Newsgroup: it.comp.sicurezza.varie
Titolo: NAT e' protezione ?

ciao
se io sono in internet ramite un routerino che mi natta, sono al
sicuro da eventuali attacchi ?
ciao


finche' non metti un firewall, direi di no :)
-- 
Fox Mulder
...the truth is out there

finche' non metti un firewall, direi di no :)
Si ma... perchč...? Se dall'esterno no riescono a vedere il mio IP, io
esco solo ...perche' ho bisogno di un firewall?
Ciao!

 ha scritto nel messaggio
news:fhb6nukh73o5dlk3d...@4ax.com...


> finche' non metti un firewall, direi di no :)
Il firewall non serve.
La macchina che sta dietro il NAT non è raggiugibile dall'esterno.
Antonino.

 esco solo ...perche' ho bisogno di un firewall?
.. infatti, IMHO, non ne hai bisogno.
Antonino.


ne sei proprio sicuro?
e se viene attaccato il router e si riesce ad accedere alla rete 
interna, come la mettiamo?


 router
Source routing, tony caro! :)
-- 
HappyCactus - Registered Linux User #209744 - >>> SMSPM950 <<<
http://www.angelfire.com/jazz/happycactus/index.html
Made with 100% recycled electrons


E' un argomento di cui si e' parlato spesso. Dire a priori che
la macchina non e' raggiungibile e' ottimistico: dipende dalla
configurazione del router che NATta e della rete del provider.
E poi: non tutti gli "attacchi" prevedono connessioni iniziate
da fuori. Gugl fornira' i link ai diversi thread in argomento.
Fabio

 interna, come la mettiamo?
Be', io parto dal presupposto che il router non sia un colabrodo.
Se il router è ben protetto, i PC che vegono nattati non hanno bisogno del
firewall.
Penso che il senso della domanda di Anthias fosse questo.


Si, capisco...ma in dettaglio....
Ho una rete con 4 pc che esce su ADSL con un router con NAT attivo. 
Dall'esterno, al limite, vedo il router tramite l' IP assegnato ma non
le macchine interne
Come potrebbe un potenziale attaccante fa entrare dei pacchetti verso
le macchine mi interne se non sa dove sono ?
ciao!

 la mettiamo?
Vabbč... io penso che si debba procedere la nat box col firewall... non i
singoli client...
-- 
| /
| \Byte - Andrea Briganti - 
kbyt...@freemail.it
http://www.kbytesystem.fasturl.it
 ICQ: 40872731
*** Chi non ha rispetto non merita considerazione

> Si, capisco...ma in dettaglio....
. . penso che si possa fare inserendosi, con i dovuti grant, nel router e
manipolando la routing table.
Occorre comunque sapere l'IP dei PC interni...
Ma se il router è adeguatamente protetto non penso proprio che vi siano
pericoli, almeno da questo contesto (internet->router->tuoPC o
internet->tuoPC)

, 
ac...@tiscalinet.it
 says...

ed il source routing, dove lo mettiamo?


 Source routing, tony caro! :)
parliamone e spieghiamolo, mio collega del cactus :)
tony

ed il source routing, dove lo mettiamo?
ehmm.....cos'e' il source routing ?

> ed il source routing, dove lo mettiamo?
Cos'è il source routing ?   :)

> Cos'è il source routing ?   :)
.. mi sono trovato la risposta da solo ! (google)
Pare che il mio router non lo supporti.
Antonino.


wrote:

Mi dai il link o posti cosa hai trovato ?
ciao

 Penso che il senso della domanda di Anthias fosse questo.
si, ma io spero di avergli dato una risposta piu' completa.


