Newsgroup: it.comp.sicurezza.varie
Titolo: Firewall software e condivisione Internet

Salve a tutti
Mi chiedevo se in una rete che sfrutta una connessione internet ADSL
condivisa per far navigare tutti i PC un Firewall Software dovesse essere
installato solo sulla macchina fisicamente collegata al modem ADSL oppure su
tutti i PC della rete.
Grazie e saluti.
--
Alessandro

 ADSL oppure su tutti i PC della rete.
La prima che hai detto.
-- 
   => Don't Let Your Fears Stand in The Way of Your Dreams !!! <=
 
http://www.delymyth.net/
 ~ 
http://www.stores.ebay.it/delymythsstore/
 ICQ: 8761263 - MSN: 
dely...@msn.com
 E-Mail: 
DEly...@despammed.com
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=

 La prima che hai detto.
ne sei certa, in tutti i casi ?
-- 
www.x-planet.org
 - Community Web -
www.x-privat.org
 - free news server -
www.x-privat.net
 - web to news gateway -


Di solito si usa collegare il firewall con un cavo cross al modem/router ma
puoi anche collegare il modem allo switch e impostare il suo ip come gateway
per la macchina fw e collegare poi i client allo swtich impostando come loro
gateway l'IP del fw e nattare poi le connessioni.
--------------------------------
Inviato via 
http://usenet.libero.it


Scusate, ho letto male il post ed ho risposto a meta'.
Puoi anche usare un singolo fw per ogni client, non ne vedo la ragione
quando puoi centralizzare la gestione e sfruttare le potenzialita' di un
firewall performante su macchina dedicata, cmq puoi :)


 e nattare poi le connessioni. 
lo so bene come fare :) Ihmo non intendevo questo.


 al modem ADSL oppure su tutti i PC della rete.
Dipende dagli scopi: un personal firewall sui PC aiuta a tenere sotto 
controllo il traffico di rete anche in base alle applicazioni che lo 
generano e consente di filtrare anche il traffico interno alla LAN.
Puo' essere un presidio in piu', il cui uso e' da valutare a seconda 
dei casi.
Fabio

 gateway l'IP del fw e nattare poi le connessioni.
Ovviamente dipende tutto dalle esigenze ma, in genere, direi che in
configurazioni di questo tipo sia abbastanza indispensabile mettere
almeno l'interfaccia del router ADSL e quella esterna del firewall in
una VLAN separata da quella dei client.
In ogni caso, ho avuto l'impressione che Alessandro non avese un 
router ADSL.
Fabio

 ADSL oppure su tutti i PC della rete.
La soluzione ottimale è un unico firewall, che però non si ottiene con
un classico personal firewall. Questi prodotti per windows come si
intuisce dalla "classe" che li individua (personal) nascono per proteggere
la macchina su cui vengono installati e non svolgono servizi (o se lo
fanno, non lo fanno bene) di nat/packet filtering adeguato.
Usando dei personal firewall ognuno protegge se stesso e quindi si
applicano su tutte le macchine.


Una soluzione di questo tipo e' a mio avviso molto pericolosa, tanto che
spererei di
non vederla mai nemmeno citata.
Gli utenti interni passano dal firewall, dal momento che e' impostato come
gateway,
ma un potenziale attaccante arriva (come logico) prima al router e da li'
alla rete interna.
Se c'e' il collegamento diretto al Fw tramite cavo cross, allora
l'attaccante deve passare
il fw prima di arrivare alla rete interna se invece il router e' collegato
allo switch (quindi
direttamente alla Lan), non e' detto che per forza chi tentasse di entrare
da fuori, non
riuscisse a passare alla Lan interna senza passare dal firewall, visto che
almeno fisicamente
il router ha un collegamento diretto (fisico) con la Lan, mentre nel caso
del cavo cross il
collegamento fisico e' solo con il firewall e da li' deve per forza passare,
se ad esempio si
blocca il firewall, la rete internanon esce piu' su internet, ma almeno
nessuno puo' entrare
dall'esterno, visto che il router non avrebbe piu' il collegamento fisico
con la Lan, venendo
a mancare il suo tramite:
- se il router e' connesso con cavo cross al firewall e il firewall e'
spento o bloccato e non
  vede piu' la rete interna, allora il router risulta isolato, fisicamente
disconnesso dalla Lan.
- se il router e' connesso allo switch e il firewall viene a mancare per
qualunque possibile
  causa, allora il router sarebbe connesso alla Lan aziendale, senza
intermediari e un
  eventuale attaccante esterno potrebbe provare ogni tipo di attacco per
trovare accesso
  alla Lan.


L'aver citato "anche questa possibile soluzione" (con relativa mia
raccomandazione di preferire sempre la prima, fw ---cross--- router) e' solo
aver citato un'altra possibile configurazione, anche se potenzialmente
pericolosa puoi sempre ovviare con delle acl che obbligano tutto il traffico
a passare dal fw, sarebbe uguale all'avere le due macchine collegate con un
cross, a tutto vi e' soluzione.


 configurazione come quella di cui sopra, e' assolutamente insensato.
Aggiungerei anche un'altra puntualizzazione: fw e router _non_ nella
VLAN da cui e' raggiungibile l'ip dello switch.
Fabio


Assolutamente, e suddividiamo anche router e fw, sfruttando le capacita' del
fw di fare routing in maniera autonoma. :-)



Il problema e' proprio questo:
mettiamo il caso che qualcuno talmente bravo riuscisse in qualche
modo ad avere accesso al router dall'esterno.
Potrebbe modificare la configurazione delle acl senza fare piu' passare
il traffico esterno attraverso il firewall.
A questo punto, essendo connesso direttamente alla Lan, l'accesso
sarebbe completo.
Se invece ci fosse il collegamento con il cavo cross, chi entrasse nel
router
anche modificando la configurazione, non potrebbe in nessun caso
arrivare alla Lan aziendale senza prima per forza scontrarsi con il
firewall.
Capisco che ormai entrare in un router e' sempre piu' difficile, tanto da
rendere
la connessione alla Lan e una buona configurazione delle acl quasi
l'equivalente
di un collegamento con il cavo cross al firewall, pero' siccome niente e'
sicuro al 100%, anche se le difficolta' ad entrare nella configurazione del
router
sono enormi, non e' detto che non ci si risca e quindi si abbia accesso
diretto
alla Lan, nell'altro caso non puo' avvenire, o meglio dovrebbero prima
violare
anche il firewall e capisci quanto questo aumenta le difficolta'.
Ciao

Salve questa discussione l'ho iniziata io
Forse perň ho sbagliato a porre la domanda io volevo solo sapere se un
personal firewall come il Norton dovesse essere installato solo sulla
macchina fisicamente collegata alla linea ADSL oppure su ogni macchina che
sfrutta via LAN tale collegamento.
Ciao
E grazie a tutti per le utili info.
Alessandro


Non posso darti torto, dico solo che entrambe le configurazioni possono
funzionare, certo che porre un fw con cross-cable tra router e switch e' la
soluzione al momento piu' sicura(tra l'altro e' quella che adotto sempre, di
default) (se parliamo di architetture).
Pero' possiamo avere 100 fw, 10 ids, ma se solo uno dei nostri servizi e'
bacato ecco che l'attaccante entra e fa i caxxi suoi nei nostri server. Alle
volte penso che vendere centinaia di fw e decine di ids sia solo una grande
truffa, ti danno sě un grado di sicurezza in piu' contro eventuali pivelli
che scansionano a menamano le reti, ma contro lo scaltro conoscitore dei
sistemi...non ci sono difese.


 sfrutta via LAN tale collegamento.
Un personal firewall, per definizione, e' progettato per funzionare
col traffico diretto all'host su cui e' installato e non con quello
che e' "in transito" come nel caso di una macchina che fa da router
o firewall. In linea di massima la macchina che ha l'ip pubblico e'
quella piu' esposta e quindi puoi sicuramente pensare di installare
un firewall per proteggerla, ma se detto firewall e' "personal" non
lo potrai usare anche filtrare il traffico diretto agli host dietro
di lui. In genere su macchine che funzionano da router si usano dei
prodotti specifici, come wingate (per dire il primo che mi viene in 
mente) ma tutto dipende anche dalle necessita': se vedessi una rete
casalinga fatta con un win2k e la condivisione internet protetta da
solo un personal firewall... non la criticherei piu' di tanto.
Comunque, se ti fosse sfuggito, un personal firewall fa due tipi di
controllo: sul traffico in ingresso e su quello in uscita dall'host
su cui e' installato. Entrambi vengono controllati anche in base ai
pogrammi che lo generano. In particolare, puo' essere utile mettere
un personal fiewall _anche_ sui pc interni nattati non per filtrare
il traffico in ingresso, da cui sono parzialmente protetti dal nat,
ma quello in uscita, potenzialmente generato da trojani, worm o spy
di vario genere.
Fabio

 wrote in
news:MPG.192ebf76a...@powernews.libero.it
: 
[...]
Complimenti per il post "Sernificato" :)
-- 
Valter Minute
vmi...@inwind.it
 (the reply address of this message is invalid)

Volevo ringrazie tutti gli intervenuti alla discussione io mi sono chiarito
alcuni dubbi.
Saluti
Alessandro

Complimenti per il post "Sernificato" :)
Tifenteremo patroni ti monto! Bwahahahahaha
Leonardo
-- 
Tre cose sono da temere nel campo I.T.:
Un sysadmin con un cacciavite in tasca;
Un amministratore con un libro in mano;
Un utente con una grande idea in testa.

 Tifenteremo patroni ti monto! Bwahahahahaha
Okay, Leonardo è andato. Dei voi che ne resta?
Ciao,
 Emmanuele, citante un film a caso.
-- 
Emmanuele Bassi (Zefram)           [ 
http://digilander.libero.it/ebassi/
 ]
GnuPG Key fingerprint = 4DD0 C90D 4070 F071 5738  08BD 8ECC DB8F A432 0FF4

> Complimenti per il post "Sernificato" :)
Mah, guarda... sto cercando di smettere, ma e' difficile: tutte le volte 
che mi metto a scrivere mi dico: "adesso scrivo come ca%%o capita"... ma
poi ci ricasco sempre... ECCO! Vedi? L'ho fatto anche questa volta! Temo
(aaagh!) che non ne usciro' mai :-( 
Fabio