Newsgroup: it.comp.sicurezza.varie
Titolo: Help pls

ho installato zone alarm . Ho una connessione adsl.
ogno tanto appare una finestra di ZA che mi dice cha un indirizzo ha provato
ad accedere a una porta del mio pc.
che vuole dire ??
ho provato a rintracciare questo indirizzo , alquni partivano dalla cina ,
altri dall'italia e dall'america .
Che vuole dire??
devo preoccuparmi ??
come posso difendermi meglio ? e come rintracciare piu' precisamente questo
indirizzi ??
ps di sicurezza ne capisco poco
grazie 1000

 ha scritto nel messaggio
news:PNBQa.51200$qa5.1...@news2.tin.it...
| ho installato zone alarm . Ho una connessione adsl.
| ogno tanto appare una finestra di ZA che mi dice cha un indirizzo ha
provato
| ad accedere a una porta del mio pc.
Non ti preoccupare...
| che vuole dire ??
Significa che un host stava cercando un servizio per accedere al tuo
sistema. Il genere di servizio... ( dato che non specifichi la porta, non
posso specificarti cosa stava cercando :-), scusa il gioco di parole). In
generale questo tipo di tentativi sono legati ad un range ristretto di
porte, e di IP che vengono analizzati da un sistema automatico (uno
scanner) per beccare un particolare servizio (vulnerabile sul sistema), o
un servizio fatto apposto per permettere l'accesso abusivo al sistema
stesso.
| ho provato a rintracciare questo indirizzo , alquni partivano dalla cina
,
| altri dall'italia e dall'america .
|
E' normale anche questo... sei su Internet ;-), il mondo ti osserva.
| Che vuole dire??
Normali scansioni, se il sistema non fornisce servizi all'esterno, per
queste cose non c'è da preoccuparsi.
| devo preoccuparmi ??
ibidem
| come posso difendermi meglio ? e come rintracciare piu' precisamente
questo
| indirizzi ??
Credo che tu ti stia già difendendo bene; tieni il sistema aggiornato, le
regole del firewall gestiscile bene, nel senso di "vietare tutto ciò che
non è esplicitamente permesso".
sei curioso? 
www.ripe.net
| ps di sicurezza ne capisco poco
|
| grazie 1000
|
prego.
In ultima istanza... fatti un giro su 
groups.google.it
, ci sono 2^1000 post
dedicati a questo argomento.
Ciao a tutti...
Marco
--
Marco Spiga
www.networkingitalia.it
-------------------------------------

 precedenti su 
http://www.google.com/advanced_group_search
ciao,
hai ragione, i (+ o -) vecchi post vanno sempre letti e spulciati.
io stesso a volte mi dimentico, a volte mi ricordo.
però non mi sembra tanto simpatico rispondere così :-)
ha fatto solo alcune domande, ha detto che non se ne intende..
.... che problema c'è scusa.
neanche io me ne intendo molto (giusto appena appena più di lui) però in
altri campi dove posso dire di esser preparato non rispondo mai così :-)
e in ultima ma non meno importante cosa: perchè mai dovrebbe lasciar perdere
ZA, no?
senza polemica, ci mancherebbe altro :-)
ciao
spintop

| neanche io me ne intendo molto (giusto appena appena più di lui) però in
| altri campi dove posso dire di esser preparato non rispondo mai così :-)
| e in ultima ma non meno importante cosa: perchè mai dovrebbe lasciar
perdere
| ZA, no?
|
Esistono altri firewall software, con caratteristiche diverse (maggiori?!,
più performanti?!, meno user-friendly?!) da ZA, molto meno paranoici. Il
problema di fondo a mio avviso è sempre lo stesso; puoi usare qualsiasi
firewall... ma se le competenze sono basse, rischi di ottenere un effetto
bumerang ---> in linea generale non accade***, ma la frase risulta più figa
HEHEHE.
| senza polemica, ci mancherebbe altro :-)
| ciao
| spintop
|
ciao..
p.s. siamo su usenet, se tutte le "new-entry" dovessero fare tutte le
solite domande che possono essere riconducibili a FAQ o post precedenti...
la si dovrebbe rinnominare trashnet----> perderebbe di valore tutto il
sistema. Naturalmente con un IMHO grande come una casa.
Marco
*** IMHO il firewall per i newbies dovrebbe avere un livello di astrazione
tale da non permettere il setting manuale di regole con IP, porta,
date...ecc. Ma tutto automatizzato e all'insaputa dell'utente stesso. Che
gusto ci sarebbe allora?! :-)

 gusto ci sarebbe allora?! :-)
io lo odierei un firewall così! :-)
anzi, in questi giorni ho praticamente sputtanato (volontariamente)
un'installazione di win2kserver a suon di prove di firewall uno *diverso*
(si fa per dire) dall'altro....
alla fine non andava neanche più l'OS ^__^
ad esempio tutti quelli che ho provato chiudono TUTTO e aprono su richiesta.
CHX fa il contrario.... e mi è piaciuto moltissimo perchè è davvero
personalizzabile :-)
ciao
spintop

senza polemica, avevo chiesto.
vabè... io credo che un pò di flessibilità di tanto in tanto non guasta.
ognuno poi risponde come crede.
rinnovo l'offerta: senza polemica :-)
ciao
spintop

 questo indirizzi ??
Non ne hai ragione.
La spiegazione di queste risposte è già stata trita e ritrita, se vuoi 
saperne di più rivolgiti a google.

 davvero personalizzabile :-)
Un firewall che non chiuda tutto per default non e' degno neanche di
essere scaricato.
Giusto un mio parere buttato li'.
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
 
www.google.com
 - 
groups.google.com
- Per Berlusconi un'affascinante sfida quella dell'Europa   -
- Gli si apre tutto un altro mondo da insultare (ellekappa) -

 Giusto un mio parere buttato li'.
beh io la vedo all'opposto.
una volta installato un firewall desidero che tutto rimanga com'era prima,
dal momento che non ho ancora *detto* al firewall come comportarsi (e non
vedo per quale motivo debba *prendere decisioni autonome*)
in un secondo momento creerò tutte le regoline del caso come dico io, NON
come dice la software house che ha realizzato il firewall
:-)
tutto qua.
ciao
spintop
ps. ad esempio se tu dovessi amministrare un computer remoto ti assicuro che
un firewall che non ti taglia fuori *perchè lo dice lui* fa comodo......
^__^

 fa comodo......^__^
Se io "dovessi" amministrare un computer da remoto, per prima cosa mi
assicurerei un canale non tagliabile (ad esempio, in locale o via PPP
diretta), _poi_ installerei il firewall, configurato per lasciar passare
solo lo stretto necessario (tra cui canale di amministrazione), ed
infine rimuoverei il canale di configurazione. Ovviamente -P INPUT DROP
HappyCactus che guardacaso...



Ma perche' siete tutti cosi' pessimisti?
Un REJECT nelle gengive non si nega a nessuno...
Ciaotutti,
*

 Un REJECT nelle gengive non si nega a nessuno...
Questione di punti di vista.


va bene ragazzi, avete ragione voi.
provate a mettere un firewall da remoto che vi taglia via senza chiedervi
niente e poi me lo dite.
io preferisco fare le regole FW anzichč toglierle.
ciao
spintop

Sgranocchiando il cranio di spintop, vi trovai inciso:

liberissimo di farlo ma, nel 2003, mi aspetterei che un commento riguardo
alla strutturazione delle policies si un poco piů tecnico e
circostanziato di questo.
Soprattutto quando vieni ad asserire il contrario di quello che il mondo
consiglia...
IMHO, ovviamente...
-- 
Emanuele Balla  aka Skull -  Public Key #661E5CBF on 
www.keyserver.com
+----------------------------------------------------------------------+
"And 1.1.81 is officially BugFree(tm), so if you receive any bug-reports
on it, you know they are just evil lies." (By Linus Torvalds)

 chiedervi niente e poi me lo dite.
fatto. 
e a me non ha tagliato via proprio nulla. altro?


 infine rimuoverei il canale di configurazione. Ovviamente -P INPUT DROP
mica ho capito :-)
facciamo un esempio:
io mi collego a un webserver chissà dove, non ci sono firewall ma ho
impostato dai filtri tcp/ip SOLO le porte per l'amministrazione del server.
come dovrei procedere?
se metto un firewall che *chiude* tutto, i filtri tcp/ip *scavalcano* il
firewall o no?
ciao
spintop

 e a me non ha tagliato via proprio nulla. altro?
e che ti devo dire, sarai certamente bravo.
io no ^__^
ciao
spintop

 il firewall o no?
Mi sa che hai un po' di confusione in testa. Prima devi capire cosa e'
un firewall, altrimenti non ci capiamo.
Il firewall E' il filtro TCP/IP.


 firewall o no?
Penso che prima di affrontare sia la domanda che la risposta sia
necessario dare la definizione di quanto entra in gioco...
Che intendi per filtri tcp/ip? Packet filter?
E in questo caso, quale è l'accezione di FW che usi?


 così mi pare funzioni CHX.
Ok, quindi hai detto una cosa tipo "viva CHX perchè è configurabile e non
decide lui...".
Poi hai detto che se tu definisci regole di un "segno" lui
-arbitrariamente, aggiungo io- decide quali devono essere le policies.
Non è il contrario di quanto hai detto prima?
Sempre IMHO...


 Il firewall E' il filtro TCP/IP.
ma questo lo so :-)
io parlavo dei filtri tcp/ip del OS, quelli che puoi impostare a mano, non
di un firewall hardware o software.
POI, che ci vada ANCHE il firewall (e che quindi i filtri del OS vadano pure
"in pensione") è ovvio.
ma il problema mi rimane sempre, perchè ad es. io abilito la porta 3389 dai
filtri tcp/ip di win2000srv, lasciando "vuote" (deny) le altre.
se io metto un firewall lui mi bypassa anche la 3389 mandandomi al diavolo
la remote admin oppure mi lascia aperta SOLO la 3389?
ciao
spintop

 Non è il contrario di quanto hai detto prima?
ma nooo...
ma che arbitrariamente.....
quel chx fa *solo* quello che gli dici tu.
è un pò come "educarlo" su tutto, ecco.
gli altri frewall invece fanno al contrario:
hanno già una loro "educazione", tu devi esser capace di farli adattare a
ciò che gli vuoi insegnare.
magari farà ridere, ma più o meno chx funzika così, o almeno le prove che
sto facendo in locale mi lasciano pensare questo.
:-)
ciao
spintop

ops, errore
c'è un "se" di troppo
"volevo dire che il firewall che piacerebbe a me, lavorerebbe in tre modi"
questa sì che è una ciofeca grammaticale :-)
spintop

 E se io faccio una regola allow e una deny?
<snippone>
Scusa se "salto dentro a piedi pari" :-) secondo me
faresti meglio a dare un'occhiata a queste pagine
http://www.idrci.net/packetfilter/html/index.html
e probabilmente poi vi capirete meglio :-)
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 essere le policies.
<snip>
Skull ... dai un'occhiata qui
http://www.idrci.net/packetfilter/html/index.html
Ciao :-)


ciao obi,
più ne leggo e + mi piace quella roba là
:-)
spintop

 :-)
In ogni caso state discutendo del
"sesso degli angeli" secondo me
la questione non è "default allow"
o "default deny" (sono per la 2)
ma cosa fa il firewall dopo essere
stato installato .. in assenza di
regole di "filtraggio", nel caso
del CHX ... non fa nulla, dato che
nessuno gli ha ancora "detto"
cosa debba fare :-)
Ciao


 cosa debba fare :-)
esatto, infatti l'import dei filtri è una gran figata.
tu fai delle regole che hai già testato e sai che vanno bene, installi chx
in 3 secondi netti, importi le regole pronte da mò in 1 secondo e hai un
firewall decisamente leggero, elastico, funzionale e personalizzabile bell'e
pronto.
il server rimane "scoperto" solo per pochi secondi, l'installazione dura
davvero un batter d'occhio, NON necessita il riavvio (!!)....
ragazzi........mica cotica EH?
spintop

 e probabilmente poi vi capirete meglio :-)
Son d'accordo... (apparte che tutte 'ste finestrelle mi han fatto venire
l'itterizia...)
e fondamentalmente c'è una apparente confusione sintattica tra "il
firewall mi consente" e "il firewall fa".
Parliamo di quello che conosco meglio: iptables...
Sensato è dare per prima cosa 
iptables -P INPUT DROP
ma è chiaro che se lo dò alla shell al volo mentre sono connesso via ssh
sono deficiente io...
se invece apro un editor e ci scrivo:
iptables -P INPUT DROP
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
poi esco e lo lancio, è cosa ben diversa :-/
E ha a che fare solamente con i passaggi dell'amministrazione dello
stesso.
Ciò non vuol dire che il firewall debba essere pensato per farmi comunque
entrare se ho fatto una cazzata.
Se questi invece ti taglia fuori per il solo fatto che c'è ed è senza
configurazione, beh, allora è il fw ad aver fatto una cazzata...
Nel totale, mi pare di capire che parlate di 2 cose diverse...
Mi spiego?


 ragazzi........mica cotica EH?
mi spiace deluderti, ma hai appena elencato una serie di cose che (per i
firewall che conosco io) sono talmente comuni da essere schifosamente
scontate :-/
Se poi il tuo stupore è dovuto al confronto con i "personal firewall" di
cui ad inizio thread, beh... allora poco ci vuole, veh..
:-D


 configurazione, beh, allora č il fw ad aver fatto una cazzata...
appunto.
e ti dico questo: ho provato anche le versioni piů "toste" (diciamo cosě)
come VisNetic Firewall (per server) e Kerio WinRoute Pro 5 Firewall,
entrambe hanno l'amministrazione remota (quindi significa che
nell'installazione DEVONO chiederti se vuoi lasciare aperto qualcosa).
entrambe mi hanno preso a calci in c**o nonostante gli abbia detto
specificatamente cosa volevo fare.
ora, capisci che un firewall che chiude tutto INDEROGABILMENTE č sbagliato
anche cosě, perchč potrebbe non andar bene a tutti.
e difatti succede.
poi, che la politica del "chiudi prima" e "apri dopo" sia certamente
migliore siamo daccordissimo, certo!
ciao
spintop

 :-D
visnetic firewall non mi pare sia una roba da personal firewall (si parla
ovviamente sempre di fw software immagino), eppure NON fa quel che desidero,
chiede riavvio ecc...
ma dimmi dimmi, io sto cercandi un fw come quelli che usi tu.
di quali parli?
ciao
spintop

 scontate :-/
Diciamo che ... se parli di firewall che girano su Windows (e non parlo
di personal firewalls) e che sono free (per uso non commerciale) penso
che ne troverai pochini con le caratteristiche del CHX, ovvio che IPTables
(o Chains) o (meglio secondo me) ShoreWall hanno già quelle "features"
ma in questo caso .. non siamo più su windows :-)

 configurazione, beh, allora è il fw ad aver fatto una cazzata...
Appunto :-)

 fatto che il mio web server non gira su IIS e nemmeno su Apache
Sono "pathahato" (pronuncia toshana) ?
Non gira "su IIS", non gira "su Apache" .. in pratica .. non gira ?!?

 al diavolo la remote admin oppure mi lascia aperta SOLO la 3389?
Spiega meglio il contesto, perche' comincio a non capirci piu' nulla.


 grazie 1000
non devi preoccuparti - succede a tutti -
Zone a nn è che sia proprio il massimo come firewall . cmq se settato
bne sti lamerini li fermi :)
byeZ
zero

| ad esempio tutti quelli che ho provato chiudono TUTTO e aprono su
richiesta.
| CHX fa il contrario.... e mi č piaciuto moltissimo perchč č davvero
| personalizzabile :-)
|
Non riesco a non rispondere: "...tutto ciň che non viene permesso č da
considerarsi proibito". Politica di sistema chiuso. Sta alla base della
progettazione di una buona rule-list, per il setting corretto di un
firewall. Fare il contrario comporta una scelta... moooolto infelice.
| ciao
| spintop
|
Ciao ;-)
Marco
www.networkingitalia.it

Sono "patcahato" (pronuncia toshana) ?
Sappiate, sacrileghi, che la C si aspira solo fra due vocali (per cui
"un coccolo, la hoccolo, due hocche", e "toskana").
Patcahato si pronuncia come si scrive, a patto che si scriva patcaato
naturalmente, l'accento e' probabilmente sulla terza A - e non so chi
sia Pat, ma spero che dopo usi la harta, perche' unn'ista' bene anda'
a giro sudici a quella maniera, vero [1].
Leonardo
[1] R. Benigni, "L'Inno del Corpo Sciolto"
-- 
Tre cose sono da temere nel campo I.T.:
Un sysadmin con un cacciavite in tasca;
Un amministratore con un libro in mano;
Un utente con una grande idea in testa.

 di quali parli?
iptables? PF? :-D


 che IPTables (o Chains) o (meglio secondo me) ShoreWall hanno già
Mbeh... SW è pur sempre iptables, girala come la rigiri...


 firewall. Fare il contrario comporta una scelta... moooolto infelice.
va bene, io ho fatto una scelta moooolto infelice e mi trovo molto felice,
che ti devo dire.
sarà ma più che uso quel dannato chx e più lo apprezzo.
poi ragazzi, a ognuno "il suo" a un certo punto.
se sbaglio pago e ho imparato una cosa nuova, se non sbaglio non pago e ho
comunque imparato una cosa nuova, forse anche *più* nuova.
non si nasce "imparati" :-)))
ciao
spintop

 e poi basta saperlo configurare, eh..
e siamo daccordo.
basterebbe *poterlo* configurare.
io non conosco quel che c'è in giro su linux/unix, purtroppo non conosco
questi due sistemi (nè *bsd).
conosco un pò windows e ho provato nelle ultime due settimane circa 15
firewall, dal più stupido a quello "spacciato" per professionale, e l'unico
che ha fatto quel che volevo è quello là.
ciao
spintop

 iptables? PF? :-D
non è per winflop :-) se non erro.
io ho wingomma, che ci vuoi fare
ciao
spintop

