Newsgroup: it.comp.sicurezza.varie
Titolo: Assicurare l'accesso a un ip interno tramite IpCop

Devo far comunicare due server As400 tramite la linea Hdsl.
A difesa della Lan c'e' IpCop e attualmente ho solo la scheda rossa e quella verde,
non avendo server interni, quindi niente Dmz
Il mio server As interno ha regolarmente un ip ed e' "visibile" dai client Windows.
I due server As400 devono comunicare perche' si scambiano un file giornaliero con
ordini cliente.
Attualmente il mio server As400 fa una chiamata tramite modem per collegarsi al sistema
As400 remoto e la comunicazione avviene tramite protocollo sna.
I miei utenti prelevano il file e dopo aver modificato gli ordini lo reinviano.
Gli utenti della mia azienda possono anche collegarsi in remoto e vedere il menu del server
As400 esterno.
Siccome da Settembre il protocollo sna non sara' piu' supportato da At&T devo trovare il
modo per continuare a far comunicare i due server.
Per lo scambio del file mi basterebbe configurare l'ftp, ma questo non basta per continuare
a vedere il menu remoto volevo quindi provare a configurare il Sna over Ip.
Il mio server As400 interno, deve pero' essere raggiungibile dal server remoto.
Senza dover per forza assegnare un Ip pubblico al server As400 posso fare instradare
le richieste che arrivano dal sistema remoto, al mio server con indirizzo locale?
Devo permettere l'uso della porta 397 sia per Tcp che per Udp.
Immagino che in Ipcop sia da configurare il tutto nella scheda "Servizi" agendo
su alias e external access e port forwarding. 
Immaginavo che dovessi prima aggiungere l'alias 192.168.0.3 e poi aggiungere l'accesso esterno
a quell'alias per la porta 397 e mettendo come ip di origine il server remoto, ma appena aggiungo
l'ip 192.168.0.3 come alias, la mia rete interna non riesce piu' a uscire su Internet.
Come devo configurare IpCop per permettere all'indirizzo remoto A.B.C.D di collegarsi alla porta
397 del mio pc interno 192.168.0.3 ?
Grazie
** Articolo inviato tramite i servizi gratuiti di 
www.x-privat.org
 **

 "Servizi" agendo su alias e external access e port forwarding. 
Passo (non lo conosco). Il principio e' che devi configurare lo
SNAT e il DNAT per gli AS/400. Come si faccia con l'interfaccia
di ipcop mi sfugge. In ogni caso forse potresti chiarire meglio
cosa sia 192.168.0.3, perche' buttato li cosi'...
Non so che dati passino in rete ma forse sarebbe piu' opportuno
prevedere una VPN tra le due sedi. Nel caso non fosse possibile
usa almeno i servizi su SSL sia per l'emulazione terminale, sia
per ftp (se hai almeno una V5R1).
Fabio

 l'ip 192.168.0.3 come alias, la mia rete interna non riesce piu' a uscire
su Internet.
"Alias" ti serve solo per aggiungere altri IP all'interfaccia rossa... p.e.
se hai un hdsl con 8 ip puoi dire ad IPCOP firewall di "gestirti", oltre
all'indirizzo "primario" che hai dato in fase di configurazione, altri
indirizzi pubblici che hai a disposizione....
La funzione External access, con la versione 1.3.0. che penso tu abbia, e'
differente dalla versione 120. L'unica cosa che devi configurare e' "port
forwarding"...
Validissimo il discorso di Fabio di prevedere una VPN od almeno un canale
criptato anche se nella conf di IPCOP 1.3.0 (iptable) puoi dire da quale IP
sorgente accettare comunicazioni.
Se hai bisogno di + info cerca di essere + specifico...
--------------------------------
Inviato via 
http://usenet.libero.it

 
Sicuramente l'accesso al mio indirizzo interno sara' permesso solo
all'Ip dell'azienda che deve collegarsi.
Quindi se io voglio permettere l'accesso al mio indirizzo interno 192.168.0.3
per determinate porte, garantendo l'accesso solo all'indirizzo remoto (esempio)
168.0.5.55 cosa devo configurare?
In remoto si collegheranno all'ip pubblico del firewall, che girera' le richiesta su
quella porta al mio indirizzo interno 192.168.0.3, giusto?
Devo agire solo sul port forwarding?
Ipotizzo che debba aprire la porta 397 Tcp per l'ip interno 192.168.0.3
garantendo l'accesso al remoto 
168.0.5.55
:
Sono corretti questi settaggi? Sono sufficenti o devo configurare anche
le altre schede?
Protocollo: Tcp
Alias Ip: Default Ip
Porta Sorgente: 397
Ip Destinazione: 192.168.0.3
Porta Destinazione: 397
Indirizzo sorgente Ip o di rete: 168.0.5.55 (cioe' l'IP remoto).
Corretto?


