Newsgroup: it.comp.sicurezza.varie
Titolo: forse ot. nat? pat?

salve a tutti.
questa č la mia configurazione:
reteMistaPcVariDiCui1linuxRedHat72 -- hub -- router zyxelPrestige 300 --
modem alcatel speedtouch della telecom -- linea adsl.
andiamo tutti in internet.
il router ha un menu che si chiama nat setup
  Port #         IP  Address
                    ------       ---------------
                   1.Default       0.0.0.0
                   2.  22          10.1.1.50
                   3.  0           0.0.0.0
                   4.  0           0.0.0.0
cosi facendo volevo fare telnet da casa al mio ip fisso , e pensavo che il
router mi dirottasse sulla porta 22ssh del pc linux. ciň non avviene.
la domanda č: č l'alcatel speedtouch che fa da (nn so se č corretto
definirlo cosi) firewall?
grazie

definirlo cosi) firewall?
Cosa fai esattamente tu da casa? Programmi usati, comandi dati, eccetera?
Leonardo
-- 
Says I, "My young lassie, I canna' weel tell ye,
The road and the distance I canna' weel gie,
But if you'll permit me tae gang a wee bittie,
I'll show you the road an' the miles tae Dundee".

> Cosa fai esattamente tu da casa? Programmi usati, comandi dati, eccetera?
niente di speciale.
con net term o con teraterm pro faccio ssh sul mio ip fisso 80.xxx.xxx.xxx.
se tutto fosse stato come immaginavo, avrebbe dovuto chiedermi nome utente e
passwd... con ssh si può anche accedere con riconoscimento RSA...
so anche come fare, ma sono fermo ben prima! :).
tu sai dirmi se ciò è dovuto al modem?

tu sai dirmi se ciō č dovuto al modem?
In teoria non dovrebbe. Se hai accesso a un host esterno, dal di dentro
puoi fare ssh fuori, poi lanciare tcpdump, tentare di rientrare e cosi'
vedere cosa succede.
Comunque: se ti fa entrare con TeraTerm (TTSSH), *credo* che tu usi SSH
1.5; e' vulnerabile ad un particolare attacco. Aggiorna ad OpenSSH 3.x,
e/o disabilita il protocollo 1 in /etc/sshd_config.
C'e' un sacco di furbacchioni che fanno scansioni col Version-Mapper, e
poi cercano di radicarsi :-) sulla tua macchina.


 e/o disabilita il protocollo 1 in /etc/sshd_config.
ti ringrazio, ma lì nn ci arrivo ancora :)... io con tera term nn ci entro
proprio.
ti spiego : ho addirittura provato a nattare con la porta 23, e fare telnet
da windows all'indirizzo ip, ma nn da cenni di vita...
nn sono esperto di queste cose, penso concettualmente di fare bene, ma
vorrei capire se il modem telecozz gioca il ruolo del guastafeste! :)

abbi pazienza, ma nn mi č chiaro cosa vuoi dire :)..
Facciamo una checklist:
- il server sshd e' in funzione sull'host Linux?
  il comando
	netstat -nap | grep 22
  deve dare una linea di output con sshd.
- il server e' abilitato a ricevere pacchetti con dstport 22?
  uno dei comandi ipchains, iptables o ipfwadm, lanciati con i parametri
  opportuni, tipo
	ipchains -L input -n
	ipchains -L output -n
  non deve segnalare blocchi sulla porta 22.
- a questo punto, per assicurarsi che qualcosa arrivi, si lancia (sull'
  host)
	tcpdump -li eth0 port ssh
  ovviamente *senza* altre sessioni ssh aperte; se c'e' una sessione da
  un host "pippo", si dovra' fare
	tcpdump -li eth0 port ssh and not host pippo
  Questo comando resta in ascolto per pacchetti SSH. Ora, dall'esterno,
  qualcuno deve provare a usare SSH.
Se non arriva niente, e' il router che va sistemato. Se arriva, bisogna
vedere se in /var/log/messages sshd segnala qualcosa; se non lo fa vuol
dire che il logging di sshd e' disattivato, e cio' e' male (risistemare
il logging da /etc/sshd.conf).
Comunque finche' il server sshd e' un 1.5 e/o ha Protocol 1 nel file di
configurazione, sara' una santa cosa NON sistemare il problema, che per
adesso *forse* ha salvato l'host dall'essere bucato come un groviera.
PRIMA aggiorna sshd, POI controlla /etc/sshd.conf, POI fai le prove :-)


 adesso *forse* ha salvato l'host dall'essere bucato come un groviera.
il file /etc/ssh/sshd_conf comincia cosě :
sshd_config v1.38 2001/04/15
nn so se va bene.
ora che ci penso, sono molte le cose che nn so. :)
grazie se mi rispondi ancora...

nn so se va bene.
Prova:
	telnet localhost 22
Connected to localhost.
Escape character is '^]'.
SSH-2.0-OpenSSH_3.1p1h2
    ^^^
A questo punto "Ctrl ]" ti da' il prompt di telnet
telnet>
e il comando "quit" (invio) ti fa uscire dalla connessione, tanto quel
che c'era da sapere l'hai saputo: quel "2.0" dopo SSH.
Poi, il comando
	grep Protocol /etc/ssh/sshd_conf
ti dice che protocolli sono abilitati.
Leonardo
-- 
Questo messaggio č NAGWARE. Per disattivare ironia trita, giochi
di parole, volgarita' gratuite ed inviti a rileggersi i messaggi
gia' passati e/o consultare 
http://groups.google.com
, effettuare
un versamento di 25 euro come tariffa di registrazione helpdesk.

 grep Protocol /etc/ssh/sshd_config
# Protocol 2,1
ho edittato il file e tolto l'1...
ma nn funge...
mi viene un dubbio : nn è che il NAT deve essere da contratto, altrimenti nn
si può fare? ovvero, nn è che ho un modem che nn accetta chiamate
dall'esterno?
pc linux -- hub -- router -- modemSpeed -- ADSL
                                                            ----->  si
                                                            <-----  no?
che ppalle!

 ho edittato il file e tolto l'1...
:) :) :D
mah!
:) :) :D

dall'esterno?
Andiamo con ordine. Il "modemSpeed" com'e' configurato? Tu ora stai usando
quella connessione, e l'IP che ti e' assegnato parrebbe buono... nel senso
che conosco altra gente che ci riesce, su quella sottorete li'.
Posso farti un piccolo test? Giuro che staro' attento a non fare danni (l'
indirizzo di origine del test e' il mio).


 indirizzo di origine del test e' il mio).
ok, se posso. dimmi cosa devo fare :)
nn ti prometto nulla, xchè nn seguo io direttamente questa situazione.
nn mi stupirei se ci fossero "impedimenti contrattuali, commerciali" che nn
conosco...

conosco...
Be'... l'host parrebbe proprio firewallato di brutto :-|
Pero' non mi torna: ripeto, io conosco gente che ha ADSL in quella rete e
non ha problemi di sorta.


 non ha problemi di sorta.
allora...allora...allora...
forse il mistero si risolve...
non abbiamo un ip statico..
sono stato ingannato dai commerciali e dal fatto che, pur essendo un ip
dinamico, si "comporta" in modo statico mantenendo il medesimo ip per
giorni...
purtroppo non me ne sono accorto prima, avendo accesso a macchine e router
solo da pochi giorni...
tanto per capirci, in 6 giorni l'indirizzo č stato 62.211.18.xxx cambiando
una volta l'ultimo campo...
uno schifo, un teleconomy adsl, probabilmente il contratto che costava meno,
fatto da persone che vendono cose che non sanno nemmeno esistono.
cmq ho fatto le prove del caso sull'indirizzo corretto, ovvero ho fatto ssh
da un'altra linea all'ip giusto, che ho in questo momento.. ma non funziona.
arrivati a ciň ho (forse) un ultima domanda per te, che ho avuto modo di
vedere molto piů ferrato di me :
č il tipo di contratto che m'impedisce di fare nat? o č il modem datomi per
questo tipo di contratto che si comporta in questo modo non consentendo un
traffico bidirezionale?
se hai ancora voglia di risp te ne sono grato.. almeno se capisco perchč non
funziona me ne faccio una ragione :)
grazie
fabio

traffico bidirezionale?
Io credo che il guaio sia nella configurazione o del router o del modem.
Il modem *dovresti* poterlo vedere mettendo in Explorer
 
http://10.0.0.138
mentre per il router c'e' ovviamente telnet. A questo proposito, qual e'
l'indirizzo (o meglio, QUALI sono gli indirizzi...) assegnati al router?


