Newsgroup: it.comp.sicurezza.varie
Titolo: IPSec di Windows 2000, serve realmente a qualcosa?

Sto provando a definire qualche criterio sensato usando il servizio per 
IPSec e firewalling di Windows 2000, ma non ho capito se non ci arrivo, 
o se è proprio così. Ho definito una prima regola che blocca *tutto* il 
traffico e poi una regola per permettere solo DNS su UDP e tutto TCP in 
uscita. Risultato: le connessioni TCP non iniziano più. La richiesta va 
e non arriva nessuna conferma, e i programmi rimangono bloccati fino al 
timeout. Anzichè le *connessioni* il mattacchione filtra i *pacchetti*, 
e ciò ha un'utilità, come dire? nulla
Almeno, così mi pare di aver capito. Spero che qualcuno possa smentirmi
-- 
  < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
      Don't stand, REACT!      version 0.1.2. C, C++ and ASM developers
                               and beta testers are welcome!

 ha un'utilitŕ, come dire? nulla
Se intendi con cio' che una soluzione firewall solo packet-filtering non
sia a 360 gradi, ok [visto che x me una buona soluzione firewall e' sia
packet che proxy filtering, ed e' soprattutto separata dalle macchine
client/server]. L'utilita' dell'IPSec firewall si ha come ulteriore
protezione 
p.es
. per servizi server in LAN, e comunque l'uso di una tale
soluzione mi ispira un po' piu' di fiducia rispetto a quello di un
application firewall ;).
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> 
http://planynet.hypermart.net/fastweb
 <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> * FAQ 1.4 ITGF it.tlc.gestori.fastweb <|
|_|  |_/_/ \_\___|___/-<|> * SITO: 
http://planynet.hypermart.net
 <|
|>Togli/Remove .INVALID<|> * NEWS: free.it.ingegneria.meccanica _<|

 non sia a 360 gradi, ok
è che è stateless, e questo per me non va bene. Non ricorda e valida le 
connessioni, solo i pacchetti, uno ad uno (che mi sembra strano, perchè 
IPSec richiede statefulness, per quel che ricordo). Comunque, alla fine 
ho fatto che chiudere le porte più ovvie e amen


 finisce per aprirmi tutto anche in entrata.
Questo perche' hai un TCP:any-any -> in pratica non hai un filtro sui
servizi remoti = se invece imposti 
p.es
. un mirrored TCP:any-80 sai che
sono ammesse le connessioni solo con server web, senza bloccare il
transito in/out dei pacchetti.


 il transito in/out dei pacchetti.
cioč, se uso porte specifiche il firewall magicamente diventa stateful? 
A questo punto, conosci qualche programma di configurazione migliore di 
quello di Windows? chč gli mancano i range, e mettere le porte a mano č 
poco divertente (ne devo mettere un centinaio per ICQ). Grazie di tutto


 centinaio per ICQ).
Dipende da cio' che ci fai = nel mio caso io abiliterei solo le seguenti
regole per l'instant-messaging (porta remota 5190) e x il file-transfer,
scegliendo per quest'ultimo di fissare il range di porte TCP nelle
opzioni del programma usato [ICQ piuttosto che Trillian, etc.].


 porte TCP nelle opzioni del programma usato
era quello che pensavo, ma di porte in entrata volevo aprirne un po'


 farebbe al caso mio...
Direi, visto che puoi usarlo da riga di comando e quindi inserirlo in un
batch ;) :
==
- 
http://www.microsoft.com/windows2000/techinfo/reskit/tools/


 Si, ma solo in fase di avvio della macchina
bella fregatura! OK, mi accontento di quello che ho ottenuto
