Newsgroup: it.comp.sicurezza.varie
Titolo: firewall gratuito per aziende

Salve ragazzi,
mi servirebbe un piccolo firewall gratuito anche per utenti aziendali
esiste?
Lo so che direte che un firewall gratuito non serve a niente per un server
ma il fatto è che il ns. server web è già dietro ad un firewall hardware
sonicwall,
il fatto è che però il firewall è a roma e il server è qui a Milano.
Quindi vorrei avere un mini firewall per poter fare dei filtri secondari.
Grazie
ciao

 esiste?
Se pensi a cose come ZA (piu' o meno un penoso giocattolo) o anche i
vari Outpost, Sygate e via dicendo che per proteggere un personal
computer possono andare bene, nel caso di un server ti suggerirei di
abbandonare questa idea perche' sono inadeguati. Se non avete budget da
dedicare ad un altro firewall hardware la soluzione potrebbe essere 
http://www.ipcop.org
http://www.shorewall.net
 (
http://shorewall.sourceforge.net/
)
oppure in alternativa
http://www.openbsd.org
ma senza una persona che conosca bene il sistema operativo e lo
configuri per bene puo' essere altrettanto dannoso che un ZA qualsiasi,
attenzione. Certo che un OpenBSD e' tutto un altro mondo, per come la
penso io, rispetto ad un personal firewall.
-- 
Due scopettoni per domarli, un detersivo per lavarli e nel cesso scaricarli

 Due scopettoni per domarli, un detersivo per lavarli e nel cesso
scaricarli
Allora non sono stato chiaro !
Il firewall hardware, e anche di ottima qualità, esiste già davanti al
server web.
Però è installato a Roma (cioè il server che è a Milano ha come gateway il
firewall che sta a Roma, perchè abbiamo una rete privata con router
fastweb).
Quindi il server è già protetto, ma vorrei installare un firewall software
per personalizzare alcune cose che altrimenti dovrei farlo sul firewall di
Roma che non gestisco io e comunque non vorrei ogni volta dover telefonare
per parlare col responsabile a Roma.

 fastweb).
[..]
Cioe' in pratica vuoi aggiustare la macchina da corsa con un cacciavite
di legno? Spiega cosa, secondo la tua idea, un personal firewall
dovrebbe poterti lasciar fare che il firewall hardware gia' non
faccia..


 non faccia..
Dipende dai server e dalle loro capacità e configurazioni.
Anche $Noto_SO_Che_Thorin_Non_Apprezza_e_Non_Solo_Lui
può essere gestito per tenere dei log decenti, ma quanti sysadmin
lo fanno ?
Qualche altra ipotesi:
- Permettere di fitrare qualcosa e/o qualcuno senza doversi rivolgere
a Roma ogni volta. Magari l'ultimo exploit nuovo nuovo.
- Leggere i log senza doverli chiedere a Roma.
- Controllare che _in uscita_ non ci sia qualcosa di anomalo.
- Verificare che i filtri di Roma siano fatti bene, cioè, se passa
qualcosa che non dovrebbe, beh...
- Stando in rete FastWeb, non so bene, ma la parte locale della
rete non potrebbe... ?
- Ah, magari è da non trascurare l'ipotesi di permettere di filtrare qualcuno
che sta a Roma, a valle del firewall, e di cui non ti fidi del tutto ;-)
****************
E poi, dimmi sinceramente: tu ti fideresti a lasciar gestire i FW dei _tuoi_
server web da qualcun altro ?
Senza nemmeno fare qualche piccolo controllo per conto tuo ?
Un Paperino che se dici sì penserà che abbia risposto un fake :-P

 Un Paperino che se dici s? penser? che abbia risposto un fake :-P
Seeh :-)


 penso io, rispetto ad un personal firewall.
Ecco, sono convinto che tu abbia ragione su *entrambi* i punti.
Se uno non lo sa usare e non ha tempo e/o voglia e/o capacità
di imparare, un PF _potrebbe_ servire ai _suoi_ scopi più di un
OpenBSD. In quel caso, magari non ZA, ma un CHX-I potrebbe
dargli quel livello in più, se non di sicurezza forse, ma almeno
di autonomia. Tra l'altro, non lavora (solo) a layer 7 :-).
Non è di sicuro un CheckPoint, ma lo stavo guardando e non
sembra affatto male, se ho una macchina d'avanzo lo provo.
Parlano anche di stateful inspection, oltre il classico packet filter:
http://www.idrci.net/packetfilter/html/index.html
Al posto del mio povero vecchio AtGuard, chissà...
Se invece _può_ imparare ad usare qualcosa di più serio, è ovvio
che non c'è paragone, fra i due mondi. :-)
Bye, G.

