Newsgroup: it.comp.sicurezza.varie
Titolo: Consiglio su firewall

Ciao a tutti,
sto mettendo su un piccolo windows 2000 server dove installo server IMAP,
filtro antispam, AV, Backup, e forse anche active directory. Stavo pensando
posso fare funzionare la macchina anche come router firewall per l'accesso a
internet oppure mi conviene usare un'altra macchina. In termini di sicurezza
qual'č la soluzione migliore e perchč. In caso convenisse mettere su
un'altra macchina conviene aggiungere un aggiuntivo firewall software sul
win2000 server???
grazie mille

 aggiuntivo firewall software sul win2000 server???
Ancora una volta, dipende da dove verra' messo il win2000 server e a cosa
servira'. In molte situazioni potrebbe essere inutile IMHO. Considera che
il packet filter nativo di win2000 puo' gia' risolvere un certo numero di
situazioni non particolarmente difficili.
Fabio

situazioni non particolarmente difficili.
E da che dipende se conviene mettere un secondo fw o no? a che servirebbe se
a bloccare il traffico internet ci pensa poi la macchina dedicata????
grazie

 a bloccare il traffico internet ci pensa poi la macchina dedicata????
Dal livello di fiducia nell'utenza interna, fissa o saltuaria, piu' che
altro, insieme al tipo di servizi forniti.
Fabio

 firewall software sul win2000 server???
ARGH :-) !!
Stai mettendo troppa roba su di un solo box, il che
non è esattamente il massimo, specialmente in termini
di sicurezza, visto che alcuni dei servizi che esponi
dovranno (credo) essere pubblicati mentre altri saranno
esclusivamente locali; ora...
l'ideale, se possibile, sarebbe separare (anche fisicamente)
i servizi pubblicati da quelli locali (privati), inoltre per quanto
riguarda firewall/router è buona norma che, se quest'ultimo
viene implementato in software, la macchina che lo farà
girare faccia SOLO quel lavoro; in pratica l'ottimale sarebbe
avere TRE macchine
una macchina che funga da firewall/router e che abbia tre
schede di rete, una per la LAN, una per la WAN e la terza
verso la DMZ, ossia quella porzione di rete "separata"
dove ospitare i servizi pubblici
una seconda macchina che offra i servizi locali (privati)
quali ad esempio ActiveDirectory, FileServer + Backup
ecc... tale macchina sarà collocata sulla LAN
una terza macchina che offra i servizi pubblici come ad
es. e-mail server (con filtraggio antispam), webserver
e così via, quest'ultima andrà collocata in DMZ
Ora.. decidi tu :-)
Ciao
-- 
* ObiWan
Microsoft MVP: Windows Server - Networking
http://www.microsoft.com/communities/MVP/MVP.mspx
http://italy.mvps.org
DNS "fail-safe" for Windows clients.
http://www.ntcanuck.com
Newsgroups and forums
news://
news.ntcanuck.com
http://forums.ntcanuck.com
408+ XP/2000 tweaks and tips
http://www.ntcanuck.com/tq/Tip_Quarry.htm

 
ObiWan e Bio hanno detto quasi tutto. Vorrei solo sintetizzare ed aggiungere
un paio di considerazioni (ed anche in ritardo, avendo solo notato oggi il
thread):
1) Non mettere tutte le uova nello stesso paniere (cioè tutti i servizi sul
win2000 server).
2) Il firewall deve fare solo il firewall. Se cede, cede solo lui e non
esponi i servizi interni.
3) Fra la tua idea di "tutto in un box" e l'ideale (come suggerito da
ObiWan) di una architettura a tre livelli con DMZ c'è sempre un "in medio
stat virtus", che dipende dal vostro modello organizzativo e dalla vostra
infrastruttura tecnologica (e la risposta ve la da un'Analisi di Rischio
come "sfiorato" da Bio).
4) Il firewall per essere utile, una volta configurato deve essere gestito.
Se genera allarmi e nessuno è li ad ascoltare e quasi come non averlo. Di
solito i costi di avere un firewall sono generati dalla sua gestione e non
dagli spiccioli che costa l'oggetto in se stesso.
Ciao,
-- 
AB