Wiki Ubuntu-it

Indice
Partecipa
FAQ
Wiki Blog
------------------
Ubuntu-it.org
Forum
Chiedi
Chat
Cerca
Planet
  • Immutable Page
  • Info
  • Attachments

STOP! Perché questa guida si trova sotto la pagina Cestino?. Una guida può essere cestinata dal Gruppo Documentazione se contiene istruzioni compatibili solo con rilasci non più supportati di Ubuntu oppure perché non si ha certezza che lo siano per i rilasci attualmente supportati. Queste pagine richiedono un aggiornamento e una verifica delle istruzioni contenute. Se vuoi riesumare una di queste guide contatta il Gruppo Documentazione nella board sul forum.



1. Introduzione

Questa guida nasce in assenza di informazioni concise e istruzioni facilmente riproducibili riguardo l'installazione di un router per reti via cavo e/o senza fili su Ubuntu. È destinata ad utenti esperti e intermedi che devono o vorrebbero mettere a punto un'installazione dedicata di Ubuntu facente funzioni di router a casa o in ufficio. Il risultato finale è un potente router che può fornire funzionalità analoghe a prodotti conosciuti (per esempio, il Linksys WRT54G).

Il router che sarà creato è un gateway internet per client via cavo/senza fili che condividono una connessione a banda larga con un unico indirizzo IP.

Le funzioni base che il router sarà in grado di eseguire:

  • Firewall
  • IP Masquerading
  • Port forwarding
  • Server DHCP
  • Server DNS cache

2. Preparativi

2.1. Connessione a banda larga

È necessaria una connessione ADSL. Il fornitore di servizi a banda larga deve presentare le necessarie informazioni per configurare l'indirizzo IP statico o fornire un indirizzo assegnato dinamicamente tramite DHCP.

2.2. Requisiti hardware

Occorre possedere un computer adeguato ad agire come router. Il calcolatore puo utilizzare vecchi componenti hardware, e avere caratteristiche tali da soddisfare i requisiti minimi per installare Ubuntu dovrebbe essere sufficiente. Per esempio l'autore di questa pagina fa funzionare il suo router su un processore Pentium 3 a 600 MHz e con 256 megabyte di RAM. Ne viene incoraggiato l'uso come server per altre applicazioni, probabilmente installando postfix, apache, mysql e/o samba. Questa guida suggerisce un'installazione server di Ubuntu, ma non vi è alcuna ragione per la quale un'installazione desktop non dovrebbe funzionare. Se si prevede di poter accedere al router da remoto, conviene installare ssh prima di continuare.

Per l'implementazione di un router server occorre avere a disposizione i seguenti componenti:

  • Scheda di rete connessa al modem DSL o al cavo a banda larga
  • Per una rete via cavo,

    • Un'altra scheda di rete connessa ad un hub o switch.
  • Per una rete senza fili,

    • Una scheda di rete wireless impostata in modalità «master»

Per mostrare le interfacce di rete disponibili digitare il comando ifconfig -a.

Nel caso della rete senza fili il comando sudo iwconfig «nome_dispositivo» mode master non dovrebbe restituire alcun errore.

Se la scheda di rete wireless non viene riconosciuta durante l'installazione Server di Ubuntu, puo darsi che essa utilizzi il chipset madwifi (come ad esempio D-Link DWL-G520).

3. Informazioni sulla rete interna

Questi sono i valori per gli indirizzi IP che saranno utilizzati nella configurazione della rete interna:

Router

Host

192.168.0.1

Rete

192.168.0.0

Netmask

255.255.255.0

Broadcast

192.168.0.255

Client

Host (uno o più)

192.168.0.2 - 192.168.0.254

Netmask

255.255.255.0

Broadcast

192.168.0.255

Gateway

192.168.0.1

Gli utenti più esperti prestino attenzione in caso di modifiche, poichè i cambiamenti dovranno riflettersi in tutta la successiva configurazione del router.

4. Configurazione delle interfacce di rete

4.1. Descrizione dei tipi di dispositivo

Interfaccia

Rete

Descrizione

«eth0»

esterna

scheda di rete connessa alla rete esterna (connessione a banda larga)

«eth1»

interna

scheda di rete connessa a un hub o ad uno switch

«wlan0»

interna

scheda di rete wireless

«br0»

interna

bridge di rete fra «eth1» e «wlan0» che tratterà le due schede come se fossero un unico dispositivo

È importante notare che i nomi dei dispositivi di rete qui sopra (eth0, eth1 e wlan0) sono usati come convenzione. È molto probabile che il router riconosca i dispositivi con nomi differenti (per esempio, i madwifi chiamano il relativo dispositivo wireless "ath0"). Si prega, di conseguenza, di sostituire i nomi presenti in questa guida con quelli assegnati dal sistema.

