Newsgroup: it.comp.sicurezza.varie
Titolo: Informazione su rete

Salve, ho una richiesta da farvi. Dunque prima ho fatto la scansione con il
programma GFI LanNetScan e ho inserito il mio indirizzo IP per verificare di
non avere porte aperte o servizi dimenticati attivi (vabbè diciamo più per
curiosità :-) )
Con grande sorpresa noto che dall'esterno non si vedono i computer della mia
rete, cioè mi collego ad internet con un router ADSL e dall'esterno si vede
solo ed esclusivamente il router con la porta 80 (web) e la porta 21 (ftp)
aperte.
In teoria è giusto così, visto che il router è collegato ad uno switch e non
ad un computer fisico, ma la mia domanda è: perchè scansionando indirizzi ad
esempio della telecom, che comunque fanno riferimento a router, si vede
anche il computer collegato? E comunque perchè accade ciò?
Riformulo la domanda se appare confusa: perchè in una scansione di rete se
in un computer si collega un router direttamente si vede il computer e non
il router e se invece il router si collega ad uno switch non si vedono i
computer?
Grazie a presto.

 computer?
Perche' anche questa domanda e' sbagliata. :-)
Per *vedere* i computer collegati al router occorre che il router faccia
forward in ingresso verso il o i computer interni.
Oppure che faccia NAT in ingresso.
Il fatto che sia collegato ad uno switch e' ininfluente, a parte il
fatto che, se e' collegato direttamente ad UN computer, e' probabile che
quel computer si prenda carico di tutto cio' che arriva dalla rete, e
questo e' il motivo della visibilita': il router forwarda tutto al PC ed
e' poi il pc che decide cosa farsene.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 e' poi il pc che decide cosa farsene.
Grazie 1000 a presto, Stefano

Un'informazione... ma a cosa serve fare NAT? Grazie, a me funziona anche
senza NAT e noon capisco il funzionamento di questo "sistema".

 senza NAT e noon capisco il funzionamento di questo "sistema".
NAT= Network Address Translation, cioe' traduttore di indirizzo di rete.
Se tu hai un pc singolo, collegato al modem adsl, il nat non serve,
visto che il tuo pc assume l'IP della connessione, visto dall'esterno.
Se hai una rete locale dietro il modem-router, il nat serve in uscita
per convincere internet che chi gli fa le domande e' un IP lecito (cioe'
quello del router, che ha un indirizzo pubblico) e non uno degli IP
privati della tua rete.
In ingresso, serve alla stessa funzione: chi chiede di collegarsi a te
lo deve fare tramite l'IP pubblico, e il router deve trasformare quella
richiesta in modo comprensibile per la macchina che sta dentro la tua
rete locale, cioe' deve tradurre l'indirizzo pubblico in un indirizzo
interno.
L'unico caso in cui il router non deve fare NAT in nessuno dei due sensi
e' quando hai un collegamento trasparente: ad ogni IP pubblico
corrisponde direttamente un server interno con lo stesso IP.
In questo caso, il router non agisce in nessun modo sui pacchetti in
transito, si limita a ricopiarli sulla sua interfaccia interna, e lascia
che siano le macchine della rete a decidere di chi sia il pacchetto in
arrivo.


Quindi se ho capito bene nel caso in cui mi trovo ora (senza NAT
configurato) nessuno puň accedere al mio pc interno pur avendo servizi
attivi come Ftp server Telnet ecc?
E pensi sia per questo che non prendo il worm Msblast pur non avendo
aggiornato la macchina con le patch?
Se č cosě č sicuro... perň scomodo se devo usare server ecc...

