Newsgroup: it.comp.sicurezza.varie
Titolo: Come fare

Di nuovo qui...... che palle direte voi ...:-))))))) ..... dopo aver testato
il mio sistema sulla sicurezza in rete, mi rimane soltanto di mascherare il
mio indirizzo ip sulla rete; in poche parole vorreri evitare che venga
pingato. Io ho fatto qualche prova all'interno della mia rete, ma non sono
riuscito nell'intento. Avete qualcosa da suggerirmi ? Premetto che il server
che va in internet ha come s.o. Linux RedHat 7.3 e uso come firewall
ipchains.
Grazie in anticipo :-)

Vi ringrazio molto dell'aiuto .... x whiplash: lo sň ...... non č una delle
protezioni migliori, perň insieme a delle altre regole č sempre qualcosa in
piů che aggiungi.
D'altro canto, il sistema piů sicuro č quello spento :-)))
Ciao e grazie di nuovo.

 evitare che venga pingato. 
e' inutile.
per il resto vedi msg di thorin e whiplash
 
-- 
Cristiano Deana, Biella.
Solo una volta mi ha dato uno schermo blu (meglio uno
schermo blu che uno nero come debian) [cit.]


Mi fai un esempio, per cortesia... ?

 Mi fai un esempio, per cortesia... ?
cerca MTU e path discovery



Allora: ho trovato questo :
http://www.apinforma.com/biblio/online/netproto/03dlink/mtu.htm
e poi mi son letto pure questo:
http://www.mojodo.it/docs/txt/fmtu/art.txt
tuttavia, io non son riuscito mica a capire il perche' rendere invisibile
un host sulla rete potrebbe anche essere controproducente.
Se me lo spieghi con due parole mi fai un favore :-)

un host sulla rete potrebbe anche essere controproducente.
ICMP messages are commonly blocked at firewalls because of a
   perception that they are a source of security vulnerabilities.  This
   often creates "black holes" for Path MTU Discovery [3], causing
   legitimate application traffic to be delayed or completely blocked
   when talking to systems connected via links with small MTUs.
rfc 2979.
-- 
Maurizio - Tannoiser - Lemmo
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

 Inutile.
Non e' vero che e' inutile. E' una forma di difesa che,
congiuntamente ad altre, contribuisce a rendere piu' sicuro un
host.

 host.
no e' una "pseudo" forma di difesa,anche se blocchi gli icmp uno puo
sempre farti un "ping" tcp e il risultato non cambia ... non ha una grossa
 utilita di bloccare gli icmp echo replay in uscita (o gli echo request
in entrata o entrambi)se il tuo scopo e' "renderti invisibile" (le
virgolette sono puramente volute)
saluti
-- 
          "chown linux:users /world"
"E se i filosofi a cena mangiassero colle mani ?"

 ad altre, contribuisce a rendere piu' sicuro un host.
e cosa difendi bloccando gli icmp?
in caso di smurf non rispondi? IMHO in caso di smurf (parliamo di
connessioni casalinghe) il problema non e' _piu'_ se tu rispondi o no...


    when talking to systems connected via links with small MTUs.
Le problematiche legate ai black hole di PMTUD non sono relative al
filtraggio degli echo ma dei fragmentation needed, sepsso implicito
in politiche di filtraggio che bloccano indiscriminatamente l'icmp.
Le macchine che fanno PMTUD iviando un echo request preventivo, non
vedendo risposta, evitano di usare il flag DF e poi settano una MTU
ragionevole. In pratica si comportano come qualsiasi altro host, se
trovano dall'altra parte un filtraggio degli icmp. La maggior parte 
delle implementazioni di PMTUD usa questo metodo AFAIK.
Le macchine che fanno PMTUD settando il flag DF sul traffico TCP ed
iniziando a scalare la MTU quando ricevono degli icmp fragmentation
needed non sono in nessun modo affetti dal filtraggio degli echo ma
solo dal filtraggio degli icmp tipo 3, codice 4.
In pratica si puo' mantenere una interoperabilita' molto elevata in
quasi tutti i casi avendo cura di filtrare in modo corretto. I casi
particolari possono essere risolti adeguando i filtri a seconda del
necessario (esempio: ammettere gli echo da 1500 byte con DF settato
provenienti da <ip ostinato o per il quale ti interessa ottimizzare
le prestazioni>).
Fabio

 iniziando a scalare la MTU quando ricevono degli icmp fragmentation
                         ^^^
Spiacente, ma ho usato MTU invece di dimensione del datagramma. Penso
che sia chiaro lo stesso quel che volevo dire.
Fabio

 D'altro canto, il sistema più sicuro è quello spento :-)))
Ne riparliamo quando ti si presentano *fisicamente* con un lanciafiamme
:P
una DElyMyth oggi un po' piromane :)
[in fondo diluvia, bisogna scaldare queste umide giornate di fine
novembre...]
-- 
   => Don't Let Your Fears Stand in The Way of Your Dreams !!! <=
   URL: 
http://www.delymyth.net/
 ~ E-Mail: 
DEly...@despammed.com
            => ICQ#: 8761263 - MSN: 
dely...@msn.com
 <=
          => FREE! Hardware Anti-Virus!!! - /dev/brain <=

 Grazie in anticipo :-)
A quanto pare vedo che ho scatenato un bel dibattito. Tuttavia non ho ancora
capito (scusate, ma è colpa mia se non conosco a fondo la rete) il vero
motivo per cui un host mascherato potrebbe essere addirittura più a rischio,
o almeno mi pare di aver capito così leggendo gli ultimi post. Sarei grato
io e anche un pò della comunità che si trova nelle mie stesse (o simili)
condizioni se poteste spiegarlo in parole povere. Grazie di nuovo e a
presto.

 parole vorreri evitare che venga pingato.
č inutile e, tecnicamente, una violazione del protocollo IP
-- 
 < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
     Don't stand, REACT!      version 0.0.20. C, C++ and ASM developers
                              and beta testers are welcome!

 č inutile e, tecnicamente, una violazione del protocollo IP
Ok.... non contesto quanto tu affermi, ma ti prego di spiegarmi il motivo.

 host.
come, esattamente?


 come, esattamente?
Egli dev'essere un profeta del "occhio non vede, socket non duole"
Il problema vero e' che non e' vero, che comunque occhio non vede.
Percio', cui prodest?
Lasciate che i ping tornino dove vogliono.
PS: Se diamo 100 alla sicurezza di un server esposto, il fatto che non
risponda ai ping puo' essere calcolato circa in 0,1
-- 
          |Save our planet!
   Ciao   |Save wildlife!
  roberto |For your E-MAIL use ONLY recycled Bytes  !!
          |roberto poggi   
rpo...@softhome.net

 disgressione? 
Si, ma non dovevi farti sentire tu?
Circa settimana scorsa? :P