Per informazioni su come cambiare i nomi dei dispositivi di rete digitare in un terminale man iftab.

4.2. Copia della configurazione

Digitare il seguente comando per creare una copia della configurazione di rete corrente: {{{sudo cp /etc/network/interfaces /etc/network/interfaces.bak }}}

4.3. Rete esterna

4.3.1. Configurare l'interfaccia di rete esterna

Qui verrà configurato il sistema di rete di Ubuntu per richiamare l'intefaccia locale di loopback e quella della rete esterna modificando il file /etc/networking/interfaces. L'obiettivo primario è quello di impostare l'interfaccia della rete esterna (eth0, o qualunque altra si stia usando al posto di essa), in modo da poter essere richiamata dal sottosistema di rete.

Gli esempi qui sotto servono solamente per la maggior parte delle configurazioni di base. Se l'installazione richiedesse una configurazione extra (ad esempio si dovesse impostare la connessione ADSL con PPPoE), adattare i seguenti esempi in modo tale che l'interfaccia della rete esterna alla fine risulti connessa ad Internet.

  • Con indirizzi IP assegnati in modo dinamico (DHCP):

    Aprire il file /etc/network/interfaces con un editor di testo, cancellare tutto il contenuto e sostituirlo con il blocco riportato di seguito. Prestare attenzione alle righe commentate. {{{# Set up the local loopback interface

auto lo iface lo inet loopback

# Set up the external interface # # Don't forget to change eth0 to the proper name of the external # interface if applicable. # auto eth0 iface eth0 inet dhcp}}}

  • Con indirizzi IP assegnati staticamente:

    Aprire il file /etc/network/interfaces con un editor di testo, cancellare tutto il contenuto e sostituirlo con il blocco riportato di seguito. Prestare attenzione alle righe commentate. {{{# Set up the local loopback interface

auto lo iface lo inet loopback

# Set up the External interface # # For every xxx.xxx.xxx.xxx, enter the numeric address given to you # by your Internet provider. Don't forget to change eth0 to the proper # name of the external interface if applicable. # auto eth0 iface eth0 inet static

  • address xxx.xxx.xxx.xxx netmask xxx.xxx.xxx.xxx gateway xxx.xxx.xxx.xxx}}}
  • Ora, impostare i nomi e gli indirizzi IP dei server DNS, così come specificato dal proprio provider, nel file /etc/resolv.conf, il quale dovrebbe presentarsi più o meno in questa forma: {{{nameserver xxx.xxx.xxx.xxx

nameserver xxx.xxx.xxx.xxx}}}

Visitare l'apposita sezione della documentazione ufficiale per ulteriori informazioni.

4.3.2. Verificare la connettività

Aprire un terminale e digitare i seguenti comandi per ricaricare la configurazione di rete ed eseguire il test di connettività: {{{sudo /etc/init.d/networking restart ping -c 3 -W 10 ubuntu.com}}} E se tutto va bene dovrebbe apparire qualcosa di simile: {{{PING ubuntu.com (82.211.81.166) 56(84) bytes of data. 64 bytes from signey.ubuntu.com (82.211.81.166): icmp_seq=1 ttl=43 time=99.9 ms 64 bytes from signey.ubuntu.com (82.211.81.166): icmp_seq=2 ttl=43 time=109 ms 64 bytes from signey.ubuntu.com (82.211.81.166): icmp_seq=3 ttl=43 time=100 ms

--- ubuntu.com ping statistics --- 3 packets transmitted, 3 received, 0% packet loss, time 2001ms rtt min/avg/max/mdev = 99.982/103.450/109.419/4.254 ms}}}

4.4. Rete interna

4.4.1. Configurare una rete locale via cavo

Aprire con un editor il file /etc/network/interfaces e aggiungere il seguente blocco di testo. Prestare attenzione alle righe commentate. {{{# Set up the internal wired network # # Don't forget to change eth1 to the proper name of the internal # wired network interface if applicable. # auto eth1 iface eth1 inet static

  • address 192.168.0.1 network 192.168.0.0 netmask 255.255.255.0 broadcast 192.168.0.255}}}

L'interfaccia che verrà utilizzata per la rete interna sarà:«eth1» (o qualunque altra si stia usando al suo posto).

