Condividere la connessione a internet: differenze tra le versioni

==Premessa==

Oggi che la maggior parte degli utenti domestici ha la possibilit� di accede ad internet con connessioni a [http://it.wikipedia.org/wiki/Larghezza_di_banda banda] larga (ad esempio [http://it.wikipedia.org/wiki/ADSL ADSL]) e che � sempre pi� frequente avere a disposizione almeno un paio di computers si avverte la necessit� di poter condividere la connessione tra i vari computer della nostra rete domestica.

GNU/Linux � probabilmente la scelta pi� indicata in questi frangenti, essendo un sistema operativo nato espressamente in ambiente di rete: moltissimi dei [http://it.wikipedia.org/wiki/Router router] sul mercato fanno uso di GNU/Linux come sistema operativo, perch� non farlo anche noi ?

==Prerequisiti==

Tutto quello di cui abbiamo bisogno � la nostra Debian, una scheda di rete per ciascun pc da collegare alla rete locale ed un hub o switch.

Se avete un collegamento adsl tramite modem usb e due soli computer, basta collegare le due schede di rete tramite cavetto ethernet cross (incrociato), non serve nient'altro. Uno dei due computer dovr� poi essere connesso ad internet tramite modem USB (vedere [[Indice_Guide#Modem_e_periferiche_di_rete|Modem e periferiche di rete]] per l'installazione e la configurazione), oppure tramite una seconda scheda di rete.

Per fare in modo che Debian si comporti come un router avremo bisogno anche di iptables. Vi rimando alla guida [[Debian e iptables]] per la sua corretta installazione e configurazione.

==Configurazione Router==

Per fare in modo che Debian faccia da [http://it.wikipedia.org/wiki/Gateway gateway] tra i pc della LAN e internet dobbiamo utilizzare il [http://it.wikipedia.org/wiki/Network_address_translation NAT] ''(Network Address Translation)''.<br>

Il tipo di NAT che ci interessa in questa guida � chiamato '''masquerading''' ''(mascheramento)'' degli indirizzi locali.<br>

Il motivo � semplice: per accedere a internet � necessario avere un [http://it.wikipedia.org/wiki/Indirizzo_IP indirizzo IP] di tipo pubblico, che il nostro ISP ci fornisce. Per permettere anche ai computer sprovvisti di indirizzo pubblico di navigare, dobbiamo fare in modo che i loro indirizzi di tipo privato vengano "nascosti" dietro a quello pubblico.

===Masquerading===

Loghiamoci come utente '''root''' e digitiamo il seguente comando:

Per caricare queste regole di iptable ad ogni avvio conviene salvarle una volta e per tutte con '''iptables-save''' e caricarle ad ogni avvio con '''iptables-restore'''. Questi comandi leggono e scrivono su STDIN e STDOUT quindi bisogna usare la redirezione di shell.

Per salvare le regole correnti di iptables basta scrivere da root:

# cat /etc/iptables-save | iptables-restore

Questo comando si pu� inserire in uno script di avvio come <tt>/etc/init.d/bootmisc</tt>, forse � pi� logico inserirlo in <tt>/etc/init.d/networking</tt> anche perch�, in tal modo, riavviando la rete vengono anche reimpostate le regole di iptables. Per inserire il comando in <tt>/etc/init.d/networking </tt>scorrete il file fino a quasi la fine dove troverete le seguenti righe:

 

ora appena prima di

</pre>

        # Carica le regole di iptables salvate

    echo -en " * Loading iptables saved state ... "

    cat /etc/iptables-save | iptables-restore &&\

    echo "[ OK ]"

</pre>

in questo modo la regola verr� caricata ad ogni avvio del sistema, senza che sia necessario digitarla nuovamente, e solo se il file <tt>/etc/iptables-save</tt> esiste ed � leggibile.

===Ip Forwarding===

Configurare iptables non � per� sufficiente. I comuni pc, infatti, non devono essere in grado di comportarsi come i [http://it.wikipedia.org/wiki/Router routers] e cio� non devono poter [[routing|instradare]] pacchetti da una rete all' altra.<br>

Dato che per noi � fondamentale abilitare questa possibilit�, dobbiamo agire su un paramentro del kernel che regola questa funzione: l' '''ip-forwarding'''.

L' ip-forwarding � abilitabile "al volo", semplicemente impostando a "1" la relativa variabile del kernel, con il comando:

cos� facendo per�, ad ogni riavvio dovremo reimpostare la variabile.

