Newsgroup: it.comp.sicurezza.varie
Titolo: Personal Firewall come Backup

Salve a tutti,
qualche giorno fa ho postato un messaggio con il quale chiedevo se vi
era della documentazione inerente i firewall (teoria, come costruirlo,
regole, ecc.), ma l'unico documento valido è un libro e per di più in
Inglese. Con questo post vorrei chiedervi, premesso che in azienda
metteremo a brevissimo un Pix Cisco:
- come firewall di emergenza (ovvero nel caso si guastasse il Pix) va
bene un personal firewall regolarmente acquistato?
- Se sì, che PF mi si consiglia (a casa utilizzo il Sygate ma i
suggerimenti sono i benvenuti)?
- E' logico montarlo su un vecchio PC con il 98  e 2 schede di rete?
- Il PF supporta le due schede di rete e lo si può configurare
dicendogli che gli indirizzi interni (192.168.X.X) sono indirizzi
sicuri mentre quelli esterni bisogna filtrarli?
- "Liberando" soltanto le porte 80,443,110,25,119 è una soluzione che
permette di stare relativamente tranquilli  per 1-2 giorni?
- Vi possono essere dei conflitti con il router?
Scusate l'ignoranza ma è la prima volta che mi cimento in situazioni
del genere e non nascondo un vasto interesse per l'argomento.
Grazie a tutti per le risposte.
Pier Francesco

 - Vi possono essere dei conflitti con il router?
Diciamo che se c'e' gia' il router potresti proprio non mettere altro a
duplicare i filtri sulle stesse porte, sarebbe inutile.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 
Ciao
-- 
By Orion of INTEGRA Sistemi

Cerco di spiegarmi meglio perché, con il senno di poi, la domanda č un
pochino fumosa.
In azienda abbiamo un server NT che oltre ad essere un file server č
anche un proxy server per collegarci ad Internet. Il software č il
Wingate e questo server ha 2 schede di rete ovvero la prima collegata
al Router Cisco e la seconda collegata allo switch.
Siccome siamo passati dalla ISDN alla HDSL abbiamo acquistato un
firewall ed un router della Cisco, il FW č un PIX 506 mentre il router
non me lo ricordo. Il contratto di assistenza prevede la sostituzione
entro 8 ore lavorative in caso di guasto. Il mio dilemma č quello di
creare una sorta di macchina tampone che, in caso di guasto del PIX,
mi permetta di avere un minimo di protezione. Con il PIX ho in mano
una porta blinadata mentre con la macchina tampone ho un qualcosina
che non tenga tutte le porte aperte. Avevo in mente la seguente
soluzione:
- collegare la prima scheda di rete al router e inserire i filtri al
PF;
- collegare la seconda scheda allo switch e settare gli ip 192.168.X.X
come indirizzi sicuri di modo che gli utenti possano tranquillamente
lavorare come se "niente" fosse successo;
- quando sostituiscono il PIX si scollega la macchina tampone e si
riparte, con tutte le cautele del caso, come se nulla fosse accaduto;
- accendere un cero in Chiesa perché non č successo nulla :)
Ho scelto il PF perché ho provato a settare una macchina Linux, ma č
un casino in quanto dovrei starci dietro un bel po' e non ho il tempo
materiale per farlo.
Grazie per i preziosi suggerimenti ;)
Saluti
Pier Francesco


Ciao anche a te :)

 Wingate e questo server ha 2 schede di rete ovvero la prima collegata
Meglio perder tempo a capire come si setta la macchina Linux che mettere
su un PF barzelletta in 5 minuti e ritrovarti la rete bucata, IMHO.


 materiale per farlo.
Ti conviene continuare a provare a settare la macchina linux e poi
metterla in rete piuttosto che rischiare di metter in rete qualcosa di
inaffidabile
Henryx
P.S. puoi provare anche ad usare un [Free|Open]BSD al posto di linux
-- 
echo '16i[q]sa[ln0=aln100%Pln100/snlbx]sb20293A2058554E494Csnlbxq'|dc

 del genere e non nascondo un vasto interesse per l'argomento.
Nessun nasce con la conoscenza acquisita...
Buon lavoro,
--
      Giovanni Barbieri  (
gi...@globoweb.it
)
Globoweb Internet Solutions   
www.globoweb.it

 ha una discreta gestione del filtering...
Il Tiny per un uso diverso da quello personale va pagato
Henryx


 bene un personal firewall regolarmente acquistato?
fammi capire ... tu compri un pix cisco, uno dei migliori firewall
presenti sul mercato, il firewall che ha la feature failover piu' bella,
funzionale e funzionante del mondo, addirittura con la possibilita' di
fare stateful failover,  e mi vuoi mettere un personal
qualcosa(scusatemi non riesco ad usare quella parola qui ...)?
investi un pochini di soldi, metti un secondo pix, abilita lo stateful
failover e dormi la notte.
un mayhem ed i buoni consigli
--
Le cose che possiedi, alla fine, ti posseggono.

