Newsgroup: it.comp.sicurezza.varie
Titolo: Qualche tipo di NAT?

Bah, probabile argomento mooolto ai limiti del topo, ma dopo una guardata a
it.comp* mi sono orientato qui.
Ci sono alcuni fornitori d'accesso a Internet (per non fare i nomi parliamo
di fibra a MI ;)) la cui offerta prevede un numero massimo di stazioni.
Parlando con un mio amico non tecnico (ma all'interno della struttura
commerciale) questi insisteva sul fatto che possono controllare che nessuno
bari.
A me (che navigo in una beata ignoranza dei meccanismi di mascheramento)
sembra un po' strano...
Se parliamo ad esempio di mero accesso web con proxy, Internet non vede
forse un solo IP?
--
            \\\|///
            ( oo )
 --oOO--(__)--OOo--

 forse un solo IP?
Esattamente

 bari.
non so se ho capito cosa intendi con numero massimo di stazioni etc., ma per
quel che ne so io la societa' di cui non facciamo nomi ( ;) ), per l'utenza
domestica prevede di installare una specie di hub ibrido con un attacco per
telefono e tre per i pc (uno dei quali eventualmente per tv)... quindi da
quel che ci capisco, solo max tre computer collegati e linea del telefono
libera... poi in cantina (?) mettono un cisco che serve tutto il palazzo
Lyl

 telefono e tre per i pc
sono proprio ile tre stazioni che intendevo ;)
E se ci metto un altro hub in cascata?

(autenticano tramite?) il mac address
Wow.
snoopy:/usr/local/src # ./setmac
Syntax: ./setmac iface my:MA:Ca:dd:re:ss
Leonardo
".signature": bad command or file name

 E se ci metto un altro hub in cascata?
mi è sembrato pero' di sentire voci confuse secondo le quali riconoscono
(autenticano tramite?) il mac address (sul loro sito c'e' persino scritto di
avvisarli quando si cambia computer, bha.. sono moolto confuse) e forse
bisogna informarli quando si aggiunge qualche pc..
Lyl, cmq vale al pena provare ;)

 Syntax: ./setmac iface my:MA:Ca:dd:re:ss
questa me la segno...
(ma funziona? e se metto il mac di un povero ignaro...)
(e se la smettessi di usare win per andar in giro, ehehe)
Lyl

 e se metto il mac di un povero ignaro...)
Metti su uno sniffer, fai un ping a qualcuno che ti sta antipatico,
Gill Bates, per esempio, e copiati il mac dal pacchetto di ritorno :-))
Un Paperino, in una scala da 1 a 100 quante ca##ate ho detto ?

 snoopy:/usr/local/src # ./setmac
Aspetta, nel caso specifico avresti piu' PC in rete con un unico MAC... :(

 > snoopy:/usr/local/src # ./setmac
mhhh... controllano i mac su fastweb? difficile direi...
un mayhem che ora ha una 3com sul gateway per allacciare la sua lan token a
fastweb. trasloco previsto entro il 10 gennaio. guarda te se devo cambiare
citta' per raggiungere l'isp dei miei sogni :(
--
cosa bisogna scrivere in questo riquadro?

 mhhh... controllano i mac su fastweb? difficile direi...
Non lo so ;)
Io ho fatto partire il thread xche' _loro_ affermano di controllare le
connessioni. (max. 3)
poi Leonardo ha suggerito il cambiamento di MAC, affermazione che mi turba
visto che l'obiettivo e' avere tanti PC sulla stessa rete ed immagino che
avendo lo stesso MAC ci sara' qualche problemino  in Ethernet


 
Se hai uno switch succede un disastro, in quanto viene proprio usato il
MAC per instradare il traffico di rete ai vari PC...
Comunque il MAC dovrebbe rimanere nella tua lan privata, mentre fastweb
dovrebbe vedere solo il router, quindi o c'e` un blocco sul router (che
deve essere pero` gestito da fastweb) oppure ....:(
-- 
Roberto Tagliaferri<-> r.tagliaferri@(forse)
tosnet.it
(andando da un mago) 	Toc Toc
			Chi e`??
			Cominciamo bene...

