Re: firewall,arp e multicast
On Sun, Dec 09, 2001 at 02:21:40PM +0100, Cesare Fontana wrote:
> At 14.00 09/12/2001 +0100, Thor wrote:
> >Hi
> >
> >
> >>
> >> La route non risolve da sola il problema ARP.
> >>
> >> devi pubblicare una ARP entry detta "proxy" con il seguente comando (mi
> >> raccomando il pub), mettendo chiaramente indirizzi IP e MAC giusti.
> >> es:
> >>
> >> arp -s 206.99.98.2 0:c0:78:20:0:6d pub
> >>
> >> Inoltre, poiche' il kernel di Linux fa prima NAT e poi routing, devi
> >> aggiungere la route.
> >
> >infatti io dicevo di fare proprio quanto scritto sotto
> >per quanto riguarda l'arp non ne sono sicuro al 100% perche'
> >dovrei provare il caso specifico ma moltissime volte ho fatto
> >il routing di subnet o anche singoli host e le arp table
> >si autoconfiguravano senza bisogno di forzargli le cose.
> >Secondo me gia' con la riga sotto la arp atable si prende
> >in automatico il mac address dell'host routato non
> >appena questo inizia a spedire qualche pacchetto ...
>
>
>
> vediamo di spiegarci....
> la macchina e' il default gateway per la sua rete interna.... e quindi
> ovviamente tutti i pacchetti per l'esterno passano a lei.... ci pensano
> quindi le macchine a mettere i mac ad. giusti....
> il problema e' che lei all'esterno non e' default gw di
> nessuno..... quindi quando qualcuno cerca di parlare con una macchina che
> sta all'interno della rete... ci sar` un arp.... devo capire come
> addestrarla per rispondere agli arp relativi agli ip che lei
> protegge.... credo si possa fare mettendo tanti eth alias quante sono gli
> ip da traslare .... arp -s non risolve la cosa... setta una arp table
> statica per la macchina... non le insegna a rispondere agli arp per creare
> le table degli altri...
>
Scusami ma non ti seguo: se usi nat/pat come si era detto con iptables
su 2.4 non hai alcuni bisogno di arp proxying.
Sul lato esterno devi mettere tanti ip alias quante sono le macchine a lato
interno che devono essere visibili. Mi sembrava fosse chiaro. Poi ci
pensa iptables a tradurre gli indirizzi. Ovviamente non so se te la cavi
con qualsiasi protocollo a parte quelli 'canonici'... La maggior parte
dei nat ad esempio ha problemi con H.323... Niente netmeeting per
intenderci.
--
Francesco P. Lovergine
Reply to: