Newsgroup: it.comp.sicurezza.varie
Titolo: Lan Aziendale: E' sicuro usare un router adsl senza firewall?

Salve,
dovremmo collegare una decina di postazioni per gli impiegati (già in lan
tra di loro) ad una linea ADSL.
Anziché preparare un PC con linux per fare da NAT (e installare su di esso
il pppoe) avevamo pensato all'alternativa economica e veloce di acquistare
un router adsl zyxel prestige serie 600, che tra l'altro sto usando già
nella lan di casa ed è banale da configurare. Il router farebbe da NAT e
verrebbe impostato il SUA (il PAT, che la zyxel chiama SUA) su un indirizzo
ip della nostra rete che non appartiene ad alcun PC, esempio 192.168.1.200
in modo che tutte le richieste in entrata vengano dirottate su una macchina
che non esiste (questo perché se si disabilitasse il SUA, il router
risponderebbe ai telnet provenienti dall'esterno, aaaargh!). Inoltre
verrebbero impostate sullo stesso zyxel delle policy che impedirebbero
l'uscita di tutte le richieste effettuate verso porte diverse dalla
23,25,106,110,80 (scusate se mi sono dimenticato qualche servizio) per
evitare l'uso di programmi tipo irc, C6, winmx ecc (vabbeh, uno potrebbe
farli passere da una porta aperta, ma quelli che lavoreranno a tali
postazioni  non sono cosi' bravi)
Poi magari si installerà nella lan un server linux con solo il servizio di
sendmail ad uso server smtp per evitare che quando uno deve inviare un email
debba inviarla al server smtp del provider che ci da' l'adsl con notevoli
rallentamenti, ma questo è un altro paio di maniche.
Tornando al discorso adsl condivisa, mi domando quali rischi ci possano
essere per eventuali attacchi provenienti dall'esterno... voglio dire, il
router adsl risponde picche a tutte le richieste su tutte le porte perche'
le gira su un ip che non esiste. L'unico rischio sarebbe un trojan
installato su un pc di un impiegato che invia dati dall'interno verso
l'esterno, su una delle porte lasciate aperte per far funzionare i servizi.
Dico bene o no? Perche' dovrei mettere un firewall se già dico al router di
bloccare tutto quello che viene da fuori e inoltre sullo stesso posso
impostare dei filtri per le connessioni dall'interno verso l'esterno?
Grazie in anticipo per la risposta

 ha pensato di scrivere:

Naa.....mi rifiuto di sentire.....:((
*PLONK*
-- 
Dmitry - Tesi e antitesi contro la globarizzazione informatica -
PGP FP: B61A F1FA 9B99 A3BD 5D2B 6D99 8D3A 5C92 3525 3509
______________________________________________________________________________
Posted Via Binaries.net = SPEED+RETENTION+COMPLETION = 
http://www.binaries.net

 *PLONK*
Ti ringrazio per i preziosi consigli che mi hai dato nella tua risposta, tra
l'altro quotando solo il minimo indispensabile
:-(