 deve essere pero` gestito da fastweb) oppure ....:(
ho quotato alla ca**o scusate :)
allora le cose sono 2... vediamo che succede (correggetemi se sbaglio:
1. premessa: loro mi portano un RJ-45 proveniente da uno switch che mi
connette a 10 Mb alla loro rete, con un IP pubblico. io attacco sto RJ-45
alla mia eth1 e metto l'ip assegnatomi. poi attacco la mia LAN alla eth0 e
dico:
/sbin/ipchains -A forward -s 
192.168.1.0/0
 -j MASQ
e comincio a navigare con un host mascherato.
2. cosa succede
cosa vedono loro analizzando i pacchetti?
se li analizzano a layer 2 vedranno un pacchetto cosi' (semplifico):
mac_addy_src | ma_addy_dst | data
che deducono da questo? il mac_addy_src e', e sempre sara' quello, quelo del
mio gateway, ritengo inoltre proponibile che abbiano una porta di monitoring
attiva su ogni switch che forwarda tutto il traffico in centrale per
analizzarlo a layer2.
se analizzano a layer 3 vedono (evvia di semplificazioni)
ip_src | port_src | ip_dst | port_dst | data
quindi che si vede? premesso che cmq l'attivita' di monitoring del traffico,
se fatta su tutto il traffico a questo livello, e' ingestibile per una
azienda cosi', direi che vedono sempre solo e cmq l'ip del mio gateway. nel
pacchetto ip non ho un campo, come negli header dei proxy che dice
"Forwarded-for: " (dico male invy?) quindi vedo piuttosto duro capire che
sono piu' host.
l'unica possibilita' che potrei considerare e' un'analisi del traffico (cmq
improponibile) a livello application che dice: se nello stesso delta di
tempo (2 secs per esempio) sono partite piu' di x (mettiamo 5) query http
allora ci sono piu' utenti poiche' uno solo non sarebbe in grado di fare na
cosa del genere. io lancio wget e sballo tutti i logs ;P
ritengo quindi che sia molto difficile capire se ti sei nattato (oh, scusate
linuxisti, masquerato ;PPPPPPPPP) o meno...
un mayhem che ca**o e' sto post serio  a nome mio? saranno tutte ca**ate
probabilmente ;(


 cosa del genere. io lancio wget e sballo tutti i logs ;P
Io riesco a clickare almeno 7 link su 
perverso.com
 in due secondi!!! Ovvio,
se ho la mano sul mouse!!!!

azienda cosi', direi che vedono sempre solo e cmq l'ip del mio gateway.
Prova a immaginare di graficare (aagh) port_src in funzione del tempo.
(Si', si', ci sono almeno tre modi di aggirare il problema, ed il piu'
semplice e' rinetd).


 Prova a immaginare di graficare (aagh) port_src in funzione del tempo.
uhu
(espressione intelligente)
abbiamo detto che ip_src e' quello del gateway
port_src sara' uguale per tutti i PC; quindi hai tante (troppe) richieste
rispetto a cio' che e' umanamente possibile. Qual e' la differenza con cio'
che diceva mAyhEm?

che diceva mAyhEm?
No. Le porte NATtate, normalmente, provengono da un solo intervallo nel
bel mezzo dello spazio delle porte.
Quindi il grafico assume un sospetto andamento a dente di sega. Inoltre
un semplice accounting su un router remoto ti indica un traffico molto,
molto piu' alto del normale dalle porte in quell'intervallo.
Occupando 512 bytes di memoria, al massimo, posso avere un indice molto
buono (numero compreso fra 0 e 255) che vale < 5 per connessioni single
e > 200 per connessioni da parte di una Linux box con NAT.
Ho visto alcune "black box" per NATting e usano algoritmi anche peggio,
per cui consentono persino di stabilire "QUANTI" hosts sono sotto NAT e
che attivita' hanno, uno per uno :-)


 ".signature": bad command or file name
e allora, quaando lo metti a posto cazz...
un mayhem che odia nokia e le irda di windows :(


 che attivita' hanno, uno per uno :-)
prendo per buonaa la tua affermazione... ma vale solo per linux o per tutti
i dispositivi che fanno nat in generale? il pix son sicuro di no e sui
router cisco direi all'80% che non vale cmq... ma credo esista sicuramente
una patch del kernel che ovvii a questa imbarazzante, per me e per fastweb
;P, situazione ....e se non c'e' beh..
vecnaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa!!!
un mayhem che respirando aumenta l'entropia... ma non e' colpa mia giuro!


vecnaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa!!!
metodo facilone-domestico per linux:
modifichiamo prima di ricompilare in /usr/src/linux/include/net/ip_masq.h
PORT_MASQ_BEGIN da 61000 in, magari, 2000. A questo punto, per un utente
singolo come me sul masquerader, le porte da 1024 a 1999 sono sufficienti.
Per coloro che NATto utilizzeremo un range 2000-3000, se non sono piu' di
3-4 le macchine, ed avremo un grafico che assomiglia in modo convincente
alla 'sega asincrona' di un sistema multiutente con porte che van su e
giu' in un breve lasso di tempo. I vari provider che dicono di bloccare
le connessioni NATtate, le lasciano invece passare.
invy 
-----BEGIN GEEK CODE BLOCK-----
Version: 3.1
GSS/TW/O>AT d?(dx) s+:+, s: a-->a- C++(C+++) UL+++>UL++++ P+ L+++>L++++
E-- W(W-) N++ K? w-- O- M- V- PS++ PE Y+ PGP++ t++@ 5 X+ R+(R++) tv b+++
DI+++@ D+ G>G++ e++ h r+(r-) y++*
------END GEEK CODE BLOCK------

??? per le connessioni uscenti? 
Perche', tu vorresti fare NAT sulle connessioni entranti? <grin>
Leonardo
