Newsgroup: it.comp.sicurezza.varie
Titolo: Re: Firewall da mettere tra la rete e la lan

 collegare e programmare.
Posta i requisiti, poi vediamo cosa si puo' adottare.
Ciao
Luca

adottare. Non possiamo/vogliamo utilizzare soluzioni open source
Un bel D-Link NetDefend DFL200 configurabile via browser. Economico e
poco impegnativo.
http://www.dlink.com/products/?pid=354&sec=2
http://www.eprice.it/default.aspx?sku=551462
E' anche espandibile... in un futuro potrete uploadargli le regole di
iptables via SSH.
Leonardo
-- 
Geordie - he's a man, there's little doot about't,
He's done all he can, wha' can do withoot't?
Doon there cam a blade, linkin' like me lordie,
He wad drive a trade, a' the loom of Geordie.

 iptables via SSH.
Birbante... :-)

 principio.
In particolare, quali funzionalita'?
Fabio

 iptables via SSH.
/SBAM
-- 
Devi sapere che l'Universo puo' essere visto come una battaglia fra i
sistemisti, che cercano di realizzare sistemi a prova d'idiota, e Dio
che crea idioti sempre piu' sofisticati. Inutile dire che, per ora, Dio 
sta vincendo.                                           Leonardo Serni

 In particolare, quali funzionalita'?
Il rilevamento delle attivita' a livello di applicazione (es. traffico 
sulla porta 80 che *non* e' http e/o indicato nelle sign degli attacchi 
identificabili), la scelta dell'azione corrispondente, piu' altre 
caratteristiche legate al modulo di configurazione.
Ciao
Luca

 
http://www.eprice.it/default.aspx?sku=551462
228e un po caruccio.... :( Qualcosa di più economico?
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 Posta i requisiti, poi vediamo cosa si puo' adottare.
Bloccare gli attacchi dall'esterno verso l'interno. Dei singoli PC o
periferiche aprire all'esterno solo determinate porte (PC->Internet es:80,
443, 25...) da poter in futuro modificare in funzione delle esigenze che si
dovessero determinare.
Suggerimenti?


 Suggerimenti?
Hardware 
http://cortexsystems.dk/shop/net4501/net4501_30_board_and_case_en.html?language=en
Software: m0n0wall (
http://m0n0.ch/wall
) oppure pfSense 
(
www.pfsense.com
); firewall basato su netfilter di BSD, eccellente, 6MB 
di software in tutto, web interface in php.
Altrimenti puoi usare un piu' ingombrante hardware da PC, sul quale, 
oltre ai citati, puoi installare di tutto, da IPCop 
www.ipcop.org
 a 
RedWall 
www.redwall-firewall.com
 (da notare la lista delle features).
Ciao
Luca

 sulla porta 80 che *non* e' http e/o indicato nelle sign degli
<snip>
cosa questa estremamente comoda (e non solo per la 80) dato
che permette di intercettare e volendo bloccare traffico tipo P2P,
TOR, SkyPE ed altro ancora :)

 Troppo complicati...qualcosa di installa e funziona?
scusami, faccio delle considerazioni.
- il netasq è un firewall estremamente semplice da configurare, puoi
anche lasciarlo in pass all e comunque lui effettua controlli di
livello 7 che ben pochi firewall riescono a fare. ma davvero ben pochi
superano il limite dei satefull inspection host-apri/chiudi:porta.
- su qualsiasi firewall dovrai configurare il lato network, con questo
voglio dire che dovrai comunque e sempre minimo assegnare degli ip alle
sue interfacce, un gateway, impostare un nat e fare almeno un minimo di
policy. che si chiami dlink, netasq, cisco o pinco pallino. a mio
avviso, se cerchi qualcosa di più semplice di questo, non puoi fare
sicurezza informatica nella tua struttura, semplicemente perchè non
esiste un firewall hardware perimetrale "avanti > avanti > fine".
per assurdo ti dico che più problemi avrai con i tuoi host e meglio
avrai configurato il tuo firewall perimetrale. molti pensano che un
cisco configurato in pass any any sia un'ottima soluzione per i loro
problemi semplicemente perchè non ha mai interferito con le loro
applicazioni... ma il compito di un firewall è proprio questo...

 sicuro di cui aggiornare il firmware ogni tanto....
Ossimoro.
Se non c'e' nessuno che lo possa amministrare, fate un contratto con
un consulente esterno.
Vi mette su il firewall, e ve lo configura secondo le vostre attuali
esigenze, pronto a riconfigurarlo a richiesta.
A meno di impostazioni draconiane (non passa nulla, ma proprio nulla
salvo l'http verso www.$TUADITTA.it e la posta di mail.$TUADITTA.it)
lo scatolotto di cui dimenticarsi non esiste, non e' come una porta
blindata.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Troppo complicati...qualcosa di installa e funziona?
Guarda: se monowall è un oggetto "troppo complicato", allora, fidati,
per la tua e altrui sicurezza, fai fare quel lavoro a qualcuno che sa
cosa fa. e sceglie lo strumento sulla base di altri criteri.
-- 
Skull & Bones (ER6n Silver)
Neo:  I know Sendmail!
Morpheus:  Show me.