==== Impostare l'<tt>ip-forwarding</tt> al boot: <tt>/etc/sysctl.conf</tt> ====

Il metodo pi� semplice, consigliato nella maggior parte dei casi, per impostare l'ip-forwarding ad ogni boot � di inserire in <tt>/etc/sysctl.conf</tt>:

E' opportuno impostare anche alcune misure di sicurezza:

Oltre a queste regole Debian imposta per default la protezione dallo [http://it.wikipedia.org/wiki/IP_spoofing spoofing] degli indirizzi. Per completezza di informazione, comunque, questa regola risulta essere la seguente:

 

==== Impostare l'<tt>ip-forwarding</tt> al boot: script ====

&Egrave; possibile anche abilitare l'ip-forwarding associando uno script alla creazione delle interfacce di rete, in fase di boot. Questo metodo � consigliato solo in caso di setup pi� complessi, in cui si vogliono impostare regole diverse a seconda dell'interfaccia di rete che si attiva.

Per prima cosa, apriamo con il nostro editor preferito il file '''/etc/network/interfaces''' e cerchiamo la sezione relativa alla nostra scheda di rete.

Questo comando dice allo script che si occupa di configurare la scheda di rete di lanciare un' altro script, e cio� '''/etc/network/iface-secure''', che provvediamo subito a creare con il comando:

Dopodiche' rendiamolo eseguibile con:

<pre># chmod +x /etc/network/iface-secure</pre>

All' interno di questo file scriveremo il nostro comando per abilitare l' ip-forwarding:

===Server DNS===

Per poter navigare su internet, � necessario che i PC della nostra rete locale abbiano accesso ad un server [[DNS]] che traduca per noi gli indirizzi internet in indiritti IP.  

Un modo per fare questo consiste nell' impostare per ciascuno dei nostri PC i server [[DNS]] forniti dal nostro provider.  

Esiste tuttavia un' alternativa molto pi� comoda e performante: creare un nostro server [[DNS]] ed utilizzarlo in sostituzione di quelli del provider. Questa soluzione porta ad alcuni vantaggi:

* sui pc della LAN dovremo configurare sempre un solo server [[DNS]] immutabile e che conosciamo bene (senza faticose ricerche);

* i tempi di risposta sono nettamente pi� performanti rispetto a server esterni alla LAN, sia perch� il server � raggiungibile direttamente (senza instradamento attraverso internet), sia perch� sfrutta un sistema di cache (se 10 pc chiedono l' indirizzo di debian.org, ad esempio, il nostro [[DNS]] effetter� la richiesta solo la prima volta e per le restanti 9 utilizzer� le informazioni memorizzate nella propria cache);

* grazie a questo meccanismo di caching i [[DNS]] del provider sono meno stressati e quindi pi� performanti a loro volta.

Per prima cosa installiamo bind9 ed alcuni strumenti utili:

Ora configuriamo il server in modo che faccia le sue richieste ai server [[DNS]] che vogliamo noi anzich� ai ROOT SERVERS (sono pochi in tutto il mondo, molto stressati e aggiornati pi� lentamente di altri). Tutto quello che dobbiamo fare � editare la sezione '''options''' del file '''/etc/bind/named.conf.options''':

Ora non ci resta che riavviare bind con il comando:

<pre># /etc/init.d/bind9 restart</pre>

e configurarlo come [[DNS]] sui pc della nostra rete.

===Altri Protocolli===

====FTP====

Con la configurazione svolta fino a questo punto dovrebbe essere possibile accedere dai PC della lan a server ftp esterni in ''passive mode'' (se ci� non fosse possibile vedere pi� avanti: [[Condividere_la_connessione_a_internet#Problemi_con_MTU|Problemi con MTU]]).  

Se si vuole accedere a server ftp in active mode il router deve tracciare le connessioni ftp, e a tal scopo basta caricare i due moduli:

Da questo momento in poi i pc della lan dovrebbero essere in grado di accedere ai server ftp anche in ''active mode''.

====IRC====

Dovreste essere in grado di usare IRC senza problemi dai pc della vostra LAN. In caso contrario potreste provare a caricare manualmente i moduli che servono al router per gestire le connessioni ad IRC:

Se avete problemi, leggete pi� avanti: [[Condividere_la_connessione_a_internet#Problemi_con_MTU|Problemi con MTU]].

==Configurazione LAN==

===Premessa===

Generalmente per le reti locali domestiche si utilizzano indirizzi IP del tipo 192.168.0.x dove x � un numero variabile tra 1 e 254. Questo significa che all' interno della stessa rete possiamo avere fino a 254 indirizzi IP univoci.<br>

Generalmente il router di una rete ha come indirizzo IP il primo o l' ultimo della rete e cio� 192.168.0.1 oppure 192.168.0.254. In questo esempio noi useremo il primo.

===Assegnare un IP===

Ad ogni pc della LAN si deve assegnare un indirizzo ip per poter comunicare con gli altri pc della rete interna (che nel caso limite � il solo pc che fa da router). Per assegnare un indirizzo IP statico basta usare il comando:

dove 192.168.0.2 � l'indirizzo arbitrario che si � scelto per la particolare macchina.<br>

Il comando '''ifconfig''' permette di specificare molti pi� parametri, ma utilizzando l' indirizzo dell' esempio, questi verranno preconfigurati automaticamente.

