Newsgroup: it.comp.sicurezza.varie
Titolo: Chiarimento in merito al mio post "Sicurezza"

(ho fatto un nuovo post perche' non riuscivo
piu' a capirci niente).
Dunque:
Nel post si parlava di un mail server "esposto"
su internet.
Ora io vorrei capire *bene* una cosa:
il firewall e' a tutti gli effetti uno strumento che funge
(sempre grossolanamente parlando) da filtro dei pacchetti. Giusto ?
Quindi, quando voglio far si' che un servizio venga reso disponibile
agli utenti di internet, devo "creare un filtro che abiliti il passaggio
dei pacchetti attraverso una determinata porta"... e' esatto ?
Faccio l'esempio del famigerato SMTP: se voglio che funzioni,
devo fare in modo che il firewall lasci passare i dati attraverso
la porta 25 del mio computer su cui ho montato il mail server,
e che sta "dietro" il computer su cui gira il firewall... e' giusto ?
A questo punto, se la porta 25 e' "libera", i dati passano ed e'
come se il firewall non ci fosse (limitatamente a quella porta),
oppure c'e' maggior sicurezza ? E se si, per quale motivo ?
Forse che il firewall cmq esamina i pacchetti che passano
attraverso la porta 25, lasciando passare solo quelli che
contengon comandi "validi" per il mail server ?
Danny

 l'hai un telnet che si gioca ? :)
Mostra, mostra, che son qui per imparare :)

 lettere riesci a scrivere prima di beccarti un ceffone. :)
Devo creare un account in Active directory e chiamarlo postmaster ?
(poi mi genera automaticamente la casella postmaster@... )
Danny
P.S. Grazie mille, cmq, eh !

Mi potresti inviare una mail contentente l'elenco
delle operazioni che hai fatto per "testare" il
mio server, per favore ?
Ho come l'impressione di aver trovato una piccola falla...
Danny

 che zio tobia@dominio non esiste.
In pratica bisognerebbe che il mio mail server (eheheh eddai su, chiamiamolo
cosi') PRIMA di processare una mail controllasse che questa mail sia
indirizzata ad un indirizzo esistente sul server stesso... dico bene ?
Danny
P.S. Mo' creo er postmaster account :-)

 anche se non e' vero ... insomma non gli passa piu'.
Giusto.
C'e' un' opzione nell' SMTP che permette di fare il "DNS reverse lookup"
per i messaggi in arrivo... a che serve ? La posso attivare ?
Danny

 qui con libero sei gia' fermo: user unknown
quindi libero controlla se l'utente esiste o meno.
Nel caso non esista, sara' quindi il mail server di chi ha
inviato la posta ad informare il mittente che l'indirizzo non esiste,
mentre il mail server del destinatario (in questo caso il server
di libero) non inviera' assolutamente nessuna mail. Giusto ?
Quindi dovrei fare in modo che il mio server (eheh mi vien da ridere ora)
controllasse che l'utente esista prima di andare avanti... si ma COME ?
Se ci fosse sto controllo sarei a posto, no ?
Danny

per i messaggi in arrivo... a che serve ? La posso attivare ?
C'e' un thread 'DNS Lookup su mail server' del 30/09.
-- 
Lapalissiano
Icq 57269703

 
Esistono software che esaminato il contenuto dei pacchetti per 
scartare o avvertire l'amministrazione di pacchetti *cattivi*.
Cerca su google IDS (intrusion detection Systems).
-- 
Il segreto di una vita sana e' lo sport.
Mai farne.

 permettere il traffico attraverso quella benedetta porta, no ?
Solo a certe condizioni:
Tutto il resto del mondo[*] verso i tuoi indirizzi interni, e i tuoi
indirizzi interni verso tutto il resto del mondo.
Se per errore, lasci che tutto il resto del mondo possa inviare mail,
tramite il tuo server, a tutto il resto del mondo, hai messo in piedi un
open-relay, e gli spammer saranno ben contenti di approfittare della tua
disponibilita' a concedere l'impunita' a costoro.
[*] Tralasciamo il problema dello spam, e delle black list a cui puoi
rifiutare la connessione.
-- 
          |Save our planet!
   Ciao   |Save wildlife!
  roberto |For your E-MAIL use ONLY recycled Bytes  !!
          |roberto poggi   
rpo...@softhome.net