 Se č cosě č sicuro... perň scomodo se devo usare server ecc...
NON puoi usare server, non e' che sia scomodo, e' impossibile.
Per usare un server, il resto del mondo deve sapere come arrivare
al tuo server.
Percio' il confine della tua rete (per rete intendo anche un pc singolo
con modem a bordo) deve reinviare (forward/NAT) i dati che gli arrivano
al server *bersaglio*.
Schema dei vari scenari
<PC con modem> (anche modem adsl)
IP1.1.1.1 +-------+  +----+
--------->| modem +--+ PC | Il pc ha lo stesso IP 1.1.1.1
           +-------+  +----+
In questo caso, il pc per il resto del mondo ha le stesse
caratteristiche del modem, percio' e' visibile.
<PC con router NATtante>
                                              +-----+
IP1.1.1.1 +--------+  +------------+    +----+ pc1 |IP 192.168.1.2
--------->| router +--+ hub/switch +----+    +-----+
           +------- +  +------------+    |    +-----+
          IP interno router192.168.1.1   +----+ pc2 |IP 192.168.1.3
                                              +-----+
In questo caso, da fuori, puoi chiamare solo l'IP 1.1.1.1
Gli IP 192.168.1.x sono IP privati, e non hanno nessun significato
all'esterno della tua rete locale.
Per raggiungere il pc1 serve che il router sappia che cio' che arriva
all'IP 1.1.1.1 sulla porta 80 (server web) deve essere passato alla
porta 80 della macchina che ha IP 192.168.1.2 e per far questo, deve
avere NAT in ingresso.
Allo stesso modo, se pc1 vuole uscire verso google, il router deve
presentare lui la richiesta a 
www.google.it
, come proveniente da
IP 1.1.1.1, ricordandosi che quando google risponde, le risposte le
deve passare a 192.168.1.2 facendo cosi' NAT in uscita.
<PC con router trasparente>
                                              +-----+
IP1.1.1.1 +--------+  +------------+    +----+ pc1 |IP 1.1.1.1
--------->| router +--+ hub/switch +----+    +-----+
IP1.1.1.2 +------- +  +------------+    |    +-----+
                                         +----+ pc2 |IP 1.1.1.2
                                              +-----+
Per server direttamente connessi a internet
In quest'ultimo caso, il router non fa nessuna attivita' sul
contenuto dei pacchetti in transito, si limita a prendere cio' che
arriva sulla sua interfaccia esterna, e rimandarlo uguale sulla sua
interfaccia interna, e viceversa.


 avere NAT in ingresso.
A meno che il router non onori il source routing, nel qual caso, il
problema non sussiste (se non nell'inserire l'apposita option nei
pacchetti).
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*                         
http://www.google.com
                    *
*                                                                  *
*                           ET IN ARCADIA EGO                      *

 pacchetti).
Hai ragione, mi ero preparato la strada per il pezzetto del source
routing :
--cite--
Diciamo che con i normali metodi, nessuno puo' entrare, perche' tu
non sei visibile dall'esterno (ma non ho ancora capito se la tua
--\cite--
e poi mi e' rimasta nella tastiera, preso nella costruzione degi
schemini ruiassuntivi.


Scusate il ritardo... La mia rete è composta da 4 pc (192.168.1.3 -
192.168.1.6) Il Router ha IP: 192.168.1.2
Il Router si connette ad internet per conto suo ed è collegato ad uno
switch, gli altri computer sono collegati allo stesso switch, con impostato
come Gateway il router 192.168.1.2
Non faccio NAT e funziona tutto, i miei pc non sono visibili dall'esterno.
Grazie, ciao a presto

 Non faccio NAT e funziona tutto, i miei pc non sono visibili dall'esterno.
Tu non fai nat, il tuo router si', almeno in uscita.
Altrimenti, non potresti mai ricevere le risposte dei server in cui
navighi.


 navighi.
E indirizza le risposte a tutta la rete?

ste ha scritto:

No.
tu 192.168.1.1 vuoi andare su 
www.google.it
Hai impostato il default gateway, e cosi' il tuo pacchetto ip, con
sorgente 192.168.1.1 arriva al router.
Il router prende il tuo pacchetto, riscrive l'ip sorgente con il suo
indirizzo pubblico, annota che quel pacchetto lo hai richiesto tu, e lo
manda fuori dal lato internet.
www.goggle.it
 risponde, e invia un pacchetto all'indirizzo del tuo
router (che e' l'unico che puo' avere un senso, per lui).
Il tuo router vede arrivare un pacchetto che fa riferimento a quello che
ha annotato, sa che lo hai chiesto tu, e cambia l'IP destinazione con
192.168.1.1, e lo manda in rete locale.
Il tuo pc riconosce che e' per lui, e lo prende, e tu hai a video la
classica pagina di google.
Ovviamente, il tutto l'ho semplificato, riducendo ad una richiesta e
una risposta tutto cio' che serve per avere una pagina html a video.
