Newsgroup: it.comp.sicurezza.varie
Titolo: Router e Firewall

Ciao!
La mia rete si collega ad Internet mediante un router CISCO. Questo fa il
NAT, cioè mostra all'esterno un indirizzo IP solo,
e ridirige i pacchetti in entrata verso il PC giusto (probabilmente usando
il MAC delle scheda di rete dei PC e creandosi una routing table interna?)
E' possibile che qualcuno possa entrare nella mia rete attraverso il router,
o devo installare un firewall?
In pratica, il firewall è necessario solo se devo fornire dei servizi nella
mia rete visibili da internet, oppure è sempre necessario perchè un router
può essere sempre violato?

 ha scritto nel messaggio
news:oeXV5.12541$hk4.4...@news.infostrada.it...

L'unico Pc veramente sicuro è quello spento e chiuso in  una cassaforte...
Quindi un router che fa NAT è un buon inizio, ma potrebbe essere
forato..........

 può essere sempre violato?
puo' essere violato il tuo router, (se non propriamente configurato o con
pass deboli in particolaare) ma non un host interno, visto che non e'
raggiungibile dall'esterno.
il firewall puoi risparmiarlo, per ora.
un mayhem odio il frame buffer :(
--
cosa bisogna scrivere in questo riquadro?

 il firewall puoi risparmiarlo, per ora.
Ho una situazione analoga a quella descritta (router con NAT per collegare la
rete interna a internet) e mi ha incuriosito la tua risposta: io ho un router
Netopia, mi verrebbe da pensare che se mi 'bucano' il router a questo punto
abbiano (mezzo) sfondato la porta anche verso la mia rete interna, visto che dal
router e' possibile lanciare una sessione telnet verso la mia rete locale, o no?
O forse i Cisco offrono una maggiore protezione?
kalb

 kalb
Io credo proprio che se ti forano il router ti accedano anche algi host
della LAN....

 della LAN....
io credo che netopia e router non possano stare nella stessa frase :)))))
scherzi a parte ( e cisco pure purtroppo :(( ) non conosco netopia, ma se
non ricordo male ha un modem 56K come intergaccia wan ed usa ip dinamico di
solito.
non credo ci si possa telnettare sopra (ma non mi stupirebbe il contrario).
se fosse possibile, una volta telnettati li, con telnet qui e la se hai
telnet server o se giochi un po con il nat sei con il c**o di fuori :(
un mayhem ma di che colore e' un netopia?


 ad es.)
puoi spiegare meglio questa cosa, per favore? mi interessa....
Grazie!
--
Ciao by Beppe


L'host della LAN richiede dei dati ad un indirizzo esterno(cioè pubblico)al
suo default getway,cioe' tramite il router ,che fa NAT,che significa che
maschera i pacchetti inserendo davanti il suo indirizzo; il router chiederà
ad un altro router se sa dove si trova il suddetto indirizzo e cosi' via.
Trovato l'indirizzo i pacchetti percorreranno il 'giro' inverso in modo
connectionless, e a questo punto il router della nostra lan sapendo l'host
che ha richiesto la connessione,avendo in precedenza assocciato un nuemero
di connessione all'host, gli restituisce i pacchetti(con l'associazione
dell'indirizzo ip privato a livello 3 OSI(rete)),( che a sua  volta avrà
un'associazione con il Mac della macchina).
Tutto questo facendo NAT, ossia la LAN e' nascosta al mondo internet.
Anche se i discorsi sarebbero molto piu' complessi, questo è un breve sunto.


Confermo che si può.
Una volta, dall'esterno il router chiedeva la password. Se la davo, entravo
nel router ed avevo accesso a tutti i comandi di configurazione.
In più telnettavo alla grande dentro la rete.
Allora ho chiamato uno che sapeva come configurare il Cisco, ed ho fatto
disabilitare la possibilià di fare login dall'interfaccia esterna, ma solo
dall'interno per manutenzioni.
FORSE così dormo sonni tranquilli. O no?
Spero solo che non ci siano altri buchi o porte sconosciute ove entrare.

 Grazie!
ecco l'esempio:
ip src | p src | ip dst | pdst
-andata
192.168.1.1 1225 194.20.8.1 53 (parte dal pc)
212.213.26.114 2526 194.20.8.1 53 (esce dal router) (e si segna: 2526=
192.168.1.1 1225)
-ritorno
194.20.8.1 53 212.213.26.114 2526 (il dns risponde al router)
194.20.8.1 53 192.168.1.1 1225 (il router risponde a chi aspettava una
risposta alla domanda 2526)
diciamo che e' semplificato di molto, ma il meccanismo e' circa cosi'.
un mayhem ip nat inside source list 100 etc etc usr var