 l'indirizzo (o meglio, QUALI sono gli indirizzi...) assegnati al router?
non capisco cosa intendi.
sul router č stato fatto questo (suppongo xchč non l'ho fatto io) :
- collegato alla com di un pc
- con hyperterminal č stato modificato :
- scelta 3 LAN setup
- scelta 2 TCP/IP and DHCP Setup
 - TCP/IP Setup:
                      IP Address= 10.1.1.100
                      IP Subnet Mask= 255.255.255.0
                      RIP Direction= Both
                        Version= RIP-1
cosě il router fa da gateway con indirizzo 10.1.1.100
- č stato collegato all'hub e al modem che a sua volta č collegato alla
linea adsl
- da un pc qualsiasi si fa #telnet 10.1.1.100
- scelta 4. Internet Access Setup
-  ISP's Name= TIN
                    Encapsulation= PPPoE
                    Service Name= INTERNET
                      My Login= xxxxxxx
                      My Password= ********
                      Idle Timeout= 500
fine. ne piů ne meno.
su ogni client ci sono i dns di tin impostati.
andiamo tutti in internet normalmente.
nella "shell" del router lancio un #ip ifconfig e so qual'č il mio indirizzo
"attuale"
    ...enif0: mtu 1500
    inet 10.1.1.100, netmask 0xffffff00, broadcast 10.1.1.255
    ...wanif0: mtu 1492
    inet 62.xxx.xxx.xxx, netmask 0xffffffff, broadcast 255.255.255.255
credo che piů di questo non so dirti :)
NON ABBANDONARMI !!!!!  :D :D

credo che piů di questo non so dirti :)
Be', quel dannato DEVE funzionare.
Mi dai l'output di "tracert 151.99.101.102" ?
E controlla se davvero quel benedetto router fa PAT sulla porta 22.
Altrimenti, l'unica e' usare un dumper sui cavi (quello fra router e
hub) e un decoder PPPoE per capire cosa straminchia fanno quelle due
macchine. Non e' che sia complicato, basta mettergli un hub in mezzo
e attaccarsi all'hub.
Controlla poi che non ci siano filtri strani nella configurazione di
quel router. Mi ricordo che lo ZyXEL 642R ce li aveva (...e' l'unico
ZyXEL su cui abbia messo le mani: sono un ostinato, non un guru[1]).
Leonardo
 [1] anche se a volte l'ostinazione da' risultati che il guru non e'
     in grado di ottenere :-)


> Mi dai l'output di "tracert 151.99.101.102" ?
dal mio pc win
c:\> tracert 151.99.101.102
Rilevazione instradamento verso 
r-mi256-to70.opb.interbusiness.it
[151.99.101.102]
su un massimo di 30 punti di passaggio :
    1    2 ms      2 ms      2 ms      10.1.1.100
    2    *           *           *            Richiesta scaduta
    3    63 ms    61 ms    61 ms    
r-mi256-to70.opb.interbusiness.it
[151.99.101.102]
Rilevazione completata
.... il resto che hai scritto è tranquillamente incomprensibile per me! :)
abbiamo scoperto qualcosa, capo? :D

abbiamo scoperto qualcosa, capo? :D
Si' - c'e' un filtro sulla maledetta rete, filtro che NON c'e' su altri
IP della tua stessa rete (uno di questi IP tra l'altro lo avevi tu solo
pochi giorni fa).
Conclusione: o quel router fa da firewall o il tecnico ha fatto qualche
magia.
Va riesaminata la configurazione dello ZyXEL, per prima cosa.
La documentazione del Prestige 300 purtroppo non l'ho trovata, pero' ho
quella del Prestige 310... alla voce "Configuring a Filter Set" c'e' la
spiegazione sul funzionamento dei filtri. Menu 21.
Leonardo


