >> wewnštrz sieci . Jak skonfigurować firewall'a żeby z zewnštrz był dostęp
> >> do poczty, WWW, ftp i news'ów.
> >>
> >Najlepij postaw dwie podsieci, widoczną i niewidoczną (2 kartu sieciowe)
> >Ta niewidoczna to dla kompów które niczego na zewnątrz nie serwują
> >(stacje robocze). Dajesz im adresy z puli prywatnej (10.x.x.x,
> >192.168.x.x)
> >i stawiasz ip-masquerading. Serwey czegoś stawiasz w drugiej podsieci,
> >a ipwfadm-em (ipchains-em) wycinasz wszystki porty oprócz potrzebnych.
> >
> >A co do dns-a, to lepiej postaraj się o secondary w jakiejś zupełnie
> >innej podsieci.
> >
> 
> Hmmm... Trochę bez sensu !
> Musisz się zastanowić co chcesz chronić .
> Przecież masquerada i brokada portów nie osłoni przed ewentualnym atakiem
> serverów, a przeciż to mamy chronić.
> proponowałbym częściową masqueradę i trzy karty sieciowe
> (na trzeciej serwery bez masquerady z filtracją).
> Jeśli masz router umożliwiający filtrację pakietów to rozwiązanie Kondrada
> jest dobre.
> 
No właśnie o to mi chodziło. Albo filtracja w routerze, albo 3 karty
albo Sangoma (czy jakieś inne coś) w linuksie jako trzeci interfejs.

-- 
Konrad Stępień          | InterData s.c. http://www.interdata.com.pl
konrad@interdata.com.pl | Łódź al. Kościuszki 3 tel +48+42 639-81-71