Eh... e io che pensavo che Cisco facesse solamente router :-)
Danny

 ? (poi mi genera automaticamente la casella postmaster@... )
un alias verso il tuo account di amministratore, piuttosto. Un account 
mi sembra eccessivo
-- 
 < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
     Don't stand, REACT!      version 0.0.20. C, C++ and ASM developers
                              and beta testers are welcome!

 accetti corrispondenza per cani e porci del tuo dominio 
io non vedo questo come un grosso problema.
la grande maggioranza dei miei clienti ha un server lotus domino/exchange
(che volete farci ...) in lan che non parla *mai* con internet. tengono
infatti in dmz un adorabile qmail che riceve la posta da internet, fa un
paio di controlli e poi reinoltra la posta all'interno. inutile dire che
e' inoltre il ralay host per il server interno.
detto questo, il server esterno non contiene, non conosce mailbox degli
utenti. accetta mail a chiunque e poi sara' eventualmente il server
interno a rispondere user unknown. non credo esistano soluzioni a questo,
ma non vorrei fare diversamente. 
considerazioni in merito?
un mayhem che deve andare in bagno
-- 
I dilettanti hanno costruito l'arca, i professionisti il Titanic
Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
SPP  wpage: 
http://www.spippolatori.com
Hacklab VR: 
http://www.m2net.it.eu.org

 un marcolfa cha ama certe cose di Cisco.
come vivere senza ... 
un mayhem excel saga ... il primo foglio elettronico animato


 server. Su un server aperto a Internet non dovrebbe mai funzionare
Quindi se per esempio ne inibisco il funzionamento riesco ad ovviare
all'inconveniente di cui sopra ?
E la posta da e verso le caselle esistenti funziona regolarmente ?
Danny

 ma non vorrei fare diversamente.
A me sta anche bene che il server intendo risponda "unknown" al mio
SMTP che metto nella DMZ.
Quel che non mi sta bene e' che il server mandi una mail dove dice
"mailbox inesistente" tramite il mio servizio SMTP.
A sto punto non mi frega se Exchange server 2000 non fornisce la
possibilita' di settaggi di questo tipo, se l' SMTP avesse i filtri che dico
io, faccio in modo che le eventuali mail tipo "mailbox non esistente"
che il mio serve interno vuol mandare vengano dirottate in qualche
"trash box" del computer dove gira il servizio SMTP .

un mayhem excel saga ... il primo foglio elettronico animato
           ^^^^^^^^^^
meraviglioso.
hail, il paratzo!
-- 
Your mouse has moved. Windows NT must be restarted for the change to 
take effect. Reboot now?  [ OK ]
Maurizio - Tannoiser - Lemmo
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

 ? :)
 
meno democratico io?
che dici? come ti permetti? 
al muro!
un mayhem al muro anche lui


 Charlie Brown ?
Perche` hai fuso Snoopy con Linus? :)
Henryx
-- 
GnuPG fingerprint = 42F9 521B 63C7 89FE 354C  89FA 4E49 3E2D 2EB6 B014

 Perche` hai fuso Snoopy con Linus? :)
pinguini, bracchetti, dai, e' quello che ci si avvicina di piu'


 
Se ti serve solo un server mail interno exchange e un qualcosa per
prelevare posta da caselle POP3/IMAP esterne e portarle dentro,
considera fetchmail per win32.

 
Mi accodo: se ho tornato a vedermi cartoni animati è per quello...
[torno a configurare un server exchange, tanto per cambiare. Per
sicurezza ho limitato il login solo a IP provienienti dalla LAN locale,
mi posso considerare abbastanza al sicuro?]