Newsgroup: it.comp.sicurezza.varie
Titolo: aiuto per configurazione firewall

CIAO A TUTTI!
allora, ho windows 2000, mi collego tramite fastweb adsl 4mbit e sto 
cercando di configurare al meglio il mio sygate personal firewall
in particolare vorrei che fossero bloccati tutti quelli che stanno nella 
mia sotto-rete, cioč quelli che sharano lo stesso nat-getaway, perchč 
immagino che sono in realtŕ gli unici da cui devo proteggermi (ce 
l'avranno dei firewall nei nat giusto?)
allora
la mia situazione:
ip (inerno a FW) 23.252.67.10
ip dei miei altri due computer a casa: 23.252.67.9 e 23.252.67.11
subnet mask che mi rifila fastweb 255.255.248.0 (questa lascia molti ip 
liberi di vedere il mio pc, o sbaglio?)
getaway 23.252.64.1
dns 
213.156.54.80/81
allora, ecco le regole che ho scritto (nell'ordine):
allow in/out dalla subnet 
213.156.54.80/255.255.255.254
 (per il dns)
allow in/out 
23.252.67.8/255.255.255.252
 per permettere la visione tra i 
tre pc
allow  in/out 23.262.64.1/
255.255.255.254
 per il gateway
block in/out 
23.252.248.0/255.255.255.255
 per bloccare tutti quelli che 
stanno col mio stesso nat
magari ho sbagliato tutto... cmq internet funge, i pc in casa si 
vedono... mi rimane il dubbio se abbia realmente bloccato i miei vicini 
nella rete...
spero in vostri consigli/opinioni
grazie!

 nella rete...
eri più sicuro _prima_ !!!


apprezzo il fatto che tu abbia risposto, ma saresti molto utile 
spiegando dove (secondo te) ho sbagliato e come sono mal protetto
grazie...

 stanno col mio stesso nat
Questa regola blocca il solo ip 23.252.248.0 ossia niente. Per ottenere un
blocco efficace e senza trapanare tutto, metti una regola cosi':
block in/out 
23.252.64.0/255.255.248.0
e blocchi tutta la sottorete. Mettila per ultima altrimenti ti blocca
anche il gateway ed i PC tuoi.
Non ti salva pero' dalle scansioni casuali fatte dai virus all'interno
delle altre subnet di fastweb (e ce ne sono un bel po', credimi). Per
bloccare quelle dovresti inserire regole del tipo (non conosco il prodotto
specifico, quindi devi vedere tu nelle configurazioni):
block in (TCP SYN o inizio connessione TCP) tutti gli indirizzi porte 135,
139, 445. 
Mettila proprio per ultima senno' ti blocca la comunicazione fra i tre PC.
E comunque, se gli altri pc non hanno protezione ti serve a poco. Se uno
degli altri due si becca un virus, dato che ha libero accesso al tuo te lo
trasmette in un baleno, con tanti saluti al firewall... 
Per essere relativamente sicuro, devi proteggere tutti e tre i pc.
-- 
Mario "Reliant" Pascucci
"From" field altered. Please use ilpettegolo(a)
yahoo.it
 for private mail.
http://ilpettegolo.altervista.org/

 dai firewall di fastweb nei nat?
Se non e' cambiato niente negli ultimi tempi, ti garantisco di no.
-- 
ciao, hal

 
scusa eh... magari non voglio avere una protezione al 100% perchè sembra 
che non ci si riesce
però, se blocco tutti gli ip della sottorete come prima regola avanzata 
e come seconda invece permetto l'accesso solo ai miei 3 ip (sono sempre 
quelli, l'hag non lo spengo e sulle impostazioni del tcp/ip ci metto 
quelli come statici) gli utenti della sottorete non possono entrare nel 
mio pc e io posso condividere qualche cartella tranquillamente, o sbaglio??
poi blocco tutte le porte che non sono quelle usate dalle applicazioni 
che ho...
a me sembra che sarei abbastanza protetto, mi sbaglio?

 però, se blocco tutti gli ip della sottorete come prima regola avanzata 
Non so come si configuri il tuo firewall, ma non mi pare che tu abbia 
una tua rete interna.
Gli indirizzi che hai pubblicato sono tutti indirizzi della subnet di
Fastweb.
Se vuoi fare un lavoro pulito fai una rete interna *fisicamente*
separata da fastweb e metti in mezzo un router ed un hub.
Per risparmiare sull'hardware il router potrebbe essere uno dei
tuoi pc, opportunamente munito di due schede di rete.
Su questo stesso pc configuri il firewall aprendo tutto
quello che ti pare sull'interfaccia di rete interna ed aprendo
solo lo stretto necessario sull'interfaccia di rete esterna.
Tra l'altro in questo modo l'ISP potrebbe anche cambiarti
l'indirizzo IP che non te ne fregherebbe nulla, diversamente
ti salterebbero tutte le regole che hai impostato sul
firewall.
-- 
ciao, hal