Newsgroup: it.comp.sicurezza.varie
Titolo: domanda newbie sui firewall

Ciao,
scusate la domanda lunga e da principiante ma sono al mio primo firewall.
Mi e' stato richiesto firewall (anche commerciale) con le seguenti
caratteristiche.
1)IP packet filtering statefull
In questo modo se non sbaglio posso analizzare ed eventualmente fermare i
pacchetti IP in base al protocollo(TCP, UDP, ICMP, IGMP), la porta usata e
(grazie allo statefull control) anche le regole per la "direzione" del
filtraggio (regole di filtraggio che distinguano tra "source" e
"destination" in base sia all'IP address che alla porta usata dal
protocollo)
Il firewall dovrebbe anche essere in grado di bloccare il source routing e i
pacchetti frammentati
Con queste caratteristiche, se non vado errato, dovrei riuscire per esempio
a bloccare in ingresso qualsiasi richiesta HTTP (pacchetti TCP, porta 80 in
ingresso) mentre gli utenti della mia LAN potrebbero tranquillamente uscire
coi i browser web
2)NAT
Qui le cose si complicano, perche' oltra al classico NAT dinamico, mi
servirebbe anche la possibilita' di gestire due diversi ISP.
In pratica dopo aver dato IP privati alla mia LAN, vorrei che il firewall
indirizzasse alcuni di questi indirizzi su un gateway (e quindi sul primo
ISP) e altri su un altro (ISP numero due), scelti da me ovviamente.
3)In aggiunta a tutto questo mi servirebbero delle funzionalita' proxy
(trasparenti) .
per i protocolli almeno per i protocolli piu' diffusi
Grazie a chi vorra' rispondermi.
Filippo

 ha scritto nel messaggio
news:9so3t0$c4g$1...@fe1.cs.interbusiness.it...


la soluzione che ti prospetto si chiama linux con kenel 2.4 o (meglio)
openbsd. a quello dei due che sceglierai aggiungi squid e sei a posto.
l'alternativa si chiama cisco pix + websense + cisco acs. un 50 milioni
cosi' occhio e croce. per un server come sopra descritto bastano quei 5
milioni giusti giusti. poi per i costi di installazione non credo siano
molto diversi. ricorda che pix lavora in hardware, quindi molto veloce, ma
fa solo quello. openbsd e' general pourpose, quindi fa tutto quello che
vuoi, come vuoi tu. e questo potrebbe essere un grosso problema :DDDDD
circa lo stateful inspect hai le idee un po' confuse. quello che tu descrivi
si chiama packet filter. lo s.i. tiene una tabella dei pacchetti che escono
dalla tua lan verso internet e permette alle risposte, e solo a quelle di
rientrare. quindi un pochino piu' complesso perche' si arrangia da solo a
decidere che fare :)))
un mayhem che piu' usa obsd, piu' se ne innamora :)))
--
"il dubbio non e' un crimine, semplicemente una ragionevole alternativa alla
tirannia"

Mayem dimmi dove ti fanno usare questi sistemi operativi che vengo li a
darti una mano, schiavo per GPL a pagamento.
:-)
ueeeeeeeeeeeeeeeeeeeeeeee mi fanno usare lo
winzozz......ueeeueehhhhhhhhhhhhh

Grazie per tutto quello che dici.
In cosa non vanno bene invece prodotti meno esotici di linux e openbsd, ma
magari non cari quanto ciscopix, tipo:
1)Watchguard Firebox
2)Sonicwall
3)Checkpoint Firewall -1
4)Netguard Guardian NCC
5)Axenx Raptor
Che costano, ma non arrivano ai 50 milioni?
Grazie ancora.
f.

 darti una mano, schiavo per GPL a pagamento.
e' una ridente azienda nel miracolo del nord-est dove lavoro io e da poco
anche black berry della s0ftpj, dove io e lui ci si occupa di sicurezza e
casini varii. secondo te io e lui proponiamo isa server? :DDD
un mayhem che se vuoi venire schiavo e basta posto c'e' ne :DDDDD


 un mayhem che se vuoi venire schiavo e basta posto c'e' ne :DDDDD
io, se non devo portare macigni con la catena al collo, ci vengo per davvero
eh! :-)
--
    /"\
    \ /     ASCII RIBBON CAMPAIGN
     X        AGAINST HTML MAIL
    / \
                 Ste  -- UTENTE INWIND: INSODDISFATTO!
        Linux User Registered #208536 at 
http://counter.li.org/

 5)Axenx Raptor
non sono una enciclopedia, non conosco tutti questi prodotti. ti posso
parlare con cognizione di causa di openbsd, linux (2.2/2.4), pix, feature
firewall degli ios cisco e fw-1.
questi sono i vendor che mi chiedono di supportare in giro. gli altri solo
per sentito dire.
comunque guarda qui. inutile dire che le tecnologie migliori, il supporto
migliore (ed in ambito produzione il supporto e' indispensabile) abita nelle
case da me citate.
http://www.idg.se/sartryck/art/firewall1_eng.html
un mayhem che fosse per lui pix e obsd per tutti :DDDD


 io, se non devo portare macigni con la catena al collo, ci vengo per
davvero
no quel posto e' gia' occupato. ci manca quello che si fa divorare gli
intestini da dei rapaci, un poco al giorno.
un mayhem che se ti interessa io non ti prometeo niente!!!


Grazie per la url e per la tua risposta :)
"mayhem" <may...@MEspippolatori.com> wrote in message
news:9su7th$6pd$1...@fe2.cs.interbusiness.it...


Guardian PRO di Net Guard fa tutto quello che richiedi e di più .....
Io mi sono trovato bene !!!
;-)

 intestini da dei rapaci, un poco al giorno.
mmm, mi sembra un ruolo pieno di responsabilità, forse non sono 
sufficientemente preparato... :-)