 Cosa intendi? Che tipo di filtri?
risorse di rete > proprietà > connessione rete > proprietà > tcp/ip >
avanzate > opzioni > filtro tcp/ip
-    porte tcp (autorizza tutti/autorizza solo)
-    porte udp (autorizza tutti/autorizza solo)
-    protocolli ip (autorizza tutti/autorizza solo)
attiva filtro tcp/ip (su tutte le schede) > si/no
ciao
spintop

 che sono il firewall di w2ks
se quelle tre regolette possono esser chiamate firewall...... allora si.
io per firewall intendo qualcosellina di più elastico, personalizzabile,
"millimetrico" se può rendere l'idea.
IMHO i filtri tcp/ip di win2000srv sono un "giochino", insomma.
ciao
spintop

 Mbeh... SW è pur sempre iptables, girala come la rigiri...
Si ... con "qualcosina" in più :-) uh e visto che ci siamo
mai provato/visto LEAF (
http://leaf.sourceforge.net
) ?!?


impressionerebbero. L'unico neo e' che devi studiare..
Dovrebbe anche cambiare provider, il quale e' finestrato e ha
un contratto in corso (e fatti raccontare come installa IIS).
Siamo d'accordo che il risultato finale e' ottimo, pero' c'e'
anche da considerare il costo; fosse pure il solo studio, per
studiare ci vuole tempo; e il tempo, come si dice, e' denaro.
Leonardo


 IMHO i filtri tcp/ip di win2000srv sono un "giochino", insomma.
Certo, ma le funzionalita' sono quelle di packet filtering (grossolano,
se vuoi) pero' funzionano. Anzi: di norma sconsiglio di utilizzare
due packet filtering sulla stessa macchina. sono overhead inutili.


 folli.
Non sono del tutto d'accordo: il limite della customizzabilita' c'e', ma
come filtraggio, AFAIK, e' buono. Non mi risulta che passi roba che non
deve passare. 
Certo non e' un prodotto da installare su un gateway, ma come
stand-alone non lo vedo cosi' male.
Giusto le mie due lire.


 a giro sudici a quella maniera, vero [1].
/me defunge tra innumerevoli contorcimenti.


 sarà ma più che uso quel dannato chx e più lo apprezzo.
No, alla luce di quanto si e' discusso finora, mi pare di capire che il
problema sostanzialmente, e' un altro.
L'applicazione delle regole in un ambiente remoto.
Non tanto il default drop/default accept.
Cioe' tu hai un problema diverso.
Chiaro che un Zone All'arm non ti puo' essere utile, perche' AFAIK non
ha la possibilita' di importare un set di regole tutte in una volta (a
dire il vero... non sarebbe neppure questo il problema).
Outpost, citato da marcolfa, e che anche io ho provato illo tempore, per
esempio permette di fare una cosa simile.
Cerchiamo di rientrare nel problema.
Probabilmente CHX e' un buon PFW, ma qui pochi lo conoscono.


 ha scritto nel messaggio
news:gY_Qa.36947$it4.9...@news1.tin.it...
| "Marco Spiga" <spig.mar...@NOSPAMtiscali.it> ha scritto nel
messaggio
|
| > Non riesco a non rispondere: "...tutto ciò che non viene permesso è da
| > considerarsi proibito". Politica di sistema chiuso.
|
| appunto.
| e che mi dici di una regola che fa un deny da una porta x a una y, non è
| forse corretta (ovviamente fa quel che serve in un certo caso) ?
| non è "chiudere" questo?
| se io chiudo tutto da X a Y + da W a Z lasciando volutamente aperto ciò
che
| c'è (se c'è) tra X e Y e tra W e Z perchè è ciò che mi serve, non va
forse
| bene?
|
In linea generale NO. Le regole di un firewall a mio avviso devono essere
gestite in questo modo:
1 regola di permesso per il dato servizio
2 regola di permesso per il dato servizio
3
...
N
...
N+1 regola che impedisce il passaggio di ogni altra cosa
In questo modo il progetto si semplifica a definire solo quello che  ti
serve. E' anche vero che i PFW non hanno il compito preciso di difendere
una LAN o gestire una DMZ.
Se le regole non sono scritte in questo modo, ma mantenendo una politica di
sistema aperto, potresti saltare alcune restrizioni, e in caso di eventuali
(teoriche) ambiguità... chi decide?, o meglio il firewall non trova
restrizioni e lascia passare.
IMHO sei fissato a pensare al concetto di porte, di servizi, ;-) sei
bloccato al livello di trasporto!, dovresti scendere un po' più in basso e
analizzare anche le problematiche del livello rete ;-), ora se non hai mai
sentito parlare di livello ISO-OSI... fai finta che non ti abbia detto
niente. think global!
| > Sta alla base della
| > progettazione di una buona rule-list, per il setting corretto di un
| > firewall. Fare il contrario comporta una scelta... moooolto infelice.
|
| va bene, io ho fatto una scelta moooolto infelice e mi trovo molto
felice,
| che ti devo dire.
| sarà ma più che uso quel dannato chx e più lo apprezzo.
|
Non lo conosco...
Quasi quasi... ci do un occhio!
| poi ragazzi, a ognuno "il suo" a un certo punto.
| se sbaglio pago e ho imparato una cosa nuova, se non sbaglio non pago e
ho
| comunque imparato una cosa nuova, forse anche *più* nuova.
Per me stai commettendo un errore a livello di "progetto", naturalmente
sino a quando ti trovi ad operare solo col tuo computer... tutto ok!, non
corri grossi rischi. Se ti dovessi trovare ad operare su una rete più
grande, beh... il tuo lavoro risulterebbe discutibile...e frivolo :-)
| non si nasce "imparati" :-)))
|
Ci mancherebbe altro!, io non voglio insegnare niente a nessuno (sarei un
pessimo maestro per tante ragioni) ... spero che io non abbia fatto questa
impressione!, le poche cose che so cerco di dirle nel modo più
comprensibile possibile. Il confronto è l'arma giusta per crescere ;-)
| ciao
| spintop
ciao.
Marco Spiga

 Giusto le mie due lire.
infatti è quel che penso anche io.
mi sono ritrovato sto server sguarnito di protezione, e nel frattempo che
cerco/trovo un firewall che mi convinca l'ho *chiuso* con i filtri di
win2000srv, rozzi, rigidi, banali quanto vuoi ma pur sempre filtri tcp/ip.
poi....è chiaro che è una situazione *molto* temporanea, ma che dovrei
fare.......cercare il firewall dei miei sogni e nel frattempo lasciarlo là a
beccarsi *schiaffi* da ogni dove?
situazione alquanto preoccupante, se lasciassi che il primo pirla entri da
una delle "misteriose" porte di IIS, ad es.
che significa AFAIK? :-)
ciao
spintop

 due packet filtering sulla stessa macchina. sono overhead inutili.
infatti.
sto aspettando, nel frattempo sto cercando di *stressare* più possibile quel
chx per vedere come si comporta.
ciao
spintop

 Come personal firewall non e' male.
ma questo va su un server, č proprio diverso.
ad es. non mi serve a niente il filtraggio dei banner
e soprattutto............outpost ci ha messo 1 secondo netto a chiudermi
*fuori* senza che glielo avessi chiesto :-)
cmq per ws mi piace piů di tutti gli altri.
ciao
spintop

 per similitudine a quando lo ca'a l'orso?
ma sei di livorno?? :-)
ciao
spintop

> Probabilmente CHX e' un buon PFW, ma qui pochi lo conoscono.
CHX non è un PFW :-) anzi, non c'entra proprio nulla con un PFW
è un "packet filter" con "stateful inspection" (attivabile/disattivabile)
e se restiamo in ambito Windows (ecco perchè l'ho consigliato a
suo tempo a spintop - cercava un firewall x windows) penso che
non ce ne siano molti con le stesse caratteristiche e che siano
anche free per uso privato/personale (sempre x windows), tanto
per capirci ...
http://www.idrci.net/packetfilter/html/newfilter.gif
http://www.idrci.net/packetfilter/html/clip0045.gif
Ciao


 che significa AFAIK? :-)
As
Far 
As
I
Know
http://www.acronymfinder.com/


 comprensibile possibile. Il confronto è l'arma giusta per crescere ;-)
sono daccordo
ciao
spintop

 (attivabile/disattivabile)
Vabbe'. Definisci Personal Firewall, allora.