 
Ho provato a garantire l'accesso a un mio indirizzo esterno che uso
come test per la porta 23 sull'indirizzo interno 192.168.0.3
Funziona, infatti mi collego da remoto alla porta aprendo una sessione
telnet che mi mostra il menu di accesso del mio server As400.
Pero' non so quali porte dovrei aprire per permettere al server As400
remoto di comunicare con il mio server As400 interno, utilizzando i
servizi che stiamo attualmente usando.
La porta 397 mi e' stata suggerita sul newsgroup it.comp.as400
e' la porta anynet servizio APPCoverTCPIP.
Deve essere aperta sia per Tcp, che per Udp.
Li' mi e' stato detto che configurando sna over ip quello che funzionava
prima continuera' a funzionare nella stessa maniera.
Immagino che per l'sna over ip basti quella porta, nel caso la porta per
l'emulazione terminale qual'e' ?
Grazie a entrambi per l'interessamento.


 Corretto?
Abbastanza...


 nel caso la porta per l'emulazione terminale qual'e'?
Se usi uno dei software che ho citato e' sufficiente la 23/tcp.
Fabio

 servizi che stiamo attualmente usando.
Ad occhio e croce le seguenti porte TCP dovrebbero bastare
20, 21, 23, 446, 449, 2001, 5555, 8470-8476, 8480 e in ogni caso
se dai un'occhiata al manuale del client-access dovresti avere
la lista completa, con quelle sopra funzionano sia l'emulazione
sia la stampa, il file transfer (ftp va invece "aggiustato") sia ODBC
e ovviamente operations navigator ... penso che basti, ovvio che
quanto sopra assume che tu abbia abilitato TCP/IP su AS/400
In ogni caso, sia per motivi di sicurezza, sia per evitare di aprire
troppe porte sul firewall, io metterei in piedi una VPN usando una
coppia di IPCop, in alternativa potresti installare un programma tipo
ZeBeDee 
http://www.winton.org.uk/zebedee/
 che ti permette di usare
una singola porta (meno problemi sul firewall) per creare un "tunnel"
criptato tra i due endpoint, a quel punto potresti anche impostare ZBD
in modalità "keyring" in modo che soltanto gli endpoint in possesso
delle chiavi corrette siano in grado di accedere al tunnel (ed all'AS)
Ciao
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 ZeBeDee 
http://www.winton.org.uk/zebedee/
Questo lo provero' anch'io al piu' presto.
Ma... questo ipcop non ha un'interfaccia point'n'click 
per configurare una vpn ipsec con freeswan?
Fabio

 per configurare una vpn ipsec con freeswan?
Heh ... e cosě torniamo al famoso "RTFM" :-)


 
Con un piccolo ma non indifferente problema:
Se adesso lancio il comando a menu' che mi fa ricevere il file (ed esegue
una procedura di riconversione con i nostri codici cliente ed altre operazioni)
avvio la chiamata via modem, per poter invece far passare il tutto via tcp
bisogna modificare il programma in modo da dirgli che se si clicca su "ricevi
file", oppure su "invia file", oppure su "collegati a desktop remoto", non deve
piu' essere effettuata la chiamata via modem.
Immagino che si debba programmare in As400 e quindi e' un bel problema
per me.


 per configurare una vpn ipsec con freeswan?
Heh ... l'idea č quella di aprire la pagina relativa alle
connex VPN poi generare/esportare da entrambi gli
IPCop (li chiamerņ C1 e C2) la chiave pubblica, fatto
questo si importa la chiave pubblica di C1 in C2 (e
viceversa) e si configura la VPN per puntare al relativo
indirizzo C1 <-> C2 ... niente di troppo complicato ... :-)

 Non ho proprio idea di come configurare l'As400 per usare solo il Tcp.
se fai passtrough 23/tcp, se fai transfer file puoi usare ftp.
cmq su internet trovi tutte le info sulle porte che servono, servizio 
per servizio.
un mayhem che con una 4.7 hai quasi tutto
-- 
  Diplomazia: dire bravo cagnetto fino a che non trovi il bastone.
  Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
  SPP  wpage: 
http://www.spippolatori.com
  Key on 
pgp.mit.edu
 ID C7393613