internet->tuoPC)
Questa e` la nota dolente. _SE_ il router. La nostra esperienza ci dice
invece esattamente il contrario:
tra snmp, source routing, default password, e altre cazzabubbole, non
passa giorno in cui non esce qualcosa per il tal router.
Inoltre, di router configurati alla "membro di segugio" ne ho visti
molti piu` di quanto non pensi, e a peggiorativo, chi lo aveva
configurato era convinto di aver fatto un buon lavoro.
Con questo il discorso e` sempre il solito: dipende da cosa devi fare
-- 
Maurizio - Tannoiser - Lemmo
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

> Mi dai il link o posti cosa hai trovato ?
... cerca 'source routing' su it.comp.sicurezza.* e dai un occhiata al
terzo link (quello con 40 articoli).
Vi sono degli autorevoli interventi di Leonardo, Fabio Panegatti,
Thorin ed altri.

 parliamone e spieghiamolo, mio collega del cactus :)
Il protocollo IP prevede di poter inserire alcune "options" nel 
pacchetto. Una di questa e' detta "source routing", ne esistono di due 
tipi, strict e loose.
Esse istruiscono i router ad inviare il pacchetto secondo una certa 
strada, che puo' essere "stretta", nel senso che il pacchetto deve 
toccare solo ed esclusivamente gli host indicati nella options, oppure 
"lasca [1]", nel senso che il pacchetto deve attraversare gli host 
elencati, ma non solo.
Un router che faccia da NAT/PAT, se riceve un pacchetto IP con source 
routing, forwarda il pacchetto all'host di destinazione, fregandosene di 
ogni NAT/PAT esistente.
L'attaccante deve "solo" sapere l'indirizzo ip da raggiungere.
Ovviamente un firewall ben configurato filtra i pacchetti con options 
source routing.
[1] come si puo' tradurre "loose"?!?


 [1] come si puo' tradurre "loose"?!?
Come l'hai tradotto tu, con un bel termine marinaresco: "lasco".

 whiplash public: cosa vuoi settare, oggi?
"settare settare settare" :-)
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 137WU/7569hrs on a P166MMX :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 strada, che puo' essere "stretta", nel senso che il pacchetto deve
... non tutti i router, solo quelli non opportunamente configurati.
Ciao.
Antonino.

Come l'hai tradotto tu, con un bel termine marinaresco: "lasco".
Gia': lento, allentato. sciolto. slegato. 
Ecco, forse quest'ultimo puo' concorrere al titolo ;)
-- 
Filippo "Kirone" Zamengo 
Quanto scritto deve ritenersi IMHO e indipendente dal datore di lavoro
e-mail modificata: togliere DESPAM e .invalid

 Ecco, forse quest'ultimo puo' concorrere al titolo ;)
sciallato? :)


 passa giorno in cui non esce qualcosa per il tal router.
non dimentichiamo infine un dato non trascurabile: se il router si chiama
router, ed il firewall si chiama firewall, ci sara' un motivo? che siano
solo ragioni commerciali a spingere aziende come cisco a produrre sia
router che firewall, e sono due prodotti ben distinti?
 
io credo che ognuno debba fare il proprio lavoro, al meglio delle proprie
capacita'. non farei mai fare da firewall ad un router, come non farei
fare da router ad un firewall (che non dovrebbe essere in grado di farlo
in maniera corretta se ben configurato... ma e' un discorso diverso ...)
inoltre ricordo che nel paese in cui abitate esistono dei requisiti
minimi di sicurezza per le aziende che possiedono dati sensibili. ed il
firewall e' tra queste.
un mayhem che con tannoiser ci deve andare a cena ... e' sempre d'accordo
:)
-- 
Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
SPP  wpage: 
http://www.spippolatori.com
Hacklab VR: 
http://www.m2net.it.eu.org
Remove ME to reply

 [1] come si puo' tradurre "loose"?!?
 
perche' vuoi tradurre i termini tecnici?
allora dovresti dire anche instradamento sorgente. :D
un mayhem e le cose intraducibili


 non lo supporti. Antonino.
 