 spiegazione sul funzionamento dei filtri. Menu 21.
alur...
ho un menu 21. Filter and Firewall Setup
tre sottomenu :
1. Filter Setup
2. Firewall Setup
3. View Firewall Log
il secondo, firewall setup è cosi :
Menu 21.2 - Firewall Setup
      The firewall protects against Denial of Service (DoS) attacks when
      it is active. The default Policy sets
          1. allow all sessions originating from the LAN to the WAN and
          2. deny all sessions originating from the WAN to the LAN
      You may define additional Policy rules or modify existing ones but
      please exercise extreme caution in doing so
          Active: Yes
          LAN-to-WAN Set Name: ACL Default Set
          WAN-to-LAN Set Name: ACL Default Set
      Please configure the Firewall function through PNC
                    Press ENTER to Confirm or ESC to Cancel:
Press Space Bar to Toggle.
__ho tolto yes e messo no, ma non funziona uguale.
il sotto menu filter setup è cosi :
Menu 21.1 - Filter Set Configuration
     Filter                               Filter
     Set #        Comments                Set #        Comments
     ------  -----------------            ------  -----------------
       1      NetBIOS_WAN                   7      _______________
       2      NetBIOS_LAN                   8      _______________
       3      TELNET_WAN                    9      _______________
       4      FTP_WAN                      10      _______________
       5      _______________              11      _______________
       6      _______________              12      _______________
                    Enter Filter Set Number to Configure= 0
                    Edit Comments= N/A
                    Press ENTER to Confirm or ESC to Cancel:
ognuna di quelle voci contiene righe simili a questa :
 # A Type                       Filter Rules                              M
m n
 - - ---- --------------------------------------------------------------- - 
- -
 1 Y IP   Pr=6, SA=0.0.0.0, DA=0.0.0.0, DP=23                             N
D F
__l'unica cosa che capisco è che non ci sono DP=22, x cui non dovrei avere
impedimenti su ssh...
sigh :(
se ti rotto di aiutarmi non farti problemi...

impedimenti su ssh...
In effetti parrebbe cosi' anche a me. Pero' rimane il fatto che quel
benedetto forwarding di porta 22 sul 10.1.1.50 non si attiva, quindi
qualche magagna c'ha da essere.
Prova a smanacciare in giro, sul router :-) -- se sopravvive, ci sta
che dopo funzioni. Io ho pochissima esperienza con gli ZyXEL (e poca
anche con i routers in generale).
Vedi se questo ti aiuta:
http://www.dslreports.com/forum/remark,3166528~root=equip,9~mode=flat
http://web.solnet.ch/support/adsl/642R/forward.html
...altrimenti c'e' da supporre che TIN abbia cominciato a bloccare a
ufo un po' di porte buffe.
Casomai, sentiamoci in email.
Leonardo perplesso


 Casomai, sentiamoci in email.
difficile che ti disturbo ulteriormente... e la mia mail non è skù@
libero.it
io lavoro in un rivenditore software gestionale, ed essendo sotto redditi
non avrò sempre il tempo che ho avuto in sti giorni...
cmq proverò ancora a smanettare...
infinite grazie per l'aiuto... se non altro mi hai chiarito qualche dubbio
ciao
fabio
:)

 sto leggendo documentazione presa da 
www.netexpert.it
 ...
Ma non ce l'hai il manuale? Nel caso lo trovi sul sito di
Zyxel partendo da qui e cercando tra gli sharing gateway.
http://www.zyxel.com/support/download/index.htm
Fabio

 finisca qui: non conosco bene gli zyxel.
sapessi come farlo. ora a non conoscere bene gli zyxel siamo in tre! :)
n.b. ho cambiato pc x fare NAT.
ora in
15.NAT Setup
2.Server Set
c'è questo :
Menu 15.2 - NAT Server Setup
                    Port #         IP  Address
                    ------       ---------------
                   1.Default       0.0.0.0
                   2.  22          10.1.1.18
                   3.  0           0.0.0.0
                   4.  0           0.0.0.0
                   5.  0           0.0.0.0
                   6.  0
il pc linux ha ssh che funziona, lo so xchè ci accedo dalla LAN... il prob è
sul router o, come pensavo all'inizio, sul modem della telecozz....
il manuale non ce l'ho...
ma lo troverò :)!
grazie cmq..

