Catalogo di sistema › Gateway › NET - gateway di output host singolo con firewall (iptables)

NET - gateway di output host singolo con firewall (iptables)

Ultima versione: 3.0.2-1

Panoramica funzionale

NET è un gateway di output che consente l'accesso in uscita a una rete esterna all'applicazione. NET accetta il traffico dall'applicazione sul suo terminale e lo inoltra mediante l'interfaccia esterna alla rete esterna (ad esempio, Internet).

NET ha un firewall che autorizza soltanto il traffico in uscita (connessioni e datagrammi); fa cadere il traffico in entrata che non è per un connection già stabilito o si riferiva a una richiesta di datagramma. NET può essere configurato per restringere ulteriormente la serie di indirizzi IP che lo possono attraversare.

NET serve come gateway di rete predefinito e come server DNS per la(e) appliance connesse al suo terminale IN.

Importante: Soltanto i terminali di output del gateway dovrebbero essere connessi al terminale IN di NET.

NET permette di accedere ai servizi esterni a un'applicazione i cui nomi host sono determinati al runtime (ad esempio, gli indirizzi di server di posta elettronica ottenuti dai record di MX DNS o i bots dei motori di ricerca che devono attraversare il Web).

Limite

Risorse

Terminali

L'interfaccia esterna è abilitata. Serve per il traffico in uscita. Le sue impostazioni di rete sono configurate mediante le proprietà.

L'interfaccia predefinita è abilitata. Serve per la manutenzione (connessioni SSH in entrata).

Proprietà

Messaggi di errore

I seguenti messaggi possono apparire nei file di log e nel log di sistema del controller di griglia quando l'appliance non riesce ad avviarsi:

• impossibile avviare gli iptables
• impossibile avviare il servizio denominato
• Impossibile impostare le regole (codice di uscita <code>); usando il set di regole di backup

Impossibile impostare un set di regole di backup (codice di uscita <code>)

Uso tipico

Il seguente diagramma mostra un uso tipico di NET di una semplice applicazione di server di posta elettronica che accede a Internet per l'inoltro della posta usando NET:

Riepilogo di parti

• in - appliance di gateway di input, classe IN
• postino - appliance di server SMTP, classe SMTP
• out - appliance di gateway di output, classe NET

IN trasmette le connessioni in entrata al server di postino. Il postino serve la richiesta di posta e invia la posta in uscita attraverso il gateway NET. Il messaggio è inviato in due fasi per ciascun messaggio: prima, viene inviata una richiesta DNS al server di posta di destinazione e dopo il messaggio è inviato a quel server. Il gateway NET inoltra la richiesta del DNS dal server postino al server DNS specificato ed esegue la connessione al server di posta di destinazione.

L'appliance di SMTP dell'esempio di sopra non è inclusa in CA 3Tera AppLogic.

Le sezioni di seguito descrivono la configurazione di NET in molti scenari di utilizzo tipici.

Accesso illimitato a domini standard

In questa modalità, NET è configurato in modo molto simile a un gateway di rete regolare (ad esempio, per la connessione a una LAN a Internet usando ISP).

Esempio:

Nota: Molte aziende hanno domini interni che è possibile risolvere soltanto mediante i loro server DNS privati (ad esempio, .local o .localdomain). Per utilizzare tali domini, configurare le proprietà di dns1 e dns2 in modo che puntino ai server DNS privati. Consultare anche le possibili restrizioni di host di seguito.

Accesso illimitato a domini standard mediante server DNS principali

In questa modalità, NET non deve specificare i server DNS e usa un set di server principali Internet preconfigurati.

Esempio:

Importante: In questa modalità, NET deve accedere ai server DNS principali (altrimenti NET non risolverà alcuna query di DNS). È necessario specificare la proprietà di gateway.

Accesso limitato a domini privati

In questa modalità, NET può accedere soltanto alle reti specificate, permettendo e negando host e subnet specifiche.

Esempio:

Importante: In questa modalità, i server DNS devono rientrare nel set di host autorizzati.

Note

Note generali

In generale, l'unico tipo di terminale di output che dovrebbe essere connesso a NET nel terminale IN è un output di gateway. Questi output differiscono da quelli regolari perché fungono da gateway predefiniti per le loro appliance, permettendo la connessione a host multipli (al contrario dell'accesso a host unico fornito dagli output regolari). Gli output di gateway sono mostrati visivamente da un quadrato blu a forma di terminale, mentre gli output regolari sono indicati da frecce rosse.

Note:

• Per ulteriori informazioni sui tipi di terminale di output, consultare la Guida di riferimento al linguaggio ADL.
• La connessione di un output regolare al gateway di NET fornisce soltanto le risoluzioni del DNS. Questo è un uso valido del gateway di NET (essenzialmente un servizio di risoluzione DNS).
• Se è presente un host, direttamente o come parte di un subnet, negli elenchi di allowed_hosts e negli elenchi di denied_hosts, NET negherà l'accesso a quell'host. NET respinge tutti gli host negati e quindi autorizza soltanto quelli negli host consentiti (pratica di protezione standard).
• Se l'applicazione in uso non richiede l'accesso a una rete intera ma a un host specifico (ad es. ftp.CA.com), si consiglia di utilizzare l'appliance di gateway OUT.

NET non è utilizzato per fornire le richieste in entrata a un'applicazione. È possibile gestire la richiesta in entrata usando l'appliance di gateway IN.

Questa appliance usa software Open Source e di terze parti

NET usa i seguenti pacchetti Open Source di terze parti oltre ai pacchetti Open Source di terze parti usati dalla loro classe di base LUX5.