Newsgroup: it.comp.sicurezza.varie
Titolo: devo solo uscire!

ciao a tutti.
ho 7,8 pc win in rete. ho sottoscritto un contratto atlanet mega via voce
(ip fisso) e mi hanno dato un alcatel speed touch 710 pots in comodato
d'uso.
la mia necessità è ESCLUSIVAMENTE di navigare in internet da ogni pc.
basta.
niente web server, ftp server, posta, accessi da remoto...
posso impostare l'ip sul router, attaccarlo all'hub e configurarlo su ogni
pc come gateway o necessito di un firewall?
ripeto, devo SOLO navigare, nient'altro.
grazie

 wrote in
news:9fxv9.47262$
aL4.1...@news1.tin.it
: 

Se hai solo un ip pubblico, non ti basta configurare il router come 
gateway, poiche' i client non possono uscire su internet con indirizzi 
privati. Devi configurare il NAT sul router, cosi' che i client escano su 
internet con l'indirizzo del router, e non con il proprio.
Il firewall, beh, non e' indispensabile ma salutare...
Ma scusa, questi di atlanet non te lo hanno configurato il router! 

 pc come gateway o necessito di un firewall?
imposta il router per fare nat/routing (probabilmente e' gia' ok)
il router fa gia' da firewall scorporando le reti wan e lan (internet
da casa tua) e secondo me e' piu' che sufficiente per un utente
domestico. se presenti, puoi configurare funzioni di filtraggio sul
router (ad es: packet filtering) per una maggior sicurezza ma IMHO ti
complicheresti inutilmente la vita.
-- 
palladium: un nuovo 1984?
http://www.complessita.it/tcpa/
http://punto-informatico.it/p.asp?i=41911

 Ma scusa, questi di atlanet non te lo hanno configurato il router!
si, ma quello che è venuto è tipo l'omino della telecom, che gli dicono
<<fai così>> e lui fa così. punto.
pensa che gli ip fissi sono 8 (costa uguale averne 1 o 8) e l'omino voleva
metterne uno per pc, oltre al router :).
a me di usarli tutti e 8, in questo momento non frega nulla. me ne basta uno
per uscire e non m'importa che entri niente e nessuno. per questo credo di
non aver bisogno di firewall.
io immagino che il router faccia già nat di suo....
grazie

 complicheresti inutilmente la vita.
penso anch'io... grazie per la risposta.
tu lo conosci l'alcatel speed touch 710 pots?

> Il router fa il router.
io ho uno zyxel prestige 300 series.
ha un'opzione firewall setup dove è scritto :
 The firewall protects against Denial of Service (DoS) attacks when
      it is active. The default Policy sets
          1. allow all sessions originating from the LAN to the WAN and
          2. deny all sessions originating from the WAN to the LAN
      You may define additional Policy rules or modify existing ones but
      please exercise extreme caution in doing so
...non è niente di "cazzuto" però per ciò che deve fare.... magari anche
l'alcatel ha qualcosa del genere... forse è poco, ma imho sufficiente per
ciò che gli è richiesto.... :)

 io immagino che il router faccia già nat di suo....
Per configurare il tutto, devi essere sicuro che il router e' configurato 
per il nat, nonche' conoscere l'indirizzo dell'interfaccia interna, che 
sara' il default gateway dei client.
Insomma, devi mettere mano al router (ergo avere la password) e capire come 
e' configurato.
 

 si tratta di 7,8 pc di un ufficio... tra l'altro senza server
IMVHO se non hai particolari segreti da difendere puoi vivere sereno
poi dipende un po' da chi sei, cosa fai e cosa usi. in linea di
massima:
hai un ip statico o dinamico? se fosse dinamico ti basterebbe spegnere
il router la sera in chiusura e riaccenderlo il giorno dopo per avere
un ip nuovo e rendere necessario il tuo rintracciamento ogni giorno
che sistema usi? se multiutente ricorda di dare accessi limitati allo
stretto necessario ai tuoi dipendenti per assicurarti che non
istallino porcate; consigliati linux o win nt/2k con tutti gli utenti
guest o simili disattivi e pass da almeno 8 caratteri alfanumerici per
tutti (accesso root/admin solo a te o a esperti)
che servizi interni usi? netbios (condivisione file e stampanti) o
server samba? sono potenzialmente pericolosi perche' offrono un
accesso e puo' essere sensato proteggerli configurandoli per accettare
connessioni solo da ip interni alla lan (ove possibile) o delegando
questo compito a firewall (es: iptable/ipchains onnipresente sotto
linux)
i dati sensibili sono protetti? usa sistemi di crittazione sicuri tipo
pgp (magari con algortimi open) con chiavi di almeno 2048k. occhio poi
ai programmi che usi che possono contribuire a diffondere
involontariamente dati sensibili: dai file sharing ( ;P ) a bug tipo
l'autosave di word (che potrebbe tenere traccia di parti cancellate
del documento realizzato) o l'active scripting di internet explorer
(che permette addirittura di eseguire codice arbitrario sulla
macchina)


 e' configurato.
infatti non natta una mazza!
il router ha ip fisso 62.x.x.x e subnet 255.255.255.248.
la mia lan ha ip privati 192.168.1.1 e così via..  con subnet 255.255.255.0
come si fa a fare nat con le subnet che sono diverse?

 macchina)
l'ip è statico, ma lo scenario che proponi è tanto più in alto della mia
portata.
io devo far si che i miei pc navighino. punto e basta.
lan ---> wan SI
wan ---> lan NO.
ora, l'ip è 62.x.x.x con subnet 255.255.255.248
i miei pc sono 192.168.1.1 ecc.. con subnet 255.255.255.0
che faccio, oltre a diventare ot ? :)

 lan ---> wan SI wan ---> lan NO.
in teoria basta non fare forward di porte e dal momento che non lo fai
ho detto che il router da solo gia' potrebbe bastare. tuttavia questo
non significa sicurezza 100% ma solo che l'attaccante dovra' essere
veramente interessato e saperne un po' di piu' dei soliti wannabe col
portscanner h4k3r
quindi valuta tu razionalmente se prendere o meno ulteriori misure
(i suggerimenti comunque sarebbero utili per preservare i sistemi da
uso improprio di segretarie pasticcione e tenere i dati lontani da
sguardi indiscreti durante la pausa caffe')


 ha un'opzione firewall setup dove ? scritto :
Allora non è solo un router, è anche un firewall.
-- 
Ciao da Villo  -  GPG public key available

 per questo credo di non aver bisogno di firewall.
Questa affermazione è parecchio opinabile...


 Questa affermazione è parecchio opinabile...
perchè dici ciò....
grazie

 Questa affermazione è parecchio opinabile...
a questo punto non son più sicuro di niente. è così facile bucare il router?

 a questo punto non son pi? sicuro di niente. ? cos? facile bucare il router?
Non si tratta di bucare il router, si tratta che anche se natti, c'è la
possibilità di effettuare un attacco ad una delle macchine nattate.
Con un firewall blocchi tutto: al limite ti faranno un DOS, non potrai
navigare, ma non riusciranno a raggiungere una delle macchine nattate.
Sempre che il firewall sia configurato bene.
-- 
Ciao da Villo  -  GPG public key available
                  Ferrara LUG 
http://ferrara.linux.it

 mio score file :)
Perché? :-O


 Perchè era un pò che non leggevo post interessanti :)
Però queste dovrebbero essere le basi di qualsiasi velleità di firewalling.
Sono le cose che si capiscono appena si inizia a leggere qualcosa.


 router.
Se il provider gli ha datto 8 indirizzi lui potra' usarli solo per
5 macchine. Un indirizzo e' del router, uno e' l'indirizzo di rete
e un altro e' l'indirizzo di broadcast.
Fabio e la matematica applicata alle reti tcp/ip


Si, che poi se il provider mi da 8 indirizzi mi aspetto che me
li dia *utilizzabili*, per cui alla fine mi sa che otto sono ed
otto saranno utilizzabili :-)

 otto saranno utilizzabili :-)
E' molto (molto) difficile. Un provider ti da una classe di indirizzi
con una maschera di rete. Per darti 8 ip ti da una maschera a 29 bit,
con le ovvie limitazioni di cui ho parlato. Per avere 8 indirizzi che
puoi effettivamente utilizzare dovrebbe assegnarti una mask da 28 bit
che, pero', rende disponibili 32 indirizzi totali. E gli altri 26 che
li usa a fare? Li spreca? Te li offre a prezzo stracciato? :-) Se chi
ha scritto (pollod?) posta gli indirizzi che gli sono stati assegnati
vedrai che le cose stanno cosi'. L'alternativa sarebbe un'eccessiva e
inutile complicazione del routing.
Fabio


Giusto.
Non sarebbe logico, come diceva un noto vulcaniano :-)
Danny che ha fatto i conti senza l'host

 In questo modo hai la possibilità di mettere sette macchine direttamente in
Meno, meno, ne puoi mettere cinque.
-- 
          |Save our planet!
   Ciao   |Save wildlife!
  roberto |For your E-MAIL use ONLY recycled Bytes  !!
          |roberto poggi   
rpo...@softhome.net

 Perché? :-O
Su Hamster i valori positivi nello scorefile indicano quanto e' buono un
messaggio con certe caratteristiche (mittente, subject, ...), i valori
negativi indicano quanto e' cattivo. Si va da -9999 a +9999. +2000 ti
colloca fra i buoni ;-)
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 144WU/7995hrs on a P166MMX :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 Su Hamster i valori positivi nello scorefile indicano quanto e' buono un
Cos'č hamster?


 e un altro e' l'indirizzo di broadcast.
Tu non hai mai visto contratti Fastweb con assegnati 4 ip pubblici non 
contigui, vero?
In generale hai ragione, dipende da *COSA* gli hanno assegnato.


 Cos'è hamster?
Un news server per windows.
-- 
Ciao, Fabrizio
"Gli scienziati appena appena decenti servono a permettere ai grandi 
 scienziati di avere il tempo per fare grandi scoperte."(S. Caldana,it.fan.culo)


" Ho visto cose che nella vostra vita non potete neanche immaginare"
Danny e il panino al crudo :-)

 contigui, vero?
Fastweb ha una struttura di rete che consente di gestire queste
situazioni con maggior flessibilita' (e' una enorme lan ethernet).
Non penso che altri provider possano/vogliano gestire le complessita'
legate a questi aspetti sulla loro infrastruttura di rete. In ogni
caso se gli hanno dato un router con un indirizzo pubblico e 8 ip, 
quello sara' l'indirizzo del'interfaccia ethernet interna. I client
dovrebbero avere una configurazione pazzesca per poter uscire, se 
non avesse una maschera di rete a 29 bit. E non ho mai visto nessun
provider fornire accessi di questo tipo.
Poi, come dice danny, ne abbiamo viste di cose che voi umani... :-)
Fabio

 Poi, come dice danny, ne abbiamo viste di cose che voi umani... :-)
Ne ho viste, ne ho viste, specialmente con gli operatori mobile.


Almeno ci avessero portato la fibra: no, 2 Mbps su HDSL (rame).
flat o consumo? (mi auguro la prima).
-- 
echo '16i[q]sa[ln0=aln100%Pln100/snlbx]sb20293A2058554E494Csnlbxq'|dc
Maurizio - Tannoiser - Lemmo
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

 Con relativo costoso upgrade dell'IOS.
Obbligato in che senso? Per contratto?
Fabio

 flat o consumo? (mi auguro la prima).
Flat.
A consumo ci sono due accessi base ISDN, 4 linee voce per l'ufficio.
-- 
Ciao da Villo  -  GPG public key available
                  Ferrara LUG 
http://ferrara.linux.it

 Obbligato in che senso? Per contratto?
No: semplicemente hanno configurato il loro router in questo modo, ed il
nostro o lo configuravamo così oppure non riuscivamo ad accedere al loro
SMS-C.
E non c'è stato verso di fare altrimenti.
-- 
Ciao da Villo  -  GPG public key available
                  Ferrara LUG 
http://ferrara.linux.it

 Con relativo costoso upgrade dell'IOS.
               ^^^^^^^^^^^^^^^
Magari e' qui il busillis. :-)


 Fanno un po' troppi pasticci, per i miei gusti...
NNTP-Posting-Host: 5.255.72.125
e' un IP pubblico o privato... ?

 Come mezzo fisico probabilmente è traffico fra tanti altri su una fibra.
Beh, io lo userei, allora. Perche' dici di no?
Fabio

> NNTP-Posting-Host: 5.255.72.125
http://www.iana.org/assignments/ipv4-address-space
Fabio

------------------------------  FINE  ------------------------------<
Quindi se qualcuno usa quell'indirizzo a parte lo IANA sta facendo dei
pasticci.


 Beh, io lo userei, allora. Perche' dici di no?
Perché lo scenario e le implicazioni di una eventuale intrusione non lo
giustificano.
Intrusione, poi, mica tanto facile.


 Magari e' qui il busillis. :-)
No che non č qui il "busillis", per noi: su quella CDN inviamo due milioni
di sms al mese piů tutto il traffico dei BlackBerry italiani verso RIM.
E` una questione di principio: sarebbe bastato un banale 1610 con una
interfaccia seriale *senza* IPSEC.
Se TIM tratta noi in questo modo, cosa sono obbligati a fare i clienti piů
piccoli?
-- 
Ciao da Villo  -  GPG public key available
                  Ferrara LUG 
http://ferrara.linux.it

 univocamente dallo IANA a qualcuno, e solo lui può usarlo.
Ecco, appunto.
Quell'indirizzo risulta come posting host in un post di un amico
mio su un newsgroup.
Ora io mi chiedo: tutto normale... ?

------------------------------  FINE  ------------------------------<
E ciò è normale: chi ti fornisce accesso ad internet ha fatto le cose bene, 
prendendo l'indirizzo che ti ha assegnato da Interbusiness.


 indirizzo sta facendo dei pasticci.
L'ho letto fino in fondo, quello che hai scritto, e son d'accordo con te...
ma questi "pasticci" nessuno li sistema... ?
Va bene cosi' a tutti ?
E' questo, che non capisco  :-)

 Va bene cosi' a tutti ?
No che non va bene a tutti.