 active=yes semplicemente xchè era cos' e non so bene cosa comporti


 ma lo troverò :)!
Il problema e' sul router: risponde ai pacchetti che gli invii
e quindi e' raggiungibile dall'esterno sulle porte che servono.
Il modem lavora come bridge e non dovrebbe avere influenza sul
traffico ai livelli tcp ed ip.
Fabio

 traffico ai livelli tcp ed ip.
mi dici che prove hai fatto? m'hai pingato, m'hai nmap-pato? :)
sto andando a casa, buona serata a tutti...

uelà
anche se forse non ve ne frega una beata cippa, vi aggiorno.... anche perchè
sono di buonumore visto che siamo passati agli ottavi.
sto spolpando il manuale dello zyxel 312, in inglese, al capitolo 6-Network
Address Traslation...
purtroppo le limitate attrezzature x fare prove, unite alle mie limitate
capacità mentali, fanno si che ancora non ho ottenuto risultati
soddisfacenti.
se cmq il modem adsl fa effettivamente solo da ponte dei sospiri, cè poco da
fare, se non agire sul router...
ordunque mi sorge un altro dubbio, e non insultatemi se dico una castroneria
:
non è che non si può fare
LAN --> internet e pc casa --> pc linux della LAN contemporaneamente?
grazzie!

LAN --> internet e pc casa --> pc linux della LAN contemporaneamente?
Buona questa :-)
Leonardo "cčtto che si puo' fare, aah!"


> Leonardo "cčtto che si puo' fare, aah!"
abbi pazienza...
lo sconforto produce conseguenze anche peggiori...

tattata ratatatatatatta!!!
ce l'ho fatta.
nat su router zyxel 512, nn so se ti ricordi, son passati diversi giorni...
# cat /var/log/secure
server_linux sshd[9123]: Accepted rsa for fabio from 151.25.133.
161 port 1046
cmq il problema era dato dal firewall impostato sul router.
firewall contro attacchi DOS...
ora, salutandoti e ringraziandoti , ti chiedo un consiglio:
che devo fare sul pc linux? mettere ipchains o iptables? se non metto nulla
che rischi corro?
grazie 1000 euro 0,52 confdido in una tua risposta

che rischi corro?
Dipende da che servizi ci sono sopra. Dopotutto, il packet filter impedisce
di mettersi in contatto con servizi vulnerabili sulla macchina; ma se tu di
questi servizi NON NE HAI, al limite neanche ti serve packet filtering.
Per l'elenco dei processi, ove supportato:
# netstat -nap | grep -i LISTEN
Leonardo


 che devo fare sul pc linux? mettere ipchains o iptables? 
Dipende dal kernel. 2.2.x -> ipchains, 2.4.x -> iptables
-- 
don't feed the troll
partecipa anche tu all'iniziativa:
"il primo fanculo ? quello che conta"
killa in silenzio, vivi felice

grazie a entrambi per le risposte.
la macchina linux attualmente ha al boot i demoni d'installazione...
telnet,ftp,ssh,kudzu.. tutto ciň che lui ha di default senza averci messo
mano... provvederň io poi a configurare solo i servizi che mi servono. i
miei dubbi essenzialmente sono 3 :
1 - se sul pc lino ho bisogno di tenere attivi sia telnet per la rete
locale, sia ssh per una connessione remota, dovrei mettere iptables?
2 - e se rendo attivo SOLO e SOLO ssh?
3 - il menu del router relativo al firewall dice ciň :
 Menu 21.2 - Firewall Setup
      The firewall protects against Denial of Service (DoS) attacks when
      it is active. The default Policy sets
          1. allow all sessions originating from the LAN to the WAN and
          2. deny all sessions originating from the WAN to the LAN
      You may define additional Policy rules or modify existing ones but
      please exercise extreme caution in doing so
          Active: Yes
          LAN-to-WAN Set Name: ACL Default Set
          WAN-to-LAN Set Name: ACL Default Set
      Please configure the Firewall function through PNC
.... mettendo active=no, funziona la connessione da remoto, ma corro
veramente il rischio di DOS ?
grazie ancora

veramente il rischio di DOS ?
Mah. Con quegli IP direi di no, ma per essere piu' sicuri io AGGIUNGEREI
una regola a quel firewall, per cui le sessioni WAN -> LAN sono permesse
SOLO se hanno una porta di destinazione = 22.
Leonardo
