Attachment 118799 Details for Bug 177962 – home-router-howto.xml

home-router-howto.xml

home-router-howto.xml (text/plain), 40.32 KB, created by Andrea Menegolo on 2007-05-10 20:03:48 UTC

(hide)

Description:

Filename:

MIME Type:

Creator: Andrea Menegolo

Created: 2007-05-10 20:03:48 UTC

Size: 40.32 KB

patch

obsolete

><?xml version='1.0' encoding='UTF-8'?>
>
><!DOCTYPE guide SYSTEM "/dtd/guide.dtd">
>
><guide link="/doc/it/home-router-howto.xml" lang="it">
>
><title>Configurare un Router domestico</title>
>
><author title="Autore">
> <mail link="vapier@gentoo.org">Mike Frysinger</mail>
></author>
>
><author title="Traduzione">
> <mail link="alberto@lagnusi.net">Alberto Santini</mail>
></author>
>
><author title="Traduzione">
> <mail link="cristiano.chiucchiolo@gmail.com">Cristiano Chiucchiolo</mail>
></author>
>
><author title="Traduzione">
> <mail link="menegolo_andrea@yahoo.it">Andrea Menegolo</mail>
></author>
>
>
><abstract>
>In questo documento viene spiegato come trasformare una vecchia macchina,
>su cui Ã¨ installato Gentoo, in un router domestico per collegare tutta
>la casa ad Internet.
></abstract>
>
>
>
><license/>
>
><version>1.37</version>
><date>2007-04-06</date>
>
><chapter>
><title>Introduzione</title>
><section>
><body>
>
>
>Costruire il proprio router partendo da vecchi pezzi di PC ha molti vantaggi
>rispetto al comprare un router di marca, ad esempio un Linksys. Il primo di
>questi vantaggi Ã¨ l'avere un controllo completo sulla connessione. Gli altri
>potrete immaginarli da soli; si puÃ² realizzare quasi qualsiasi cosa in questo
>modo, se solo se ne ha la necessitÃ .
>
>
>
>Questa guida mostrerÃ  come attivare un servizio di NATting (Network Address
>Translation) configurando il kernel ed iptables, come fornire ed impostare
>alcuni tra i servizi piÃ¹ comuni: DNS (Domain Name System) attraverso dnsmasq,
>DHCP (Dynamic Host Configuration Protocol) attraverso dhcpd, ADSL (Asymmetric
>Digital Subscriber Line) attraverso rp-pppoe. Alla fine, concluderemo con
>qualcosa di piÃ¹ sofisticato e divertente (port forwarding, regolazione del
>traffico di dati, impostazione di proxy/caching, ecc...).
>
>
>
>Prima di cominciare, ecco una lista di requisiti che il tuo PC deve
>soddisfare. Per prima cosa, devono essere presenti almeno due schede di rete nel
>computer. Inoltre devi conoscere le impostazioni della tua connessione ad
>Internet (ad esempio il tuo IP/DNS/GateWay/username/password). Infine, ti
>servirÃ  un po' di tempo libero e di simpatia verso Gentoo.
>
>
>
>Questa guida si bassa sulla seguente configurazione tipo:
>
>
><ul>
> <li>eth0 - Scheda di rete connessa alla tua LAN (Local Area Network)</li>
> <li>eth1 - Scheda di rete connessa alla WAN (Wide Area Network)</li>
> <li>La LAN utilizza il set 192.168.0.xxx di IP privati</li>
> <li>L'IP del router Ã¨ quello standard (192.168.0.1)</li>
> <li>Sul router gira Linux 2.4 o 2.6 - Dovrai sbrigartela da solo con Linux 2.0 o 2.2</li>
></ul>
>
><impo>
>Per motivi di sicurezza, ti consiglio vivamente di disattivare sul router tutti
>i servizi che non sono necessari finchÃ© non si disporrÃ  di un firewall
>configurato e attivo. Per vedere i servizi attivi, usa il comando
><c>rc-status</c>.
></impo>
>
></body>
></section>
></chapter>
>
><chapter>
><title>Configurazione del Kernel (prima conoscete voi stessi)</title>
><section>
><body>
>
>
>Come prima cosa, il kernel ha bisogno dei driver per entrambe le schede di rete.
>Per vedere se le schede sono giÃ  state correttamente riconosciute dal Kernel, si
>puÃ² usare il comando <c>ifconfig</c>. Il tuo output puÃ² essere diverso da quello
>che segue, ma questo non ha importanza: quello che conta Ã¨ che siano mostrate
>entrambe le interfacce di rete.
>
>
><pre caption="Controllare le schede di rete">
># ifconfig -a
>eth0 Link encap:Ethernet HWaddr 00:60:F5:07:07:B8
> BROADCAST MULTICAST MTU:1500 Metric:1
> RX packets:0 errors:0 dropped:0 overruns:0 frame:0
> TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
> collisions:0 txqueuelen:1000 
> RX bytes:0 (0.0 b) TX bytes:0 (0.0 b)
> Interrupt:11 Base address:0x9800 
>
>eth1 Link encap:Ethernet HWaddr 00:60:F5:07:07:B9
> BROADCAST MULTICAST MTU:1500 Metric:1
> RX packets:0 errors:0 dropped:0 overruns:0 frame:0
> TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
> collisions:0 txqueuelen:1000 
> RX bytes:0 (0.0 b) TX bytes:0 (0.0 b)
> Interrupt:10 Base address:0x9400 
></pre>
>
>
>Se non vedi una o entrambe le schede di rete e non sai che tipo di schede
>hai, puoi provare a lanciare il comando <c>lspci | grep Ethernet</c>. Se
>non hai neanche questa utility, la puoi installare con il comando
><c>emerge pciutils</c>. Appena ottenute le informazioni necessarie,
>puoi ricompilare il Kernel attivando il supporto per le tue schede di rete.