 livello ISO-OSI...
Vedi sopra :-)


 per capirci ...
ciao obi,
non so, ma forse la versione commerciale *può* essere free.
questo è ciò che mi hanno scritto quando ho chiesto loro la licenza personal
ed il link per il NAT di CHX:
"The packet filter does not have a built in expiration or any limitations on
functionality. It is an honor based registration system for both commercial
and personal use. However, with the next release registration for personal
use will be required to receive updates and e-mail support"
forse ho frainteso, ma la "honor based registration" (che vorrei sapere
secondo loro che significa) è seguita da "for BOTH commercial and personal
use".
messa così sembrerebbe (o forse ho capito male io) tutt'altra cosa rispetto
a quel che c'è scritto sul sito (Corporate usage of CHX-I products is
limited to a 30 day evaluation period).
che ne pensi?
ciao
spintop

 Dentro spesso e' troppo tardi ;)
si, concordo pienamente.
anzi, preferisco alla grande i firewall "che si toccano", imho.
la questione dei soldi, beh..... conta fino a un certo punto: quando ti
trovi a dover rimetter su il s.o. e tutto il resto perchč te lo hanno
sputtanato magari spendi anche di piů ^__^
ma purtroppo ho sentito l'isp e non mi permettono di "intromettermi" con
nessun firewall hardware, dunque dovrň arrangiarmi con uno sw :o(
ciao
spintop

 use will be required to receive updates and e-mail support"
Il che significa, lo puoi scaricare/usare come ti pare, solo che se
lo usi per scopi "commerciali" sei tenuto a registrarlo e pagarlo
dopo 30 giorni di "prova" mentre se lo usi (es.) per la LAN di casa
è completamente free, non ci sono limitazioni, il pagamento è basato
sull'onestà di chi usa il programma... va comunque tenuto presente
che registrandosi si ottiene il supporto completo (e sono molto veloci
a rispondere e competenti) oltre a tutti gli eventuali aggiornamenti


 Vabbe'. Definisci Personal Firewall, allora.
Bel gioco ... partecipo !!
Dimmi la differenza tra che so .. ZoneAlarm ed IPChains :-) !


 impostare l'ultima regola :-)
ah, approfitto per chiederti una cosa che non ho ben capito su chx:
qual'č l'ordine delle regole?
cioč, se io metto un "chiudi tutto" all'inizio e poi aggiungo le
"eccezioni", chx come interpreta queste policies?
non riesco a capire bene questa cosa.
e un'altra (pardon se ti "presso" :-)
i filtri tcp/ip di winzoz in ordine "sequenziale" si *mettono* prima o dopo
il chx?
ciao
spintop

 Dimmi la differenza tra che so .. ZoneAlarm ed IPChains :-) !
Stiamo giocando al mio gioco.
Non ad evadere le domande.
Definisci personal firewall.


 impressionerebbero. L'unico neo e' che devi studiare..
benissimo.
nel frattempo ti do le mie coordinate bancarie, cosě potrai versarmi lo
stipendio che non potrei guadagnarmi se dovessi interrompere i lavori per
studiare.
affare fatto, mi hai convinto!
:-)
ciao rockfeller
spintop

 Definisci personal firewall.
Beh ... in una parola "Personal" si riferisce al fatto
che tale "firewall" č pensato per "proteggere" una
singola workstation, non una LAN, inoltre tale tipo
di programma normalmente usa un'interfaccia di
tipo semplificato in modo da essere "a prova di
imbecille" e da permetterne l'uso (piů o meno)
a chiunque, se poi volessimo andare a parlare
di strati ISO/OSI e del livello al quale tali "firewalls"
si pongono ci accorgeremmo che... chiamarli
firewalls non č proprio corretto :-)
Ti basta ?
(aspetto una risposta alla mia precedente domanda)

 studiare ci vuole tempo; e il tempo, come si dice, e' denaro.
infatti.
"alle volte" bisogna anche vedere ste cose, se si lavora.
certo però, se qualcuno mi pagasse per studiarmi linux/*bsd sarebbe davvero
una gran figata...
imparo e tiro a campare..... non male eh?
:-)
ciao
spintop

 o dopo il chx?
Intendi quelli IPSec ?!? Beh puoi fare come vuoi
non è un problema, anche se non credo siano
proprio necessari una volta configurato CHX, i
filtri IPSec sono utili se proprio non hai neanche
uno straccio di firewall, non credo sia il tuo caso
ma scusa .. ti stai per caso riferendo a questa
checklist  
http://www.shebeen.com/hack.htm
 ?
Ciao

 credo che la spiegazione sia abbastanza chiara
ok, la mi scusi :)
ciao
spě

 ma sei di livorno?? :-)
non che io sappia... ;)


 non che io sappia... ;)
Uh .. si può sempre provare il
metodo del pollo del kentucky
Ho un'amico con delle dita che
sembrano salami ... :-)

 non che io sappia... ;)
ahahahhaa......
^__^
spě

:-)
Yes. Il che mi fa venir in mente che proprio oggi si diceva con Thorin
sulla lungimiranza delle ditte che non costruiscono al proprio interno
competenze - anche basilari - di Linux (che si porta dietro networking
firewall caching tazzi mazzi e trullalla').
Soprattutto quando C'E' (o: ci sarebbe) qualcuno di buona volonta' che
e' disposto a imparare, o documentarsi, o addirittura insegnare.
Mi piacerebbe, alla fine dell'anno, vedere cosa sia costato il ricorso
a "competenze esterne" e cosa sarebbe costato farsele in proprio. Poi,
vorrei anche poter stimare (ma e' impossibile, ach!) il sovraccosto di
non avere nessuno che capisca una ceppa in materia, quando capitano di
que' viglietti di carta con su vergato
	CONFIGURAZIONE GATEWAY DI RETE
	PER 5 PC				EUR 40,- x 8 = 320,-
(Traduzione: "Ho mandato il ragazzo a clicchettare su 5 PC Pannello di
Controllo->Rete->Gateway->xyzk->Riavvia?->OK, 5 minuti a PC, e ci stai
largo!, mentre io tentavo di imbroccare la segretaria bona").
(Nulla contro le competenze, ma 30 minuti di lavoro di quel tipo, piu'
di 30-40 EUR non li pago -- e la chiamata era a parte).
Leonardo
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.

 firewalls non è proprio corretto :-)
Firewall e' un concetto, non un aggeggio fisico. Perche' molti firewall
fanno anche da router, o da brige, o ... (cioe', la definizione di
firewall e' troppo astratta per poter identificare esattamente un
oggetto. Penso potremmo dire che Firewall e' una classe virtuale
astratta (pura), mentre $YOUR_FIREWALL e' una istanziazione di una
classe derivata dalla classe firewall ma anche da altre classi virtuali
(NAT, bridge, gateway, proxy.......) )
/me che per oggi, basta C++


 provato/visto LEAF (
http://leaf.sourceforge.net
) ?!?
No, sto aspettando la tua recensione in NG... <g>
:-)
-- 
Emanuele Balla  aka Skull -  Public Key #661E5CBF on 
www.keyserver.com
+----------------------------------------------------------------------+
"And 1.1.81 is officially BugFree(tm), so if you receive any bug-reports
on it, you know they are just evil lies." (By Linus Torvalds)

hai ragione tu come sempre.
vai a comprare la vaselina.
spintop
ps. non dimenticarti di farmi il bonifico, dolcezza ^__^

 Sempre meglio che improvvisare se non si hanno le conoscenze..
dunque, un s.a. che usa iptables consiglia di licenziarsi.
per me č tutto ^__^
spintop
ps. il bonificooooooo :-)

che caro ragazzo :-)
all'inizio ho pensato che eri maleducato e te l'ho fatto notare.
ora noto che sei un gran cafone, per altro inutilmente polemico alla
paranoia e te lo ribadisco.
ma se ti diverti cosě.... beh..... contento tu :-)
spintop
ps. it.fan.culo? :-)

Inaffidable Server? Cosi', giusto una curiosita'..
Ovviamente non si puo', ne' coi suoi filtri ne' con nient'altro (be',
magari con IPSec...).
Il problema suo e' che il "firewall" configurato non e' scriptabile e
quindi appena lo installi ti chiude fuori. Tipica astvzia commerciale
di noi-sappiamo-bene-chi.
Per altro, e' una bischerata che faccio spesso anch'io, sicche' oggi,
quando ciappino coi firewall, *PRIMA* mi faccio uno script che riapra
anche l'anima di su' ma' cane, *POI* lo metto in crontab ogni 10', e,
a quel punto, faccio le prove.
Tipicamente completo la configurazione in nove minuti e cinquanta, e,
come ci si puo' aspettare, perdo una mezz'ora a capire perche' non ha
funzionato (rimane tutto aperto). Ma fa parte del personaggio :-(
(Ovviamente le prove a servizi disabilitato, grazie, eh... 8-D )