non lo supporta? o semplicemente non prevede la sua gestione? in questo
caso ... li fa passare o no?
un mayhem e le grandi domande


 capacita'. non farei mai fare da firewall ad un router, come non farei
.. concordo.
Ciň non toglie perň che la funzione NAT di un router, nata per scopi ben
lontani dalla protezione, abbia con se anche degli effetti protettivi,
dovuti al fatto che gli host della rete sottostante al router, rimangono con
i loro IP privati, e da che mondo e mondo un host con IP pubblico NON PUO'
attaccare in host con IP privato (IMHO).

 caso ... li fa passare o no?
. . nel senso che è possibile creare una rule per filtrare i pacchetti e
incenerire tutti quelli che contengono l'opzione source routing.
Antonino.

un mayhem che con tannoiser ci deve andare a cena ... e' sempre d'accordo
stai tranquillo una di queste volte, tra te, fenox, e compagnia
organizziamo, dai. :)
un tannoiser che figlio permettendo... :)


 un tannoiser che figlio permettendo... :)
sentilo ... si parlava del 26 cm
f/up in pvt
 
un mayhem che non vuole premere alt-tab ;P


 NON PUO' attaccare in host con IP privato (IMHO).
http://www.iss.net/security_center/advice/Underground/Hacking/Methods/Technical/Source_Routing/default.htm
un mayhem che andrebbe anche a dormire



Tra il dire ed il fare c'è di mezzo il mare. :)
Vi è una enorme differenza, a livello di sicurezza, fra un host con
indirizzo pubblico ed uno con indirizzo privato: questo è innegabile.
Il NAT consente all'utente di comportarsi come se avesse un indirizzo
pubblico, pur avendone uno privato.
Ciò con notevoli vantaggi quali ad esempio il fatto che l'indirizzo privato
non viene mai pubblicato all'esterno, garantendo quindi una certa anonimità
riguardo alla reale architettura della rete privata.
Un Host con indirizzo privato che viene 'Nattato' con un router con
l'opportuna opzione per il source routing, NON PUO' IN ASSOLUTO essere
attaccato dall'esterno.
Raggiungere tale livello di sicurezza, per un Host con indirizzo pubblico,
ritengo sia molto più complesso.
E se anche il router non avesse settato l'opportuno parametro per il source
routing, un attacco di tale genere presuppone delle problematiche non
indifferenti quale ad esempio:
1) l'IP privato: puoi tirare ad indovinare fra tutte le combinazioni
xxx.xxx.xxx.xxx (si perche' non è detto che all'interno della mia rete
privata io utilizzi per forza un IP a cio' preposto (del tipo 10.0.0.1)
come, con molta ingenuità, devo dire, viene descritto nell'articolo.
Hai fatto un rapido calcolo delle probabilità ?
Tutti gli indirizzi IP sono circa 4.294.967.296 e per ogni indirizzo vi sono
65.535 porte da controllare.
Quindi se la domanda è 'NAT è protezione' la mia risposta e sì: NAT è
protezione; non è LA protezione ma è comunque un notevole grado di
protezione.
Se voglio LA protezione, basta Nattare la mia rete privata con un router con
l'apposita opzione source routing settata. In questo caso la mia rete è
INATTACCABILE.
Antonino.

 rete è INATTACCABILE.
scusami se taglio parte del post, ma credo che queste due frasi esprimano
il motivo del ns discutere.
 