>
>
>
>Un'altra cosa che ti servirÃ  Ã¨ il supporto per iptables, per il NAT e per il
>controllo del traffico (se lo vuoi attivare). Nella lista che segue, le opzioni
>sempre richieste sono segnate con (*), quelle richieste solo per l'ADSL via
>PPPoE sono segnate con (a), quelle consigliate a tutti con (x) e quelle per il
>controllo del traffico con (s). Non importa se si sceglie di compilare questi
>supporti direttamente nel kernel o come moduli, purchÃ© questi ultimi siano
>comunque caricati non appena ce ne sarÃ  bisogno.
>
>
><pre caption="Network Options">
>Networking options ---&gt;
> [*] TCP/IP networking
> [*] IP: advanced router
> [*] Network packet filtering (replaces ipchains)
><comment>If you use 2.4.x, you have to enable the following for DHCP:</comment>
> [*] Socket Filtering
>
> IP: Netfilter Configuration ---&gt;
> [*] Connection tracking (required for masq/NAT)
> [x] FTP protocol support
> [x] IRC protocol support
> [*] IP tables support (required for filtering/masq/NAT)
> [*] IP range match support
> [x] MAC address match support
> [*] Multiple port match support
> [*] Packet filtering
> [*] REJECT target support
> [x] REDIRECT target support
> [*] Full NAT
> [*] MASQUERADE target support
> [s] Packet mangling
> [s] MARK target support
> [x] LOG target support
>
> QoS and/or fair queueing ---&gt;
> [s] QoS and/or fair queueing
> [s] HTB packet scheduler
> [s] Ingress Qdisc
>	 
> [a] PPP (point-to-point protocol) support
>	 [a] PPP filtering
>	 [a] PPP support for async serial ports
>	 [a] PPP support for sync tty ports
>	 [a] PPP Deflate compression
>	 [a] PPP BSD-Compress compression
> 	 [a] PPP over Ethernet
></pre>
>
><note>
>Puoi trovare qualcosa di diverso tra i kernel 2.4 e 2.6, cerca di capire come
>rimediare :). Inoltre, per il kernel 2.6, queste opzioni hanno la tendenza ad
>essere piazzate un po' di qua e un po' di lÃ . Buona fortuna!
></note>
>
></body>
></section>
></chapter>
>
><chapter>
><title>Collegarsi alla WAN (ovvero ad Internet)</title>
>
><section>
><title>Introduzione</title>
><body>
>
>
>Ci sono moltissimi modi di connettersi ad Internet, quindi questa guida tratterÃ 
>soltanto quelli usati dal suo autore, ovvero un collegamento ADSL (PPPoE) e uno
>con Modem telefonico (meglio conosciuto come "il 56k").
>Se conosci altri metodi, potete mettermene al corrente inviandomi una mail.
>Sentiti libero di saltare qualsiasi sezione delle successive, di questo
>capitolo, se non ti riguarda. Lo scopo di questo capitolo Ã¨ di connettere il
>router ad Internet attraverso eth1.
>
>
></body>
></section>
><section>
><title>ADSL e PPPoE</title>
><body>
>
>
>Tutto il software prodotto riguardante PPPoE che era fornito dal pacchetto
>rp-pppoe (<uri link="http://www.roaringpenguin.com/">Roaring Penguin</uri>) Ã¨
>stato integrato nel <uri link="http://samba.org/ppp/">pacchetto standard di
>PPP</uri>. Quindi basta eseguire il comando <c>emerge ppp</c> per avere tutto
>ciÃ² che ti serve. Ricordi quando ti ho chiesto di tenere sotto mano username e
>password del tuo account Internet? Beh, non ti stavo mentendo: Ã¨ venuto il
>momento di usare queste informazioni! Apri il file <path>/etc/conf.d/net</path>
>nel tuo editor preferito e modifica i parametri in maniera appropriata.
>
>
><note>
>Ã necessario avere installato baselayout-1.12.9 o superiore, per far sÃ¬ che la
>seguente configurazione (di net.eth1) funzioni correttamente.
></note>
>
><pre caption="Configurare eth1">
><comment>(Sostituisci 'pluto' con il tuo username e 'pippo' con la tua
>password)</comment>
>
># nano /etc/conf.d/net
><comment>Dire a baselayout di usare l'ADSL attraverso eth1 per ppp0</comment>
>config_ppp0=( "ppp" )
>link_ppp0="eth1"
>plugins_ppp0=( "pppoe" )
>pppd_ppp0=(
>	"defaultroute"
>	"usepeerdns"
>	<comment>Potresti voler inserire altre impostazioni, vedi il file
>	/etc/conf.d/net.example per maggiori dettagli.</comment>
>)
>username_ppp0="pluto"
>password_ppp0="pippo"
>
># ln -s net.lo /etc/init.d/net.ppp0
># rc-update add net.ppp0 default
># /etc/init.d/net.ppp0 start
></pre>
>
><warn>
>Quando l'interfaccia DSL si attiva, sarÃ  creato il device ppp0. Anche se la
>scheda di rete Ã¨ eth1, l'IP appartiene a ppp0. Da ora in avanti, negli esempi
>che usano 'eth1', sostituiscilo con 'ppp0'.
></warn>
>
><warn>
>Assicurati di aver cambiato i permessi del file /etc/conf.d/net di modo che solo
>root abbia possa leggere/scrivere su di esso: in quel file infatti ci sono i
>tuoi username e password.