Cioe' praticamente in /var/log/messages non ci guardano mai, eh?
Certo. Ho uno script che ci guarda al posto mio e lo pulisce. Sono, vediamo
un po', 644 righe dal 25 marzo 2002 :-)
(Be', certo, ha anche purgato circa un milione settecentomila righe che non
erano interessanti, e convertito in SQL un po' di log di ipchains - ma poca
roba, 22980 righe nemmeno)
A fini statistici:
 dport | protocol | numero | lyric
-------+----------+--------+---------------------------------
   137 |       17 |   3968 | naviga, naviga sui siti IIS
  1434 |       17 |   2268 | monta MS SQL: ti troverai bene
  5534 |        6 |   2031 | astuti alla cerca di MP3
   445 |        6 |   2015 | altra roba MS
  3128 |        6 |   1307 | vieni vieni, ce famo du' ghigni
     0 |        1 |   1141 | pong
   139 |        6 |   1100 | strapazzamelo, Zaira
  1080 |        6 |   1082 | vieni vieni, ce famo du' ghigni
  8080 |        6 |    921 | vieni vieni, ce famo du' ghigni
  6588 |        6 |    782 | astuti alla cerca di MP3
  2234 |        6 |    632 | ah, saperlo
  8000 |        6 |    446 | ah, saperlo
  8001 |        6 |    358 | ah, saperlo
  1433 |        6 |    340 | monta MS SQL: ti troverai bene


 
Quindi questo:
http://google.com/groups?selm=mrm64ugdp0tdi01pe9f4nfdkte0bnv2ftd%404ax.com
Come si spiega?
Eccezione alla regola? :)
Ciaotutti,
*

 ha scritto nel messaggio
news:bf34te$aft0v$1...@ID-180886.news.uni-berlin.de...
|
| > 1 regola di permesso per il dato servizio
| > 2 regola di permesso per il dato servizio
| > 3
| > ...
| > N
| > ...
| > N+1 regola che impedisce il passaggio di ogni altra cosa
|
| Di solito le imposto al contrario, ossia ... regola
| #1 CHIUDI TUTTO ... poi inizio ad inserire tutte
| le varie "eccezioni" in questo modo eviti qualche
| "piccolissimo problema" se ti *dimentichi* di
| impostare l'ultima regola :-)
|
Mah... scusa ma non riesco a capire.
In linea generale se impongo una regola blocca tutto, il firewall legge la
rule-list dall'alto verso il basso, e quindi becca la prima entry
accettabile; se invece imposti prima le allow, il firewall eventualmente
becca una regola allow e poi, una volta finito va su l'ultima regola di
default.
Un'analogia in programmazione è la switch case con clausala di default.
La logica è dalla mia parte?, altrimenti dove sbaglio?
| > E' anche vero che i PFW non hanno il compito
| > preciso di difendere una LAN o gestire una DMZ.
|
| E con questo siamo a due :-) il CHX non è un PFW
| anzi, i tizi di CHX si inc***ano "leggermente" se lo
| chiami in quel modo :-) è un packet filter come ad
| esempio un IPChains, il livello ISO/OSI di lavoro
| del CHX non è quello usato dalla maggior parte
| dei PFW (che in genere usano un TDI o un helper
| driver) che hanno dei grossi limiti
|
Scusa se faccio riferimento a un precedente post, ma scrissi di non
conoscere CHX; e inoltre, se leggi attentamente non c'era nessun
riferimento a CHX nella citazione e nella mia risposta ;-)
| > livello ISO-OSI...
|
| Vedi sopra :-)
|
| Ciao
|
Marco
Ciao


Scusate se correggo... ma nella 5 riga mi son dimenticato dopo "e poi, "
EVENTUALMENTE
grazie e scusate per l'errore.
Marco

 ha scritto nel messaggio
news:bf37nk$aevke$1...@ID-180886.news.uni-berlin.de...
|
| > ah, approfitto per chiederti una cosa che non ho ben capito su chx:
| > qual'č l'ordine delle regole?
|
| Uh ... ancora :-) ?!?
|
| Apri 
http://www.idrci.net/packetfilter/html/index.html
| poi clicca sul link "Packet Filter Basics" a sinistra
| credo che la spiegazione sia abbastanza chiara
|
Ma... Obi, allora avevo ragione! ;-)
ci son due concezioni:
- proibitiva
- permissiva
Se io parlo della prima, quindi interpreto il sistema come chiuso, e quindi
ci saranno prima le regole di permissione e poi tutto il resto verrŕ chiuso
di default!!!!
ObiWan... detto anche "Il killatore di quelle che erano certezze ;-)"
heheheheheh
ciauu e grazie
magari sbaglio! non so!
Marco

 La logica è dalla mia parte?, altrimenti dove sbaglio?
infatti è il dubbio che ho anche io (nonostante abbia letto l'help di chx
:-)
però è anche vero che chiudere tutto sin dall'inizio è deny all.
sto facendo delle prove su chx ed ho notato (ma forse mi sbaglio, sono
ancora qua che ci smanacco) se io dico ad es. chiudi X e dopo dico apri X,
il fw la apre, punto.
imho, l'illogicità c'è e come, ma lato "umano", nel senso che è pazzesco
dire al fw di fare 1 e poi -1: dal momento che il risultato è comunque -1
diventa illogico la regola del 1.
chx non mi sembra affatto logico, ma solo sequenziale.
per ora ho questa impressione.... poi vedrò nei prossimi giorni con calma
ciao spintop

messages, furbetto :-)
Non me le dicono hosts.allow; quelle me le dice ipchains. Comunque, con
quei due-tre servizi attivi, hosts.[allow|deny] vanno benissimo: che me
ne frega a me se qualcuno telefana in modi ostrogoti a un numero che e'
inesistente?
Leonardo "meno roba c'e', meno si guasta"
-- 
Tre cose sono da temere nel campo I.T.:
Un sysadmin con un cacciavite in tasca;
Un amministratore con un libro in mano;
Un utente con una grande idea in testa.

Eccezione alla regola? :)
Avevo detto che la C si aspira SOLO fra due vocali - e non che si aspira
SEMPRE fra due vocali :-)
Be', la regola e' piu' complessa. Dipende dalla pausa prima della C. Per
esempio, "la honosco" (io conosco lei), ma "la' cconosco" (io conosco in
quel luogo).
Se e' per quello, in certe circostanze la C ("la C" e' una) si pronuncia
sci' (la sciccia; sebbene ad Arezzo usino la C dura [1]).
Leonardo
[1] A tal proposito si rammenta [2] la barzelletta di un cane fiorentino
    con un pezzo di carne in bocca. Un cane aretino gli domando': "Alo',
    che cciai 'n bocca?" "Della HArne" rispose lo sventurato, aprendo le
    mascelle e lasciando cadere il boccone, tosto agguantato dall'altro.
    L'indomani i due s'incontrano di nuovo, ed e' il cane aretino che ha
    un pezzo di carne. Il cane fiorentino, furbo [3] domanda, "Icche' tu
    la sciai in bocca?", e l'altro a denti stretti: "LA CICCIA!" [4].
[2] Ad Arezzo, ovviamente. Qui presento la traduzione in italiano.
[3] o furbetto
[4] non e' off topic: e' un esempio di soscial inginiaring.


| infatti è il dubbio che ho anche io (nonostante abbia letto l'help di chx
| :-)
| però è anche vero che chiudere tutto sin dall'inizio è deny all.
| sto facendo delle prove su chx ed ho notato (ma forse mi sbaglio, sono
| ancora qua che ci smanacco) se io dico ad es. chiudi X e dopo dico apri
X,
| il fw la apre, punto.
E il fw IMHO erra!, la lista delle regole IMHO  deve essere controllata in
modo sequenziale dalla prima sino all'ultima, in modo tale che la prima
entry che becca sia quella applicata, cioè se c'è un riferimento come dici
tu a chiudi X, prima di apri X, allora si deve prendere in considerazione
la prima; naturalmente queste sono regole di progetto del firewall, non
sono regole che valgono in assoluto!, per cui se la manualistica dice
diversamente, sarà senza logica, ma bisogna tenerne conto.
| imho, l'illogicità c'è e come, ma lato "umano", nel senso che è pazzesco
| dire al fw di fare 1 e poi -1: dal momento che il risultato è comunque -1
| diventa illogico la regola del 1.
| chx non mi sembra affatto logico, ma solo sequenziale.
| per ora ho questa impressione.... poi vedrò nei prossimi giorni con calma
|
Fai sta semplice prova, non conosco il firewall quindi adatta quello che
dico ad un'applicazione reale:
2 computer, uno "client", l'altro "server"; sul server metti un
applicazione web-server, e falla girare. Poi, rileggendo il manuale, mi
pare di capire le seguenti:
- impostando solo regole allow, tutto il resto verrà automaticamente
droppato;
fai la seguente prova: imposta giusto per curiosità una regola permissiva
del tipo ALLOW,TCP,PORT:20;
In questo modo, sempre se ho capito come lavora sta cippa di firewall ;-)
(scherzo), un tentativo con il computer client verso la porta 80 del Web
Server dovrebbe fallire. Mi confermi sta banale ipotesi?
Ora, mantieni la conf client-server; e applica le seguenti regole:
ALLOW,TCP, PORT:80
DENY, TCP, PORT:80
vedi un po' che succede?
Poi...
DENY, TCP, PORT:80
ALLOW,TCP, PORT:80
vedi un po'?
La cosa che mi preoccupa è che le regole non sembrano numerate ;-), ora, se
io fossi un programmatore come selezionerei la regola? ;-) in base al
sorting della lista :-))))))
esiste una regola di "default"?
p.s. chiedo scusa per la banalità di queste operazioni, ma voglio cercare
di capire ;-)... (Marco, scaricati il fw e smettila di rompere le p*** alla
gente!)
| ciao spintop
|
ciauuu
Marco