 ma l'avete visto con quella testa storta?"
A questo punto siete pronti per il vostro primo quoting, trattenete il
respiro e procedete come segue:
La vostra intenzione e' rispondere "si si e' proprio figo" ma non dire
nulla riguardo alla testa storta
 - Portare il cursore all'inizio della frase
 - spostare il cursore dopo la parola Doug
 - tenendo premuto "ctrl" premere la freccia a destra (2)
 conseguenza: la frase da cancellare verra' evidenziata di un colore
 diverso dalle altre
 - rilasciare il tasto ctrl e quello freccia
 - premere il tasto Canc
 COMPLIMENTI!!!! avete effettuato il vostro primo quoting.
-rispondere nello spazio sosttostante con le seguenti modalita':
- portare il cursore all'inizio  della frase seguente quella che avete
  appena tagliato
- premere invio
conseguenza: apparira come  per magia un rigo vuoto dove  prima ce ne
era uno pieno
- premere freccia in alto
 conseguenza: il cursore tornera' all'inizio della riga vuota appena
 creata
- scrivere la vostra risposta
nota:  se arrivati  a quest'ultimo  punto vi  accorgete che  non avete
niente da dire tornare al punto (1) ed evitare di compier l'operazione
- ripetere l'operazione piu' volte tenendo conto del fatto che:
"La parte quotata deve essere in ogni caso > 0"
"La  vostra risposta  deve essere  scritta  SOTTO la  parte che  avete
tagliato, NON SOPRA"
"Se vi viene la tentazione di rispondere sopra ripensateci"
"Se  dopo  averci ripensato  avete  sempre  voglia di  scrivere  sopra
provate a collegare il cervello alle dita"
"Se dopo  aver collegato il  cervello avete ancora voglia  di scrivere
sopra non disperate, il trapianto  di cervello non e' ancora possibile
ma ci stanno lavorando"
"Controllare cio' che avete scritto  prima di premere "send", se avete
risposto  solo con  "SI,  NO; NON  SO, 18,  ROTFL,  48y, ma  davvero?,
sei  sicuro?, AAAAAAHAHHAHAHA,  anch'io,  io no,  12.876m, cavoli!  ma
sei  proprio sicuro?,  certo,  sicuramente,  sicuramente no,  cipolla,
vaffanculo, pasta fagioli  e cozze, ma proprio  sicuro sicuro sicuro?,
LOL, forse" tornate al punto  (1) ed evitate di compiere l'operazione.
"ecc."
 Metodo rapido.
Se rispondete ad un post di  200 righe e volete puntualizzare solo una
cosa citata  in due o tre  righe molti newsreader vi  vengono incontro
mettendo a disposizione una funzioncina carina carina:
 si tratta di:
 - portare il cursore all'inizio della frase cui volete rispondere"
 - evidenziate la frase con il metodo al punto (2)
 - premete reply
conseguenza: vedrete che per magilla tutto sparira' e rimarra' solo la
frase cui volete rispondere
rispondete rispettando le raccomandazioni precedenti.
Lo scrivente si augura di aver aiutato i non quotatori in questa ardua
attivita'. Vedrete che con un po'  di esperienza e di studio anche voi
entrerete a far parte di questo fantastico mondo.
 Termino con un paio di raccomandazioni:
Se non avete capito questo post vi si aprono tre strade
a) Consultare l'elenco telefonico, cercare alla pagina della ASL della
vostra zona  (USL per chi ha  elenchi molto vecchi) cercare  il numero
del servizio psichiatrico piu' vicino e chiedere aiuto
b) Recarvi piangendo dai vostri  genitori chiedendo loro perche' hanno
avuto il coraggio di farvi cosi' stupidi
c) Suicidarvi
Se  l'avete capito  ma non  ve ne  frega nulla  vi consiglio  un'unica
opzione:
d) Andate cordialmente a stroncarvelo in quel posto.
 Felice di essere stato utile
 Iauz
 Invernomuto
---------------------------------------------------------------------
Se sei arrivato fin qui e il neurone non si e' schiantato per l'immane
sforzo,  ma  non hai  capito  nulla  non preoccuparti,  puoi  stampare
l'articolo  e  rileggerlo per  tutto  un  mese,  giusto il  tempo  che
rimarrai nel mio killfile.
F/u impostato.
Ciao Francesco.
PS per gli altri, scusate la lunghezza dell'articolo.
-- 
<*> bash$ man -h  per il pinguino che non deve chiedere mai. <*>  
<*> lynx file:/usr/doc/*                                     <*>

 *PLONK*
Se vuoi, adesso ci spieghi il perche' lo plonki, cosi', potresti anche
aver ragione tu.
E se ti avanza qualche byte, ci spieghi anche che cosa, secondo te, ti
terra' lontano dai kill file degli altri partecipanti, se non impari a
quotare.
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

 anche aver ragione tu.
Semplice, perchè la stessa domanda la ha posta su diversi NG, 
secondariamente si è già dato lui le risposte da cui dissento solo
nell'uso di sendmail a pro invece di qmail, tutto qui
(Quotare? ma per favore.....)
ciao:)


 nell'uso di sendmail a pro invece di qmail, tutto qui
Non mi sono dato le risposte, ho semplicemente chiesto "va bene il mio
ragionamento"?
Mi sarei aspettato quindi delle risposte del tipo:
1. Sì, è come dici te, dietro un NAT sei al sicuro.
2. Nooooooo, dietro a un nat è come andare nudi ad un gay pride, ci possono
essere pacchetti con ip privato spoofato o in qualche modo pacchetti fatti
in qualche maniera strana che riescono a passare il nat