per conto mio e' sbagliato fin dall'inizio parlare di nat e sicurezza: non
puoi parlare di sicurezza per una feature che non e' stata pensata a tal
scopo.
tu dici che non e' possibile raggiungere ip privati nattati, e lo dici
poiche' tali ip non sono "facilmente" raggiungibili dall'esterno con il
source routing (nel senso che prima devi sapere cosa e' e come usarlo).
detto questo, sul quale potrei essere d'accordo, ti propongo altri tre
scenarii, in cui il nat non ti protegge, come ti proteggerebbe un
firewall. a molte di queste cose, probabilmente, con opportuni
accorgimenti, potresti porre rimedio (non a tutte) ma ti ritrovi a
sovraccaricare una macchina (il router) con compiti che non gli competono,
o che non e' in grado di svolgere.
(tralascio ovviamente tutto quello che riguarda i virus, presupponendo che
tu voglia avere una gestione centralizzata dell'antivirus, che controlla
tutte le mail, i download e via dicendo. fingiamo non ci interessi).
con un router che fa nat ed il source routing abilitato, permettendo
traffico in entrata sulla ethernet dai tuoi ip di lan (non puoi filtrare
traffico sulla seriale perche' hai un ip dinamico, e gia' fare egress
filtering e' rarissimo):
- permetti traffico da indirizzi privati o riservati verso di te 
- permetti traffico da te verso indirizzi privati o riservati 
- non hai la gestione delle connessioni (stateful inspection) 
- non verifichi che ip permessi entrino solo dalle interfaccie permesse 
- non hai una gestione di chi puo' accedere ad internet e chi no 
- non hai una gestione di cosa si puo' raggiungere e cosa no. 
- non prevedi protezione da dos (es syn flood)
- non hai una gestione del traffico in uscita permesso
su questo ultimo punto vorrei soffermarmi. io ti mando una mail, con
allegata una backdoor, scritta da me. tale backdoor, se installata
(classico doppio click congenito ad ogni utente che si rispetti) apre una
connessione verso un server (es porta 666 udp) e fa qualcosa (lascia
aperta la possibilita' di amministrare la macchina, copia sul server
remoto tutti i file in c:/documenti, etc etc). sei spacciato.
una ultima osservazione circa l'impossibilita' di sapere che ip vengono
nascosti dal nat: mando una mail ad 
in...@vittima.it
, in html che punta al
mio contatore shinistat o ad uno script analogo su un mio server. non solo
so il tuo ip (se hai un proxy vale il forwarded-for) ma so anche che os, a
che risoluzione con che browser usi, che mime-type, quali formati accetta
il tuo browser e come sta il tuo java. credo che questo potrebbe essermi
sufficiente per poter perpetrare un attacco alla tua rete.
come dicevo molte delle cose che ho elencato sono rimediabili, tuttavia
presuppongono una totalmente corretta e consapevole configurazione del
router che richiedono consulenti che spesso il tipo di realta' di cui
parli non interpella. nonche' una continua manutenzione della
configurazione del router, che reputo troppo macchinosa.
in ultima analisi ritengo che possedendo il cliente, di sicuro, una
anagrafica clienti/fornitori, deve per legge rispettare i requisiti minimi
di sicurezza della struttura informatica, pena non solo salate multe, ma
un grazioso processo penale. magari tu riesci a rimanere fuori dalla
questione, nel caso del particolare cliente, che non perdera' occasione di
parlare dei tuoi ottimi consigli con tutti gli amici ed i parenti,
rovinando irrimediabilmente la tua credibilita' come consulente e
facendoti perdere non solo i prossimi clienti, ma probabilmente anche
quelli che gia' hai.
un mayhem sicuro che quell'elenco possa essere ampliato senza problemi.


 (tal Cartesio).
Ma non era 'Cogito ergo sum' ? :)

 rovinando irrimediabilmente la tua credibilita' come consulente e
Perchè vai fuori dal topics?
Perchè vuoi far credere che io sia un incompetente?
Perchè parli di antivirus ?
Perchè parli della legge sui requisiti minimi di sicurezza della struttura
informatica ?
Il topics è: NAT è protezione ?
Io ti affermo :
Una rete con IP privati che viene nattata da un router con l'opzione drop
dei pacchetti source routing è 'INATTACCABILE' dall'esterno a livello dei
protocolli TCP, UDP, ICMP ed IP (scusami se è poco).
E quindi, relativamente a tali protocolli, NAT E' protezione.
Riesci, con poche parole, a confutare tale mia affermazione ?

