Newsgroup: it.comp.sicurezza.varie
Titolo: Con un router firewall bisogna chiudere certe porte?

Ho un router DLink 604T col firewall attivato. Se faccio dei test online le
porte risultano tutte "stealth" (quindi non chiuse ma nascoste). Mi chiedevo
se c'è la necessità di chiudere determinate porte sul router (in caso
affermativo, come faccio??) magari per bloccare eventuali pericoli in rete
oppure se basta lasciare tutto così.
Grazie raga
 
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 tutto così. 
Mah, normalmente io lascio aperte solo le porte su cui ho attivi dei 
servizi o comunque quelle strettamente necessarie e tendo a chiudere 
tutto il resto.
-- 
PELLICCE: 
http://www.strasbourgcurieux.com/fourrure/spanish.php
DOG CONNECTION: 
http://www.randagismo.info/traffici/
Contro i TRAFFICI di animali: 
http://www.bairo.info/traffici.html
LABORATORI CRIMINALI: 
http://www.laboratoricriminali.cjb.net/
------------------------------------------------------------------
* X-Privat NNTP and MAIL services: 
http://www.x-privat.org
 *

 se c'è la necessità di chiudere determinate porte sul router (in caso
Solitamente su un router le porte sono tutte chiuse e devi 
VOLONTARIAMENTE aprirle per usare i servizi di cui necessiti...
-- 
IBM: Idiots Built Me
News 2000 [v 2.06] / StopDialer / PopDuster - 
http://www.socket2000.com
Akapulce portal: 
http://www.akapulce.net

 porte risultano tutte "stealth" (quindi non chiuse ma nascoste). Mi chiedevo
Se sono stealth sono gia' "chiuse" nel senso che intendi tu ;-)
Fabio

 VOLONTARIAMENTE aprirle per usare i servizi di cui necessiti...
rotfl
-- 
Ciao, Dmitry
X-Privat F.A.Q. : 
http://www.x-privat.org/faq.php

 rotfl
Il router fa il router, di mestiere.
Per "aprire" una porta (che nella fattispecie equivale a fare un port
forwarding, ndr) si presume che qualcuno glielo "comunichi" esplicitamente.

 forwarding, ndr) si presume che qualcuno glielo "comunichi" esplicitamente.
in un router si parla, lo dici tu stesso, di port forwarding e di nattare, 
non di aprire una porta. Mi sembra sia più una terminologia da Firewall che 
da router o no?
tanto è che non si considerera un NAT un firewall. Secondo me, genera 
confusione come terminologia, poi vabè ..


 forwarding, ndr) si presume che qualcuno glielo "comunichi" esplicitamente.
Credi che capisca? Ora vedrai, si attaccherà al port forwarding, che 
manco sa cosa sia, senza stare a pensare che per forza di cose il 
pacchetto in arrivo dovrà per forza *bussare* alla porta del router e
non a quella del client... LOL.
-- 
And on the seventh day, He exited from append mode.


 da router o no?
Ora gentilmente dovresti sollazzare il pubblico spiegando agli 
astanti come funziona il port forwarding su un router. Ti aiuto... Il
router è un accrocchio elettronico solitamente connesso direttamente 
ad internet che si incarica di smistare i pacchetti tcp/ip ai/dai 
vari client NON connessi direttamente ad internet... Poi spiega 
(rotfl) agli astanti come fa il router a gestire una regola di questo
genere visto che a tuo dire *non ha porte*:
80 > 
192.168.0.100:8080
-- 
Close your eyes and press escape three times.


 80 > 
192.168.0.100:8080
sei uno spasso. Anche e non concesso che potessi non saperlo, basterebbero 10 
secondi di google per riempirti lo schermo di fregnaccie su come funziona un 
port forwarding. Però il problema è un altro.
Se lo scopo di un router è di smistare dei pacchetti, lo scopo del NAT 
(quello che tu chiami rozzamente chiudere e aprire una porta, lol) è quello 
di nascondere indirizzi ip privati all'esterno e nel contempo (ma è una 
logica conseguenza) condividere un unico indirizzo IP pubblico su N macchine.
L'alternativa sarebbe comprare dal tuo ISP un pacchetto multi-ip, decisamente 
più oneroso. Dio ce ne guardi da che tu possa offrire servizi pubblici che 
non siano il tuo lavoro nella RL (cit).
Che poi tu lo chiami aprire una porta  a me sta anche bene, tanto che sei un 
pò stupidello si sa..
Qui a casa non ti avevo ancora inserito nel killfile, provvediamo 
fessacchiotto.


> 80 > 
192.168.0.100:8080
-- 
No extensible language will be universal.  - T. Cheatham


 fessacchiotto.
Patetico... Prima, quando hai rotflato (senza renderti conto di farci
la figura del pesce lesso) non ero ancora degno di entrare nel tuo 
penosissimo kill file, ora invece sě, visto che mi sono permesso di 
palesare la tua ignoranza e pressapochismo in materia? Che tempra...
-- 
IBM: Insanely Better Marketing


 oppure se basta lasciare tutto così.
"stealth" è meglio di "closed" perchè significa che il firewall fa
bene il suo lavoro.
"stealth" significa che al tentativo di connessione non c'è stata
alcuna risposta, esattamente come se quell'indirizzo fosse down.
"closed" significa che al tentativo di connessione su quella porta il
sistema ha rifiutato esplicitamente la connessione e l'aspirante
intruso ha ricevuto il rifiuto. E' l'effetto che hai quando provi la
connessione su una macchina senza firewall e su una porta dove non c'è
niente in ascolto.
In pratica, se un malintenzionato ti pinga su una porta e la trova
semplicemente chiusa, ha due informazioni:
1 - che esisti
2 - che potresti essere vulnerabile su un'altra porta

 *x la serie: no killfile*
x la serie: usalo tu.
E impara a quotare.
-- 
An algorithm must be seen to be believed.  - D. E. Knuth
News 2000 [v 2.06] - 
http://www.akapulce.net/socket2000

 Dmitry ti ha messo nel kill file, io sono il prossimo!!!
Un altro che non ha capito come funziona il kill file... Avanti il 
prossimo.
-- 
The steady state of disks is full.  - Ken Thompson


 alcuna risposta, esattamente come se quell'indirizzo fosse down.
Non proprio. 
Se l'host fosse effettivamente down non risponderebbe alle arp
request del router e quest'ultimo ritornerebbe un unreachable.
Non vedere niente e' un possibile sintomo che, forse, qualcosa
c'e', ma il traffico viene filtrato.
Fabio

 diverse.
Beh, il port forwarding è un mapping di una tripletta
indirizzo/protocollo/porta su un'analoga tripletta ed 
è quindi un NAT in senso esteso.
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 request del router e quest'ultimo ritornerebbe un unreachable.
Vero, ma nel mondo delle RFC, dove non c'è gente che filtra
icmp sempre e comunque, sia in ingress che in egress...:-/


 icmp sempre e comunque, sia in ingress che in egress...:-/
E' per questo che sono stato possibilista :-)
Fabio  << possibile sintomo che, forse >>

 è quindi un NAT in senso esteso.
Non sono la stessa cosa, suvvia. Il NAT continua ad esistere 
automaticamente per le richieste in uscita, senza dover aprire un 
port forwarding esplicitamente. Il port forwarding serve solo quando 
uno dei client connessi DEVE fare da server verso l'esterno.
-- 
Structured Programming supports the law of the excluded muddle.


 OpenBSD, ad esempio:
Anche su linux, del resto.
iptables -t nat -A PREROUTING $args -j DNAT
si usa sia per un destination nat 1:1 o per nattare solo un protocollo,
solo una porta di un  protocollo ecc.
(il connection tacking provvede ovviamente a nattare opportunamente
i pacchetti di risposta)


bio ha scritto:

Mi riferivo solo all'effetto del tentativo di connessione su quella
porta.

 
Lascio al resto del thread lo sbrogliare la matassa del sottile
confine che separa da un punto di vista semantico un router da un firewall
da un NAT da un PAT. Io dico solo che se la stessa scatola fa da router, 
packet filtering, Network Address Translation e Port Translation allora è
router + firewall + NAT + PAT) e possiamo chiamarlo router e vivere felici,
basta poi sapere di cosa stiamo parlando.
Premetto che non conosco il DLink 604T nello specifico, quindi non so dirti
se ha tutte le funzionalità che ti servono e se le ha quali comandi dovrai
usare (come dicono oltre oceano: When everything else fails read the
freaking manual..."). :-)
Di solito, comunque, lasciare le porte in stealth va più che bene. Inoltre
di solito un firewall permette di definire una POLICY generale che può
essere di tipo FORWARD (fai passare se non ti dico altrimenti), DROP
(ignora -senza avvisare la controparte- se non ti dico altrimenti), DENY
(rifiuta -avvisando la controparte- se non ti dico altrimenti) e poi vai a
definire per protocollo e per porta le regole specifiche.
In altre parole puoi dire DROP tutto tranne quello che ora ti dico io,
oppure FORWARD tutto tranne quello che ora ti dico di DROPpare io. Questa è
l'idea generale. Di norma dovresti avere tutto chiuso o stealth in ingresso
e non sarebbe neanche una cattiva idea (se sei in "paranoid mode") anche in
uscita lasciare aperto solo quello che è strettamente necessario e
sufficiente (ma a volte non è banale definirlo).
-- 
AB

 
Ora, non che mi faccia piacere dare ragione a Due di Picche con cui ho
peraltro recentemente chiuso una piccola polemica su un altro thread  e che
continuo a trovare sempre un po' troppo battagliero :-) , ma tecnicamente
ha ragione: fare routing è una cosa, fare packet filtering è un'altra
(firewall), fare NAT un'altra, fare PAT un'altra ancora. Poi possiamo
combinare tutto in una sola scatola e chiamarla come vogliamo, ma sono
funzionalità distinte.
Il post originale del thread non meritava lo scatenarsi di questa battaglia
semantica, anche perchè dubito che abbia aiutato il poster originale a
togliersi qualche dubbio (semmai glieli ha aumentati...). 
Su ragazzi... perchè non riusciamo a rispondere ad una domanda senza
polemizzare fra noi esperti, o presunti tali, su questioni estetiche e
semantiche? Non sarebbe più interessante (per noi stessi e per chi non si
ritiene esperto e ci segue) confrontarci su questioni di fondo e di
contenuto? Questo non vuol dire che dobbiamo essere d'accordo, sai che
noia, anzi!  
-- 
AB

 fare NAT un'altra, fare PAT un'altra ancora.
Dissento, è solo questione di implementazioni.
Su Linux, ad esempio, DNAT è tale per singole porte, singoli protocolli
o nat 1:1, come già detto, del resto.

 solo tu...
c'entra eccome. Se hai dei server, poniamo 3 , se hai un solo ip pubblico e 
non fai NAT non potrai mai metterli in rete. Ti servirebbero 3 indirizzi ip 
pubblici che il tuo  ISP ti dovrebbe assegnare (per tuta informazione di 
solito le subnet si acquistano a multipli di 8 e costano cari).


 non fai NAT non potrai mai metterli in rete. 
E cosa ha a che vedere ciò con la domanda del tizio? Cmq in molti 
casi puoi farlo ugualmente... Metti i servizi su porte diverse, come 
spesso fanno alcuni server per gaming online.
-- 
No program done by a hacker will work unless he is on the system.


whiplash wrote:

Guarda che non diciamo cose molto diverse. Certo che puoi integrare
firewalling, NATting a PATting nella stessa implementazione come per
esempio in Linux (IPTABLES docet). Ciò non toglie che le funzionalità di
NATting e di PATting siano state pensate per due scopi diversi, seppur
possano venire usate insieme nello stesso strumento quando necessario, ma
in questo caso tutto ciò non serve gli scopi del poster originale che si
chiedeva se e quali porte chiudere in ingresso del suo firewall.
Tutto qui. Non è questione di chi abbia ragione o torto o di chi la "sappia
più lunga" o di chi "sia più bravo". L'importante è capirsi e non generare
confusione in chi fa domande semplici e forse non è in grado di seguirci in
questi esercizi semantici.
-- 
AB

 NATting e di PATting siano state pensate per due scopi diversi
Pensa la cosa in termini insiemistici.
Il PAT è un sottoinsieme (proprio) del NAT.
Oppure in termini funzionali: il PAT è un restrizione della
funzione NAT, ovvero il NAT è una generalizzazione della funzione
PAT, se credi.

 PAT, se credi.
Io la vedo cosě: il port forwarding su un router *non č* il NAT del 
router, ma una regola ben precisa da applicare al natting.
-- 
IBM: I'll Buy Macintosh


 genere visto che a tuo dire *non ha porte*:
Nono aspetta... non e' proprio esatto: il ROUTER puro e' un' aggeggio
elettronico dotato di sw (firmware nella fattispecie ma oramai non
c'e' molta differenza nel significato, almeno nel nostro caso) che
funziona *SOLO* a livello 3 ovvero IP e a questo livello NON esistono
porte (che esistono solo a livello 4 TCP), tant'e' vero che i
protocolli di routing NON toccano il livello tcp; POI e
aggiuntivamente nei routers vengono messi altri sw che si occupano di
gestire, in combinazione, le connessioni TCP e gli indirizzamenti ip
(ip e' un protocollo NON connesso, quindi niente porte) ma ripeto,
questo non e' opera del ROUTING.
In conclusione e' fondamentale distinguere le 2 funzioni: Routing e
Firewall.
Quanto al NAT, e' qualcosa di ancora diverso: non so se sia fatto
attraverso il sw di Firewall ma e' probabile che lo sia anche perche'
di fatto con iptables (che e' un firewall e che molti router hanno
implementato, anche se non lo dicono esplicitamente) e delle opportune
regole si fa il NAT, tuttavia anche il NAT puro opera solo sugli IP
(Source Nat) mentre con il PORT Forwarding (o anche Dnat) si vanno a
toccare le PORTE TCP o meglio il sw apre il pacchetto IP e ficca il
naso anche negli headers TCP ma questo NON e' routing, perche' i
protocolli di Routing non fanno ASSOLUTAMENTE NAT e non si occupano
delle porte TCP.

 questo non e' opera del ROUTING.
oh oh, cadranno le piccole certezze di Giulietto.


 toccare le PORTE TCP
Il DNAT è il simmetrico del SNAT, in verità ti dico.