></warn>
>
><warn>
>Chi sta effettuando il passaggio dal pacchetto <c>rp-pppoe</c> e chi Ã¨ vittima
>di misteriose cadute della connessione, dovrebbe dare un'occhiata alla sezione
>su MTU del capitolo sulla Risoluzione dei problemi.
></warn>
>
></body>
></section>
>
><section>
><title>Connessione attraverso linea telefonica e/o IP statico/dinamico</title>
><body>
>
>
>Se possiedi un IP statico, avrai bisogno di conoscere qualche dettaglio in
>piÃ¹: il tuo IP, il tuo gateway ed i server DNS.
>
>
><pre caption="Configurare eth1">
><comment>IP dinamico:</comment>
># emerge dhcpcd
># nano /etc/conf.d/net
><comment>Dovrai inserire una riga come questa:</comment>
>config_eth1=( "dhcp" )
>
><comment>IP Statico:</comment>
># nano /etc/conf.d/net
><comment>Dovrai inserire righe come queste:</comment>
>config_eth1=( "66.92.78.102 broadcast 66.92.78.255 netmask 255.255.255.0" )
>routes_eth1=( "default gw 66.92.78.1" )
># nano /etc/resolv.conf
><comment>Aggiungi una riga per il server DNS:</comment>
>nameserver 123.123.123.123
>
><comment>Configurazione sia per l'IP dinamico che statico:</comment>
># ln -s net.lo /etc/init.d/net.eth1
># rc-update add net.eth1 default
># /etc/init.d/net.eth1 start
></pre>
>
>
>Ora dovrebbe essere tutto configurato.
>
>
></body>
></section>
></chapter>
>
><chapter>
><title>Collegarsi alla LAN (portarsi appresso qualche amico)</title>
><section>
><body>
>
>
>Questo passaggio Ã¨ una bazzecola rispetto al precedente.
>
>
><pre caption="Configurare eth0">
># nano /etc/conf.d/net
><comment>Aggiungi una riga come questa:</comment>
>config_eth0=( "192.168.0.1 broadcast 192.168.0.255 netmask 255.255.255.0" )
># rc-update add net.eth0 default
># /etc/init.d/net.eth0 start
></pre>
>
></body>
></section>
></chapter>
>
><chapter>
><title>Servizi LAN (perchÃ© siamo brave persone)</title>
>
><section>
><title>Server DHCP</title>
><body>
>
>
>Scommetto che sarebbe bello se chiunque a casa tua potesse semplicemente
>collegare i propri computer alla rete e tutto funzionasse subito. Non ci
>sarebbe alcun bisogno di ricordare dettagli noiosi e difficili da memorizzare
>o di inserirli in interfacce di configurazione confusionarie! Proprio una
>bella vita, eh? Ti presento DHCP (Dynamic Host Configuration Protocol o
>Protocollo per la Configurazione Dinamica degli Host) e vi spiego perchÃ© vi
>dovrebbe interessare.
>
>
>
>DHCP, come si puÃ² desumere dal nome, Ã¨ un protocollo che consente di configurare
>dinamicamente gli altri host in maniera del tutto automatica. Basta far girare
>il server DHCP sul router, passargli tutte le informazioni sulla propria
>rete (indirizzi IP validi, server DNS, gateway, ecc...) e, quando gli altri host
>si connetteranno alla rete, useranno client DHCP per autoconfigurarsi. Niente
>confusione nÃ© pasticci. Per maggiori informazioni sul DHCP, puoi visitare
><uri link="http://it.wikipedia.org/wiki/DHCP">Wikipedia</uri>.
>
>
>
>Useremo un pacchetto chiamato dnsmasq, che fornisce sia il servizio DHCP che
>DNS. Per il momento concentriamoci sull'aspetto DHCP. Tieni conto che se vuoi
>eseguire un diverso server DHCP, puoi guardare un altro esempio nel capitolo
>"Qualcosa di divertente". Inoltre, se desideri sperimentare le opzioni del
>server DHCP, leggi i commenti del file <path>/etc/dnsmasq.conf</path>. Ad ogni
>modo, le opzioni di default dovrebbero andare bene.
>
>
><pre caption="Installare un server DHCP">
># emerge dnsmasq
># nano /etc/dnsmasq.conf
><comment>Aggiungi questa riga per attivare dhcp:</comment>
>dhcp-range=192.168.0.100,192.168.0.250,72h
><comment>Restringi dnsmasq alla sola interfaccia LAN</comment>
>interface=eth0
>
># rc-update add dnsmasq default
># /etc/init.d/dnsmasq start
></pre>
>
>
>Ora il tuo router Ã¨ un piccolo e affidabile server DHCP! Collega alla rete
>qualche computer ed osserva bene come semplicemente... funziona! Con un sistema
>MS Windows dovrai andare nel pannello "ProprietÃ  TCP/IP" e selezionare le
>opzioni "Ottieni un indirizzo IP automaticamente" e "Ottieni l'indirizzo del
>server DNS automaticamente". A volte queste modifiche non hanno effetto
>immediato e dovrai aprire una finestra di comando ed eseguire <c>ipconfig
>/release</c> e <c>ipconfig /renew</c>. Ma ora basta con Windows, torniamo al
>nostro pinguino preferito.
