Newsgroup: it.comp.sicurezza.varie
Titolo: NAT come firewall

Supponiamo di avere una rete LAN, connessa ad internet
tramite ADSL ed un router che fa da NAT.
Posso dire di essere protetto, allo stesso modo di
un firewall, solo perche` gli accessi entranti vengono
rifiutati dal NAT (visto che non saprebbe a chi direzionarli)?
Ciao e grazie 1000.
Ferro.



Si' e no. Rimane la possibilita' che il router stesso accetti comandi
dall'esterno, esplicitamente o implicitamente. In questo caso diventa
il router il tuo punto debole.
Leonardo
-- 
Questo messaggio e' NAGWARE. Per disattivare frecciatine, giochi
di parole, volgarita' gratuite ed inviti a rileggersi i messaggi
gia' passati e/o consultare 
http://groups.google.com
, effettuare
un versamento di 25 euro come tariffa di registrazione helpdesk.

 non avendo di meglio da fare nel MSG 
news:b408fv$1o93jr$
1...@ID-87012.news.dfncis.de
 ha pensato di scrivere:

no, ihmo. Il fatto che imposti di nattare un indirizzo non esistente è 
già una buona protezione ma un firewall è un altra cosa, e cmq 
rimangono i problemi legati ai DOS.
-- 
X-Planet Web Community	| 
www.x-planet.org
News Server			| 
news.x-privat.org
Ftp  Server			| 
ftp.x-freedom.org

 il router il tuo punto debole.
Io immagino questi tipi di attacchi:
-tentativi di fare in telnet sul router e tentare di beccare la password
-dos sul router (che comunque non sarebbe deleterio per
la protezione della mia LAN, ma solo per il servizio Internet)
-qualcos'altro???
Non oso chiedere il COME, ma almeno COSA potrebbero fare al mio router.
Mi potete dare qualche dritta???
Quali altri tipi di attacchi rischio se uso un router con NAT
al posto del firewall???


Sgranocchiando il cranio di Ferro, vi trovai inciso:

attacchi dall'interno (trojan)
source routing
attacchi portati da subnet pubblica
[...]
Cmq se ne era già parlato qualche mese fa, cerca con google..
-- 
Emanuele Balla aka Skull
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)

 eventualmente, da quelli e' difficile difendersi a priori)
Ciao a tutti. Ne approfitto per ampliare la discussione.
Se voglio proteggermi da un classico dos, cioč il flood di ping, le seguenti 
regole iptables dovrebbero aiutarmi:
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/m -j 
ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
Ma se voglio proteggermi da ogni possibile flood, come faccio? Le stesse 
regole senza la specificazione del protocollo?  Uhm.....
Cosa intendi per difficile? Quali accorgimenti usa un adm esperto?
Grazie, mick
-- 
Per favore non inviatemi allegati di tipo MS-Office.
Ci sono tante buone ragioni per questo,
ma la principale č che non posso leggerli.
Grazie.

 stesse regole senza la specificazione del protocollo?  Uhm.....
Al massimo puoi difenderti da qualche tipo di syn flood tramite i
syn-coocky, ma se un (D)DoS e' portato a saturare la banda e/o le
risorse (ping-flood) c'e' ben poco da fare.
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
              pngstego 0.3.2 has been released! 
/* Ci sono 10 categorie di persone al mondo: quelle che capiscono */
/* il sistema binario e quelle che non lo capiscono.              */

 al posto del firewall???
i Dos sono sempre in agguato e,che io sappia, sono pochi i router 
immuni a tale attacco..


 possibilità offerte da SNMP..
E se io disabilitassi tutte le porte in ingresso dall'interfaccia
ADSL, accettando la configurazione del router solo da seriale,
con il solo NAT potrei ritenermi tranquillo.
Nessuno entrerebbe, e tutti potrebbero uscire verso Internet.
Sbaglio qualche cosa?
Ciao e grazie, Ferro.

 saturarti.
[...]
Hai ragione... in effetti il kernel per respingere i pacchetti deve 
impiegare risorse computazionali del router...  Anche se la LAN protetta 
non viene saturata sarebbe il router/firewall a non essere in grado di 
lavorare.
Quindi devo solo sperare di non essere colpito?


 Nessuno entrerebbe, e tutti potrebbero uscire verso Internet.
Anche un trojan ;)


 con il solo NAT potrei ritenermi tranquillo.
no, come già anticipato da HappyCactus NAT <> FIREWALL


 banda ugualmente.
E' vero... non ci avevo pensato...


 lasci aperta la porta 25 non la spedisci, neh..
Scusate l'ignoranza, ma io avevo capito che le porte si possano
lasciare aperte solo per chi esce e non per chi entra.
Mi confermate?
Ciao, Ferro.

 Mi confermate?
Con un packet filter stateful si, con le acl di un router (stateless) no.
Se tu dall'interno vuoi che le tue porte >1024 possano contattare la
porta 80 del server remoto, devi permettere al server remoto di mandare
risposte dalla porta 80 alle tue >1024...
C ya


 concetti della stateful inspection.
Ho capito dai!
So meno di quello che credevo :-(((
Mi acculturero` :-)))
Ciao e grazie.
Ferro.

 concetti della stateful inspection.
Tu vuoi dire che lui ha un server POP3 _quindi_ deve aprire la 110 in
ingresso, vero?
[Ovviamente si intende che aprire una porta in ingresso significa accettare
una sessione tcp su quella porta proveniente da internet, mentre aprire una
porta in uscita significa permettere una sessione tcp su quella porta verso
internet.]
Mica vuoi dire che lui deve aprire la 110 in ingresso perchè su quella porta
riceve la posta col suo client POP3?
Non vorrei aver capito fischi per fiaschi, ma se è come ho capito... :-)
saluti a rotoli 

 inusuale che chi usa Uindous in modalita' casalinga ne abbia uno.
Quindi è proprio vero, non è una svista. Intendevi proprio dire che per 
scaricare la posta pop3 bisogna avere la porta 110 aperta in ingresso.
Una vera perla.

 saluti 'sticazzi
Oh mitico Thorin, questa va assieme a quell'altra della versione delle dll
di windows.
saluti estasiati 

 diarroico, considerato che ti attirano cosi' tanto le stronzate.
Fremo nell'attesa.
saluti impazienti 

 credo sia difficile..
Dire una cazzata del genere può anche essere una svista.
Dirla in un ng tecnico con tono da saputello è una rotflante figura di 
merda.
Ribadirla con convinzione è da ignoranti.
Difenderla con queste chiacchiere è da lameroni.
---
Marco Sarti
con ritorno al vecchio nick.

 Si', sul router direi di si'.
Ovvero? Sull'interfaccia esterna verso la rete (ingresso)?

 
Ma cosi' apri la 110 sul tuo server in ingresso ?
Io credo che tu apra le porte > 1024, solo a connessioni tcp *provenienti*
dalla 110.
Ciao.