 ha scritto nel messaggio
news:xviRa.79124$qa5.1...@news2.tin.it...
| "Marco Spiga" <spig.mar...@NOSPAMtiscali.it> ha scritto nel
messaggio
|
| > Mah... scusa ma non riesco a capire.
| > In linea generale se impongo una regola blocca tutto, il firewall legge
la
| > rule-list dall'alto verso il basso, e quindi becca la prima entry
| > accettabile; se invece imposti prima le allow, il firewall
eventualmente
| > becca una regola allow e poi, una volta finito va su l'ultima regola di
| > default.
| > Un'analogia in programmazione è la switch case con clausala di default.
| > La logica è dalla mia parte?, altrimenti dove sbaglio?
|
| infatti è il dubbio che ho anche io (nonostante abbia letto l'help di chx
| :-)
| però è anche vero che chiudere tutto sin dall'inizio è deny all.
| sto facendo delle prove su chx ed ho notato (ma forse mi sbaglio, sono
| ancora qua che ci smanacco) se io dico ad es. chiudi X e dopo dico apri
X,
| il fw la apre, punto.
Ho riletto l'help... credo di aver trovato la soluzione:
Deny - The action drops silently the packet
Allow - The action passes the packet
Log Only - The packet is passed and the event logged
Force Allow - Overrides any other action stating the contrary.
Questi furbetti hanno inserito il "Force Allow", che esclude le eventuali
regole contrarie precedenti, in questo modo non si avranno ambiguità al
100%!!!!
Attendo con molta curiosità i risultati del comportamento del firewall con
Deny e Allow, sempre che Spintop... abbia... voglia! ;-)... ora lo scarico
Grazie a tutti
un salutone
Marco

 lasceresti solo hosts.[deny|allow]?
Perche' no, se il demone dall'altra parte li rispetta correttamente e
non ci sono altri servizi in ascolto su quella rete?
Del resto la regola
$IPT -A INPUT -p tcp --dport 22 -j ACCEPT
altro non e' che [1] 
hosts.allow 
ssh: ALL
hosts.deny
ssh: NONE
[1] sintassi a parte


 Un bel riavvia in single user, no?
da remoto? ===:o


 <Mode Raffaella> Chissa' se va, chissa' se va.. </Mode Raffaella> :-)
Ma ROTFL ;-)
(insisto che ultimamente c'è un po' troppa goliardia... anche da parte
mia. Considerando il fatto che sono incasinato fino al collo e che tra le
varie attività ne ho per 60-70 ore a settimana, penso che sia
l'equivalente simmetrico della crisi di pianto isterico...


 di capire ;-)
anch'io ^__^
spintop

mi correggo, la priorità delle regole è in base al *predominio* di una
action sull'altra, ovvero:
"allow" apre x (e chiude tutto il resto.... x può anche essere inteso come
any/all, ma questa è già la regola di default)
"deny" chiude "allow"
"force allow" apre "deny"
ho visto che nell'elenco delle regole è possibile trascinare una sotto o
sopra l'altra, in ordine preferenziale.
ma non mi sembra che i risultati cambino.
è come se chx leggesse tutte le regole contemporaneamente: fino a che non
trova un deny lascia aperto, quando poi ne trova uno chiude quel che gli
viene detto di chiudere.
per "sbloccare" il deny c'è solo FORCE allow.
quindi, se non erro la cosa "logicamente" migliore da fare è un bel deny
all/any e aggiungere solo dei force allow a ciò che si desidera.
la lettura (quindi non sequenziale ma parallelo) delle regole deve essere
visualizzata ordinando per "action" e non sulla direction (come suggerisce
la software house).
al momento è tutto, torno a guadagnarmi la pagnotta, ma senza donar le
terga.
:-)
ciao
spintop

 tutte le udp.
Esatto, supponi di voler pubblicare un webserver
e di voler anche permettere l'accesso tramite VNC
crei due allow, una per la 80/TCP ed una per 5900/tcp
a questo punto il CHX assume che tutto il resto sia deny
e si comporta di conseguenza
Il discorso "force allow" serve più che altro nel caso in
cui vengano create regole "a monte", ossia CHX permette
di creare ruleset globali, a livello NIC ed a livello IP e tali
ruleset hanno via via priorità minore, ossia il globale ha
maggior priorità del NIC e così via, ora, per "bypassare"
una regola di "livello superiore" puoi usare il "force allow"
Chiarito qualcosa ?!?
In ogni caso, se provi a mandare una mail al supporto
credo che ti chiariranno qualsiasi dubbio, oltretutto di
solito rispondono abbastanza in fretta
Ciao

e ancora.....
riaggiorno la faccenda: in realtà non ho pensato (eppur l'ho letto e
scritto) che con allow "solo quel che mi pare" do implicitamente un deny
"tutto il resto", quindi non credo ci sia bisogno di un deny all/any
iniziale su chx.
tutto ciò che gli viene esplicitamente detto => implica l'esatto opposto per
il resto (e viceversa), questa è l'unica regola.
di default non ci sono nè limitazioni nè l'opposto, dunque non fa nulla.
non facendo nulla non fa neanche da firewall, si presuppone quindi tutto
allow.
ma c'è anche un modo non convenzionale per installare chx avendo già le
regole pronte, ovvero importare da un file .REG il ramo dei registri di
vindos relativo a chx, lanciarlo, installare chx e avviarlo (se i registri
comprendono anche l'autostart non c'è neanche bisogno di avviarlo, parte
subito da solo con tutte le regoline).
ciao
spintop

Hi,
I hope this could bring some light over the chx filters' design methodology:
http://pages.infinit.net/valiil/chxfilters.html
Valeriu Ilie


Hi Val !! Nice to e-see you here !! Heh, I already
wrote that CHX support is 1st class and this surely
confirms it :-) ... now I think that some more folks
will start salivating for the PF <g> !!
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 da remoto? ===:o
eh, ah, ehm.. Mi deve essere sfuggito qualche cosa. ;-)
Comunque con un computer serio ;-) potrebbe esserci la console su
un'uscita seriale con/predisposta_per un modem e allora si puo'..
Ciao,
-- 
      Ermanno Polli   (INFN-LNF)
    user:      hostname:  subdomain:  domain:  country:
ermanno.polli    N/A        lnf         infn     it

 vindos relativo a chx, lanciarlo, installare chx e avviarlo (se i registri
Se non ricordo male, ci dovrebbe essere un'altro sistema per
salvare i filtri su file e farli ricaricare automaticamente durante
l'installazione del programma ... solo che non mi ritrovo la mail

 un'uscita seriale con/predisposta_per un modem e allora si puo'..
Vabbe', dai... ti sei salvato in corner! ;)
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
 
www.google.com
 - 
groups.google.com
- Per Berlusconi un'affascinante sfida quella dell'Europa   -
- Gli si apre tutto un altro mondo da insultare (ellekappa) -

tnx :-)
s.
ps .nel frattempo chx sta litigando con la 53

> ps .nel frattempo chx sta litigando con la 53
In che senso ?!?

 In che senso ?!?
eh..... ti spiego.....
dovendo *simulare* il più possibile ciò che (forse) farò sul server remoto,
ho qua sottomano il mio server win2000 dove sto provando chx.
in pratica che ho fatto, ho settato chx inizialmente con il packetsample per
webserver per vedere come funzikava: tutto ok.
poi ho fatto anche altre prove, togliendo quelle regole e facendone di nuove
(sempre in virtù di un webserver).
tutto ok.
poi ho esportato le mie regole in un file, ho disinstallato chx ed ho tolto
le info sui registri, per *pulire* più possibile le informazioni.
al che ho riavviato (magari non è necessario ma non si sa mai): tutto ok, il
webserver funziona.
ho installato chx (da term serv), l'ho avviato..... e le workstations non
possono più accedere alla 80 chiamando il server se non con l'ip. :o(
eppure non ci sono regole.... l'ho messo tutto aperto.
allora che ho fatto, ho fermato chx e tutto andava di nuovo. l'ho riavviato
e di nuovo il solito problema (è sempre senza regola alcuna).
dal server stesso invece chiamo 
http://nomeserver
 e va, dalle workstations
no. se stoppo chx va tutto.
non ci sono regole, nessuna restrizione/limitazione eppure con chx attivo
pare che il dns server (che vedo funzionare regolarmente) viene *bypassato*
dal chx.
è tutto tutto ok, tranne questo "piccolo" particolare :o((((((((((((
allora ho impostato su "manual/stopped" l'avvio di chx, ho riavviato il
server: tutto ok le workstations navigano tranquille con 
http://nomeserver
do lo start a chx, chiudo il browser delle workstations, rilancio
http://nomeserver
 e non va.
sto letteralmente impazzendo :o(((
ciao
s.

 eppure non ci sono regole.... l'ho messo tutto aperto.
Aspè ... forse non ho chiara la cosa, il w2k server sul quale stai
facendo le prove .. fa anche da DNS per le tue workstations ?!?
Nel caso devi prevedere delle regole aggiuntive per il DNS
*server* altrimenti ... nisba, nada, nulla !!