 failover e dormi la notte.
Mmm... E se invece di comprare un altro Pix ci affianco un 486 (con
anche - mi voglio rovinare - un hd) con sopra linux o OpenBSD ? ;)
Un Henryx che un risparmio e una qualita` eccezzionale garantiti


Quello che intendo dire è che se si rompe il PIX (cosa rara ma non
improbabile) è quello di "continuare" a far andare Internet con almeno
un minimo di sicurezza. Non abbiamo server Web né server Mail in
quanto tutto è gestito in outsourcing.
Ho provato a navigare in Internet per vedere dei firewall Linux e ho
provato il "Dachstein" che ha la particolarità di risiedere su CD e
salvare le configurazioni su floppy. Il "guaio" è che essendo tutto
testuale ovvero senza wizard bisogna avere una buona preparazione di
fondo e io non ce l'ho. Ho scaricato il Mandrake NFS, installato e
configurato, solo che per qualche motivo non funzionano le schede di
rete (3com). Lanciando i comandi Draknet e Drak...vari non si riesce a
cambiare la configurazione delle schede (almeno io non ci sono
riuscito). Tra installazione e tentativi di configurazione ho perso
1/2 giornata. Avevo visto la Suse Firewall che permette di fare il
boot da cd e salvare i parametri su floppy, ma è a pagamento e non mi
sembra che esistano altre distro che facciano la stessa cosa a parte
il Dachestein che è testuale e bisogna cambiare i file di
configurazione a manina.
Installato  Windows 98, fatto il Windows Update scaricando tutte le
pacht sulla sicurezza, caricato  il Sygate e fatto un port scanning
con SuperScan è risultato che sulla scheda collegata alla rete
aziendale l'unica porta aperta è la 139 mentre sulla scheda che va
collegata al router ci sono solo le porte aperte da me.
Lancio il sasso sullo stagno: se qualcuno conosce una distro Linux o
BSD che sia simile alla Suse Firewall (boot da cd, X, salvataggio su
floppy dei parametri...) è gentilmente pregato di indicarmela perché
mi farebbe molto contento.
Come ultima cosa, prima di salutare cordialmente tutti i presenti,
vorrei ricordare che il Firewall che sto cercando è un firewall di
backup (o di emergenza) in quanto questi viene attivato in caso di
malfunzionamento del PIX e il suo funzionamento non dovrebbe superare
le 8 ore lavorative.
La scelta sui PF è stata meditata in merito alla facilità di
configurazione e alla difficoltà dell'haker di beccare il giorno
esatto del guasto del Pix. Non penso che  ci siano molte probabilità
che un Hacker compia gli attacchi il giorno esatto in cui il Pix si è
bruciato... almeno spero.
Rimango in attesa dei preziosi suggerimenti.
Grazie a tutti
Pier Francesco


sicurezza inizierebbe ad essere un obbiettivo primario...
EHM, OHM, se non apro le porte, mi sembra che il firewall impedisca al
pacchetto di uscire in quanto al computer che sta scaricando la posta
ti indica che l'host è irraggiungibile.
In casa non ci sono host perché tutto è in outsourcing.
Saluti
Pier Francesco

 riuscito). Tra installazione e tentativi di configurazione ho perso
[cut]
Prova a dare un'occhiata a Smoothwall (
www.smoothwall.org
)
HTH
--
Stefano Zamboni (
sz...@libero.it
)
--------------------------------------------------------------
"If Bill Gates had a dime for every time a Windows box crashed...
...Oh, wait a minute, he already does."

 esatto del guasto del Pix. Non penso che  ci siano molte probabilità
Guarda che nel momento t in cui ti si rompe il PIX, nel successivo
momento t+n in cui hai collegato il Personal Giocattolo molto
probabilmente gia' ti avranno bucato tutto il bucabile. Sii serio e
scarta questa idea assurda di far gestire ad un giocattolo la sicurezza
di una azienda, investi invece del tempo a studiare Linux e come si
configura seriamente un firewall, che per bucare quel coso non c'e'
nemmeno bisogno di hacker, basta essere un ragazzetto brufoloso con un
po' di tools da script kiddie.
P.S. E per favore, quota meglio senza riportare l'intero articolo cui
rispondi in coda.


