Newsgroup: it.comp.sicurezza.varie
Titolo: Ennesima richiesta di aiuto su config. firewall

Lo so, se ne e' gia' parlato mille volte, ma non riesco a trovare una
soluzione.
Si tratta di un Broadband Router Wireless commercializzato da GetNet con il
nome di AP Router, ma in pratica e' il BR6104WB della Edimax.
Il router e' collegato ad un PC con win e uno con linux e si occupa di
tirare su la connessione ADSL e di fare da firewall.
E' proprio la configurazione del firewall che mi crea qualche problema.
Partiamo da un bel reset e dai parametri di default per il firewall (che
quando uno non sa dove mettere le mani, di solito sono i migliori - prima di
fare danni).
Sul PC con win gira un P2P, ovviamente ho configurato il NAT sul router e
tutto funziona egregiamente, sia il P2P che la navigazione con Explorer o
con Netscape.
Dopo un tempo random, le connessioni sul P2P iniziano a cadere, si perde la
connessione con i server e sia explorer (da win) che netscape (da linux) non
sono piu' un grado di navigare, outlook non si connette ne per la posta ne
per i newsgroup.
Apparentemente sembra che il DNS non risponda piu' alle richieste (classica
schermata di explorer o di netscape quando la connessione e' down) pero' il
ping verso l'IP del DNS risponde normalmente.
Una cosa strana alla quale non riesco a dare spiegazione invece e' questa:
al ping 
www.google.it
 quando tutto funziona risponde l'IP 66.102.11.104,
mentre quando la connessione e' un questa specie di limbo, al ping
www.google.it
 risponde l'IP 212 ... e qualcos'altro che adesso non ho qui.
Se entro nella configurazione del router e disattivo il firewall (cosa che
non e' il massimo per la sicurezza), tutto immediatamente riparte alla
perfezione, se lo riattivo si torna allo stato precedente, tutto fermo.
Unica alternativa: mandare un reset al router e tutto riparte ottimamente,
ovviamente fino al prossimo blocco che inevitabilmente si ripresentera'.
Il security log del router non mi dice molto, mi segnala tutte le
connessioni alle porte configurate NAT (4662-4672-6699-6257) e una cosa che
le mie scarse competenze in materia non mi permettono di identificare;
qualcosa che ha a che fare con TYPE 5; CODE 5 (non ho qui il log ma non ci
metto molto a postarlo piu' tardi).
Credo a questo punto di poter supporre che il firewall abbia qualche
contatore che si incrementa fino ad un certo punto, dopo di che sbarra la
strada a tutto, oppure che qualche tentativo di DoS lo mandi totalmente in
palla !
Il router ha il DHCP disabilitato (i PC hanno IP statici) e la WLAN
disattivata (la attivo solo se mi serve), unico parametro che ho cambiato
dalla configurazione di default del firewall: ho attivato la disabilitazione
della risposta al ping dall'esterno.
E' sicuramente un problema legato al firewall, ma dovuto a tentativi di
intrusione vari ed assortiti prontamente bloccati oppure ad una
configurazione non ottimale dei parametri ?
Un check tramite Shields Up dice che la configurazione e' ottima, tutte le
porte testate risultano essere stealth.
Se qualcuno ha qualche idea in proposito ???
Mille grazie !
Ciao

ed ecco una paio di estratti dal log del router:
05/11/2004  20:04:56 **smurf** 83.33.61.0, 4252->> 192.168.2.100, 4672
e questa dovrebbe essere una normale connessione alla porta del P2P con
l'indirizzo IP statico del PC
05/11/2004  20:00:55 **IP Spoofing** 127.0.0.1, 80->> 82.50.3.133, 1806
questa invece qualche buonanima me la dovrebbe spiegare !
(82.50.3.133 ovviamente e' l'IP dinamico che avevo in quel momento)
05/11/2004  19:42:51 **ICMP Redirect from WAN** 217.216.40.3->> 82.50.3.133,
Type:5, Code:5
anche per questa non ho spiegazioni
05/11/2004  19:11:04 **IP Spoofing** 127.0.0.1, 80->> 82.50.3.133, 1262
05/11/2004  19:07:40 **IP Spoofing** 127.0.0.1, 80->> 82.50.3.133, 1373
come sopra ...
05/11/2004  18:43:51 **SYN Flood** 192.168.2.100, 2262->> 68.40.126.189,
4662
credo connessione in uscita del P2P
05/11/2004  18:00:16 **ICMP Redirect from WAN** 80.28.250.121->>
82.50.3.133, Type:5, Code:5
Mah ????
Riprovato il ping su 
www.google.it
, stesso risultato, quando non funziona mi
pinga su 216.239.59.104 oppure su 216.239.59.99 (controllati con whois
appartengono correttamente a google ma la pagina comunque non si apre)
mentre quando funziona pinga su 66.102.9.104.
Infine, piccola precisazione, i link P2P che sono attivi, restano
funzionanti fino a che non esauriscono i dati da scambiare, ovviamente tutte
le code vengono azzerate e nessuna nuova connessione riesce a partire.
Se qualcuno a voglia di perdere 5 minuti per darmi qualche idea ....
Grazie
Ciao

OK ... ricevuto il messaggio!
1) Ho comprato un router che nessuno conosce
2) Sono lunico che ha questi problemi
3) Ci sarebbe un router seminuovo in vendita, bisogna resettarlo ogni 3 o 4
ore oppure non utilizzare il suo firewall intergrato, ma per il resto va che
e' una meraviglia
Saluti

 e' una meraviglia
Quotazioni? :-)
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

> Quotazioni? :-)
Mah .. e' ancora in garanzia.
A quanto pare questi problemi sono legati ad attacchi provenienti
dall'esterno, ma evidentemente il firewall non reagisce bene, ho contattato
il mio abituale fornitore di hardware e questa sera lo porto da lui per un
"test" approfondito, se continua a dare questi problemi me lo faccio
sostituire, non vorrei mai che il guaio fosse hardware ed a quel punto ci
sono ben poche configurazioni del firewall che possano reggere :-))
(potrebbe anche trattarsi di un problema al firmware)