 *server* altrimenti ... nisba, nada, nulla !!
è chiaro hehehe......:-)
ma al momento NON ci sono proprio regole, è tutto allow.
è come se chx non permettesse alle ws di usufruire del servizio dns (ma per
*sua volontà*, sfortunatamente). eppure niente regole, quindi tutto allow.
se stoppo chx funziona tutto a meraviglia, lo faccio partire (la rules-list
è vuota) e di nuovo sto problema.
:o(
ciao
s.

 partire (la rules-list è vuota) e di nuovo sto problema.
Allora .. prima di tutto, sei *sicuro* che *tutte* le rule-lists siano vuote
?
Ricontrolla, poi se è così, prova prima di tutto dal server stesso ad
usare nslookup per risolvere qualche nome host, se questo funziona
prova ancora nslookup ma questa volta su una workstation... in ogni
caso ho il vago sospetto che con quel "trucco" del registry tu abbia
incasinato qualcosa, è la prima volta che sento una cosa simile !

PS
Forse sarebbe il caso di
aprire un'altro thread :-) ?!?

 incasinato qualcosa, è la prima volta che sento una cosa simile !
ma guarda che non l'ho provato :-)
molto semplicemente tu esporti un ramo di registry in un file REG che puoi
reimpostare "al volo" in qualsiasi momento.
questo non ho necessità di provarlo dal momento che funziona così
:-)
ad ogni modo:
nslookup sulle workstations non va (cioè va, ma mi lavora sulla connessione
a internet, non quella sul server).
unica cosa che ho notato che ora rifunzika:
se chiamo dalle ws 
http://nomerserver
 non va ancora.
ho creato un record dns nuovo sul domain server.loc, poi un nuovo host www e
con www.server.loc le postazioni accedono di nuovo (ma prima accedevano
anche con 
http://nomeserver
)
se stoppo chx 
http://nomeserver
 funziona su tutte le ws.
boh....
semmai avesse avuto un comportamento *sempre* sbagliato forse qualcosa
potrei presupporre, ma così mi sembra sia altalenante e non capisco se è il
dns o se è chx che va in barba al dns.
ciao
s.

 facendo le prove .. fa anche da DNS per le tue workstations ?!?
"ni", nel senso che è un server "da battaglia".
è stato preso con una agevolazione (P.A.) per un'iniziativa gratuita a scopi
sociali.
praticamente, datta in parole povere, il comune ha pagato per un server
adibito a scopi didattici, per un "corso" rivolto a persone che hanno
necessità di re-inserirsi socialmente (ex-tossicodipendenti).
in questo modo si cerca di *interessare* questi ragazzi verso argomenti
direi "distanti" da quelli che fino ad ora hanno conosciuto, dando loro
un'infarinatura di base (e sopratutto non farli pensare alla "roba").
quindi quelli erano i soldi, di più non si è potuto fare.
avrei preferito appoggiare i dns su un altro server, ma devo stare alle
direttive "economiche" della p.a.
e dopo questo bellissimo ot sociale, direi che hai ragione: o apriamo un
altro thread o la piantiamo :-)))))))))
ciao
s.

 dns o se č chx che va in barba al dns.
Mi puzza di timeout/refresh netbios ... hmmm

 da remoto? ===:o
"remote finger". Do you conosc.? ;-)
Al prompt dai "remote-finger -h pcremoto.bla.bla.bl" e click.. si
accende il pc remoto. ;-))
Vabbe'.. mi sa che e' ora di fare una pausa.


 altro thread o la piantiamo :-)))))))))
Ok, a parte l'aprire un'altro thread, conosco le realtà di cui sopra, so
come funzionano le cose e ... beh ... sono contento di aver cercato di
aiutarti, ad ogni modo, sono perfettamente d'accordo che l'uso di win
per tale tipologia di servers/reti sia necessaria (dato che la maggior
parte del mercato/lavoro gira su win) ma se potessi partirei su Linux,
so cosa dico ed alle volte, una volta capito il "cosa/come" parecchi
dei ragazzi in questione si dimostrano "ottimi" (non dico "hacker" ---
nel senso "buono" del termine, ma hanno delle potenzialità) detto
questo, se vai su windows, non è detto che tu debba spendere fior
di quattrini per mettere in piedi qualcosa di funzionante, ad esempio
condividere una connex internet usando un proxy *decente*, usare
un firewall *decente* per proteggerla, mettere in piedi un mail server
non necessariamente costano (esiste moltissimo materiale free per
il no-profit) per cui, se ti serve qualcosa... la mail adesso (per te)
funge (ho tolto il filtro "anti-ng" per l'indirizzo che stai usando :-D)

 :-)
Avverto un leggerissimo sarcasmo nella vostra
risposta conte skull !! Se proseguite su questa
condotta mi vedrò costretto a sfidarvi a singolar
tenzone sul terreno dell'onore
<GROAN> :-P
Ok, seriamente, ci sto giocando da un pezzo e
mi sembra buono, la maggior parte dei tizi che
sono nel team di sviluppo viene dal progetto di
LRP (morto purtroppo) e sembrano tutti avere una
gran voglia di "rinnovare l'aria" ... io, semplicemente
me ne sto a vedere cosa succede .. e finora l'idea
che ho avuto è che ne stia venendo fuori un ottimo
programma !
Ciao

 ha scritto nel messaggio
news:Q4MRa.3214$d34.1...@weber.videotron.net...

Thanks!, I understood ;-)
Marco

> Thanks!, I understood ;-)
Heh ... spero :-) !! Adesso che
ne pensi del programma ?!?

:-)
ml grz
s.

Hi,
I'm sorry, I don't understand 100% what you're saying here (in Italian), but
I'll try to answer this.
The fact that CHX is not blocking anything after install, is not exactly
true. The TCP stateful mechanism and UDP pseudostateful mechanism are
enabled by default (if I remember correctly).
The UDP pseudostateful mechanism is blocking any unsolicited incoming UDP.
You have to disable it on the local interface (the one that is receiving DNS
requests) or add a filter in order to allow it.
Hope this help,
Valeriu Ilie

 Hope this help,
Thanks Val, I think this surely will help, as a note, I remember from a
discussion with Stef (months ago) that there should be a way to load
a saved filter set automagically during the setup, but I can't remember
how this was done ... any hint/idea ?
At any rate ... THANKS !



Se mi ricordo correttamente stavamo parlando di usare il fltcon.exe. Ciò
permetterà che installiate un "rule set" conservato.
Btw, scusi il mio italiano - una combinazione di google-translator e di che
cosa mi ricordo. :)
Ciao !
Stef.

 Stef.
Ciao Stef ... and see you on the forum (the NTC site
now has a forum .. if you have 2 seconds spare time
have a look at it)


 I'm sorry, I don't understand 100% what you're saying here (in Italian),

hi there :-)
so, if I've well understood i have two choices to prevent netbios/broadcasr
timeouts:
1) disable the UDP statefull inspection
2) setting rule like this: Allow/UDP/incoming.
right?
what about outcoming traffic?
byez :)
spintop


Ciao Spintop,
Il numero due dovrebbe essere:
2) setting rule like this: Force Allow/UDP/Ports=x,y,x/incoming.
Il traffico "outgoing" del UDP è giusto a meno che specifichiate le regole
"outgoing"
Ciao.
stef

 "outgoing"
yeahhhh..... (the strange thing is that i try to write in english and you
try to write in italian....... hehehe.....)
:-))
so, i'm going to set the 2° rule.
tnx
:)
s.

 wrote in message
news:SLWRa.52361$it4.1...@news1.tin.it...

