sslug-teknik team mailing list archive

["Klavs Klavsen" <ktk@xxxxxxxxxxx>]

Hej jens,

Se kommentarer ( >> )

       .\|/.
       (o o)
--ooOo--(_)--oOoo------| This mail has been sent to you by: |----------

Klavs Klavsen, IT-coordinator and Systems Administrator at
Metropol Online - http://www.metropol.dk
Tlf. 33752700, Fax 33752720, Email ktk@xxxxxxxxxxx

Private Email klavs@xxxxxxxxxxx
  .oooO    Oooo.
__(   )___(   )_____This mail is based on 100% recycled bits_________
   \  (    ) /
    \ _)  (_/


Klavs Klavsen wrote:
>
> Det kan gøres på mange måder.. afhængig af sikkerhedsønsker..
>
> 1.vi har f.ex. alle vores eksterne adresser på et dmz område - dvs. et
> seperat netkort på firewall'en.. (i dit tilfælde - medmindre du vil have
2
> firewall's :-) og så har jeg bare tildelt det indkøbte adressesegment til
> denne.. Dette spilder dog en ekstern ekstra adresse på firewall'en..

Dette er dog også planen, men i første omgang skal et meget begrænset
antal maskine
være offentlig tilgængelige bag firewallen. Det er dog et klart et
problem, at hvis en af de offentlige maskiner bagved bliver hacket er de
inde på det private net. Det kan jo undgås (lidt ihvertfald) ved en DMZ
løsning.

>> korrekt.. og klart anbefalet.. :-)

>
> 2. Ønsker man ikke at gøre dettte, kan man f.ex. give den interne maskine
> med en 192.168.x.x adresse, et eth0:0 med den eksterne adresse og lave en
> route "ekstern.adresse" gw 192.168.x.x.. Eneste Men her, er at når
> 192.168.x.x kommunikerer ud (undtagen når den svarer på pakker til
> "eksterne.adresse") vil den gøre det med 192.168.x.x adressen, som så
> bliver nat'ed af WOL routeren..

Det er dette jeg ønsker, idet jeg forstår at maskinerne samtidig kan
være på det internet netbios netværk.
>> ja.. de sidder jo på samme subnet.. og netbios's broadcasts kommer
derfor frem.

Planen er jo at jeg så bare fortæller hvilke private ipnumre der skal
være offentlige og så routere dem i firewallen.
>> du gør således.
>> 1. giv dine interne maskine det eksterne alias som de skal have. - se 10
linier op :-)
>> 2. sørg for at din firewall er på plads mht. adgangskontrol til dissse
adresser.
>> 3. kan du få WOL-routeren til at sende alle dine eksterne adresse ind på
dit
>> netværk imellem firewall'en og routeren? i så fald skal du laven en
arp-publisering
>> arp -i ethx -s ekstern.adresse 00:FF:00:CF:CC:1B pub
>> ethx=netkortet som er på wol-routeren netværk. mac'en plejer jeg at
sætte til
>> den samme som min interne maskinen adressen skal videresendes til. tror
dog godt
>> du kan sætte den til ethx's mac istedet.
>> 4. lav en
>> route add extern.adresse default gw intern.adresse

>> voila..
>
> 3. Det kan godt være at man kan finde programmer til at rewrite en
bestemt
> 192.168.x.x adresse's pakker til en anden "ekstern.adresse"?
jep

>
> 4. evt. kan hele scenariet (dvs. rewrite til intern-fra ekstern og fra
> intern -til ekstern adresse) laves i WOL-routeren, hvis en Cisco 677 kan
> håndtere flere ip-adresse ?
Ja, muligvis, men det vil jeg spørge om på wol/adsl lister, meen
selvfølgelig hvis der er nogen her der har et godt svar!

vh, Jens