Newsgroup: it.comp.reti.wireless
Titolo: Consigli per cifratura sicura Wireless

Salve avrei bisogno di dotare la mia rete di un sistema wireless sicuro,ho 
acquistato un router Dlink dir-655,ora tenendo presente che a me serve solo 
internet via wireless e non l'accesso alla rete locale,ho pensato di mettere 
un cavo dallo switch all'ingresso del router WAN e configurare un'altro 
indirizzo di rete sul router wireless,in questa maniera le due rete 
dovrebbero essere fisicamente separate e da un'accesso wireless non dovrebbe 
essere mai e poi mai possibile entrare nella rete locale,ovviamente la 
wireless sar� protetta con chiave WPA2. Quante possibilit� secondo voi ci 
sono,lasciando il wireless acceso tutti i giorni che qualcuno possa arrivare 
ai dati contenuti nella rete locale? Io credo nessuno,voi che siete pi� 
esperti mi confermate questa mia supposizione?
Grazie.
 

 ha scritto nel messaggio 
news:NIOlm.53844$1s6....@twister2.libero.it...

Con il protocollo     WPA2  e l'impostazione dell'algorirtmo AES e non il 
citato sotto TKIP che e' stato violato in questi gg seppur relativamente , 
vai assolutamente tranquillo.     Questa impostazione e' tutt'ora 
inviolabile 

 inviolabile
E dunque se aggiungo una sperazione fisica tramite ingresso rete locale su 
canale WAN e gestione del router wireless su un'altro indirizzo ip,la 
struttura dovrebbe essere inviolabile al 100% dal punto di vista rete 
locale.
Giusto?
 

 qualcuno possa arrivare ai dati contenuti nella rete locale?
Impostando una password appropriata, molto poche.
Nuke. 

 dalla rete cablata non sar� possibile vedere, a meno di configurazioni
si hai capito bene,io pensavo di collegare il wireless allo switch tramite 
porta Wan,per� non avevo pensato che avrei ottenuto il contrario,per 
bloccarne l'accesso allora dovr� affidarmi al firewall,creando una regola su 
misura per impedire ogni tipo di accesso dall'indirizzo ip wireless 
all'indirizzo ip locale,dovrebbe funzionare il blocco e non dovrebbe essere 
scavalcabile,giusto?
In pratica c'� prima la chiave di cifratura wireless una wpa2 aes e poi un 
firewall,credo che potr� starmene tranquillo che nessuno possa anche nel 
tempo bucare la rete.
Grazie.
 

 tempo bucare la rete.
No, tranquillo in Internet non ci pu� stare proprio nessuno.
Saluti,
   Nuke. 

 da un'accesso wireless non dovrebbe essere mai e poi mai possibile
Se vuoi veramente assicurarti che l'accesso non autorizzato alla rete
wired non sia possibile, l'unica soluzione � quella di interporre tra il
tuo
access point e la rete wired un firewall *separato* e poi trattare il
traffico
proveniente dai clients wireless alla stregua del traffico di utenti
esterni
alla rete, ossia utilizzando un approccio del tipo VPN per permettere
solo ai clients legittimi l'accesso alla rete wired
Una soluzione potrebbe essere quella di utilizzare un box (computer)
con tre o quattro interfacce di rete sul quale installare un software
come
ad esempio ZeroShell 
http://m0n0.ch/
 a questo punto tale box avr�
un'interfaccia connessa alla LAN cablata, una seconda alla WAN
(internet) ed una terza all'access point (tramite cavo); l'eventuale
quarta interfaccia potr� invece essere utilizzata per creare una DMZ
Fatto ci�, si configurer� il box in modo da permettere all'access point
di contattare un server radius interno e si configurer� quindi l'access
point per usare autenticazione WPA2 + radius, inoltre si configurer� il
box "m0n0wall" in modo da gestire dei tunnels VPN ad es. usando
IPsec che permettano ai clients wireless in possesso di un certificato
valido di passare attraverso il firewall e raggiungere la rete cablata
con una configurazione del genere, ammesso che un intruso riesca a
craccare la codifica WPA2 dell'access point, l'intruso stesso non sar�
in grado di raggiungere la rete interna non essendo in possesso del
necessario certificato per l'accesso tramite VPN (IPsec) alla stessa
Il tutto pu� essere implementato sulla tua configurazione attuale con
una spesa piuttosto ridotta e ti permetter� sia di garantire che
soltanto
i clients "legittimi" possano avere accesso alla LAN cablata sia di
ridurre al minimo i rischi che qualcuno possa "craccare" la wireless
Per ulteriori informazioni, prova a dare un'occhiata qui
http://www.networkworld.com/research/2002/0909ilabipsec.html
http://onlamp.com/bsd/2004/10/21/wifi_ipsec.html
http://www.interlinknetworks.com/whitepapers/Link_Layer_Security.htm
ciao


