Newsgroup: it.comp.sicurezza.varie
Titolo: Firewall: meglio "deny" o "reject"?

Salve a tutti!
Avendo una conoscenza mediocre dei protocolli, intuitivamente ho sempre
usato un bel "deny" in risposta(!) ai pacchetti che non mi garbano.
Qualche giorno fa, però, ho letto questo (TrinityOS):
| Why do I prefer REJECT over DENY? If someone connects to your server
| and you REJECT their traffic, it seems to them as if your computer
| cannot serve, say, TELNET connections. If you DENY the traffic, then
| their TELNET traffic just dies and their TELNET client eventually
| times out.
| So, with REJECT, a hacker doesn't know if your machine can or can not
| do TELNET. With DENY, a hacker KNOWS that you are filtering them. I
| feel that a REJECT make your box look "dumber".
Ma un acaro non avrebbe comunque modo di "vedere" oltre il FW?
Ad ogni modo, quale ritenete essere la politica migliore da adottare?
Se questo argomento è stato già affrontato (qui o in altri spazi), mi
potreste dare dei riferimenti?
TIA, ireneo.
-- 
- Signor Gandhi, cosa pensa della Civilizzazione Occidentale?
- Penso che sarebbe una buona idea.

 potreste dare dei riferimenti?
Molte volte anche...
-- 
PGP FP: B61A F1FA 9B99 A3BD 5D2B 6D99 8D3A 5C92 3525 3509
Caccia Carlo of 
www.x-planet.org
 

 Ad ogni modo, quale ritenete essere la politica migliore da adottare?
Prova a pensare ai pro e ai contro delle due soluzioni, calandole nella
tua realta', e poi valuta tu stesso. Se hai qualche dubbio puoi provare
a postare sul newsgroup. Non penso che ci sia una risposta univoca alla
domanda.
Fabio

 presa da david ranch a questo proposito.
Addirittura, se il traffico e' completamente negato
ad una certa sottorete, per esempio, il deny non da' alcuna
evidenza del fatto che ci sia un host up, se qualcuno effettuta
uno scan da quella sottorete, mentre il reject si'.

 Con iptables non sņ.
Con iptables puoi mandare davvero cio' che vuoi, 
in risposta. <g>

 Il corretto comportamento dovrebbe essere un pacchetto TCP con flag
RST.
vorrei aggiungere che di solito si filtra tutto, e si lascia passare
solo cio' che interessa.
quindi ad uno scan rispondi con n icmp-port-un. io preferisco i deny
perche' non mi va di sprecare la mia banda.
metto il reject a qui servizi che potrebbero, con il dny, infastidirmi,
vedi ident che altrimenti deve andare in timeout.
che poi sia aperto o chiuso, dietro, non ha importanza.
un mayhem che preferisce il deny come default.
--
Without sacrifice, withouth death, we would have nothing. TD
Cisco FAQ: 
http://mayhem.oltrelinux.com/icrc
HackLabVR: 
http://www.m2net.it.eu.org

 Con iptables non sò.
Mi sa che dovrò iniziare a documentarmi, anche perché con i kernel 2.4.x
ipchains non permette di fare alcune cose...
Grazie mille a tutti quelli che mi hanno risposto!


 Con iptables puoi mandare davvero cio' che vuoi, in risposta. <g>
Tralasciando le "bombe" ( :) ), potresti farmi un esempio con l'RST?
Ho adto una veloce scorsa alle opzioni, e "-j" prevede solo ACCEPT,
DROP, QUEUE, e RETURN, nessuno dei quali mi sembra faccia al caso.
Un saluto, ireneo.


 iptables -A INPUT -p tcp --dport 23 -j REJECT --with tcp-reset
Ops...
iptables -A INPUT -p tcp --dport 23 -j REJECT --reject-with tcp-reset

 in risposta. <g>
giusto perche' ripeterlo male non fa... c'e' quello nuovo 1.2.5 da qualche
settimana.

 qualche settimana.
Vero...ed ho appena patch-o-matizzato il kernel 2.4.17...reboot, sperando
di riveder la luce...;)

 di riveder la luce...;)
... non ne ho voglia! aspetto la .18 con pazienza tanto ho l'hdsl ;)))

 ... non ne ho voglia! aspetto la .18 con pazienza tanto ho l'hdsl ;)))
C'e' gia' la prepatch .18, volendo...

 iptables -A INPUT -p tcp --dport 23 -j REJECT --reject-with tcp-reset
10x!
Appena mi ricompilo il kernel con il packet filtering, inizio a fare un
po' di esperimenti.