>
>
></body>
></section>
>
><section>
><title>Server DNS</title>
><body>
>
>
>Quando qualcuno vuole visitare un sito web o raggiungere un altro host su
>Internet, solitamente si ricorda del nome di quel sito, piuttosto che di una
>stringa di numeri. Ã piÃ¹ facile ricordare "ebay.com" che 66.135.192.87, no? Ecco
>dove entra in gioco il DNS. I server DNS girano piÃ¹ o meno ovunque su internet e
>non appena qualcuno vuole visitare ebay.com, questi server trasformano
>"ebay.com" (di facile comprensione per noi) in "66.135.192.87" (di facile
>comprensione per i nostri computer). Per maggiori informazioni sul DNS, anche
>questa volta puoi visitare <uri
>link="http://it.wikipedia.org/wiki/DNS">Wikipedia</uri>.
>
>
>
>Visto che stiamo usando dnsmasq per il nostro server DHCP, ed esso include un
>server DNS, non resta piÃ¹ niente da fare qui! Il vostro piccolo router sta giÃ 
>fornendo il servizio DNS ai suoi client DHCP. Scommetto che saresti contento
>se al Mondo tutto fosse cosÃ¬ facile ;).
>
>
>
>Puoi benissimo scegliere altri server DNS se ti trovi meglio con quelli, ma
>il motivo per cui dnsmasq Ã¨ grandioso Ã¨ che fa esattamente quello che noi
>vogliamo e niente di piÃ¹. Ã un piccolo server per reti locali con funzionalitÃ 
>di caching e forwarding. Noi non vogliamo offrire un DNS per un nostro dominio,
>ma soltanto offrire un servizio DNS di base a chiunque si trovi nella nostra
>LAN.
>
>
></body>
></section>
>
><section>
><title>NAT (ovvero IP-masquerading)</title>
><body>
>
>
>In questo momento, le persone nella tua rete possono comunicare fra di loro
>e possono collegarsi a degli hostname tramite DNS, ma non possono ancora
>connettersi realmente ad internet. E mentre tu puoi esserne felice (piÃ¹
>banda per te, hihihi), scommetto che loro non lo sono altrettanto.
>
>
>
>Ecco dove entra in scena il Network Address Translation (NAT). NAT Ã¨ un modo
>per connettere piÃ¹ computer in una LAN ad Internet, quando si hanno a
>disposizione un numero minore di indirizzi IP. Tipicamente, la compagnia
>telefonica offre ad ogni utente un solo IP, ma noi vogliamo che tutta la casa
>sia connessa ad internet. NAT Ã¨ la magia che rende possibile tutto ciÃ². Anche in
>questo caso, maggiori informazioni circa NAT possono essere trovate su
><uri link="http://it.wikipedia.org/wiki/Network_address_translation">Wikipedia</uri>
>
>
><note>
>Prima di cominciare, assicurati di avere iptables nel tuo sistema. Nonostante
>sia installato automaticamente nella maggior parte dei sistemi, potresti non
>averlo. Se Ã¨ cosÃ¬, basterÃ  eseguire il comando <c>emerge iptables</c>.
></note>
>
><pre caption="Configurare iptables">
><comment>Prima di tutto eliminiamo le regole attualmente in uso</comment>
># iptables -F
># iptables -t nat -F
>
><comment>Configurare regole di default per gestire il traffico</comment>
># iptables -P INPUT ACCEPT
># iptables -P OUTPUT ACCEPT
># iptables -P FORWARD DROP
>
><comment>Puoi semplicemente copiare ed incollare questi esempi</comment>
># export LAN=eth0
># export WAN=eth1
>
><comment>Limitiamo i nostri servizi affinchÃ© funzionino solo dalla LAN</comment>
># iptables -I INPUT 1 -i ${LAN} -j ACCEPT
># iptables -I INPUT 1 -i lo -j ACCEPT
># iptables -A INPUT -p UDP --dport bootps -i ! ${LAN} -j REJECT
># iptables -A INPUT -p UDP --dport domain -i ! ${LAN} -j REJECT
>
><comment>(Opzionale) Abilitare l'accesso al server ssh dalla WAN</comment>
># iptables -A INPUT -p TCP --dport ssh -i ${WAN} -j ACCEPT
>
><comment>Limitare i pacchetti TCP/UDP solo alle porte privilegiate
>(0-1023)</comment>
># iptables -A INPUT -p TCP -i ! ${LAN} -d 0/0 --dport 0:1023 -j DROP
># iptables -A INPUT -p UDP -i ! ${LAN} -d 0/0 --dport 0:1023 -j DROP
>
><comment>Infine abilitiamo NAT</comment>
># iptables -I FORWARD -i ${LAN} -d 192.168.0.0/255.255.0.0 -j DROP
># iptables -A FORWARD -i ${LAN} -s 192.168.0.0/255.255.0.0 -j ACCEPT
># iptables -A FORWARD -i ${WAN} -d 192.168.0.0/255.255.0.0 -j ACCEPT
># iptables -t nat -A POSTROUTING -o ${WAN} -j MASQUERADE
><comment>Comunichiamo al kernel che l'ip forwarding Ã¨ funzionante</comment>
># echo 1 > /proc/sys/net/ipv4/ip_forward
># for f in /proc/sys/net/ipv4/conf/*/rp_filter ; do echo 1 > $f ; done
>
><comment>Evitiamo di dover riscrivere le regole di iptables ogni volta che
>spegniamo e riaccendiamo il computer</comment>
># /etc/init.d/iptables save
># rc-update add iptables default
># nano /etc/sysctl.conf
><comment>Aggiungi/decommenta le righe seguenti:</comment>
>net.ipv4.ip_forward = 1
>net.ipv4.conf.default.rp_filter = 1
>
><comment>Se hai un indirizzo IP dinamico, probabilmente ti farÃ  comodo abilitare
>questa opzione:</comment>
>net.ipv4.ip_dynaddr = 1
></pre>
>
>
>Una volta finito, tutti i computer della tua rete dovrebbero essere in grado di
>connettersi ad internet e di usarla come se fossero collegati direttamente alla
>WAN.