 Ripeto: se il source routing non e' disabilitato, il natting puo'
 . . ma il source routing è disabilitato.

 Riesci, con poche parole, a confutare tale mia affermazione ?
Se io in tua subnet pubblica mettere route per tua classe privata in mio
router usando tuo router come gateway e poi accedere a tuo orifizio.
Fabio (contale tu)

 allora dovresti dire anche instradamento sorgente. :D
A parte le questioni di italianistica, che non faccio per evitare altri 
discorsi... No, non era mia intenzione tradurre un termine tecnico[1], 
era solo per rendere meglio l'idea del significato...
[1] Chi si ricorda i "direttori"[2] della IBM?
[2] Directory!
HappyCactus che il pane al pane...
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM950 <<<
 
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

> Mi spiace, ma non capisco cosa tu voglia dire.
Prova ad attivare licq su un pc non masquerading, con il solo indirizzo IP
privato. Tale pc nattato da un router.
Sono convinto che licq non fornirą l'indirizzo privato del pc, a meno che
non lo inserisca nel corpo del messaggio.

 Fabio (contale tu)
RFC 823.
     The gateway tries to match the destination  network  address
     in  the IP header of the datagram to be forwarded, with a network
     in its Routing Table.  If no match is found,  the  gateway  drops
     the datagram and sends an ICMP Destination Unreachable message to
     the IP source.
Se nel MIO router non vi è una route per la MIA rete privata non
accederai mai a mio orifizio.
Antonino.

 accederai mai a mio orifizio.
Se nel tuo router non ci fosse un percorso di instradamento per 
la tua rete privata tu non vedresti niente del mondo esterno ;)
Fabio

 la tua rete privata tu non vedresti niente del mondo esterno ;)
Fose stai facendo confusione fra Routing e Natting.
RFC 2663.
   The term "transparent routing" is used throughout the document to
   identify the routing functionality that a NAT device provides.  This
   is different from the routing functionality provided by a traditional
   router device in that a traditional router routes packets within a
   single address realm.
   Transparent routing refers to routing a datagram between disparate
   address realms, by modifying address contents in the IP header to be
   valid in the address realm into which the datagram is routed.
   Section 3.2 has a detailed description of transparent routing.
Il Nat funziona grosso modo cosi':
1) un PC della rete privata invia una pacchetto indirizzato ad un IP
pubblico.
2) il pacchetto, poichè è indirizzato ad un IP locale viene inviato al IP
del router/gateway (mio router);
3) il mio router esegue la funzione di NATTING:
    3.1) prende il pacchetto;
    3.2) cambia l'indirizzo IP del mittente (mio IP privato) con il proprio
indirizzo IP;
    3.3) lo invia, da una porta, all'indirizzo di destinazione;
    3.4) memorizza, da qualche, che quella porta è affidata, come natting,
all'indirizzo IP locale del mio PC;
    3.5) non inserisce alcunchè nella ruoting table;
4) il pacchetto giunge a destinazione e l'host che lo ha ricevuto, invia un
pacchetto di risposta. Il pacchetto di risposta avra' come indirizzo
IP:porta di destinazione l'indirizzo pubblico del mio router e la porta
affidata al PC della rete privata (punto 3.4);
5) il mio router riceve il pacchetto alla porta che era stata affidata al
mio PC; quindi prende il pacchetto appena arrivato, cambia l'indirizzo di
destinazione (proprio indirizzo) con l'indirizzo privato del PC nella rete
locale e lo invia nella rete locale.Quindi chiude la porta.
Tutto questo non c'entra niente con la routing table.
Il mio router non avrà inserito alcuna route nella routing table.
Il mio PC è completamente ignaro del fatto che il router abbia fatto tale
cambio di IP.
l'Host destinatario ha creduto di avere parlato direttamente con il router.
Antonino.

