Newsgroup: it.comp.sicurezza.varie
Titolo: Nat e packet filtering

Sto valutando Winroute pro per condividere una connessione a internet. Mi
chiedevo se utilizzando il NAT devo configurare ugualmente delle regole di
packet filtering per evitare eventuali tentativi di intrusione. Non dovrebbe
comunque pensarci il NAT ad evitare eventuali tentativi di connessione non
richiesti? Puo' bastare da solo (senza packet filtering)?
Grazie e ciao.


Grazie, ma comunque non hai risposto alla mia domanda... comunque devo
utilizzare Winroute.
Ciao.

 Puo' bastare da solo (senza packet filtering)?
il NAT e' una cosa che si _basa_ sul "packet filtering"...
-- 
HappyCactus - Registered Linux User #209744
http://www.angelfire.com/jazz/happycactus/index.html
Made with 100% recycled electrons


Mi basavo sul fatto che tutti i pacchetti in ingresso sull'interfaccia
esterna che non sono registrati nella tabella di nat non vengono accettati
garantendomi già una adeguata protezione. Per questo mi chiedevo se era il
caso di impostare anche le regole di packet filtering.
Ciao

 > Devi fornire servizi ad internet?
In tal caso, ovviamente, devi impostare qualche regola di NAT in 
ingresso.
Per il resto, una volta chiuse tutte le porte in ingresso (unrelated 
comprese), devi preoccuparti molto di piu' della sicurezza dei servizi 
che offri. Un esempio? IIS e' sempre aggiornato? il server FTP e' 
configurato come si deve? l'SMTP fa il relay per l'esterno senza 
autenticazione?


 che offri.
Si ho un web server (IIS) che tengo sempre aggiornato. Allora mi basta
abilitare il traffico in ingresso sulla porta 80 senza preoccuparmi di
configurare una regola finale che mi scarta tutto il resto se ho ben capito.

 il NAT e' una cosa che si _basa_ sul "packet filtering"...
io posso fare nat senza fare pf.
e posso fare pf senza fare nat.
in cosa starebbe la relazione tra i due?
un mayhem curioso
--
Cisco FAQ: 
http://mayhem.oltrelinux.com/icrc
HackLabVR: 
http://www.m2net.it.eu.org
Remove ME to reply

 wrote in message
news:agmt7v$ua8$1...@newsreader.mailgate.org...

il nat non e' una feature di sicurezza, anche se aiuta molto.
il nat non rifiuta pacchetti provenienti da ip non validi. il pf si.
il nat fa passare i pacchetto source routed e gli permette di
raggiungere gli host nattati.
il pf no. quindi direi che ti serve.
un mayhem che non ha testato winroute, ma lo ha configurato un paio di
volte e se fa quel che dice mi piace :)


 in cosa starebbe la relazione tra i due?
Nel meccanismo utilizzato per fare l'uno e l'altro, IMHO.
Certo io nel ragionamento mi riferivo al PF di linux, il quale con lo 
stesso meccanismo ti permette di far NAT.
E' anche vero che potrebbe non essere per tutti cosi'...
Uhm, forse e' solo questioni di terminologie...


 Uhm, forse e' solo questioni di terminologie...
anche sotto openbsd con pf nat e packet filter li gestisco con una unica
int. (pfctl), ed anche sotto cisco le acl sono la base tanto per il nat
quanto per il pf, ma questo non vuol dire che siano la stessa cosa o
necessari l'uno all'altro.
ma per quanto spesso sia uno il tool per gestirli, sono meccanismi
totalmente diversi tra loro.
nella rfc del nat non esiste riferimento al packet filter.
un mayhem e la precisione certosina, quasi crescenza


 nella rfc del nat non esiste riferimento al packet filter.
ok, d'accordo. Non mi riferiv certo ai tool di configurazione (anche 
perche' io uso direttamente iptables...)
Certo se consideri il meccanismo utilizzato da linux con iptables, il 
dubbio che siano correlati viene, se ci pensi un attimo.
Cio' non toglie che in effetti in certi ambienti tale differenza possa 
essere piu' marcata.
