Newsgroup: it.comp.sicurezza.varie
Titolo: Firewall del Pirelli AGE uB

Salve.
possiedo un router/switch pirelli Age microbusiness con firewall integrato.
per default il firewall è disattivato.
vorrei invece che negasse tutto tranne i servizi strettamente necessari
(http,pop3,smpt) pertanto ho impostato su DENY ALL la default policy
dell'interfaccia WAN e poi ho aggiunto una regola del tipo:
Source
IP: 0.0.0.0
Mask: 255.255.255.0
Port from:80 to:80
Destination
IP: 192.168.2.3 (l'ip privato del mio PC)
Mask: 255.255.255.0
Port from:80 to 80
Action: Accept    Protocol: TCP    Direction: Input
A questo punto dopo aver flashato i cambiamenti, ho provato a visitare un
sito web ma non c'è stato nulla da fare: non si vede nessun sito.
Qualcuno mi dica per favore dove sbaglio.
Un'altra cosa che non sopporto di questo router è che lascia aperte le porte
Telnet, FTP e HTTP per la configurazione remota.
come faccio a chiudere queste maledette porte, giacchè non mi interessa la
configurazione da remoto?
-- 
Ringrazio in anticipo.
Distinti saluti.

 interessa la configurazione da remoto?
Impostando le regole in ingresso (Destination: 80; SOURCE any/any)
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*           27/11/2003 Rilaciata la prima relase di qixl!          *
*    
http://sourceforge.net/projects/qixl
 : una gui per iSiloXC    *
*  
www.google.com
 / 
groups.google.com
 : cercare prima di chiedere  *

 scegli una porta >1024 a caso per collegarsi (porte effimere).
come da lei suggerito ho riformulato la regola nel seguente modo ma il
problema persiste:
Source IP: 192.168.2.3
Subnet: 255.255.255.0
Port From: 0 To: 0
Destination IP: 0.0.0.0
Subnet: 255.255.255.0
Port: From 80 to 80
Action: Accept    Protocol: TCP    Direction: Inbound
Altri suggerimenti?

 Subnet: 255.255.255.0
A me questa mask che dovrebbe indicare il resto del mondo sembra
restrittiva.
Ma non conosco l'oggetto in questione, potrebbe essere che con 0.0.0.0
non consideri la subnet.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 non consideri la subnet.
ho usato la stessa subnetmask con cui ho forzato la scheda di rete per
attaccarmi al router. sbaglio?
dovrei usare 0.0.0.0 come subnet mask nelle impostazioni del firewall?

 Altri suggerimenti?
Girare la direzione della regola (s/inbount/outbound).
Le connessioni sono in uscita.


 Le connessioni sono in uscita.
la ringrazio ancora per la sua pazienza e la sua disponibilità.
ho provato anche a invertire inbound con outbound ma nulla da fare.
da ignorante che sono sono andato un po' a tentativi:
considerando che in tutto potrei provare in 8 modi diversi per scrivere la
regola (scambiando l'ip source con quello destination, scambiando la porta
sorgente con quella destinazione, scambiando la direzione tra ingresso e
uscita) mi potrebbe scrivere per favore nel dettaglio come la devo
configurare?
Inoltre "Roberto" nel suo messaggio di risposta mi ha messo il dubbio che la
subnet mask che to usando sia errata.
Eppure ho utilizzato la stessa con cui ho forzato la scheda di rete per
connettermi al router.sbaglio?
Distinti saluti

 dettaglio come la devo configurare?
Allora, non ti mando a leggere il manuale solo perche' l'ho guardato ed
e' a dir poco imbarazzante.
Direi che le regole da impostare sono le seguenti:
Interfaccia: WAN default policy Deny all
In questo modo blocchi tutte le connessioni sulla wan
Interfaccia: PrivLan default policy Deny All (o al limite disable?)
Poi, selezionata l'interfaccia PrivLan
Source IP: 192.168.1.0  Netmask 255.255.255.0 Port from 0 to 0
Destination: 0.0.0.0 Netmask 255.255.255.255 Port from 80 to 80
Action: Accept
Protocol: TCP
Direction: Inbound
Inoltre devi permettere al dns di risolvere gli indirizzi:
Source IP: 192.168.1.0  Netmask 255.255.255.0 Port from 0 to 0
Destination: (DNS provider) Netmask 255.255.255.255 port 53 to 53
Action: Accept
Protocol: UDP
Direction: Inbound
Infine mi par di capire che devi permettere ai pacchetti di uscire lato
wan.
Seleziona l'interfaccia WAN
Source IP: 0.0.0.0 Netmask 255.255.255.255 port 0 to 0
Destination: 0.0.0.0 Netmask 255.255.255.255 port 0 to 0
Action: Accept
Protocol: Ip (any)
Direction: Outbound
Con queste tre regolette potrai solo navigare (no posta, no null'altro),
quindi se devi accedere ad altri servizi devi configurare nello stesso
modo le regolette... Se non ti frega nulla di limitare gli accessi,
imposta la PrivLan su accept all.
Occhio che vedo a pag.29 una nota da seguire probabilmente (mah!)
Gli esempi a pag.30 lasciali perdere perche' sono in teoria validi ma in
realta' non hanno senso (porta 21/23 UDP???)
Per configurare il nat (pag.30) mi par di capire che la tua necessita'
sua del caso a) (routing).
Potresti' altresi' utilizzare il DNS proxy ed evitarti la seconda
delle regole sopra riportate, il tuo caso dovrebbe essere "User
discovered DNS only".
Infine ricordati di cambiare la password.
(Mi perplime un po' quella storia del mac address, pag. 35. Che succede
se cambio scheda di rete?)
Oh, non ti fidare completamente di quanto sopra scritto: potrei aver
fatto qualche cazzata mostruosa.


 imposta la PrivLan su accept all.
Innanzitutto la ringrazio per la sua risposta molto dettagliata.
Per semplicità ho provato solo a limitare gli accessi OUT-IN (inbound)
impostando la policy di default dell'interfaccia WAN su "Deny All" e
applicando la regola da lei descritta che permette ai pacchetti di uscire
dalla WAN.
Nell'interfaccia Private Lan invece ho impostato la policy di default su
"Accept All".
Purtroppo con queste impostazioni non riesco nè a navigare nè a fare altro.
Non so cos'altro fare...
scusi la mia ignoranza, ma se blocco tutto il traffico entrante, come fanno
ad arrivarmi le pagine web?
ho provato anche a scrivere le regole al contrario: WAN su Accept All con
regola (in wan) per bloccare tutti i pacchetti entranti ma il risultato è
sempre il medesimo...non navigo!