>
>
>
>L'opzione ip_dynaddr Ã¨ utile per sistemi con collegamento su richiesta
>(on-demand) o quando il tuo ISP fornisce indirizzi dinamici. Questo risolve il
>problema che si ha quando si tenta di stabilire una connessione prima che
>l'interfaccia internet sia pienamente attivata. In questo modo garantirai che
>tutto fili liscio per i computer connessi al tuo router.
>
>
></body>
></section>
></chapter>
>
><chapter>
><title>Qualcosa di divertente (da fare nelle giornate di pioggia)</title>
>
><section>
><title>Introduzione</title>
><body>
>
>
>Che tu ci creda o no, hai finito :). Da qui in avanti descriverÃ² qualcosa
>che potrebbe interessarti e che Ã¨ facile incontrare tra le funzionalitÃ  di
>un router. Tutto, in questo capitolo, Ã¨ completamente opzionale.
>
>
></body>
></section>
>
><section>
><title>Port Forwarding (Reindirizzamento delle/alle Porte)</title>
><body>
>
>
>A volte potresti voler offrire alcuni servizi ai computer che sono dietro il
>router (ovvero all'interno della LAN) oppure semplicemente renderti la vita
>piÃ¹ semplice quando ti connetti da remoto. Potresti voler eseguire un server
>FTP, HTTP, SSH, o VNC in una o piÃ¹ macchine dietro il router ed essere in grado
>di connetterti a tutte. L'unico problema Ã¨ che solo un servizio e solo un
>computer possono essere collegati ad una specifica porta. Per esempio, non c'Ã¨
>modo di installare tre server FTP dietro il router e poi connettersi a tutti e
>tre tramite la porta 21; solo uno potrÃ  ascoltare sulla porta 21, mentre gli
>altri dovranno ascoltare, per esempio, sulle porte 123 e 567.
>
>
>
>Tutte le regole di port forwarding hanno questa forma: <c>iptables -t nat -A
>PREROUTING [-p protocollo] --dport [porta del router] -i ${WAN} -j DNAT --to
>[ip/porta del PC nella LAN]</c>. Sfortunatamente, iptables non accetta hostname
>nelle regole di port forwarding. Se stai effettuando il forwarding da una porta
>esterna (quella del router) uguale a quella interna (quella del PC nella LAN),
>puoi omettere la porta di destinazione. Per ulteriori informazioni puoi
>consultare la pagina di manuale di iptables: iptables(8).
>
>
><pre caption="Eseguire iptables">
><comment>Puoi semplicemente copiare ed incollare questi esempi</comment>
># export LAN=eth0
># export WAN=eth1
>
><comment>Reindirizzare la porta 2 a un demone ssh di un host della LAN</comment>
># iptables -t nat -A PREROUTING -p tcp --dport 2 -i ${WAN} -j DNAT --to
>192.168.0.2:22
>
><comment>Reindirizzare una porta FTP (21) ad un host della LAN</comment>
># iptables -t nat -A PREROUTING -p tcp --dport 21 -i ${WAN} -j DNAT --to
>192.168.0.56
>
><comment>Reindirizzare una porta HTTP (80) ad un host della LAN</comment>
># iptables -t nat -A PREROUTING -p tcp --dport 80 -i ${WAN} -j DNAT --to
>192.168.0.56
>
><comment>Reindirizzare due porte per VNC a due host della LAN</comment>
># iptables -t nat -I PREROUTING -p tcp --dport 5900 -i ${WAN} -j DNAT --to
>192.168.0.2
># iptables -t nat -I PREROUTING -p tcp --dport 5901 -i ${WAN} -j DNAT --to
>192.168.0.3:5900
><comment>Se vuoi stabilire una connessione VNC con 192.168.0.3 allora ti basta
>aggiungere ':1' all'hostname del router</comment>
>
><comment>Reindirizzare le porte SAMBA a un host della LAN (un sacco di porte
>per nascondere Windows)</comment>
># iptables -t nat -I PREROUTING -p tcp --dport 135 -i ${WAN} -j DNAT --to
>192.168.0.2
># iptables -t nat -I PREROUTING -p tcp --dport 139 -i ${WAN} -j DNAT	--to
>192.168.0.2
># iptables -t nat -I PREROUTING -p tcp --dport 445 -i ${WAN} -j DNAT	--to
>192.168.0.2
># iptables -t nat -I PREROUTING -p udp --dport 137:138 -i ${WAN} -j DNAT
>--to 192.168.0.2
># iptables -t nat -I PREROUTING -p udp --dport 445 -i ${WAN} -j DNAT --to
>192.168.0.2
>
><comment>Reindirizzare le porte BitTorrent (6881-6889) ad un host della
>LAN</comment>
># iptables -t nat -A PREROUTING -p tcp --dport 6881:6889 -i ${WAN} -j DNAT
>--to 192.168.0.2
>
><comment>Reindirizzare la porta eDonkey/eMule (4662) a un host della
>LAN</comment>
># iptables -t nat -A PREROUTING -p tcp --dport 4662 -i ${WAN} -j DNAT --to
>192.168.0.55
>
><comment>Aggiungiamo il supporto al "Game Cube Warp"</comment>
># iptables -t nat -A PREROUTING -p udp --dport 4000 -i ${WAN} -j DNAT --to
>192.168.0.56
>
><comment>Aggiungiamo il supporto a "Playstation2 OnLine"</comment>
># iptables -t nat -A PREROUTING -p tcp --dport 10070:10080 -i ${WAN} -j DNAT
>--to 192.168.0.11
># iptables -t nat -A PREROUTING -p udp --dport 10070:10080 -i ${WAN} -j DNAT
>--to 192.168.0.11
>
><comment>Xbox Live</comment>
># iptables -t nat -A PREROUTING -p tcp --dport 3074 -i ${WAN} -j DNAT --to
>192.168.0.69
># iptables -t nat -A PREROUTING -p udp --dport 3074 -i ${WAN} -j DNAT --to
>192.168.0.69
># iptables -t nat -A PREROUTING -p udp --dport 88 -i ${WAN} -j DNAT --to
>192.168.0.69
></pre>
>
><note>
>Se hai altri esempi simpatici o frequentemente usati, <mail
>link="vapier@gentoo.org">scrivimi una mail.</mail>
></note>
>
></body>
></section>
>
><section>
><title>Il demone identd (per IRC)</title>
><body>
>
>
>Il protocollo IRC (Internet Relay Chat) utilizza pesantemente il servizio
>ident. Ora che i client IRC sono dietro il router, hai bisogno di un
>modo per raccogliere gli "ident" sia del router che dei client. Per fare
>ciÃ² Ã¨ stato creato un server chiamato <c>midentd</c>
>
>
><pre caption="Configurare ident">
># emerge midentd
># rc-update add midentd default
># /etc/init.d/midentd start
></pre>
>
>
>Ci sono alcuni altri server ident nel portage di Gentoo. Tenendo conto dei tuoi
>bisogni, ti consiglio di dare un'occhiata ad <c>oidentd</c> e <c>fakeidentd</c>.