 che non c'? paragone, fra i due mondi. :-)
Parecchi parsec, direi, cosi' a naso :-)


 faccia..
Innanzitutto non volevo un personal firewall (perchè questo non è mai free
per uso aziendale).
Poi non devo aggiustare niente voglio solo poter filtrare sulla macchina
alcuni servizi e/o accessi.
Es1: bannare qualche indirizzo ip che tenti qualche attacco al server ftp, o
web.
Es2: configurare le porte 5800 e 5900 (vnc) per far entarre solo un ip
(quello di casa mia ad esempio)
Sono tutte cose che potrei configurare anche sul firewall SonicWall che
esiste ma dovrei ogni volta telefonare a Roma e parlare col tecnico per
fargli aggiungere o togliere delle regole.
Se invece lui, ad esempio, mi apre la porta 5800 e 5900 a tutti, io col
firewall software installato sul server faccio i miei filtri.
E' chiaro?

 alcuni servizi e/o accessi.
Allora le alternative sono:
1- spendete soldi per un fw hardware
2- trovate qualcuno che vi sappia configurare una macchina Linux oppure
   OpenBSD (i link te li ho postati in un precedente articolo)
3- spendete soldi per un prodotto commerciale (FW-1, ISA, CHX-I)


 dover telefonare per parlare col responsabile a Roma.
Se il firewall e' configurato con testa, dovrebbe far passare
esclusivamente i servizi necessari, e null'altro, quindi faccio fatica a
capire questa cosa delle "personalizzazioni".
Dato che quel webserver utilizzera' un sistema operativo un pelo piu'
evoluto di win98se, potreste configurare i filtri del servizio ipsec (o
come diavolo si chiama) gia' inseriti in win2000/xp. O, se si tratta di
uno unix, del netfilter.
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*                         
http://www.google.com
                    *
*                                                                  *
*                           ET IN ARCADIA EGO                      *

 uno unix, del netfilter.
Si appunto, una cosa del tipo
http://homepages.wmich.edu/~mchugha/w2kfirewall.htm
potrebbe già andare bene, ovvio che va considerato che
in questo caso si perdono SPI, logging e parecchio altro
ma se uno proprio non vuole spendere... beh ...
Detto questo, se si tratta di un win2000 o sup. personalmente
andrei su CHX installato direttamente sul/sui server(s) in questo
modo si avrebbe la possibilità di "blindare" i singoli sistemi
(pur avendo un f/w hardware "a monte"), di gestire le regole
di firewalling ed i logs da remoto e molto altro; considerando
che si tratta di un'installazione aziendale e considerando che
CHX non costa un braccio ed una gamba .. un pensierino ce
lo farei ... se poi uno ha il "braccetto corto" beh .. rimane sempre
la soluzione IPSec di cui sopra :-)
Ciao

 la soluzione IPSec di cui sopra :-)
Ecco grazie, questa soluzione mi va benissimo.

 capire questa cosa delle "personalizzazioni".
Beh...in realta dovrebbe far passare i servizi č vero, ma in alcuni casi
dovrebbe farli passara solo per alcuni o un indirizzo ip.
Altre volte per un certo servizio puň non dover far passare uno specifico o
piů indirizzi ip.

 esiste?
La licenza di Outpost Firewall 1.0 non proibisce l'uso ad utenti
aziendali, mi sembra:
"1. DEFINITIONS 
"Software" means Outpost Firewall including but not limited to object
code, source code, documentation and associated media and printed
materials.
"You" means an individual and/or a legal entity exercising rights under,
and complying with all of the terms of, this License.
[...]
3. RIGHTS GRANTED BY THE PRESENT LICENSE
According to the present License Agreement You are entitled to: 
i.  install and use unlimited number of copies of the Software at the
unlimited number of computers; ii. copy the Software for personal use or
for transfer to the third persons provided that no fee is charged. "
Ciao