Ci sei molto vicino :))


 (Quotare? ma per favore.....)
il favore lo faresti anche a me... includere 40 righe di testo per 
rispondere con un plonk mi sembrano decisamente eccessive

 *PLONK*
Orion, vedo che non perdi il vizio, anche se non usi piu' le news
di infostrada, di trolleggiare come una boa in mezzo all'oceano.
E ora per favore, per evitare di fare altre figure di cacca, spiega ai
gentili lettori il perche' di questa tua risposta.
-- 
Saluti
Leonardo
Per rispondermi in privato: 
leon...@firenze.linux.it

*PLONK*
Altrettanto!
Qualcuno ha qualcosa di interessante da dire riguardo il discorso
originale del thread?
Il discorso interessava anche me, e il parere di gente piu' esperta e'
sempre gradito.
Ad esempio, dirottare le richieste dall'esterno verso una macchina
inesistente, e' una idea furba o una ca##ata?
-- 
Sayonara
Massy

 
? questa poi....cmq ho già risposto sopra nel thread 


 Orion, vedo che non perdi il vizio, anche se non usi piu' le news
Orion? Thanx...
Ciaotuti,
*

 Ci sei molto vicino :))
Sarebbe possibile fare un doppio nat?
ovvero una catena di questo tipo
LAN AZIENDALE (ip del tipo 192.168.0.x)
          !
          !
scheda di rete eth1 (int,  ip 192.168.0.1)   [ PC CON
scheda di rete eth0 (ext,  ip 10.0.0.3)          LINUX ]
         !
         !
interfaccia ethernet interna dello zyxel  10.0.0.1
porta adsl dello zyxel (ip esterno: quello che mi da
il provider dinamicamente)
         !
       dslam
in questa maniera se uno dall'esterno mi mandasse una richesta proveniente
da un ip spoofato del tipo 192.168.0.x, verrebbe scartata dal router adsl
mentre se me la manda con un ip tipo 10.0.0.123, quell'ip non č di nessuno
MA SOPRATTUTTO LA MIA DOMANDA č: si puo' fare un nat^2 ovvero un nat del nat
o i pacchetti vengono persi?
Grazie in anticipo per la risposta
Voi come la colleghereste a internet tramite adsl una lan aziendale?

 messaggio
Il che, consentii, e' peggio.
Vabbe', siamo ancora in clima di festivita', e spendo quel paio di
eurocent per una piccola, quanto gia' abbondantemente ripetuta
lezioncina.
Se il post si trova al confine di due news group, e' tollerato
(tollerato, non che sia la cosa migliore da farsi) spedire in
cross-post, con l'apposizione del follow-up su uno dei due gruppi, su
cui continuare la discussione.
Adesso ti elenco alcuni dei vantaggi di questo comportamento:
- Un cross-post, a differenza di un post multiplo, viene veicolato tra i
vari server (e tra i migliori news-reader) in copia unica, piu' un
indice dei gruppi interessati.
- Un cross post seguito da un follow-up, consente di raggiungere in
effetti i due gruppi in cui l'argomento sconfina.
- Un cross post con il follow-up, consente altresi' di mantenere la
discussione organica, ben raccolta, senza dispersioni e duplicazioni di
eventuali risposte, potendosi sviluppare gradualmente con l'apporto dei
partecipanti di entrambi i news group.
- Un cross post con follow-up evita di fare inca%%are i partecipanti dei
due news group, che, essendo collegati (altrimenti l'argomento non
sarebbe al confine dei due) saranno, in grande misura, gli stessi
personaggi, che li seguono entrambi, per affinita' di topic.
- Infatti, ti sei beccato immediatamente la strigliata. :-)