>
>
></body>
></section>
>
>
>
>
>
><section>
><title>Time Server</title>
><body>
>
>
>Avere sempre un orologio di sistema sincronizzato Ã¨ essenziale per mantenere
>un sistema in salute. Uno dei modi piÃ¹ comuni per farlo Ã¨ usare il Network Time
>Protocol (NTP) e il pacchetto ntp (che fornisce sia l'implementazione lato
>client che quella lato server).
>
>
>
>Molte persone usano dei client ntp nei loro computer. Ovviamente, piÃ¹ client ci
>sono nel mondo, piÃ¹ grandi sono i carichi di lavoro che i server ntp devono gestire. In
>situazioni come quella di una rete casalinga perÃ², Ã¨ possibile diminuire questo
>carico di lavoro dei server pubblici pur fornendo un risultato accurato e veloce
>ai nostri host. Tutto quello che dobbiamo fare Ã¨ eseguire nel router un server
>ntp che si sincronizzi con un server pubblico per poi fornire l'ora esatta al
>resto degli host nella LAN. Per cominciare, dai il comando <c>emerge ntp</c>.
>
>
><pre caption="Configurare il server NTP">
># nano /etc/conf.d/ntp-client
><comment>Puoi configurarlo, ma i valori di default dovrebbero andare bene</comment>
># rc-update add ntp-client default
>
># nano /etc/ntp.conf
><comment>Aggiungi queste righe:</comment>
>restrict default ignore
>restrict 192.168.0.0 mask 255.255.255.0 notrust nomodify notrap
><comment>Questo ti permetterÃ  di accedere al tuo server solo dagli host della
>LAN</comment>
># nano /etc/conf.d/ntpd
><comment>Puoi configurarlo, ma i valori di default dovrebbero andare bene</comment>
># rc-update add ntpd default
>
># /etc/init.d/ntp-client start
># /etc/init.d/ntpd start
></pre>
>
><note>
>Assicurati di aver abilitato il traffico in entrata ed in uscita alla porta
>ntp (123/udp) del server. Per i client sarÃ  sufficiente l'abilitazione per il
>traffico in uscita, sempre sulla stessa porta.
></note>
>
>
>Ora, date il comando <c>emerge ntp</c> anche sui PC client. In questo caso la
>configurazione dovrebbe essere piÃ¹ semplice, perchÃ© abiliterete soltanto il
>client.
>
>
><pre caption="Configurare un client NTP">
># nano /etc/conf.d/ntp-client
><comment>Cambia il nome del server da 'pool.ntp.org' a '192.168.0.1' nella variabile NTPCLIENT_OPTS</comment>
># rc-update add ntp-client default
># /etc/init.d/ntp-client start
></pre>
>
></body>
></section>
>
><section>
><title>Server Rsync</title>
><body>
>
>
>Per reti in cui c'Ã¨ piÃ¹ di una macchina con Gentoo, ti potrÃ  capitare spesso di
>usare il comando <c>emerge sync</c> con un server remoto. Puoi risparmiare la
>tua banda e quella dei server di Gentoo usando un singolo server rsync locale. Ã
>una cosa veramente semplice da fare.
>
>
><note>
>Per una guida piÃ¹ approfondita su rsync, consulta la
><uri link="/doc/it/rsync.xml#local">guida su rsync</uri> ufficiale.
></note>
>
>
>Dal momento che ogni computer con Gentoo richiede rsync nativamente, non c'Ã¨
>bisogno di emergerlo. Ti basterÃ  modificare il file di configurazione
><path>/etc/rsyncd.conf</path>, decommentando la sezione <c>[gentoo-portage]</c>
>ed assicurandoti di aggiungere un'opzione <c>address</c>. Tutte le altre
>impostazioni di default dovrebbero andare bene.
>
>
><pre caption="File di configurazione del server rsync">
>pid file = /var/run/rsyncd.pid
>use chroot = yes
>read only = yes
>address = 192.168.0.1
>
>[gentoo-portage]
> path = /mnt/space/portage
> comment = Gentoo Linux Portage tree
> exclude = /distfiles /packages
></pre>
>
>
>Ora dovrai avviare il servizio.
>
>
><pre caption="Avviare il server rsync">
># /etc/init.d/rsyncd start
># rc-update add rsyncd default
></pre>
>
>
>L'unica cosa che rimane da fare Ã¨ configurare i client affinchÃ© si colleghino
>all'IP del router per effettuare la sincronizzazione.
>
>
><pre caption="Configurazione della variabile SYNC nei client nel file make.conf">
>SYNC="rsync://192.168.0.1/gentoo-portage"
></pre>
>
></body>
></section>
>
><section>
><title>Server Mail</title>
><body>
>
>
>A volte puÃ² essere utile avere un proprio semplice server SMTP (Simple Mail
>Transfer Protocol) che gira sul router. Potresti avere qualsiasi ragione per
>farlo, ma io lo faccio perchÃ© gli utenti vedano la loro mail come inviata
>istantaneamente, mentre tutto il lavoro Ã¨ lasciato al server mail.
>Oltretutto, alcuni ISP, come Verizon, non accettano mail relaying (ovvero non
>permettono di usare i loro server SMTP) se non hai un account della loro
>rete. Ancora, potrai limitare la banda per l'invio delle mail di modo che gli
>allegati grandi non creino rallentamenti della tua connessione per ore ed ore.
>
>
><pre caption="Configurare SMTP">
># emerge netqmail
><comment>Assicurati che l'output di 'hostname' sia corretto</comment>
># emerge --config netqmail
># iptables -I INPUT -p tcp --dport smtp -i ! ${LAN} -j REJECT
># ln -s /var/qmail/supervise/qmail-send /service/qmail-send
># ln -s /var/qmail/supervise/qmail-smtpd /service/qmail-smtpd
># cd /etc/tcprules.d
># nano tcp.qmail-smtp
>
><comment>Aggiungi una riga come questa alla sezione "Allow":</comment>
>192.168.0.:allow,RELAYCLIENT=""
>
># make
># rc-update add svscan default
># /etc/init.d/svscan start
></pre>
>
>
>Io sono un grande fan di qmail, ma sei libero di scegliere un altro MTA
>:). Quando configuri gli account e-mail negli host della tua rete, imposta il
>server SMTP su di essi in modo che sia 192.168.0.1 e tutto dovrebbe funzionare. Per
>ulteriore documentazione, puoi visitare <uri link="http://netqmail.org/">
>l'homepage di netqmail</uri>.
>
>
></body>
></section>
>
>
>
>
>
><section>
><title>Server DHCP Completo</title>
><body>
>	
>
>Prima abbiamo usato dnsmasq per fornire il servizio DHCP a tutti i nostri
>client. Per la maggior parte delle persone con una semplice, piccola LAN,
>questa soluzione Ã¨ perfetta. Tuttavia, potresti anche avere bisogno di qualcosa
>con piÃ¹ funzioni. Per questo ci affidiamo a un server DHCP completo in tutto,
>fornito dal team <uri link="http://www.isc.org/products/DHCP">ISC</uri>.
>
>
><pre caption="Installare dhcpd">
># emerge dhcp
># nano /etc/dhcp/dhcpd.conf
><comment>(Ecco un esempio per il file di configurazione:)</comment>
>authoritative;
>ddns-update-style interim;
>subnet 192.168.0.0 netmask 255.255.255.0 {
>	range 192.168.0.100 192.168.0.250;
>	default-lease-time 259200;
>	max-lease-time 518400;
>	option subnet-mask 255.255.255.0;
>	option broadcast-address 192.168.0.255;
>	option routers 192.168.0.1;
>	option domain-name-servers 192.168.0.1;
>}
># nano /etc/conf.d/dhcpd
><comment>(Impostare IFACE="eth0")</comment>
># rc-update add dhcpd default
># /etc/init.d/dhcpd start
></pre>
>	 
>
>Questa Ã¨ la configurazione minima richiesta per rimpiazzare le funzioni DHCP di
>dnsmasq che abbiamo usato prima. A proposito, ti sei ricordato di disattivare
>le funzioni DHCP in dnsmasq, vero? Se non l'hai fatto, dovresti farlo ora
>(basta commentare l'impostazone <c>dhcp-range</c> in
><path>/etc/dnsmasq.conf</path> e riavviare il servizio).
>
>
></body>
></section>
>
><section>
><title>Connettere un'altra LAN (o due o tre o...)</title>
><body>
>	
>
>A volte potresti avere la necessitÃ  di connettere il tuo router ad un'altra
>LAN. Magari per collegarti temporaneamente ad un gruppo di amici, oppure
>potresti essere uno smanettone e voler sezionare gruppi diversi di 
>computer, o forse siete solo molto, molto annoiati. Qualunque sia la ragione, 
>estendere il router ad un'altra LAN dovrebbe essere abbastanza semplice. Negli
>esempi seguenti, darÃ² per scontato che questa nuova rete sia collegata
>attraverso una terza scheda Ethernet, chiamata <c>eth2</c>.
>
>
>
>Per prima cosa, devi configurare l'interfaccia. Usa le istruzioni nel
><uri link="#doc_chap4_pre1">listato di codice 4.1</uri>, sostituendo <c>eth0</c>
>con <c>eth2</c> e <c>192.168.0</c> con <c>192.168.1</c>.