 Un Henryx che un risparmio e una qualita` eccezzionale garantiti
mai quanto 2 pix ... te nemmeno ti accorgi che uno e' rotto e nemmeno
gli utenti ... non 1 secondo di fermo rete, non 1 solo, senza intervento
umano.
con obsd come faresti? o ci sei te o non se ne fa nulla. obsd sicuro e'
sicuro (lo uso pure io ;P) ma devi metterlo in piedi, e lui non sembra
avere tempo/voglia.
il secondo pix si replica la cfg con il primo e si arrangia.
un mayhem che dipende da quel che vuoi fare.


 Il Tiny per un uso diverso da quello personale va pagato
Ops, vero...
Beh, in ogni caso, non penso sia un grosso problema economico per
un'azienda... :-)


 bruciato... almeno spero.
tu attribuisci una intenzionalita' che spesso non esiste al cracker di
turno.
esso non verifica tutti i giorni il tuo sito. esso verifica ip che non
sa a cosa corrispondono, ogni giorno di diversi.
ma essi sono in tanti. e scannano in tanti ogni giorno molti ip.
la possibilita' di essere prima scannato, e poi passato a fil di spada,
viste le ottime qualita' dei PF, figuriamoci poi configurati anche da
chi (come ammetti) non ha dimesticezza con il firewalling, e' molto piu'
di una semplice possibilita', quasi una certezza. non aspettano qual
giorno. ti controllano quel giorno come tutti i precedenti e tutti i
seguenti.
ripeto poi che dovresti comunque essere presente per scollegare il pix e
collegare il PF (purtroppo scrivendolo penso ad openbsd...) e che
avresti dei tempi di fermo rete non prevedibili. poi non conosco le tue
esigenze, e quindi magari a te va bene cosi'. ho clienti a cui 5 minuti
senza Internet scatenano una terribile voglia di staccarmi le palle. e
per fortuna riesco a tenere a bada le loro voglie, visto che quando
succede e' solo colpa di Interbusiness. ;P
un mayhem ed il fault tolerance


 avere tempo/voglia.
Vabbe`, non e` che ci stai tutti i giorni davanti, alla fine lo
configuri e lo lasci li` a giacere (magari lo metti in cascata con il
Pix, ma penso che ci sarebbe solo un degrado delle prestazioni e basta)
finche` non ti serve
Henryx


 mi farebbe molto contento.
SuSE . Se non vuoi comprare il SuSE firewall (che sinceramente non so
nemmeno quanto costi) ti compri la versione professional (che sta una
settantina di euro) e ti configuri il firewall con Yast. Altrimenti
installa una Debian, aggiornala a woody, e poi installa Bastille. Cmq la
cosa migliore rimane sempre scriversi le regole del firewall a mano e
non affidarsi a qualcosa di gia` pronto


 un mayhem che dipende da quel che vuoi fare.
.. ma anche da quanto la tua azienda vuole spendere: comprare un altro
PIX non ha esattamente lo stesso costo che mettere un OpenBSD o un
Linux, ti pare?


 Linux, ti pare?
parliamo di costi? costo di un secondo pix con kit fail-over, installato
e con contratto di assistenza contro costo di dipendente che inizia a
guardare linux, lo impara, fa un po' di installazioni di prova, passa
giorni su sto ng a chiedere consigli, continua a mettere le mani sulla
macchina per farla diventare come vuole lui, la deve tenere aggiornata,
piu' un pc. l'investimento iniziale e' superiore, il toc inferiore. la
crescita aziendale magari superiore (sempre che rientri tra gli
obiettivi far skillare una persona su linux, cosa che magari all'azienda
non interessa per nulla), il fail-over aziendale minore.
io, se fossi titolare dell'azienda:
a. vorrei la soluzione migliore.
b. non affiderei la mia sicurezza ad un firewall installato da una
persona inesperta
c. credo che il mio dipendente abbia un ruolo, che deve continuare a
rivestire, e non abbia tempo per fare anche questo.
chiaramente mi sono messo nell'ipotesi economica migliore, gestione del
personale peggiore.
un mayhem che non siamo a casa, suvvia ...