4.4.2. Configurare una rete locale wireless

Se si intende utilizzare il protocollo WEP per la cifratura, generare una chiave di rete. Per fare ciò aprire un terminale e digitare: {{{dd if=/dev/random bs=1 count=13 2>/dev/null | xxd -p }}}

Aprire con un editor il file /etc/network/interfaces e aggiungere il seguente blocco di testo. Prestare attenzione alle righe commentate. {{{# Set up the internal wireless network # # Don't forget to change wlan0 to the proper name of the internal # wireless network interface if applicable. # # If you would like to use WEP, uncomment the line 'wireless-key' # and replace '<key goes here>' with a WEP key. # # You may also change the network essid and channel. # auto wlan0 iface wlan0 inet static

  • wireless-mode master

    wireless-essid "UbuntuWireless" wireless-channel 1 #wireless-key <key goes here> address 192.168.0.1 network 192.168.0.0 netmask 255.255.255.0 broadcast 192.168.0.255}}}

L'interfaccia che verrà utilizzata per la rete interna sarà:«wlan0» (o qualunque altra si stia usando al suo posto).

4.4.3. Configurare una rete locale mista (via cavo e wireless insieme)

Innanzitutto occorre installare gli strumenti necessari per creare un bridge di rete. Aprire un terminale e digitare: {{{sudo apt-get install bridge-utils }}}

Se si intende utilizzare il protocollo WEP per la cifratura, generare una chiave di rete. Per fare ciò digitare in una finestra di terminale: {{{dd if=/dev/random bs=1 count=13 2>/dev/null | xxd -p }}}

Aprire con un editor il file /etc/network/interfaces e aggiungere il seguente blocco di testo. Prestare attenzione alle righe commentate. {{{# Set up the internal wireless network # # Don't forget to change wlan0 to the proper name of the internal # wireless network interface if applicable. # # If you would like to use WEP, uncomment the line 'wireless-key' # and replace '<key goes here>' with a WEP key. # # You may also change the network essid and channel. # auto wlan0 iface wlan0 inet manual

  • wireless-mode master

    wireless-essid "UbuntuWireless" wireless-channel 1 #wireless-key <key goes here>

# Set up the internal wired network # # It's not necessary to bring this interface up as the bridge # we are about to create does this. Leave these lines commented. # #auto eth1 #iface eth1 inet manual

# Set up the internal wired/wireless network bridge # # Don't forget to change wlan0 and eth1 to the proper name of # the internal wired and wireless interfaces if applicable. # auto br0 iface br0 inet static

  • address 192.168.0.1 network 192.168.0.0 netmask 255.255.255.0 broadcast 192.168.0.255 bridge-ports eth1 wlan0}}}

In questo caso l'interfaccia che verrà utilizzata per la rete interna sarà:«br0».

Per attivare la chiave WEP generata in precedenza occorre posizionarsi nel file /etc/network/interfaces alla riga  #wireless-key <key goes here>, togliere il commento "#" e sostituire il campo "<key goes here>" con la chiave sopradetta.

4.5. Riavvio della rete

Ora, se il seguente comando viene eseguito con successo, significherà che i dispositivi di rete sono stati configurati correttamente: {{{sudo /etc/init.d/networking restart }}}


Da qui in poi la guida non è stata tradotta perchè incompleta. Se un editore o un utente volesse scrivere le parti rimanenti è il benvenuto.


5. Configurazione del Firewall

5.1. Sfondo

5.2. Il Firewall Script

Questo è solo un progetto grezzo!

IPTABLES=/sbin/iptables
AWK=/usr/bin/awk
IFCONFIG=/sbin/ifconfig


# External (Internet-facing) interface
EXTIF="eth0"

# External IP address (automatically detected)
EXTIP="`$IFCONFIG $EXTIF | $AWK /$EXTIF/'{next}//{split($0,a,":");split(a[2],a," ");print a[1];exit}'`"
 
# Internal interface
INTIF="br0"

# Internal IP address (in CIDR notation)
INTIP="192.168.0.1/32"

# Internal network address (in CIDR notation)
INTNET="192.168.0.0/24"

# The address of anything/everything (in CIDR notation)
UNIVERSE="0.0.0.0/0"


echo "External: [Interface=$EXTIF] [IP=$EXTIP]"
echo "Internal: [Interface=$INTIF] [IP=$INTIP] [Network:$INTNET]"

echo
echo -n "Loading rules..."

# Enabling IP forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward


# Clear any existing rules and set the default policy to DROP
$IPTABLES -P INPUT DROP
$IPTABLES -F INPUT 
$IPTABLES -P OUTPUT DROP
$IPTABLES -F OUTPUT 
$IPTABLES -P FORWARD DROP
$IPTABLES -F FORWARD 
$IPTABLES -F -t nat

# Delete all User-specified chains
$IPTABLES -X

# Reset all IPTABLES counters
$IPTABLES -Z

###################################################
# INPUT: Incoming traffic from various interfaces #
###################################################

# Loopback interface is valid
$IPTABLES -A INPUT -i lo -s $UNIVERSE -d $UNIVERSE -j ACCEPT


# Local interface, local machines, going anywhere is valid
$IPTABLES -A INPUT -i $INTIF -s $INTNET -d $UNIVERSE -j ACCEPT


