Modelli di rete aziendale port forward PAT PAT NAT + PAT NAT table

Transcript

1 Modelli di rete aziendale Abbiamo visto che una rete aziendale deve essere composta da due parti fondamentali: la DMZ e la TRUST (devono essere due subnet diverse ovviamente). La DMZ è la parte che viene esposta al di fuori della mia LAN, cioè la parte raggiungibile dall'esterno della mia infrastruttura. Perché esporre delle risorse private all'esterno? Magari perché vogliamo fornire un servizio mail o un Web Server. I motivi possono essere diversi. Solitamente quando configuriamo una rete aziendale il fornitore del servizio da a disposizione un pool di 8 indirizzi pubblici di cui 5 utilizzabili il che significa che assegnano una classe /29 (Subnet Mask ). Abbiamo parlato abbastanza di come proteggere la nostra rete tramite delle regole firewall (rules) e di come impostare il NAT (statico e dinamico). Come facciamo ora invece a dire che quando, ad esempio, un utente esterno vuole aprire il nostro sito (presente sul server web all'interno della nostra DMZ), la richiesta deve andare direttamente al Server Web? PRIMO CASO (UN SOLO IP PUBBLICO) Questa impostazione può essere data attraverso una regola di port forward. Prima però definiamo che cos'è il PAT. Alle volte c'è la necessita che i pacchetti che arrivano dall'esterno, non debbano essere necessariamente richiesti prima dall'interno. In questi casi è sufficiente indicare al router su quali porte (PAT) e su quale indirizzo ip lan interno (NAT) mandare i pacchetti che arrivano su porte che noi conosciamo a priori. Il PAT modifica la porta del pacchetto. Il solo NAT presuppone di avere un pool di indirizzi pubblici da associare all'indirizzo privato. Se la nostra azienda fosse provvista di un solo indirizzo pubblico, se ci sono più pc collegati alla rete, solo uno a turno potrebbe uscire in internet. Il NAT + PAT, permette di associare più indirizzi lan privati, mantenendo un unico indirizzo pubblico e variando la porta. Se ad esempio due pc sono connessi alla rete esterna: TRUSTpc TRUSTpc passando dal router i pacchetti in uscita dopo il NAT/PAT saranno del tipo: WANpc1: :1000 WANpc2: :1001 NB: questo riassume l'overload visto nell'esercizio pratico in laboratorio. Facciamo un esempio concreto: Il pc1 richiede una pagina web che ha indirizzo il pc manda il pacchetto al gateway (router), con indirizzo sorgente e destinazione il router memorizza nella NAT table che ha richiesto una pagina che ha indirizzo il router sostituisce l'indirizzo sorgente nel pacchetto e ci mette quello pubblico del router assegnato dal provider, e cambia la porta. Facciamo finta :1000 viene memorizzato tutto nella NAT table. il pacchetto torna indietro con le informazione richieste (la pagina web) il router controlla nella nat table se qualcuno all'interno della lan ha richiesto dei pacchetti provenienti da questo ip. se c'è una corrispondenza, sostituisce l'ip di destinazione con l'ip privato trovato nella tabella. il pacchetto arriva all'host della lan Detto questo, il portforward è una associazione manuale che si fa sulla tabella NAT. Ad esempio andremo a dire che qualsiasi pacchetto che ha come indirizzo:porta :80 dovrà puntare il Server Web presente in DMZ.

2 SECONDO CASO (UN POOL DI INDIRIZZI PUBBLICI) L'ISP assegna alla tua azienda un pool di indirizzi ip pubblici (8 come detto prima), hai diverse opzioni: ne assegni uno pubblico direttamente al tuo server web: il tuo server diventa normalmente raggiungibile dall'esterno tramite indirizzo pubblico assegni al server sempre un privato e poi fai snat da uno dei 5 pubblici (4 in realtà perché uno l'avrai usato per i pacchetti in uscita dalla LAN). Sarà un NAT chiamato 1:1 come visto già in un esercizio in laboratorio nulla ti vieta di continuare a lavorare con il portforwarding... Esempi di Reti Aziendali DOPPIO FIREWALL (PERIMETRALE E INTERNO) FIREWALL UNICO

3 DOPPIO FIREWALL CON INTERNAL E EXTERNAL DMZ DIVERSI SERVER SUI VARI LIVELLI Su rete LAN interna protetta: RADIUS Server: autenticazioni wireless DIRECTORY Server: gestioni utenti Su DMZ: FTP, WEB, MAIL, HONEYPOT (trappola per hacker...)

4 Esempi di DMZ e TRUST Cisco (Esempio da documentazione Cisco) Laboratorio 1 Packet Tracer Prendiamo per configurare la rete un router WRT300N che comprende internamente un modulo switch e l'access point. Di default può impostare il dhcp e le regole di nat, come si vede dalla GUI che è interamente grafica: Collegare il SERVER all'ethernet1 e poi tramite wifi collegare un laptop. Impostare un server DNS esterno e salvare ogni volta le impostazioni. Possiamo anche impostare una password per il wifi.

5 Assegnamo all'interfaccia "Internet" da Config l'assegnazione dell'ip statica: (Lasciamo perdere per ora PPPoE) Colleghiamo un cloud e un modem. Collegare il modem con il cloud tramite il cavo "phone". Il cloud avrà come unica impostazione da Config e poi "DSL": Quindi impostare un altro router e un altro pc (con modem e cloud...) e collegare tutto a un router ISP e un server ISP. Se noi ora vogliamo impostare il portforwarding dobbiamo andare sul router dell'azienda e dalla GUI "application e gaming":

6 Notiamo che (ricordiamo di attivare il DNS sul server ISP e che il server aziendale è raggiungibile ora solo tramite http tramite l'indirizzo pubblico del router) se facciamo partire una richiesta http dal pc di casa (tipo scrivendo da browser apriremo il sito che c'è su SERVER AZIENDA. Ora se provassimo a catturare i pacchetti in uscita dalla lan azienda noteremo che hanno tutti una source port differente, come detto in precedenza.