 un mayhem che non siamo a casa, suvvia ...
Ecco, perche' allora non rispondi alle mail? ;-)


 Ecco, perche' allora non rispondi alle mail? ;-)
hum ... toccato ;P
un mayhem che ha appena scartato i nuovi cd :DDD


 un mayhem che ha appena scartato i nuovi cd :DDD
Ecco il perche' del ritardo <g>


 Nessun nasce con la conoscenza acquisita...
"a_C_uisita", Giovy, "acuisita". 8-)))
Max e l'hobby della nautica.
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 "a_C_uisita", Giovy, "acuisita". 8-)))
Ehm...
Guarda che acquisire si scrive con la cq.
poi c'e' il verbo acuire che significa rendere piu' acuto, ma e' un'altra
cosa...
Max, dizionario? :P
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Powered By RedHat 7.2 (Enigma) - Kernel 2.4.7 - Ximian Gnome - Evolution

 Max, dizionario? :P
Dely, FAQ ? :-P
Un Paperino hint: "barra tutta a dritta !"

 cosa...
Aaah Humour FAQ...


 Aaah Humour FAQ...
E lasciatela perdere, non si tratta cosi' una ragazza.
si tratta molto, ma di molto peggio.
 _____                                  _       _        _
|  ___| __ __ _  ___ __ _ ___ ___  __ _| |_ ___| | ___  | | ___
| |_ | '__/ _` |/ __/ _` / __/ __|/ _` | __/ _ \ |/ _ \ | |/ _ \
|  _|| | | (_| | (_| (_| \__ \__ \ (_| | ||  __/ |  __/ | |  __/
|_|  |_|  \__,_|\___\__,_|___/___/\__,_|\__\___|_|\___| |_|\___|
 
 
  ___  ___ ___  __ _    ___ ___  _ __    _   _ _ __
 / _ \/ __/ __|/ _` |  / __/ _ \| '_ \  | | | | '_ \
| (_) \__ \__ \ (_| | | (_| (_) | | | | | |_| | | | |
 \___/|___/___/\__,_|  \___\___/|_| |_|  \__,_|_| |_|
 
 _               _ _ _        __
| |__   __ _  __| (_) | ___   \ \
| '_ \ / _` |/ _` | | |/ _ \ (_) |
| |_) | (_| | (_| | | |  __/  _| |
|_.__/ \__,_|\__,_|_|_|\___| (_) |
                              /_/
-- 
 (o_   Su questo anello, le lettere riportate da Isildur possono essere 
 //\   ancora lette. Io l'ho fatto, ed ecco cosa vi ho letto:
 V_/_  "Ash nazg durbatuluk, ash nazg gimbatul, ash nazg thrakatuluk 
       agh burzum-ishi krimpatul."
 

 E lasciatela perdere, non si tratta cosi' una ragazza.
 _____     _    _    _             _
|_   _|_ _| | _| | _(_)_ __   ___ | |
  | |/ _` | |/ / |/ / | '_ \ / _ \| |
  | | (_| |   <|   <| | | | | (_) |_|
  |_|\__,_|_|\_\_|\_\_|_| |_|\___/(_)
E' inutile che spoileri, e' la tua natura che si palesa inconsciamente.
Serve specificare che :-) ;-) 8=D)) ?
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

 E lasciatela perdere, non si tratta cosi' una ragazza.
[..]
ROFL ! Come sei tenero :-)


 E' inutile che spoileri, e' la tua natura che si palesa inconsciamente.
Com'era quel detto,  ah si: "il bue da' del cornuto all'asino"..


 Serve specificare che :-) ;-) 8=D)) ?
no, e' sottointeso :)


 Un Paperino hint: "barra tutta a dritta !"
Poi avevo messo l'hint anch'io! 8-)


 Max, dizionario? :P
Dely, Google? 8-) Scommettiamo che se cerchi "esperienza acuisita" trovi
qualcosa di interessante?


 qualcosa di interessante?
Ops, qualcuno con le mie stesse iniziali...
[il primo che pija p'u cubbo je meno :P]