# Remote interface, claiming to be local machines, IP spoofing, get lost
$IPTABLES -A INPUT -i $EXTIF -s $INTNET -d $UNIVERSE -j REJECT


# External interface, from any source, for ICMP traffic is valid
$IPTABLES -A INPUT -i $EXTIF -p ICMP -s $UNIVERSE -d $EXTIP -j ACCEPT


# Allow any related traffic coming back to the MASQ server in.
$IPTABLES -A INPUT -i $EXTIF -s $UNIVERSE -d $EXTIP -m state --state ESTABLISHED,RELATED -j ACCEPT


# Internal interface, DHCP traffic accepted
$IPTABLES -A INPUT -i $INTIF -p tcp --sport 68 --dport 67 -j ACCEPT
$IPTABLES -A INPUT -i $INTIF -p udp --sport 68 --dport 67 -j ACCEPT


# External interface, HTTP/HTTPS traffic allowed
$IPTABLES -A INPUT -i $EXTIF -m state --state NEW,ESTABLISHED,RELATED -p tcp -s $UNIVERSE -d $EXTIP --dport 80 -j ACCEPT
$IPTABLES -A INPUT -i $EXTIF -m state --state NEW,ESTABLISHED,RELATED -p tcp -s $UNIVERSE -d $EXTIP --dport 443 -j ACCEPT

# External interface, SSH traffic allowed
$IPTABLES -A INPUT -i $EXTIF -m state --state NEW,ESTABLISHED,RELATED -p tcp -s $UNIVERSE -d $EXTIP --dport 22 -j ACCEPT


# Catch-all rule, reject anything else
$IPTABLES -A INPUT -s $UNIVERSE -d $UNIVERSE -j REJECT


####################################################
# OUTPUT: Outgoing traffic from various interfaces #
####################################################

# Workaround bug in netfilter
$IPTABLES -A OUTPUT -m state -p icmp --state INVALID -j DROP

# Loopback interface is valid.
$IPTABLES -A OUTPUT -o lo -s $UNIVERSE -d $UNIVERSE -j ACCEPT


# Local interfaces, any source going to local net is valid
$IPTABLES -A OUTPUT -o $INTIF -s $EXTIP -d $INTNET -j ACCEPT


# local interface, MASQ server source going to the local net is valid
$IPTABLES -A OUTPUT -o $INTIF -s $INTIP -d $INTNET -j ACCEPT


# outgoing to local net on remote interface, stuffed routing, deny
$IPTABLES -A OUTPUT -o $EXTIF -s $UNIVERSE -d $INTNET -j REJECT


# anything else outgoing on remote interface is valid
$IPTABLES -A OUTPUT -o $EXTIF -s $EXTIP -d $UNIVERSE -j ACCEPT


# Internal interface, DHCP traffic accepted
$IPTABLES -A OUTPUT -o $INTIF -p tcp -s $INTIP --sport 67 -d 255.255.255.255 --dport 68 -j ACCEPT
$IPTABLES -A OUTPUT -o $INTIF -p udp -s $INTIP --sport 67 -d 255.255.255.255 --dport 68 -j ACCEPT


# Catch all rule, all other outgoing is denied and logged. 
$IPTABLES -A OUTPUT -s $UNIVERSE -d $UNIVERSE -j REJECT


###########################
# Packet Forwarding / NAT #
###########################

# ----- Begin OPTIONAL FORWARD Section -----

#Optionally forward incoming tcp connections on port 1234 to 192.168.0.100
#$IPTABLES -A FORWARD -i $EXTIF -o $INTIF -p tcp --dport 1234 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
#$IPTABLES -A PREROUTING -t nat -p tcp -d $EXTIP --dport 1234 -m state --state NEW,ESTABLISHED,RELATED -j DNAT --to 192.168.0.100:1234

# ----- Fine della sezione facoltativa -----


# Accept solicited tcp packets
$IPTABLES -A FORWARD -i $EXTIF -o $INTIF -m state --state ESTABLISHED,RELATED  -j ACCEPT

# Allow packets across the internal interface
$IPTABLES -A FORWARD -i $INTIF -o $INTIF -j ACCEPT

# Forward packets from the internal network to the Internet
$IPTABLES -A FORWARD -i $INTIF -o $EXTIF -j ACCEPT

# Catch-all REJECT rule
$IPTABLES -A FORWARD -j REJECT

# IP-Masquerade
$IPTABLES -t nat -A POSTROUTING -o $EXTIF -j SNAT --to $EXTIP


echo " done."

6. DHCP e DNS

7. Ulteriori risorse


CategoryDaCancellare