Newsgroup: it.comp.sicurezza.varie
Titolo: ip statico

salve a tutti. spero di non essere OT, nel caso chiedo scusa.
ho una lan mista unix-linux red hat-NT + client win9x, che "escono" in
internet con uno zyxel in serie col modem adsl della telecoz. il router è
stato configurato solo con nome utente, password e dns forniti da chi ci da
il servizio. l'ip è dinamico, cambia tutti i giorni.
ora, pensavamo di fare un contratto x avere un ip statico. questo perchè
abbiamo una macchina linux dove gira un gestionale al quale vogliamo
accedere dall'esterno tramite ssh e via dicendo...
2 dubbi.
1) "a chi" dico e come che ho un ip statico?. ovvero.. devo  "scrivere"
questo ip x.x.x.x nel router o cos'altro?
2) la macchina linux che contiene il programma nel quale si vuol entrare,
non contiene nient'altro eccetto il programma in questione. quindi niente
porte 21,23,80 etc. aperte. in tal caso è necessario comunque mettere un
firewall? è meglio software o hardware?
grazie a tutti x le risposte.

Sicuramente devi mettere un firewall.
Soprattutto se c'è un gestionale dietro al router.
Intanto potresti blindare la macchina linux del gestionale con IPTABLES e
già adotti un sistema FW integrato nel gestionale.
E' consigliabile tuttavia inserire un dispositivo attivo tra il router e la
lan che faccia SOLO da FW.
Se hai un PC vecchio, un P300 è piu' che suff, puoi installare linux e
configurarlo come firewall di 1° livello con IPTABLES e Portsentry o Snort.
Saluti
--
________________________
www.fireone.it

 firewall? è meglio software o hardware?
Uno che supporti la DMZ e' essenziale, in modo da lasciare il server del 
gestionale al di fuori della rete locale.
Il resto... questione di gusti e di esigenze: c'e' chi lo fa con linux 
(hint: smoothwall e' un buon prodotto), chi lo fa con cisco, chi lo fa 
con altro. e no, con Zone Allarm non si puo' fare...
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM950 <<<
 
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

 gestionale al di fuori della rete locale.
non capisco bene questa frase. inoltre, mi rendo conto ora di non aver
considerato un'altra cosa. il pc linux che contiene il gestionale deve
essere utilizzato anche all'interno della lan. quindi o si lavora tutti con
ssh, oppure bisogna fare in modo che la porta telnet sia aperta x la lan, e
chiusa x il rest of the wuord!!
dico bene? o no :(...

 configurarlo.
grazie 1000. credi che tutti i router prevedano questo?... ovvero, potrebbe
capitare secondo te di dover cambiarlo?  solo un'opinione, ora mi cerco la
documentazione..
(è uno zyxel 300)
grazie ancora

 chiusa x il rest of the wuord!!
la DMZ serve proprio a questo.
La DMZ e la LAN sono due reti fisicamente separate. Una ad esempio 
dovrebbe avere indirizzi 
192.168.1.0/24
, l'altra 
192.168.2.0/24
Il firewall/router deve essere l'unica porta di accesso fisica tra le due 
(quindi, trattarsi di un sistema con due schede di rete piu' l'accesso ad 
internet, che qui consideriamo una terza interfaccia).
Copito del FW sara':
	- Permettere alla LAN di accedere ad Internet e alla DMZ
	- Permettere ad internet di accedere alla DMZ solo attraverso 
		le porte programmate e necessarie (e solo quelle) tramite
		dst NAT/PAT 
	- Impedire ad Internet di accedere alla LAN 
	- Impedire alla DMZ di accedere alla LAN.
	- Impedire tutto quanto non specificatamente permesso dalle regole
		soprastanti.
Il FW dovra' fare Stateful Inspection, in modo (ovviamente) da 
semplificare permettere le comunicazioni gia' instaurate.
Su questa topologia di base si possono creare varianti (nel mio caso, 
pensavo ad una terza rete che permetta un accesso ultra-controllato ad 
internet da parte di eventuali workstation "ospiti".


 	- Impedire alla DMZ di accedere alla LAN.
Uhmmm... 
      - Permettere alla DMZ di accedere ad internet solo attraverso
            le porte programmate e necessarie (e solo quelle) tramite
            src NAT/PAT
Che ne dici?
Fabio

 Che ne dici?
Credo sia un caso particolare, in quanto serve 
	- se la DMZ ha bisogno di iniziare connessioni con altri server 
		fuori dalla propria "zona"
	- nei casi in cui il protocollo preveda l'inizio di una nuova
		connessione su una nuova porta da parte del server
		(tipo ftp). anche qui, solo se il FW non e' in grado 
		di capire da se che si tratta di una connessione
		"RELATED" (tanto per usare un termine caro a iptables).
Comunque, si.
Doveroso che le porte siano solo certe e non tutte (trojan horses, DDoS, 
eccetera)


 internet, che qui consideriamo una terza interfaccia).
uhm.... dimmi se ho capito bene.
un server con 2 schede di rete e un router/firewall. una scheda che lo rende
parte della lan, il router/firewall che lo fa uscire, e un'ulteriore scheda
x connessioni remote ?

 da modificare in static assegnando l'indirizzo IP, credo / spero.
preciso.
tnx a lot of very much bacio le mani.

 Allarm non si puo' fare...
ma nemmeno se metto un client w98 con una scheda ethernet ed una netbeui
con za davanto ad un winme con blackice con il netstat attivo? 
un mayhem che non ha saputo resistere
-- 
Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
SPP  wpage: 
http://www.spippolatori.com
Hacklab VR: 
http://www.m2net.it.eu.org
Remove ME to reply

> Tu vuoi gestire un gestionale in remoto? auguri..
non lo voglio gestire, ci voglio lavorare da casa se sono impossibilitato a
venire in ufficio..

 soprastanti.
happycactus.
scusami se rompo e libero di ignorarmi.
diciamo che ho 3 pc in lan. 10.1.1.1 , 10.1.1.2 , 10.1.1.3. escono con un
router 10.1.1.5.
il pc linux 10.1.1.1 che contiene il mio gestionale ha aperte porte di
default 21 22 23 80.... sicuro la porta telnet perchè i 2 client fanno
telnet su di lui.
ora io decido di farmi l'ip statico 190.191.192.193. configuro il router in
modo che "esca" con quell'ip e faccia nat con la porta ssh del pc 10.1.1.1.
Port #         IP  Address
                    ------       ---------------
                   1.Default       0.0.0.0
                   2.  22          10.1.1.1
da casa mia faccio ssh su 190.191.192.193 , mi connetto alla porta ssh del
pc internamente conosciuto come 10.1.1.1 e uso rsa e pasphrase.
qual'è il pericolo SERIO senza parlare di scenari apocalittici che corro se
non metto un firewall?
grazie a chiunque mi risponderà

 non metto un firewall?
A parte il fatto che non so quanto lo zyxel solo soletto sia in grado di 
filtrare i pacchetti (ad esempio, filtra i pacchetti con option di source 
routing? no, non e' una domanda a te direttamente, ma una retorica...) la 
necessita' della DMZ nasce dal fatto che devi limitare i danni nel caso 
in cui un sistema direttamente esposto venga compromesso. 
Immagina solo cosa potrebbe fare un attaccante che sfrutti un baco del 
server SSH dell'host 10.1.1.1. Una volta "preso" quell'host, ha via 
libera a tutta la rete interna. 
Un primo punto di difesa e' appunto mettere l'host sulla DMZ. In tal modo 
egli non ha accesso alla rete interna, dove idealmente sono posti i dati 
piu' delicati. Per accedere alla lan l'attaccante dovrebbe essere in 
grado di manipolare il router, ma si spera che tale router non sia in 
alcun modo accessibile ne' dalla DMZ ne', tantomeno, da internet.


 x connessioni remote ?
No: Una scheda di rete e' connessa con la LAN, un'altra con la DMZ (che 
in pratica e' un'altra LAN composta solo da server accessibili da 
internet) e la terza collegata ad internet (quest'ultima in senso lato: 
puo' anche essere la seriale cui e' connesso il modem, in tal caso ci si 
riferisce al "driver" che ti fa vedere il modem...)
L'eventuale firewall e router sono connessi a quest'ultima, in cascata. 
Il pc cosi' configurato puo' fare da firewall, anzi, spessissimo lo fa, e 
nient'altro. Non fornisce servizi, non e' usato in locale. Come se fosse 
una scatola nera, un deviatore di flussi e basta.