 Non tutto gira intorno all'inglese. :))
A volte la lingua può essere una barriera particolarmente per la lettura
delle istruzioni tecniche. :))Spero che il manuale non sia troppo duro da
decifrare.
Ciao,
stef

 ha scritto nel messaggio
news:bf8sb9$ca1q9$1...@ID-180886.news.uni-berlin.de...
|
| > Thanks!, I understood ;-)
|
| Heh ... spero :-) !! Adesso che
| ne pensi del programma ?!?
|
E' serio ;-)
Comunque in linea generale avevo ragione io ;-) gnegnegne. Per quanto
riguarda il progetto CHX, le idee mi sembrano buone; dietro un'apparente
illogicità si cela uno strumento buono.
L'ho scaricato... il nome file chxipf2.4.1.msi, sottolineo PF ;-)
Poi,  ti riporto una cosa, che ho trovato interessante ;-) definizione di
Firewall, dato che c'erano delle discordie sul dove porre un firewall nella
pila ISO-OSI, ecc.
*That's Not a Firewall!*
The world is full of people eager to assure you that something is not a
firewall; it's "just a packet filter" or maybe it's "better than a mere
firewall". If it's supposed to keep the bad guys out of your network, it' a
firewall. If it succeeds in keeping the bad gu7ys out, while still letting
you happily use your network, it's a good firewall; if it doesn't, it's a
bad firewall. That' all there is to it.
By Zwicky, Cooper, Chapman.
Senza troppi tecnicismi :-)
questa discussione per me è stata molto costruttiva, thanks.
ciao a todos
Marco
www.networkingitalia.it

 decifrare.
simple/semplice for/per experts/esperti, less/meno for/per me/me but/ma
i'm/sto understading/capendo and/e learning/imparando
:-)
ciao
s.

 inesistente?
Come imparo' a sue spese il datore di lavoro di miss Moneyoenny :D
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 178WU/8701hrs now on Athlon 2.2+ :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 questa discussione per me è stata molto costruttiva, thanks.
Heh... spero che provare il CHX sia altrettanto istruttivo :-)

ObiWan wrote
|> E' serio ;-)
|
|Toh... guarda un pò :-) !!
|
|> Comunque in linea generale avevo ragione io ;-) gnegnegne. Per quanto
|> riguarda il progetto CHX, le idee mi sembrano buone; dietro un'apparente
|> illogicità si cela uno strumento buono.
|
|Illogicità ?!? Non la metterei così, si tratta solo di definire il principio
|base per il filtraggio e seguirlo, IPChains/Tables usano un'idea di
|base differente, ma non è l'unica ...
|
*Apparente* illogicità , in realtà ti ho appunto parlato in un 
precedente post, della necessità di conoscere le regole progettuali che 
hanno dato vita alla creazione di una rule-set di questo tipo. L'esempio 
grafico di Val è stato illuminante.
IMHO la scelta di inserire una regola *force allow* ha modificato un 
po' le cose ;-), il CHX si ritrova ad analizzare forzatamente tutte le 
regole o comqune tutte le *force..*, e questo è un bene o un male 
rispetto ad una implementazione del tipo *Default Deny Stance* . *** , 
che può essere gestita praticamente come una switch case a livello 
implementativo :-)
La sensazione che ho avuto è questa; poi sicuramente mi sbaglierò, e una 
lettura più approfondita del *progetto* che ha dato vita a CHX, esporra 
i maggiori pregi che hanno dato vita a questa scelta... che non riesco a 
farmi piacere più di tanto.
|> L'ho scaricato... il nome file chxipf2.4.1.msi, sottolineo PF ;-)
|
|Appunto, PF = Packet Filter :-) !
|
AHAHAHHA... :-) è la terza volta che mi freghi :-)
|
[snip]
|> questa discussione per me è stata molto costruttiva, thanks.
|
|Heh... spero che provare il CHX sia altrettanto istruttivo :-)
|
Molto ;-)
*** (che mette l'accento sul fatto che tutto ciò che non si conosce 
potrebbe essere dannoso per le rete.)
-- 
Quando non sai dove sbatter la testa:
http://groups.google.it

 
http://groups.google.it
Naah .. vedi sotto :-)


 lo reputo ottimo, tanto per fare un'esempio .. immagina di installare una
<snip>
Ooops ... tra "non ho avuto problemi" e "lo reputo ottimo" č venuto fuori
un papocchio :-) la frase va letta "lo reputo ottimo" ...scusa :-) !!

 Vabbe', dai... ti sei salvato in corner! ;)
beh, anche il "remote-finger" non era male.. ;-)
E' che ho in carico una macchina del genere :ES40 della Hp/Compaq/DEC,
senno' neanche me lo immaginavo, il corner..
'na favola! Con un collegamento seriale (ora non piu', con i Mac che
abbiamo da un po' di anni a questa parte) la controllavo completamente.
Si puo' anche spegnere da remoto. Resta solo  la "lucetta", tipo
telecomando, che risponde sulla seriale.
Ma costa tanto avere una motherboard per PC, fatta cosi'??
Vabbe'.. e' OT..


ObiWan wrote
|> |Illogicità ?!? Non la metterei così, si tratta solo di definire il
|principio
|> |base per il filtraggio e seguirlo, IPChains/Tables usano un'idea di
|> |base differente, ma non è l'unica ...
|> |
|>
|> *Apparente* illogicità , in realtà ti ho appunto parlato in un
|> precedente post, della necessità di conoscere le regole progettuali che
|> hanno dato vita alla creazione di una rule-set di questo tipo. L'esempio
|> grafico di Val è stato illuminante.
|
|Uh appunto :-) in ogni caso eviterei discussioni del tipo "sesso
|degli angeli", l'importante imo è che il packet filter funzioni come
|si deve, il resto beh ... è interessante ma più che altro a livello di
|teoria e/o studio :-)
|
|
Stai parlando ad uno studente ;-), per me è più importante la 
progettazione che l'implementazione!, poi va beh, sono anche curioso, 
nel senso che mi piacerebbe capire: come è stato creato un *oggetto*, 
rispetto a "fa bene il suo lavoro!". Sembra quasi paradossale ;)
Marco
-- 
www.networkingitalia.it

 rispetto a "fa bene il suo lavoro!". Sembra quasi paradossale ;)
Uh ... non ci siamo capiti (o forse non  mi sono spiegato bene) non
intendevo dire che la prima "scatola nera" che capita sia ok purchè
faccia qualcosa che mi serve :-) mi riferivo alla differenzia di approccio
tra (es.) IPChains e CHX, in entrambi i casi funzionano anche se usando
diverse "filosofie" a questo punto (secondo me) mettersi a discutere su
quale sia l'approccio migliore non è molto costruttivo/utile. Naturalmente
concordo sul fatto che studiare un programma è sempre utile :-)

 Ma costa tanto avere una motherboard per PC, fatta cosi'??
un microcontrollorino tipo PIC, un ricevitore per telecomando (si puo'
fare con quattro pezzi o uno solo), un teleruttore di potenza
sufficiente e sei a posto. non difficilissimo.
Se no, e' sufficiente mettere il pc in stand-by e attivare l'apposita
funzione acpi... sempre che esista.
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
 
www.google.com
 - 
groups.google.com
- Per Berlusconi un'affascinante sfida quella dell'Europa   -
- Gli si apre tutto un altro mondo da insultare (ellekappa) -

ObiWan wrote
[snip]
|Uh ... non ci siamo capiti (o forse non  mi sono spiegato bene) non
|intendevo dire che la prima "scatola nera" che capita sia ok purchè
|faccia qualcosa che mi serve :-) mi riferivo alla differenzia di approccio
|tra (es.) IPChains e CHX, in entrambi i casi funzionano anche se usando
|diverse "filosofie" a questo punto (secondo me) mettersi a discutere su
|quale sia l'approccio migliore non è molto costruttivo/utile. Naturalmente
|concordo sul fatto che studiare un programma è sempre utile :-)
|
Hai perfettamente ragione, ho letto male io.
Poi, discutere quale sia l'approccio migliore... ai posteri l'ardua 
sentenza ---> scherzo. Ma risulta complicato analizzare e mettere in 
discussione delle scelte progettuali, così di primo impatto, perché ad 
una prima analisi certe scelte possono risultare scorrette/illogiche...
Poi, se uno ha tempo/knowhow/struttura_adatta/voglia si può dilettare a 
valutare per bene le "prestazioni".
Marco
-- 
www.networkingitalia.it

 valutare per bene le "prestazioni".
Esattamente quello che intendevo, ovvio che avendo tempo voglia
si potrebbe effettuare un confronto e vedere il perchè di determinate
scelte analizzando vantaggi/svantaggi e quant'altro .. ma in questo
caso forse sarebbe meglio proseguire in e-mail .. uh e visto che ci
sono.. la prossima versione ha parecchie novità ... ad esempio la
possibilità di "negare" i parametri di filtraggio, tanto per capirsi ora
è possibile definire un filtro su un certo range di porte/indirizzi e poi
selezionare l'opzione "not" il che significa che il filtro è attivo per
tutto
ciò che *non* corrisponde alle selezioni :-) !!
Vabbè ... ciaoooo :-) !!


 motherboard per PC, fatta cosi'??
Eh... computer acceso, ups con seriale (o, meglio ancora, con SMNP), gli
si stacca la corrente per spegnerlo, e gli si rimette per accenderlo.
Se i computer fossero AT funzionerebbe. :)
Cmq certe schede madri hanno il wake on ring... o al massimo il wake on
IRQ3 (che, con modem esterno su seriale, e' uguale).
UPSatamente,
-- 
Mariani "Darkpand" Dario 
dark...@libero.it
IAFo #126	ICQ# 49365960
"L'uomo e' tanto meno se' stesso quanto piu' parla in persona propria:
dategli una maschera e vi dira' la verita'" -- Oscar Wilde