[Linuxtrent] Re: shorewall e policy tra bridge
- From: Gilberto Osler <gibo@xxxxxxxxxxx>
- To: linuxtrent@xxxxxxxxxxxxx
- Date: Thu, 19 Nov 2009 10:19:18 +0100 (CET)
Ma non è sufficiente trattare i due bridge (vmbrX) come interfacce dichiarate
in interface e poi dare come policy
fw all ACCEPT
all all DROP
??
Considera che per la sicurezza dividere zone "pericolose" come la DMZ con le
VLAN non è del tutto "sicuro".. almeno da quanto si legge in giro ( per es.
http://en.wikipedia.org/wiki/VLAN_hopping).
----- Messaggio originale -----
Da: "Marco Agostini" <comunelevico@xxxxxxxxx>
A: linuxtrent@xxxxxxxxxxxxx
Inviato: Giovedì, 19 novembre 2009 9:16:52 GMT +01:00
Amsterdam/Berlino/Berna/Roma/Stoccolma/Vienna
Oggetto: [Linuxtrent] Re: shorewall e policy tra bridge
Il 19 novembre 2009 08.51, Giuliano Natali <diaolin@xxxxxxxxxxx> ha scritto:
>
> On Gio, Novembre 19, 2009, 8:49 am, Marco Agostini wrote:
>>>
>> fermo.... stavo parlando di collegare vmbr0 con vmbr1 (credo non si
>> possa fare), le mie eth0 e eth1 sono collegate (con 2 cavi di rete !)
>> al mio switch di rete su cui sono state configurate le VLAN.
>
> anch'io...
>
> quindi?
>
mumble mumble.... ti giuro che nel caffè questa mattina la grappa non
ce l'ho messa :-)
in realtà non è vero che voglio collegare vmbr0 a vmbr1 ma l'esatto
contrario e voglio essere assolutamente sicuro che i server virtuali
della DMZ non possano vedere ne gli altri server virtuali ne il resto
della rete.
E' per questo motivo che avevo provato a configurare il file policy
inserendo questa riga:
ndmzv net DROP
dove ndmzv è la zona in cui si trovano i "server virtuali dmz".
ma in realtà questa policy (oltre a darmi un errore quando lancio
shorewall) non serve a nulla in quanto, come visto, i due bridge non
si vedono.
aspetta, non ho ancora risposto al tuo "quindi ?".... nel caso in cui
non dovessi gestire una DMZ e volessi collegare i due bridge mi
basterebbe collegare le due eth0 e eth1 ad una stessa VLAN del mio
switch.
--
Per iscriversi (o disiscriversi), basta spedire un messaggio con OGGETTO
"subscribe" (o "unsubscribe") a mailto:linuxtrent-request@xxxxxxxxxxxxx
--
Per iscriversi (o disiscriversi), basta spedire un messaggio con OGGETTO
"subscribe" (o "unsubscribe") a mailto:linuxtrent-request@xxxxxxxxxxxxx
Other related posts:
