Attachment 165889 Details for Bug 238173 – home-router-howto.xml

home-router-howto.xml

home-router-howto.xml (text/plain), 41.13 KB, created by Andrea Menegolo on 2008-09-20 10:33:05 UTC

(hide)

Description:

Filename:

MIME Type:

Creator: Andrea Menegolo

Created: 2008-09-20 10:33:05 UTC

Size: 41.13 KB

patch

obsolete

><?xml version='1.0' encoding='UTF-8'?>
><!DOCTYPE guide SYSTEM "/dtd/guide.dtd">
>
>
><guide link="/doc/it/home-router-howto.xml" lang="it">
><title>Configurare un Router domestico</title>
>
><author title="Autore">
> <mail link="vapier@gentoo.org">Mike Frysinger</mail>
></author>
><author title="Traduzione">
> <mail link="alberto@lagnusi.net">Alberto Santini</mail>
></author>
><author title="Traduzione">
> <mail link="cristiano.chiucchiolo@gmail.com">Cristiano Chiucchiolo</mail>
></author>
><author title="Traduzione">
> <mail link="menegolo_andrea@yahoo.it">Andrea Menegolo</mail>
></author>
>
><abstract>
>In questo documento viene spiegato come trasformare una vecchia macchina, su cui
>Ã¨ installato Gentoo, in un router domestico per collegare tutta la casa ad
>Internet.
></abstract>
>
>
>
><license/>
>
><version>1.39</version>
><date>2008-08-19</date>
>
><chapter>
><title>Introduzione</title>
><section>
><body>
>
>
>Costruire il proprio router partendo da vecchi pezzi di PC ha molti vantaggi
>rispetto al comprare un router di marca, ad esempio un Linksys. Il primo di
>questi vantaggi Ã¨ l'avere un controllo completo sulla connessione. Gli altri si
>possono immaginare; si puÃ² realizzare praticamente qualsiasi cosa in questo
>modo, basta ve ne sia la necessitÃ .
>
>
>
>Questa guida mostrerÃ  come attivare un servizio di NAT ("Network Address
>Translation" - ndT: "Traduzione Indirizzo di Rete") configurando il kernel ed
>iptables, come fornire ed impostare alcuni tra i servizi piÃ¹ comuni: DNS (Domain
>Name System) attraverso dnsmasq, DHCP (Dynamic Host Configuration Protocol)
>attraverso dhcpd, ADSL (Asymmetric Digital Subscriber Line) attraverso ppp. Alla
>fine, si concluderÃ  con qualcosa di piÃ¹ sofisticato e divertente (port
>forwarding, regolazione del traffico di dati, impostazione di proxy/caching,
>ecc...).
>
>
>
>Prima di cominciare, Ã¨ bene assicurarsi che il proprio PC soddisfi una serie di
>requisiti. Innanzitutto devono essere presenti almeno due schede di rete nel
>computer. Inoltre bisogna conoscere le impostazioni della propria connessione ad
>Internet (ad esempio gli indirizzi IP/DNS/GateWay e username/password). Infine,
>c'Ã¨ bisogno di un po' di tempo libero e di simpatia verso Gentoo.
>
>
>
>Questa guida si basa sulla seguente configurazione tipo:
>
>
><ul>
> <li>eth0 - Scheda di rete connessa alla propria LAN (Local Area Network)</li>
> <li>eth1 - Scheda di rete connessa alla WAN (Wide Area Network)</li>
> <li>La LAN utilizza il set 192.168.0.xxx di IP privati</li>
> <li>L'IP del router Ã¨ quello standard (192.168.0.1)</li>
> <li>Sul router viene eseguito Linux 2.4 o 2.6 - Con Linux 2.0 o 2.2 bisogna
> fare da sÃ©
> </li>
></ul>
>
><impo>
>Per motivi di sicurezza, si consiglia vivamente di disattivare sul router tutti
>i servizi che non sono necessari finchÃ© non si disporrÃ  di un firewall
>configurato e attivo. Per vedere i servizi attivi, usare il comando
><c>rc-status</c>.
></impo>
>
></body>
></section>
></chapter>
>
><chapter>
><title>Configurazione del kernel</title>
><section>
><body>
>
>
>Come prima cosa, il kernel ha bisogno dei driver per entrambe le schede di rete.
>Per vedere se le schede sono giÃ  state correttamente riconosciute dal kernel, si
>puÃ² usare il comando <c>ifconfig</c>. Il proprio output puÃ² essere diverso da
>quello che segue, ma questo non ha importanza: quello che conta Ã¨ che siano
>mostrate entrambe le interfacce di rete.
>
>
><pre caption="Controllare le schede di rete">
># ifconfig -a
>eth0 Link encap:Ethernet HWaddr 00:60:F5:07:07:B8
> BROADCAST MULTICAST MTU:1500 Metric:1
> RX packets:0 errors:0 dropped:0 overruns:0 frame:0
> TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
> collisions:0 txqueuelen:1000
> RX bytes:0 (0.0 b) TX bytes:0 (0.0 b)
> Interrupt:11 Base address:0x9800
>
>eth1 Link encap:Ethernet HWaddr 00:60:F5:07:07:B9
> BROADCAST MULTICAST MTU:1500 Metric:1
> RX packets:0 errors:0 dropped:0 overruns:0 frame:0
> TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
> collisions:0 txqueuelen:1000
> RX bytes:0 (0.0 b) TX bytes:0 (0.0 b)
> Interrupt:10 Base address:0x9400
></pre>
>
>
>Se non si vede una o entrambe le schede di rete e non si sa che tipo di schede
>sono, si puÃ² provare a lanciare il comando <c>lspci | grep Ethernet</c>. Nel
>caso in cui <c>lspci<c> non sia installato nel proprio sistema, eseguire il
>comando <c>emerge pciutils</c>. Appena ottenute le informazioni necessarie,
>ricompilare il kernel attivando il supporto per le proprie schede di rete.
>
>
>
>Il secondo requisito Ã¨ il supporto ad iptables, per il NAT e per il controllo
>del traffico (se lo si vuole attivare). Nella lista che segue le opzioni sempre
>richieste sono segnate con (*), quelle richieste solo per l'ADSL via PPPoE sono
>segnate con (a), quelle consigliate a tutti con (x) e quelle per il controllo
>del traffico con (s). Non importa se si sceglie di compilare questi supporti
>direttamente nel kernel o come moduli, purchÃ© questi ultimi siano comunque
>caricati non appena ce ne sia bisogno.
>
>
><pre caption="Opzioni di rete">
>Networking options ---&gt;
> [*] TCP/IP networking
> [*] IP: advanced router
> [*] Network packet filtering (replaces ipchains)
><comment>Se si usa un kernel 2.4.x., per DHCP bisogna abilitare la seguente voce:</comment>
> [*] Socket Filtering
>
> IP: Netfilter Configuration ---&gt;
> [*] Connection tracking (required for masq/NAT)
> [x] FTP protocol support
> [x] IRC protocol support
> [*] IP tables support (required for filtering/masq/NAT)
> [*] IP range match support
> [x] MAC address match support
> [*] Multiple port match support
> [*] Packet filtering
> [*] REJECT target support
> [x] REDIRECT target support
> [*] Full NAT
> [*] MASQUERADE target support
> [s] Packet mangling
> [s] MARK target support
> [x] LOG target support
>
> QoS and/or fair queueing ---&gt;
> [s] QoS and/or fair queueing
> [s] HTB packet scheduler
> [s] Ingress Qdisc
>
> [a] PPP (point-to-point protocol) support
> [a] PPP filtering
> [a] PPP support for async serial ports
> [a] PPP support for sync tty ports
> [a] PPP Deflate compression
> [a] PPP BSD-Compress compression
> [a] PPP over Ethernet
></pre>
>
><note>
>Ã possibile che vi siano differenze tra i kernel 2.4 e 2.6, ma si dovrebbe
>essere in grado di venirne a capo da soli senza difficoltÃ . Inoltre, per il
>kernel 2.6, queste opzioni hanno la tendenza ad essere spostate
>frequentemente. Buona fortuna!
></note>
>
></body>
></section>
></chapter>
>
><chapter>
><title>Collegarsi alla WAN (ovvero ad Internet)</title>
>
><section>
><title>Introduzione</title>
><body>
>
>
>Ci sono moltissimi modi di connettersi ad Internet, quindi questa guida tratterÃ 
>soltanto quelli usati dall'autore ovvero un collegamento ADSL (PPPoE) e uno con
>modem telefonico (con IP statico o dinamico). Se si conoscono altri metodi,
>mettere al corrente l'autore inviandogli una mail. Saltare senza problemi
>qualsiasi delle seguenti sezioni di questo capitolo, se non sono di
>interesse. Lo scopo di questo capitolo Ã¨ di connettere il router ad Internet
>attraverso eth1.
>
>
></body>
></section>
><section>
><title>ADSL e PPPoE</title>
><body>
>
>
>Tutto il software prodotto riguardante PPPoE che era fornito dal pacchetto
>rp-pppoe (<uri link="http://www.roaringpenguin.com/">Roaring Penguin</uri>) Ã¨
>stato integrato nel <uri link="http://samba.org/ppp/">pacchetto standard di
>PPP</uri>. Quindi basta eseguire il comando <c>emerge ppp</c> per avere tutto il
>necessario. Adesso Ã¨ necessario recuperare le informazioni relative a username e
>password, come annunciato in precedenza. Aprire il file
><path>/etc/conf.d/net</path> nel proprio editor preferito e modificare i
>parametri in maniera appropriata.
>
>
><note>
>Ã necessario sia installato baselayout-1.12.9 o superiore per far sÃ¬ che la
>seguente configurazione funzioni correttamente.
></note>
>
><pre caption="Configurare eth1">
><comment>(Sostituire 'pluto' con il proprio username e 'pippo' con la propria password)</comment>
>
># nano /etc/conf.d/net
><comment>Dire a baselayout di usare l'ADSL attraverso eth1 per ppp0</comment>
>config_ppp0=( "ppp" )
>link_ppp0="eth1"
>plugins_ppp0=( "pppoe" )
>pppd_ppp0=(
> "defaultroute"
> "usepeerdns"
> <comment>Per eventuali altre impostazioni, vedere il file
>	 /etc/conf.d/net.example per maggiori dettagli.</comment>
>)
>username_ppp0="pluto"
>password_ppp0="pippo"
>
># ln -s net.lo /etc/init.d/net.ppp0
># rc-update add net.ppp0 default
># /etc/init.d/net.ppp0 start
></pre>
>
><warn>
>Quando l'interfaccia DSL si attiva, sarÃ  creato il device ppp0. Anche se la
>scheda di rete Ã¨ eth1, l'IP appartiene a ppp0. Da ora in avanti, negli esempi
>che usano 'eth1', sostituire quest'ultima voce con 'ppp0'.
></warn>
>
><warn>
>Assicurarsi di aver cambiato i permessi del file /etc/conf.d/net in modo che
>solo root possa leggere/scrivere su di esso: in quel file infatti ci sono i
>propri username e password.
></warn>
>
><warn>
>Chi sta effettuando il passaggio dal pacchetto <c>rp-pppoe</c> e chi Ã¨ vittima
>di misteriose cadute della connessione, dovrebbe dare un'occhiata alla sezione
>su MTU del capitolo sulla Risoluzione dei problemi.
></warn>
>
></body>
></section>
>
><section>
><title>Connessione attraverso linea telefonica e/o IP statico/dinamico</title>
><body>
>
>
>Se si possiede un IP statico, ci sarÃ  bisogno di conoscere qualche dettaglio in
>piÃ¹: il proprio indirizzo IP, il proprio gateway ed i server DNS.
>
>
><pre caption="Configurare eth1">
><comment>IP dinamico:</comment>
># emerge dhcpcd
># nano /etc/conf.d/net
><comment>Inserire una riga come questa:</comment>
>config_eth1=( "dhcp" )
>
><comment>IP Statico:</comment>
># nano /etc/conf.d/net
><comment>Inserire delle righe come queste:</comment>
>config_eth1=( "66.92.78.102 broadcast 66.92.78.255 netmask 255.255.255.0" )
>routes_eth1=( "default gw 66.92.78.1" )
># nano /etc/resolv.conf
><comment>Aggiungere una riga per il server DNS:</comment>
>nameserver 123.123.123.123
>
><comment>Configurazione sia per l'IP dinamico che statico:</comment>
># ln -s net.lo /etc/init.d/net.eth1
># rc-update add net.eth1 default
># /etc/init.d/net.eth1 start
></pre>
>
>
>Ora dovrebbe essere tutto configurato.
>
>
></body>
></section>
></chapter>
>
><chapter>
><title>Collegarsi alla LAN</title>
><section>
><body>
>
>
>Questo passaggio Ã¨ molto piÃ¹ facile rispetto al precedente.
>
>
><pre caption="Configurare eth0">
># nano /etc/conf.d/net
><comment>Aggiungere una riga come questa:</comment>
>config_eth0=( "192.168.0.1 broadcast 192.168.0.255 netmask 255.255.255.0" )
># rc-update add net.eth0 default
># /etc/init.d/net.eth0 start
></pre>
>
></body>
></section>
></chapter>
>
><chapter>
><title>Servizi LAN</title>
><section>
><title>Server DHCP</title>
><body>
>
>
>
>
>
>Un servizio molto utile, che evita di ricordare dettagli noiosi e difficili da
>memorizzare o di doverli inserire in interfacce di configurazione confusionarie
>Ã¨ DHCP ("Dynamic Host Configuration Protocol" - ndT: "Protocollo per la
>Configurazione Dinamica degli Host"), che permette un funzionamento immediato
>dei computer non appena li si collega alla rete.
>
>
>
>DHCP, come si puÃ² desumere dal nome, Ã¨ un protocollo che consente di configurare
>in modo dinamico gli altri host in maniera del tutto automatica. Basta far
>girare il server DHCP sul router, passargli tutte le informazioni sulla propria
>rete (indirizzi IP validi, server DNS, gateway, ecc...) e, quando gli altri host
>si connetteranno alla rete, useranno il client DHCP per autoconfigurarsi. Niente
>confusione nÃ© pasticci. Per maggiori informazioni sul DHCP, visitare
><uri link="http://it.wikipedia.org/wiki/DHCP">Wikipedia</uri>.
>
>
>
>VerrÃ  usato un pacchetto chiamato dnsmasq, che fornisce sia il servizio DHCP che
>DNS. Per il momento ci si concentrerÃ  sull'aspetto DHCP. Tenere presente che se
>si vuole eseguire un diverso server DHCP, Ã¨ possibile guardare un altro esempio
>nel capitolo "Qualcosa di divertente". Inoltre, se si desiderano sperimentare le
>opzioni del server DHCP, leggere i commenti del file
><path>/etc/dnsmasq.conf</path>. Ad ogni modo, le opzioni predefinite dovrebbero
>andare bene.
>
>
><pre caption="Installare un server DHCP">
># emerge dnsmasq
># nano /etc/dnsmasq.conf
><comment>Aggiungere questa riga per attivare dhcp:</comment>
>dhcp-range=192.168.0.100,192.168.0.250,72h
><comment>Restringere dnsmasq alla sola interfaccia LAN</comment>
>interface=eth0
>
># rc-update add dnsmasq default
># /etc/init.d/dnsmasq start
></pre>
>
>
>Ora il proprio router Ã¨ un piccolo e affidabile server DHCP! Collegare alla rete
>qualche computer ed osservare attentamente come tutto funziona in modo semplice!
>Con un sistema MS Windows bisognerÃ  andare nel pannello "ProprietÃ  TCP/IP" e
>selezionare le opzioni "Ottieni un indirizzo IP automaticamente" e "Ottieni
>l'indirizzo del server DNS automaticamente". A volte queste modifiche non hanno
>effetto immediato e si dovrÃ  aprire una finestra di comando ed eseguire
><c>ipconfig /release</c> e <c>ipconfig /renew</c>. Ma ora basta con Windows, si
>torna al nostro pinguino preferito.
>
>
></body>
></section>
>
><section>
><title>Server DNS</title>
><body>
>
>
>Quando qualcuno vuole visitare un sito web o raggiungere un altro host su
>Internet, solitamente si ricorda del nome di quel sito, piuttosto che di una
>stringa di numeri. Dopotutto Ã¨ piÃ¹ facile ricordare "ebay.com" o 66.135.192.87?
>Ecco dove entra in gioco il DNS. I server DNS girano piÃ¹ o meno ovunque su
>internet e non appena qualcuno vuole visitare ebay.com, questi server
>trasformano "ebay.com" (di facile comprensione per l'utente) in "66.135.192.87"
>(di facile comprensione per il computer). Per maggiori informazioni sul DNS,
>visitare nuovamente
><uri link="http://it.wikipedia.org/wiki/DNS">Wikipedia</uri>.
>
>
>
>Visto che si sta utilizzando dnsmasq come server DHCP ed esso include un server
>DNS, non resta piÃ¹ niente da fare qui! Il proprio router sta giÃ  fornendo il
>servizio DNS ai suoi client DHCP.
>
>
>
>Si puÃ² benissimo scegliere altri server DNS se ci si trova meglio con quelli, ma
>il motivo per cui dnsmasq Ã¨ grandioso Ã¨ che fa esattamente quello che si vuole e
>niente di piÃ¹. Ã un piccolo server per reti locali con funzionalitÃ  di caching e
>forwarding. Non si vuole offrire un DNS per un proprio dominio, ma soltanto un
>servizio DNS di base a chiunque si trovi nella vostra LAN.
>
>
></body>
></section>
>
><section>
><title>NAT (ovvero IP-masquerading)</title>
><body>
>
>
>In questo momento, le persone nella vostra rete possono comunicare fra di loro e
>possono collegarsi a degli hostname tramite DNS, ma non possono ancora
>connettersi realmente ad internet.
>
>
>
>Ecco dove entra in scena il Network Address Translation (NAT). NAT permette di
>connettere piÃ¹ computer in una LAN ad Internet, quando si hanno a disposizione
>un numero minore di indirizzi IP. Tipicamente la compagnia telefonica offre ad
>ogni utente un solo IP, ma in questa situazione si vuole che tutta la casa sia
>connessa ad internet. NAT Ã¨ la magia che rende possibile tutto ciÃ². Anche in
>questo caso, maggiori informazioni circa NAT possono essere trovate su
><uri link="http://it.wikipedia.org/wiki/Network_address_translation">Wikipedia</uri>
>
>
><note>
>Prima di cominciare, assicurarsi che iptables sia installato nel proprio
>sistema. Potrebbe non essere presente nonostante sia installato automaticamente
>nella maggior parte dei sistemi; per risolvere basterÃ  eseguire il comando
><c>emerge iptables</c>.
></note>
>
><pre caption="Configurare iptables">
><comment>Prima di tutto eliminare le regole attualmente in uso</comment>
># iptables -F
># iptables -t nat -F
>
><comment>Configurare le regole predefinite per gestire il traffico</comment>
># iptables -P INPUT ACCEPT
># iptables -P OUTPUT ACCEPT
># iptables -P FORWARD DROP
>
><comment>Si possono semplicemente copiare ed incollare questi esempi</comment>
># export LAN=eth0
># export WAN=eth1
>
><comment>Limitare i propri servizi affinchÃ© funzionino solo dalla LAN</comment>
># iptables -I INPUT 1 -i ${LAN} -j ACCEPT
># iptables -I INPUT 1 -i lo -j ACCEPT
># iptables -A INPUT -p UDP --dport bootps -i ! ${LAN} -j REJECT
># iptables -A INPUT -p UDP --dport domain -i ! ${LAN} -j REJECT
>
><comment>(Opzionale) Abilitare l'accesso al server ssh dalla WAN</comment>
># iptables -A INPUT -p TCP --dport ssh -i ${WAN} -j ACCEPT
>
><comment>Limitare i pacchetti TCP/UDP solo alle porte privilegiate (0-1023)</comment>
># iptables -A INPUT -p TCP -i ! ${LAN} -d 0/0 --dport 0:1023 -j DROP
># iptables -A INPUT -p UDP -i ! ${LAN} -d 0/0 --dport 0:1023 -j DROP
>
><comment>Infine abilitare il NAT</comment>
># iptables -I FORWARD -i ${LAN} -d 192.168.0.0/255.255.0.0 -j DROP
># iptables -A FORWARD -i ${LAN} -s 192.168.0.0/255.255.0.0 -j ACCEPT
># iptables -A FORWARD -i ${WAN} -d 192.168.0.0/255.255.0.0 -j ACCEPT
># iptables -t nat -A POSTROUTING -o ${WAN} -j MASQUERADE
><comment>Comunicare al kernel che l'ip forwarding Ã¨ funzionante</comment>
># echo 1 > /proc/sys/net/ipv4/ip_forward
># for f in /proc/sys/net/ipv4/conf/*/rp_filter ; do echo 1 > $f ; done
>
><comment>Salvare le regole inserite: verranno ripristinate all'avvio del PC</comment>
># /etc/init.d/iptables save
># rc-update add iptables default
># nano /etc/sysctl.conf
><comment>Aggiungere/decommentare le righe seguenti:</comment>
>net.ipv4.ip_forward = 1
>net.ipv4.conf.default.rp_filter = 1
>
><comment>Se si possiede un indirizzo IP dinamico, probabilmente si vorrÃ  questa opzione:</comment>
>net.ipv4.ip_dynaddr = 1
></pre>
>
>
>Una volta finito, tutti i computer della propria rete dovrebbero essere in grado
>di connettersi ad internet e di usarla come se fossero collegati direttamente
>alla WAN.
>
>
>
>L'opzione ip_dynaddr Ã¨ utile per sistemi con collegamento su richiesta
>(on-demand) o quando il proprio ISP fornisce indirizzi dinamici. Questo risolve
>il problema che si incontra quando si tenta di stabilire una connessione prima
>che l'interfaccia internet sia pienamente attivata. In questo modo verrÃ 
>garantito pienamente il funzionamento della connessione per i computer connessi
>al proprio router.
>
>
></body>
></section>
></chapter>
>
><chapter>
><title>Qualcosa di divertente (da fare nelle giornate di pioggia)</title>
>
><section>
><title>Introduzione</title>
><body>
>
>
>Da qui in avanti verrÃ  descritto qualcosa che potrebbe interessare il lettore e
>che Ã¨ facile incontrare tra le funzionalitÃ  di un router. Tutto, in questo
>capitolo, Ã¨ completamente opzionale.
>
>
></body>
></section>
>
><section>
><title>Port Forwarding (Reindirizzamento delle/alle Porte)</title>
><body>
>
>
>A volte si potrebbe voler erogare alcuni servizi dai computer che sono dietro il
>router (ovvero all'interno della LAN) oppure semplicemente semplificarsi la vita
>quando ci si connette da remoto. Si potrebbe voler eseguire un server FTP, HTTP,
>SSH, o VNC in una o piÃ¹ macchine dietro il router ed essere in grado di
>connettersi a tutte. L'unico problema Ã¨ che solo un servizio e solo un computer
>possono essere collegati ad una specifica porta. Per esempio, non c'Ã¨ modo di
>installare tre server FTP dietro il router e poi connettersi a tutti e tre
>tramite la porta 21; solo uno potrÃ  ascoltare sulla porta 21, mentre gli altri
>dovranno ascoltare, per esempio, sulle porte 123 e 567.
>
>
>
>Tutte le regole di port forwarding hanno questa forma: <c>iptables -t nat -A
>PREROUTING [-p protocollo] --dport [porta del router] -i ${WAN} -j DNAT --to
>[ip/porta del PC nella LAN]</c>. Sfortunatamente, iptables non accetta hostname
>nelle regole di port forwarding. Se si sta effettuando il forwarding da una
>porta esterna (quella del router) uguale a quella interna (quella del PC nella
>LAN), si puÃ² omettere la porta di destinazione. Per ulteriori informazioni
>consultare la pagina di manuale di iptables: iptables(8).
>
>
><pre caption="Eseguire iptables">
><comment>Ã sufficiente copiare ed incollare questi esempi</comment>
># export LAN=eth0
># export WAN=eth1
>
><comment>Reindirizzare la porta 2 a un demone ssh di un host della LAN</comment>
># iptables -t nat -A PREROUTING -p tcp --dport 2 -i ${WAN} -j DNAT --to 192.168.0.2:22
>
><comment>Reindirizzare una porta FTP (21) ad un host della LAN</comment>
># iptables -t nat -A PREROUTING -p tcp --dport 21 -i ${WAN} -j DNAT --to 192.168.0.56
>
><comment>Reindirizzare una porta HTTP (80) ad un host della LAN</comment>
># iptables -t nat -A PREROUTING -p tcp --dport 80 -i ${WAN} -j DNAT --to 192.168.0.56
>
><comment>Reindirizzare due porte per VNC a due host della LAN</comment>
># iptables -t nat -I PREROUTING -p tcp --dport 5900 -i ${WAN} -j DNAT --to 192.168.0.2
># iptables -t nat -I PREROUTING -p tcp --dport 5901 -i ${WAN} -j DNAT --to 192.168.0.3:5900
><comment>Se si vuole stabilire una connessione VNC con 192.168.0.3 allora basta aggiungere ':1' all'hostname del router</comment>
><comment>Reindirizzare le porte SAMBA a un host della LAN (un sacco di porte per nascondere Windows)</comment>
># iptables -t nat -I PREROUTING -p tcp --dport 135 -i ${WAN} -j DNAT --to 192.168.0.2
># iptables -t nat -I PREROUTING -p tcp --dport 139 -i ${WAN} -j DNAT --to 192.168.0.2
># iptables -t nat -I PREROUTING -p tcp --dport 445 -i ${WAN} -j DNAT --to 192.168.0.2
># iptables -t nat -I PREROUTING -p udp --dport 137:138 -i ${WAN} -j DNAT --to 192.168.0.2
># iptables -t nat -I PREROUTING -p udp --dport 445 -i ${WAN} -j DNAT --to 192.168.0.2
>
><comment>Reindirizzare le porte BitTorrent (6881-6889) ad un host della LAN</comment>
># iptables -t nat -A PREROUTING -p tcp --dport 6881:6889 -i ${WAN} -j DNAT --to 192.168.0.2
>
><comment>Reindirizzare la porta eDonkey/eMule (4662) a un host della LAN</comment>
># iptables -t nat -A PREROUTING -p tcp --dport 4662 -i ${WAN} -j DNAT --to 192.168.0.55
>
><comment>Aggiungere il supporto al "Game Cube Warp"</comment>
># iptables -t nat -A PREROUTING -p udp --dport 4000 -i ${WAN} -j DNAT --to 192.168.0.56
>
><comment>Aggiungere il supporto a "Playstation2 OnLine"</comment>
># iptables -t nat -A PREROUTING -p tcp --dport 10070:10080 -i ${WAN} -j DNAT --to 192.168.0.11
># iptables -t nat -A PREROUTING -p udp --dport 10070:10080 -i ${WAN} -j DNAT--to 192.168.0.11
>
><comment>Xbox Live</comment>
># iptables -t nat -A PREROUTING -p tcp --dport 3074 -i ${WAN} -j DNAT --to 192.168.0.69
># iptables -t nat -A PREROUTING -p udp --dport 3074 -i ${WAN} -j DNAT --to 192.168.0.69
># iptables -t nat -A PREROUTING -p udp --dport 88 -i ${WAN} -j DNAT --to 192.168.0.69
></pre>
>
><note>
>Se si dispone di altri esempi simpatici o frequentemente usati, <mail
>link="vapier@gentoo.org">inviare una mail</mail> all'autore della guida.
></note>
>
></body>
></section>
>
><section>
><title>Il demone identd (per IRC)</title>
><body>
>
>
>Il protocollo IRC (Internet Relay Chat) utilizza pesantemente il servizio ident.
>Ora che i client IRC sono dietro il router, c'Ã¨ bisogno di un modo per
>raccogliere gli "ident" sia del router che dei client. Per fare ciÃ² Ã¨ stato
>creato un server chiamato <c>midentd</c>
>
>
><pre caption="Configurare ident">
># emerge midentd
># rc-update add midentd default
># /etc/init.d/midentd start
></pre>
>
>
>Ci sono alcuni altri server ident nel portage di Gentoo. Tenendo conto dei
>propri bisogni, si consiglia di dare un'occhiata ad <c>oidentd</c> e
><c>fakeidentd</c>.
>
>
></body>
></section>
>
>
>
>
>
><section>
><title>Time Server</title>
><body>
>
>
>Avere sempre un orologio di sistema sincronizzato Ã¨ essenziale per mantenere un
>sistema in salute. Uno dei modi piÃ¹ comuni per farlo Ã¨ usare il Network Time
>Protocol (NTP) e il pacchetto ntp (che fornisce sia l'implementazione lato
>client che quella lato server).
>
>
>
>Molte persone usano dei client ntp nei loro computer. Ovviamente piÃ¹ client ci
>sono nel mondo piÃ¹ grandi sono i carichi di lavoro che i server ntp devono
>gestire. In situazioni come quella di una rete casalinga perÃ², Ã¨ possibile
>diminuire questo carico di lavoro dei server pubblici pur fornendo un risultato
>accurato e veloce ai propri host. Tutto quello che bisogna fare Ã¨ eseguire nel
>router un server ntp che si sincronizzi con un server pubblico per poi fornire
>l'ora esatta al resto degli host nella LAN. Per cominciare, eseguire il comando
><c>emerge ntp</c>.
>
>
><pre caption="Configurare il server NTP">
># nano /etc/conf.d/ntp-client
><comment>Si puÃ² configurarlo, ma i valori predefiniti dovrebbero andare bene</comment>
># rc-update add ntp-client default
>
># nano /etc/ntp.conf
><comment>Aggiungere queste righe:</comment>
>restrict default ignore
>restrict 192.168.0.0 mask 255.255.255.0 notrust nomodify notrap
><comment>Questo permetterÃ  di accedere al proprio server solo dagli host della LAN</comment>
># nano /etc/conf.d/ntpd
><comment>Si puÃ² configurarlo, ma i valori predefiniti dovrebbero andare bene</comment>
># rc-update add ntpd default
>
># /etc/init.d/ntp-client start
># /etc/init.d/ntpd start
></pre>
>
><note>
>Assicurarsi di aver abilitato il traffico in entrata ed in uscita alla porta ntp
>(123/udp) del server. Per i client sarÃ  sufficiente l'abilitazione per il
>traffico in uscita, sempre sulla stessa porta.
></note>
>
>
>Ora dare il comando <c>emerge ntp</c> anche sui PC client. In questo caso la
>configurazione dovrebbe essere piÃ¹ semplice perchÃ© verrÃ  abilitato soltanto il
>client.
>
>
><pre caption="Configurare un client NTP">
># nano /etc/conf.d/ntp-client
><comment>Cambiare il nome del server da 'pool.ntp.org' a '192.168.0.1' nella variabile NTPCLIENT_OPTS</comment>
># rc-update add ntp-client default
># /etc/init.d/ntp-client start
></pre>
>
></body>
></section>
>
><section>
><title>Server Rsync</title>
><body>
>
>
>Per reti in cui c'Ã¨ piÃ¹ di una macchina con Gentoo, potrÃ  capitare spesso di
>usare il comando <c>emerge sync</c> con un server remoto. Ã possibile
>risparmiare la propria banda e quella dei server di Gentoo usando un singolo
>server rsync locale. Ã una cosa veramente semplice da fare.
>
>
><note>
>Per una guida piÃ¹ approfondita su rsync, consultare la
><uri link="/doc/it/rsync.xml#local">guida su rsync</uri> ufficiale.
></note>
>
>
>Dal momento che ogni computer con Gentoo richiede rsync nativamente, non c'Ã¨
>bisogno di installarlo. BasterÃ  modificare il file di configurazione
><path>/etc/rsyncd.conf</path> decommentando la sezione <c>[gentoo-portage]</c>
>ed assicurandosi di aggiungere un'opzione <c>address</c>. Tutte le altre
>impostazioni predefinite dovrebbero andare bene.
>
>
><pre caption="File di configurazione del server rsync">
>pid file = /var/run/rsyncd.pid
>use chroot = yes
>read only = yes
>address = 192.168.0.1
>
>[gentoo-portage]
> path = /mnt/space/portage
> comment = Gentoo Linux Portage tree
> exclude = /distfiles /packages
></pre>
>
>
>Avviare infine il servizio.
>
>
><pre caption="Avviare il server rsync">
># /etc/init.d/rsyncd start
># rc-update add rsyncd default
></pre>
>
>
>L'unica cosa che rimane da fare Ã¨ configurare i client affinchÃ© si colleghino
>all'IP del router per effettuare la sincronizzazione.
>
>
><pre caption="Configurazione della variabile SYNC nei client nel file make.conf">
>SYNC="rsync://192.168.0.1/gentoo-portage"
></pre>
>
></body>
></section>
>
><section>
><title>Server Mail</title>
><body>
>
>
>A volte puÃ² essere utile avere un proprio semplice server SMTP (Simple Mail
>Transfer Protocol) che gira sul router. Si potrebbe avere qualsiasi ragione per
>farlo; l'autore di questa guida ha attivato questo servizio di modo che gli
>utenti vedano la propria mail come inviata istantaneamente, mentre tutto il
>lavoro Ã¨ lasciato al server mail. Oltretutto alcuni ISP, come Verizon, non
>accettano mail relaying (ovvero non permettono di usare i loro server SMTP) se
>non si possiede un account della loro rete. Ancora, si potrÃ  limitare la banda
>per l'invio delle mail di modo che gli allegati grandi non creino rallentamenti
>della propria connessione per ore ed ore.
>
>
><pre caption="Configurare SMTP">
># emerge netqmail
><comment>Assicurarsi che l'output di 'hostname' sia corretto</comment>
># emerge --config netqmail
># iptables -I INPUT -p tcp --dport smtp -i ! ${LAN} -j REJECT
># ln -s /var/qmail/supervise/qmail-send /service/qmail-send
># ln -s /var/qmail/supervise/qmail-smtpd /service/qmail-smtpd
># cd /etc/tcprules.d
># nano tcp.qmail-smtp
>
><comment>Aggiungere una riga come questa alla sezione "Allow":</comment>
>192.168.0.:allow,RELAYCLIENT=""
>
># make
># rc-update add svscan default
># /etc/init.d/svscan start
></pre>
>
>
>Chi scrive Ã¨ un grande fan di qmail, ma il lettore Ã¨ libero di scegliere un
>altro MTA. Quando si configurano gli account e-mail negli host della propria
>rete, impostare il server SMTP su di essi in modo che sia 192.168.0.1 e tutto
>dovrebbe funzionare. Per ulteriore documentazione, visitare
><uri link="http://netqmail.org/">l'homepage di netqmail</uri>.
>
>
></body>
></section>
>
>
>
>
>
><section>
><title>Server DHCP completo</title>
><body>
>
>
>Prima si Ã¨ usato dnsmasq per fornire il servizio DHCP a tutti i client. Per la
>maggior parte delle persone con una semplice, piccola LAN, questa soluzione Ã¨
>perfetta. Tuttavia, potrebbe esserci la necessitÃ  di qualcosa con piÃ¹ funzioni.
>Per questo ci si affida ad un server DHCP completo in tutto, fornito dal team
><uri link="http://www.isc.org/products/DHCP">ISC</uri>.
>
>
><pre caption="Installare dhcpd">
># emerge dhcp
># nano /etc/dhcp/dhcpd.conf
><comment>(Ecco un esempio per il file di configurazione:)</comment>
>authoritative;
>ddns-update-style interim;
>subnet 192.168.0.0 netmask 255.255.255.0 {
> range 192.168.0.100 192.168.0.250;
> default-lease-time 259200;
> max-lease-time 518400;
> option subnet-mask 255.255.255.0;
> option broadcast-address 192.168.0.255;
> option routers 192.168.0.1;
> option domain-name-servers 192.168.0.1;
>}
># nano /etc/conf.d/dhcpd
><comment>(Impostare IFACE="eth0")</comment>
># rc-update add dhcpd default
># /etc/init.d/dhcpd start
></pre>
>
>
>Questa Ã¨ la configurazione minima richiesta per rimpiazzare le funzioni DHCP di
>dnsmasq usato in precedenza. A tal proposito, bisogna ricordarsi di disattivare
>le funzioni DHCP in dnsmasq (basta commentare l'impostazone <c>dhcp-range</c> in
><path>/etc/dnsmasq.conf</path> e riavviare il servizio).
>
>
></body>
></section>
>
><section>
><title>Connettere un'altra LAN (o due o tre o...)</title>
><body>
>
>
>A volte potrebbe esserci la necessitÃ  di connettere il proprio router ad
>un'altra LAN. Magari per collegarsi temporaneamente ad un gruppo di amici oppure
>il lettore potrebbe essere uno smanettone e voler sezionare gruppi diversi di
>computer o forse Ã¨ solamente una persona solo molto, molto annoiata. Qualunque
>sia la ragione, estendere il router ad un'altra LAN dovrebbe essere abbastanza
>semplice. Negli esempi seguenti si darÃ  per scontato che questa nuova rete sia
>collegata attraverso una terza scheda Ethernet chiamata <c>eth2</c>.
>
>
>
>Per prima cosa, configurare l'interfaccia. Usare le istruzioni nel
><uri link="#doc_chap4_pre1">listato di codice 4.1</uri>,
>sostituendo <c>eth0</c> con <c>eth2</c> e <c>192.168.0</c> con <c>192.168.1</c>.
>
>
>
>Fatto ciÃ², configurare dnsmasq affinchÃ© fornisca i suoi servizi alla nuova
>interfaccia. Modificare di nuovo il file <path>/etc/conf.d/dnsmasq</path>,
>aggiungendo <c>-i eth2</c> a DNSMASQ_OPTS; si puÃ² usare -i piÃ¹ volte. Poi
>modificare <path>/etc/dnsmasq.conf</path> e aggiungere un'altra riga come quella
>del dhcp-range nel <uri link="#doc_chap5_pre1">listato di codice 5.1</uri>,
>sostituendo <c>192.168.0</c> con <c>192.168.1</c>. Si possono avere anche piÃ¹
>righe dhcp-range.
>
>
>
>Per finire, guardare le regole nel <uri link="#doc_chap5_pre2">listato di codice
>5.2</uri> e duplicare le regole che contengono <c>-i ${LAN}</c>. Per rendere le
>cose piÃ¹ semplici si potrebbe creare un'altra variabile, chiamandola ad esempio
><c>LAN2</c>.
>
>
></body>
></section>
></chapter>
>
><chapter>
><title>Risoluzione dei problemi</title>
>
><section>
><title>Strumenti utili</title>
><body>
>
>
>Se si riscontrano problemi nel cercare di mettere in comunicazione i propri
>computer, i seguenti strumenti potrebbero risultare utili (sono tutti contenuti
>nella categoria <c>net-analyzer</c> di portage):
>
>
><table>
><tr>
> <th>Strumento</th>
> <th>Descrizione</th>
></tr>
><tr>
> <ti>wireshark</ti>
> <ti>
> Strumento grafico per visualizzare tutto il traffico di rete grezzo secondo
> alcuni filtri
> </ti>
></tr>
><tr>
> <ti>tcpdump</ti>
> <ti>
> Uno strumento da console per intercettare il traffico di rete grezzo secondo
> alcuni filtri
> </ti>
></tr>
><tr>
> <ti>iptraf</ti>
> <ti>Monitor IP per la LAN basato sulle librerie ncurses</ti>
></tr>
><tr>
> <ti>ettercap</ti>
> <ti>Monitor/Controllore di rete basato sulle librerie ncurses</ti>
></tr>
></table>
>
></body>
></section>
>
><section>
><title>DHCP non parte</title>
><body>
>
>
>Quando viene lanciato lo script init.d di dhcp per la prima volta, potrebbe non
>caricarsi senza fornire alcuna informazione utile.
>
>
><pre caption="Esempio di fallimento di DHCP">
># /etc/init.d/dhcp start
> * Setting ownership on dhcp.leases ... [ ok ]
> * Starting dhcpd ... [ !! ]
></pre>
>
>
>Il trucco sta nello scoprire dove il demone dhcpd invia il suo output. Basta
>semplicemente posizionarsi su <path>/var/log</path> e leggere i file di log. Dal
>momento che il file dipende da quale syslog si sta usando, si puÃ² lanciare il
>comando <c>grep -Rl dhcpd /var/log</c> per trovare il file esatto. La causa che
>ha generato il mancato avvio di dhcpd Ã¨ probabilmente un errore nel file di
>configurazione. Si puÃ² anche provare a lanciare <c>dhcpd -d -f</c> ed effettuare
>il debug degli errori basandosi sull'output.
>
>
></body>
></section>
>
><section>
><title>Valore dell'MTU sbagliato</title>
><body>
>
>
>Se occasionalmente si presentano degli errori (come il non riuscire a
>visualizzare alcune pagine web, mentre altre si visualizzano correttamente),
>potrebbero esserci dei problemi con il "Path MTU Discovery". Il modo piÃ¹ veloce
>per scoprirlo Ã¨ lanciare iptables:
>
>
><pre caption="Impedire problemi di MTU">
># iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
></pre>
>
>
>Questo avrÃ  effetto solo sulle nuove connessioni, per cui ricaricare la pagina
>web che presentava problemi per verificare se tutto Ã¨ a posto. Potrebbe far
>comodo sapere che il valore MTU standard per connessioni ethernet a 100Mb Ã¨
><c>1500</c>; questo valore va bene anche per quanto riguarda PPPoA. Per le
>connessioni PPPoE Ã¨ invece <c>1492</c>. Per ulteriori informazioni consultare il
>capitolo 15 della guida <uri link="http://lartc.org/howto/">Linux Advanced
>Routing &amp; Traffic Control HOWTO</uri>.
>
>
>
>Nel caso in cui questo comando non funzioni, si puÃ² provare ad inserire la
>regola nella tabella mangle. Per fare ciÃ² basta aggiungere <c>-t mangle<c> al
>comando.
>
>
></body>
></section>
><section>
><title>Impossibile connettere direttamente due computer</title>
><body>
>
>
>Se (per qualche ragione) si vogliono connettere due macchine direttamente senza
>usare un hub o uno switch, un normale cavo ethernet non funzionerÃ , a meno che
>non si possieda una scheda di rete Auto MDI/MDI-X (chiamate anche
>"autosensing"). Ci sarÃ  bisogno di un altro tipo di cavo che viene chiamato cavo
>incrociato (crossover). Su <uri
>link="http://en.wikipedia.org/wiki/Ethernet_crossover_cable">Wikipedia</uri> si
>possono trovare tutti i dettagli su questo argomento (la pagina di Wikipedia in
>Italiano Ã¨ <uri
>link="http://it.wikipedia.org/wiki/Cavo_ethernet_incrociato">qui</uri>).
>
>
></body>
></section>
></chapter>
>
><chapter>
><title>Note Finali</title>
><section>
><body>
>
>
>Non ci sono note finali, tranne una. Se si riscontra qualsiasi problema con la
>guida, si prega di <mail link="vapier@gentoo.org">contattare</mail> l'autore o
>segnalare un bug <uri link="http://bugs.gentoo.org/">qui</uri>. Se si possiede
>qualche pezzo interessante che si pensa possa migliorare questa guida, inviarlo
>tranquillamente all'autore, che provvederÃ  ad includerlo.
>
>
></body>
></section>
></chapter>
></guide>

Actions: View

Attachments on bug 238173: 165889