228e un po caruccio.... :( Qualcosa di più economico?
...ba', pensa che un MODEM ADSL un po' civile viene sugli 80 EUR, questo
che t'ho detto e' proprio uno dei piu' economici: se vai su Cisco, ZyXEL
o 3Com, si sale (senza, IMHO, un proporzionale aumento di funzionalita';
non ho sufficiente esperienza per valutare l'affidabilita' hardware, aka
dopo quanto si rompe un pezzo, e lo ammetto).
Potresti provare lo ZyXEL 324 che costa la meta', pero' va configurato a
mezzo telnet (non mi pare ci sia il supporto browser; magari mi sbaglio,
se qualcuno ce l'ha e/o puo' correggermi...), ma soprattutto IMHO non e'
cosi' flessibile (la configurazione del SUA e'... peculiare).
http://www.eprice.it/default.aspx?sku=256014&cosa=5#under
pero' lo trovi anche a meno (99,- EUR IVA compresa). Qui a 105:
http://www.alias.it/index.php?pag=cat&forn=78&f=int&id=ZYXPRE324


 
http://www.alias.it/index.php?pag=cat&forn=78&f=int&id=ZYXPRE324
Il problema è che Internet che abbiamo richiede la smart card....Questo tipo
di modem/firewall non va...
La stessa categoria ma con porta Wan?
Ciao!


 La stessa categoria ma con porta Wan?
Cioe' con due RJ-45. Il mercato e' zeppo di router ADSL con firewall a 
basso costo, ma un firewall con due connessioni di rete resta un 
prodotto meno diffuso e di conseguenza caro. In ogni caso ti suggerisco 
di dare un'occhiata a m0n0wall e alla sua pagina di configurazione, 
peraltro molto ben fatta e semplice da usare. Il sistema puoi 
installarlo su una chiavetta USB da bootare su un hardware PC privo di 
dischi, tastiera, mouse, monitor eccetera; bastano due nic.
Ciao
Luca

 di dare un'occhiata a m0n0wall e alla sua pagina di configurazione,
Ho scaricato pfSense-1.0.1-LiveCD-Installer.iso.gz ma da CD non avvia... Ho
provato in una macchina virtuale sotto VMWARE ma non ci ho capito molto...
La GUI (graphic user interface) come si attiva?
Ho scaricato monowall ma anche li... esistono dei tutorial?
HELP ME!
P.S: in pratica devo installare due schede di rete sul PC in oggetto e
provare?


 dischi, tastiera, mouse, monitor eccetera; bastano due nic.
Ho trovato un tutorial per provarlo su VMWare. La macchina appare cosě:
http://img104.imageshack.us/img104/1954/immagine1br2.jpg
L' indirizzo IP della macchina virtuale qual'e'?
Come la provo e faccio il setup via Web?


 La stessa categoria ma con porta Wan?
D-link DI-604? Fa quasi tutto quello che puo' servire in una realta'
che non ha troppe pretese.
34.90 euro da mediaworld. Se poi non ti piace, lo usi come zeppa per
tenere aperta la porta.
Fabio

 caratteristiche legate al modulo di configurazione.
A livello qualitativo, che cosa puo' fare piu' di squid/mod_security2
+ snort + l7-filter + ntop + [ecc ecc]? 
Sicuramente con lo scatolo c'e' un minore lavoro da fare, questo si',
sia per l'installazione, sia per la manutenzione e il tuning.
Fabio

 provare?
Nuovo aggiormento:
a 32 mb non funziona... :( Riesco ad installare con 128 mb di ram (che nella
realtà non ho) e poi...?
Non so se "rischiare" sul PC reale?
Che dite?
Ciao!


che non ha troppe pretese.
Che bischero che sono. Avevo escluso la possibilita' di sostituire il
modem di Telecom con un altro modem con firewall integrato 8-(
Leonardo, il bosco e gli alberi


 peraltro molto ben fatta e semplice da usare. Il sistema puoi
Ecco cosa mi trovo...
http://img206.imageshack.us/img206/1026/immagine1xk7.jpg
Cosa devo fare?
Poi sulla lan reale vedo una pagina Web oppure no?
i log dove li consulto?


 Leonardo, il bosco e gli alberi
Lui dice che ha l'ufo con la smart card: funzionano altri router?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Stile.  Aveva una prosa cosi' graffiante che i suoi lettori si
riconoscevano dai segni sulla faccia.
		-- Massimo Bucchi

 Lui dice che ha l'ufo con la smart card: funzionano altri router?
mi pare serva solamente per il wifi


No, serve per l'autenticazione in rete....smart card!!


 modem di Telecom con un altro modem con firewall integrato 8-(
Infatti non è un modem è un Internet Gateway 4 porte 10/100Mbps + 1 porta
per collegamento a modem ADSL.
Perchè esiste un modo per sostituire l'UFO telecom pirelli?


 tenere aperta la porta.
Penso che lo adotteremo... :) Grazie 1000!


 Idem come PFSENSE?
Nel setup del menu a console, devi impostare le interfacce di rete, 
quindi imposti l'IP del firewall e accedi via browser da un'altra 
macchina in rete con il firewall.
Ciao
Luca

Lui dice che ha l'ufo con la smart card: funzionano altri router?
Smart card? 8-O
Leonardo disastrosamente ignorante [1] sulle offerte IB/TI
[1] e ansioso di rimanerlo


 Leonardo disastrosamente ignorante [1] sulle offerte IB/TI
Debbono upgradarmi la 1.2Mbps a 20Mbps a giorni; spero vivamente in un 
router vero.
P.S.: l'ufo ha una caratteristica stupefacente: un interruttore di 
alimentazione push-push, asservito da bistabile. Se manca la corrente e 
ritorna, occorre *sempre* intervento col ditino ... la'!
Ciao
Luca

 iptables via SSH.
LOL.

 + snort + l7-filter + ntop + [ecc ecc]? 
Peccato, mi sembrava un argomento interessante.
Fabio



:-)
Diciamo che la domanda poteva essere considerata retorica. <g>