Per non riscrivere questo comando ad ogni boot, si pu� inserire in /etc/network/interfaces:

===Impostare il gateway===

Ora bisogna dire ad ogni macchina della lan di instradare tutti i pacchetti diretti verso l'esterno al pc fisicamente collegato ad internet (che fa da router). A tal scopo basta impostare il default gateway:

Per non dover scrivere questo comando ad ogni riavvio, � sufficiente aggiungere al file /etc/network/interfaces, subito al di sotto della direttiva ''''broadcast ...'''' la seguente linea:

===Impostare il server DNS===

Per impostare il server [[DNS]] che i nostri PC useranno � necessario editare il file '''/etc/resolv.conf''' inserendo la seguente linea:

assicurandoci di scriverlo nella prima riga del file ''(ordine con cui il sistema interroga i [[DNS]] � identico a quello in cui compaiono in /etc/resolv.conf)''

===Client Windows�===

Per la configurazione di eventuali PC con installato Microsoft� Windows� vi rimandiamo alla Guida in Linea, al sito di supporto ed al vostro rivenditore hardware (che per contratto � tenuto a fornirvi assistenza).

==Problemi con MTU==

Pu� capitare a volte, specialmente con collegamenti adsl, che l'MTU impostato di default  per le interfacce di rete (1500) non sia appropriato e causi vari mafunzionamenti. Ad esempio, io non riuscivo ad usare wget, ftp, apt-get e irc. Altri hanno riportato di non potere accedere a certi siti.

Risolvere questo problema � semplice, basta impostare l'MTU di tutte le interfacce ethernet ad un valore pi� basso di 1500. A tal scopo basta aggiungere in /etc/network/interfaces una riga apposita:

Questo su tutti i computer della LAN e anche sul pc che funge da router. Se si ha poi una connessione ppp per collegarsi ad internet, sul pc-router bisogner� impostare l'MTU anche per questa interfaccia. Qui, la configurazione potrebbe variare a seconda dei casi ma usualmente � possibile impostare l'MTU in '''/etc/ppp/options''' e/o in '''/etc/ppp/peers/tuo-provider'''.

Riavviando ora tutte le interfacce di rete sia eth0 che ppp, avremo impostato il novo valore per l'MTU e sperabilmente avremo eliminato i malfunzionamenti.

==Test==

Per fare questo avremo bisogno di alcuni tra i pi� usati strumenti diagnostici: '''ping''' e '''nslookup''', ma non preoccupatevi: il primo viene installato automaticamente ed il secondo abbiamo provveduto ad installarlo contestualmente a bind.

{{Warningbox| L'eseguibile '''/bin/ping''' deve avere il bit suid impostato per funzionare da utente normale. }}

===Comunicazione tra router e client===

Prima di tutto annotiamo l' indirizzo IP del client (in questo esempio: 192.168.0.2).

Ora apriamo una shell sul pc che funge da router e digitiamo il comando

Per ora non ci interessa il significato dei messaggi a video, ma unicamente il fatto che dal router � effettivamente possibile raggiungere (pingare) il client.

Possiamo essere certi che � cos� guardando semplicemente le statistiche riassuntive stampate al termine del test, la frase

Se cos� non fosse, avremmo avuto un output del tipo

Possiamo vedere che il client (192.168.0.2) non � raggiungibile (Destination Host Unreachable) dal router (from 192.168.0.1).

Se tutto � andato bene passiamo al punto seguente, in caso contrario controlliamo:

* che l' indirizzo del client sia corretto.

===Comunicazione tra client e router===

Ripetiamo le operazioni del punto precedente, questa volta, per�, operando dal client in direzione del router.

===Risoluzione dei nomi===

Possiamo vedere che il server che ci fornisce l' indirizzo � 192.168.0.1, cio� il nostro router, e che siamo in grado di risolvere gli FQDN in indirizzi IP. A riprova di questo, se tentiamo di pingare www.debianizzati.org, otterremo il seguente output:

mentre se non fosse possibile associare www.debianizzati.org al corretto IP, leggeremmo:

Se avete idee su come migliorare questa guida, segnalazione di errori e/o proposte non esistate a comunicarle nella pagina di discussione oppure sul [http://www.debianizzati.org forum di debianizzati].

Autore: [[Utente:Guide @ Debianizzati.Org|Debianizzati.Org]]<br>

Revisione: [[Utente:Keltik|keltik]]<br>

Revisione: [[Utente:TheNoise|The Noise]]

Verificato da: [[Utente:Clockwork orange|Clockwork Orange]]

[[Categoria:Networking]][[Categoria:Desktop]]