Grazie mille per i link adesso mi metto a leggerli tutti,la mia attuale 
disponibilit� hardware � la seguente :
1 switch dlink 8 porte gigabit
1 router adsl 660h zyxel
1 router dlink DIR-655 wireless
e 10 computer a cui solo uno dovr� accedere mediante rete wireless,se ho 
capito bene con questi componenti non posso fare nulla di ci� che voglio ma 
dovrei acquistare o un firewall hardware o crearmi qualcosa del genere 
descritto nei link,giusto?
Grazie.
 

 qualcosa del genere descritto nei link,giusto?
non ho controllato se il 660h abbia la possibilit� di creare una network
filtrata; se questo fosse il caso *forse* potresti riuscire nell'intento
anche
con l'hardware gi� in tuo possesso


spiegami meglio cosa devo controllare grazie.
 

> spiegami meglio cosa devo controllare grazie.
la possibilit� di configurare una delle porte LAN in modo
che sia "al di fuori del firewall" (filtrata); ah, gi� che ci sei,
se non hai il manuale a portata di mano, apri questo URL
http://tinyurl.com/2tyny9
identifica il modello del tuo 660h (e magari postalo) e poi
scarica il manuale e verifica se ci sia la possibilit� di fare
quanto visto sopra; giusto come nota, tale feature potrebbe
anche essere disponibile solo tramite "CLI" (interfaccia
"telnet") per cui potrebbe anche essere utile scaricare il
manuale di riferimento dei comandi CLI

il mio modello � il 660-d1,adesso stasera appena rientro a casa mi leggo il 
manuale e ti faccio sapere,ma a prima occhiata veloce non ho visto ci� che 
mi hai indicato,rilegger� il tutto con calma stasera.
Grazie.
 


di nulla, dando una rapida occhiata, non mi sembra che il firewall
in tuo possesso abbia la capacit� di fare quanto necessario, per
cui credo che l'unica soluzione sia quella di utilizzare un altro f/w
che potrebbe anche essere un PC "di recupero" con installato
m0n0wall (
http://m0n0.ch/wall
) o simile ed almeno tre schede di
rete, a questo punto il layout di rete sarebbe qualcosa di questo
tipo (pi� o meno)
internet
|
660h
|
(*)
|
m0n0wall -- DIR-655 ((( ))) wireless
|
switch
!
LAN
in pratica il 660h fungerebbe da fw esterno mentre m0n0 sarebbe
il "nodo" principale (gateway) posto tra LAN, WLAN ed Internet,
con una configurazione del genere, tra l'altro, ti verrebbe gratis
una DMZ (indicata con (*)) che potresti usare, se necessario, per
pubblicare macchine che debbano essere visibili da internet ma
isolate rispetto alle reti locali (LAN/WLAN); potresti ad esempio
connettere uno switch aggiuntivo al punto indicato da (*) ed usare
lo stesso per connettere (es.) mailservers, server ftp/web, sistemi
usati per il download P2P ed altro ancora, garantendo che tali
sistemi restino isolati dalle reti locali riducendo problemi relativi
alla sicurezza

forse ho trovato una soluzione,in casa avevo un gateway,cos� stasera ho 
messo mani alle rete strutturandola in questa maniera :
Internet
      |
Router adsl
      | 
|
Gateway 1 (dove sulla wan entra il cavo del router) 
Switch (dove sono collegati tutti i computer)
      |
Gateway wireless con dhcp disattivato (sulla porta wan entra il cavo lan del 
gateway 1)
Infine sul gateway 1 ho impostato delle regole firewall che vietano a Wan e 
LAN di andare verso il gruppo di indirizzi ip assegnati per i computer 
locali,escludendo da questo gruppo di indirizzi quello del router.
Cos� facendo collegandomi in wireless dal portatile riesco a navigare ma non 
riesco nella maniera pi� assoluta ad andare verso la rete locale. Inoltre 
dal punto di vista wireless ho impostato solo WPA2,AES e Identificativo rete 
nascosto,credo che non stia tralasciando nulla,non dovrei avere buchi di 
accesso dall'esterno e forse ho potuto pure evitare di metter su un'altro 
computer per farlo lavorare da firewall.
In tutto questa configurazione che ho appena terminato di provare non sono 
riuscito a far funzionare il collegamento wireless del cell,ma sicuramente 
sar� colpa del sonno,domani ci riprovo.
 

 locale.
a questo punto, volendo permettere anche l'accesso *protetto* alla
rete locale potresti valutare l'implementazione di tunnels VPN che
permettano ai clients wireless opportunamente configurati l'accesso
alla rete cablata attraverso tali tunnels


ciao allora la tua opinione non avendo nulla da criticare al mio schema di 
prima vuol dire che il mio discorso funziona,giusto :-) Cmq. grazie per 
tutto l'aiuto.
PS. Per quanto riguarda la VPN,si hai ragione mi permetterebbe di accedere 
in maniera sicura alla lan,per� mi sta bene cos� che dal wireless si possa 
solo andare su internet e basta.