 Grazie in anticipo per la risposta
 P.S. - Io non sono un Guru, ma un neofita nel campo della
sicurezza,
     - mi limito a estendere la mia personale esperienza.
Teoricamente, ma nella pratica forse potrebbe andare
diversamente.
Prova a realizzare quello che hai detto, installaci snort e
controlla cosa accade,
lascia il sistema up per una decina di giorni,
nel frattempo naviga su di un bel po' di siti dalla rete
"nattata" magari visita siti
di lamer russi o semplicemente i siti M$ dedicati agli OEM e
vedi cosa accade ;-))
Mi raccomando per fare questa prova usa delle box dove non
ci siano dei dati importanti.
ciao
--
------------------------------------------------------------
---------
Alessio Sommariva  
smmgpp...@tin.it
Piu' passano gli anni piu' m' accorgo che
l'arte dello imparare e lo vizio
del sapere son spirito giovine.
Alessio

 messaggio
 
A parte il fatto che il multipost e` piu` dannoso dl crosspost, ti do
ragione sul resto. Per quanto riguarda la domanda iniziale (tanto per
non sprecare del tutto il post), a meno di non utilizzare il firewall
interno dello Zyxel (che, da quanto ho capito, stai utilizzando), imho
e` meglio impostare un firewall subito dietro al router
Henryx
-- 
echo '16i[q]sa[ln0=aln100%Pln100/snlbx]sb20293A2058554E494Csnlbxq'|dc

 inesistente, e' una idea furba o una ca##ata?
Si potrebbe considerare anche una boiata, in quanto in questo modo il
router risponde con un bel 404 (facendo cosi` capire ad un eventuale
attaccante che l'ip esiste), mentre con un bel DENY (di ipchains o di
iptables) la richiesta finisce nel nulla assoluto


Dico bene o no?
Si' e no. In questo modo in effetti sei al sicuro da attacchi conosciuti,
ma appunto: rimani esposto alla possibilita' di un trojan, non hai troppa
flessibilita', e non hai un IDS degno di questo nome (ne' indegno, per la
precisione ;-) ).
Diciamo che una volta che avrete il bussolotto Linux per l'SMTP, potrebbe
essere molto conveniente installarci dapprima POP3 + fetchmail, poi Squid
(macari con Junkbuster), e prima o poi "promuoverlo" a firewall e/o NAT.
Uno dei trucchetti divertenti che si possono implementare, ad esempio, e'
il filtraggio SMTP e HTTP su base MUA+User-Agent. In questo modo - a meno
che un trojan sia cosi' furbo da leggere le impostazioni DEL CLIENT, *NON
DEL SISTEMA MAPI* [1], non solo non passa neanche dalle porte aperte, ma,
per soprammercato, fa scattare un allarme amministrativo.
E' quel che successe a me quando il mio PC improvvisamente decise di fare
un collegamento HTTP su 
activex.microsoft.com
, senza passare da Opera. Il
suo User-Agent non era "Opera" e Squid non l'ha fatto passare, segnalando
il tentativo (il thread e' di un tre mesi fa o anche piu' qui su ICSV per
chi fosse interessato).
Leonardo
[1] spero vivamente che in Windows ci sia differenza
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

 impostare dei filtri per le connessioni dall'interno verso l'esterno?
perche devi essere sicuro che lo faccia.
mi allaccio inoltre ad una domanda che segue piu' avanti.
il nat non garantisce sicurezza in se. un banale esempio puo' essere il
source routing, che non so come venga gestito da zyxel, ma credo male ;P
un mayhem che se la gente spende decine di milioni per i firewall,
saranno mica tutti stupidi no?
--
Without sacrifice, withouth death, we would have nothing. TD

 iptables) la richiesta finisce nel nulla assoluto
ringrazio tutti per le risposte e i chiarimenti
Mi domando pero', all'atto pratico come puo' essere bypassato un NAT,
dall'esterno verso l'interno.
Potreste farmi un esempio pratico? Grazie.
P.S. Di smoothwall cosa ne pensate?