>
>
>
>Fatto ciÃ², devi configurare dnsmasq affinchÃ© fornisca i suoi servizi alla
>nuova interfaccia. Edita di nuovo il file <path>/etc/conf.d/dnsmasq</path>,
>aggiungendo <c>-i eth2</c> a DNSMASQ_OPTS; si puÃ² usare -i piÃ¹ volte. Poi
>edita <path>/etc/dnsmasq.conf</path> e aggiungi un'altra riga come quella
>del dhcp-range nel <uri link="#doc_chap5_pre1">listato di codice 5.1</uri>,
>sostituendo <c>192.168.0</c> con <c>192.168.1</c>. Si possono avere anche piÃ¹
>righe dhcp-range.
>
>
>
>Per finire, guarda le regole nel <uri link="#doc_chap5_pre2">listato di codice
>5.2</uri>, e duplica le regole che contengono <c>-i ${LAN}</c>. Per rendere le
>cose piÃ¹ semplici potresti creare un'altra variabile, chiamandola ad esempio
><c>LAN2</c>.
>
>
></body>
></section>
>
></chapter>
>
><chapter>
><title>Risoluzione dei problemi</title>
>
><section>
><title>Strumenti utili</title>
><body>
>
>
>Se hai riscontrato problemi nel cercare di mettere in comunicazione i tuoi
>computer, potresti trovare utili i seguenti strumenti (puoi trovarli tutti nella
>categoria <c>net-analyzer</c> di portage):
>
>
><table>
><tr>
> <th>Strumento</th>
> <th>Descrizione</th>
></tr>
><tr>
> <ti>wireshark</ti>
> <ti>Strumento grafico per visualizzare tutto il traffico di rete grezzo
> secondo alcuni filtri</ti>
></tr>
><tr>
> <ti>tcpdump</ti>
> <ti>Uno strumento da console per intercettare il traffico di rete grezzo
> secondo alcuni filtri</ti>
></tr>
><tr>
> <ti>iptraf</ti>
> <ti>Monitor IP per la LAN, basato sulle librerie ncurses</ti>
></tr>
><tr>
> <ti>ettercap</ti>
> <ti>Monitor/Controllore di rete, basato sulle librerie ncurses</ti>
></tr>
></table>
>
></body>
></section>
>
><section>
><title>DHCP non parte</title>
><body>
>
>
>Quando lanci lo script init.d di dhcp per la prima volta, potrebbe non
>caricarsi, senza fornire alcuna informazione utile.
>
>
><pre caption="Esempio di fallimento di DHCP">
># /etc/init.d/dhcp start
> * Setting ownership on dhcp.leases ... [ ok ]
> * Starting dhcpd ... [ !! ]
></pre>
>
>
>Il trucco sta nello scoprire dove il demone dhcpd invia il suo output. Basta
>semplicemente posizionarsi su <path>/var/log</path> e leggere i file di log. Dal
>momento che il file dipende da quale syslog si sta usando, si puÃ² lanciare il
>comando <c>grep -Rl dhcpd /var/log</c> per trovare il file esatto. La causa che
>ha generato il mancato avvio di dhcpd Ã¨ probabilmente in un errore nel file di
>configurazione. Puoi anche provare a lanciare <c>dhcpd -d -f</c> ed effettuare
>il debug degli errori basandoti sull'output.
>
>
></body>
></section>
>
><section>
><title>Valore dell'MTU sbagliato</title>
><body>
>
>
>Se occasionalmente ti si presentano degli errori (come il non riuscire a
>visualizzare alcune pagine web, mentre altre si visualizzano correttamente),
>potresti aver problemi con il "Path MTU Discovery". Il modo piÃ¹ veloce per
>scoprirlo Ã¨ lanciare iptables:
>
>
><pre caption="Impedire problemi di MTU">
># iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
></pre>
>
>
>Questo avrÃ  effetto solo sulle nuove connessioni, quindi ricarica la
>pagina web che presentava problemi per verificare se tutto Ã¨ a posto. Ti
>potrebbe far comodo sapere che il valore MTU standard per connessioni ethernet a
>100Mb Ã¨ <c>1500</c>; questo valore va bene anche per quanto riguarda PPPoA. Per
>le connessioni PPPoE Ã¨ invece <c>1492</c>. Per ulteriori informazioni puoi
>consultare il capitolo 15 della guida "<uri link="http://lartc.org/howto/">Linux
>Advanced Routing &amp; Traffic Control HOWTO</uri>".
>
>
></body>
></section>
>
><section>
><title>Impossibile connettere direttamente due computer</title>
><body>
>
>
>Se (per qualche ragione) vuoi connettere due macchine direttamente senza usare
>un hub o uno switch, un normale cavo ethernet non funzionerÃ , a meno che tu non
>abbia una scheda di rete Auto MDI/MDI-X (chiamate anche "autosensing"). Avrai
>bisogno di un altro tipo di cavo che viene chiamato cavo incrociato
>(crossover). Su <uri
>link="http://en.wikipedia.org/wiki/Ethernet_crossover_cable">Wikipedia</uri>
>puoi trovare tutti i dettagli su questo argomento (la pagina di Wikipedia in
>Italiano Ã¨ <uri link="http://it.wikipedia.org/wiki/Cavo_ethernet_incrociato">qui</uri>).
>
>
></body>
></section>
>
></chapter>
>
><chapter>
><title>Note Finali</title>
><section>
><body>
>
>
>Non ci sono note finali, tranne una. Se hai qualsiasi problema con la guida,
>per favore <mail link="vapier@gentoo.org">contattami</mail> o segnala un
>bug <uri link="http://bugs.gentoo.org/">qui</uri>. Se hai qualche pezzo
>interessante che pensi possa migliorare questa guida, mandamelo tranquillamente
>per e lo includerÃ².
>
>
></body>
></section>
></chapter>
></guide>

Actions: View

Attachments on bug 177962: 118799