OpenBSD et DMZ

[rodolphedj]

Bonjour,

je suis un habitué des Firewall cisco, je dois passer progressivement sur des Firewall sous OpenBSD.

Et je l'avoue, je suis un peu rouillé...

J'ai quelques questions pour les connaisseurs de DMZ et de plages IP publiques sur OpenBSD.


Le Projet :

- Nouvelle Installation d'un Firewall
- plage d'IP publique fournie par FT (/29)
- 1 gateway fournie par FT
- sur l'OpenBSD (actuellement en version 3.4) 3 cartes réseaux
- - - 1°) Outside
- - - 2°) Dmz
- - - 3°) Inside

Les Questions :

- Comment doit on configurer l'Outside, pour gérer la plage d'IP publique (/29) ?
- Doit on faire un paramétrage sur la gateway de FT, pour que la patte Outside du Firewall bénéficie de la gestion des Ip publiques ?
- Comment faire en quelques mots, pour publier une ip publique à un premier serveur en DMZ ? (puis un second...)



Merci d'avance.

[rodolphedj]

bon,

je pense que c'est avec du NAT, mais il me faudrait un exemple....

[truky]

bonjour

faut faire du routage/masquerage pour les ip public,

mais cela depend de la configue de ta DMZ,

1) je l'ai deja fait avec MNF mais pas directement avec iptable donc je saurait pas te dire commant faire. tout ce que je peux te dire c'est qu'il faut rediriger l'ip public vers l'ip LAN de la dmz avec du maarquerage

2) une deusième solution que j'ai tester aussi c'est directement de roouter la plage ip public vers ta dmz et de mettre les ip public directement sur les serveur


Internet--------|fw |------| DMZ |

[Franck78]

- plage d'IP publique fournie par FT (/29)
- 1 gateway fournie par FT

Faudrait détailler ça un peu plus....

/29 => 3 bits soit 8 IPs dispo.
-2 perdues pour 0 et 7 (tous les bits partie hosts à zero ou un)

A priori la "gateway" devrait avoir une patte reliée vers internet dont tu ne t'occupes pas et l'autre avec une des 6 ips restantes.
Il te reste pour ce petit réseau: 5 IPs publiques.
soit par exemple autant de firewall cachant un serveur ou des serveurs ou aussi un firewall masquant grace au NAT une centaine de poste en IP privées.
Ou encore un serveur/firewall auquel tu attribues les 5 Ips...

Tu as l'embarras du choix pour architecturer un réseau aux petits oignons.





bye