 molto grande.
Di smoothwall cosa ne pensi?
Grazie ciao ciao

sicura la mia rete?
No, non la tua, ma in sede di processo il tribunale (o il pm...?) puo'
richiedere una perizia tecnica.
Su gugl troverai sicuramente il testo integrale della legge (mi pare
fosse il sito del parlamento...)
In ogni caso, sono sicuro che qui, un parsifal a caso, sapra'
illuminarti ed esprimersi meglio...
HappyCactus che sta covando l'influenza...
-- 
HappyCactus - Registered Linux User #209744
Cannot delete files, disk full. Try to delete some file.

 addendo? uhmmm....) riguardo password e altre caxxatine.
DPR 318/99
Fabio

 Di smoothwall cosa ne pensi?
evito accuratamente di pensarne :)
un mayhem ed il tribunale della sicurezza :D


 un mayhem ed il tribunale della sicurezza :D
ciao.. posso sapere come devo interpretarlo?
- *non* ci pensi perchè *non* ne hai bisogno
- *non* ci pensi perché *non* lo conosci
- *non* ci pensi perché *non* è affidabile
Ti ringrazio...
--
Stefano Zamboni 
sz...@libero.it
Seconda legge di Scott:
Quando si trova e si corregge un errore, si vedrà che andava meglio prima.

 > E che legge č?
mi correggo, prima ho postato il link a quella della privacy :(
http://www.markon.net/regole/3112000.html
un mayhem distratto


 - *non* ci pensi perché *non* è affidabile
ci sono molti strumenti, e non posso conoscerli tutti. per quel che mi
riguarda ho deciso di appoggiarmi a unix flavors (linux/openbsd) e
cisco. non sopporto fw-1 ma un po' lo devo conoscere per forza :(((.
tutto il resto non lo conosco, non lo voglio conoscere, non lo posso
conoscere, spesso non e' affidabile.
i tre strumenti che ti ho citato stranamente dominano il mercato, sono
pieni di buchi, spesso hanno diversi problemi. difatto sono molto
supportati, molto conosciuti e molto usati. il che mi garantisce un buon
supporto sia da parte delle aziende produttrici, che di amici e
conoscenti colleghi, trovare documentazione, newsgroups, mailing lists,
programmi sviliuppati ad hoc e via dicendo. credo sia abbastanza no?
un mayhem ed i dns impazziti


 conoscere, spesso non e' affidabile.
Guarda che smoothwall č una distribuzione di GNU/Linux :)
Fabio

 Guarda che smoothwall è una distribuzione di GNU/Linux :)
ah di quelle che "infila il cd ed hai il firewall configurato?"
un mayhem che preferisce usare slackware e scrivere lui quel che serve.


 evito accuratamente di pensarne :)
perché? smootwall registra + di 4000 installazioni/mese
(siamo già oltre quota 80.000 in tutto il mondo) ed ancora sembra non essere
stato bucato.
Quindi devo dedurne che ti fidi solo dei cisco pix o di una distribuzione di
linux pulita (tipo debian e slackware) configurate ad arte?
E' solo per chiedere informazioni, sono ignorante e quindi chiedo
delucidazioni....
Ti ringrazio e ringrazio anche gli altri di tutti i chiarimenti

 ah di quelle che "infila il cd ed hai il firewall configurato?"
Vabbeh dai è pur sempre usato da 80mila persone

 Vabbeh dai č pur sempre usato da 80mila persone
sai quante usano firewall-1 ? sai cosa penso di fw-1?
un mayhem ed il silenzio per evitare querele


 linux pulita (tipo debian e slackware) configurate ad arte?
Anche per me e` meglio una distro linux generica configurata per le
proprie esigenze che una distro specifica che utilizza regole
preimpostate
Henryx
-- 
Recenti studi ci confermano che Verga era cosi' chiamato per via di sue
particolari doti nascoste....  Ora ci chiediamo: Pi-Randello aveva 3.14
volte le doti del Verga?
		-- Andrea `Zuse' Balestrero