Correggo :
2) il pacchetto, poichč non č indirizzato ad un IP locale ....
                        ^^^

 l'Host destinatario ha creduto di avere parlato direttamente con il router.
Al livello di inoltro e sessione e' vero (a parte dettagli che non
inficiano il funzionamento della rete ma che possono lasciare tracce
di un eventuale nat). A livelli superiori ci possono essere numerose
tracce, a seconda dei protocolli/servizi utilizzati.
Per tornare al discorso del routing: sai come funziona un router?
Ti pregherei, prima di postare un'altro  follw-up, di aprire una 
sessione telnet sul tuo router e dare il comando che elenca la 
routing table. Dai un'occhiata all'output dove vedi un range ip
che somiglia al tuo privato. Cosa pensi che succeda quando sulla
interfaccia esterna arriva un pacchetto con il mac address del
router e un ip di destinazione della tua classe privata?
Sul fato che il NAT renda piu' difficoltoso accedere ad una rete
privata non ci sono dubbi. Che sia sufficiente dipende dalla tua
valutazione dei rischi.
Fabio

HappyCactus che il pane al pane...
...e il vino ai briachi.
Keith HIC!
-- 
Faites vos yeux, rien ne voit plus
------

 che somiglia al tuo privato. Cosa pensi che succeda quando sulla
Router Zyxel Prestige 202 DSS1;
Connessione commutata tramite ISDN;
Interfaccia grafica.
Punto nella voce di menu (a sinistra) dove c'è scritto
'Static Route': non mi compare niente: giuro; nessuna entry.
E così deve essere visto che attualmente effettua solo natting e non
routing.
Antonino.

 [1] Chi si ricorda i "direttori"[2] della IBM? [2] Directory!
esce win95. ordini da microsoft: vietato usare la parola directory o
direttorio, usare folder cartella.
poi ci mettono del loro anche in microsoft italia, dove a tradurre
chiamano i traduttori, non i tecnici. e cosi' su una slide del corso di
nt4 enterprise appare la dicitura "Windows NT Server offre i servizi di
cartella". hanno dovuto spiegarmela perche' proprio non avevo capito.
un mayhem ed i directory services


 corpo del messaggio.
invece si perche' masquerading e' un sottoinsieme del nat.
quando fai masq, fai nat. oltre che con licq lo ottieni spesso su irc
nelle dcc, e di norma in tutti quei programmi che stabiliscono una
connessione tra due utenti dello stesso servizio, ed in cui il client
comunicha il proprio indirizzo ip, e bada bene, il proprio, non quello
dietro cui viene nattato.
questo perche' il router cambia il source address, non il contenuto del
payload del pacchetto.
il router non fa staful inspect a layer application per cambiare i dati
trasmessi dal protocollo di icq. 
un mayhem ed i nomi diversi della stessa cosa


 accederai mai a mio orifizio.
se esegui il comando che visualizza le route di un host, tale host
avra' sempre in tabella di routing  tutte le subnet a cui appartengono
gli ip che ha configurato.
es:
root@coniglio:~# ifconfig
eth0      Link encap:Ethernet  HWaddr 00:03:47:BA:35:DF
          inet addr:192.168.1.99  Bcast:192.168.1.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:113230 errors:0 dropped:0 overruns:0 frame:0
          TX packets:87755 errors:0 dropped:0 overruns:67 carrier:0
          collisions:0
          RX bytes:41339496 (39.4 Mb)  TX bytes:12768939 (12.1 Mb)
lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:15303 errors:0 dropped:0 overruns:0 frame:0
          TX packets:15303 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0
          RX bytes:490545 (479.0 Kb)  TX bytes:490545 (479.0 Kb)
root@coniglio:~# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
192.168.1.0     0.0.0.0         255.255.255.0   U     0      0        0 eth0
127.0.0.0       0.0.0.0         255.0.0.0       U     0      0        0 lo
0.0.0.0         192.168.1.254   0.0.0.0         UG    0      0        0 eth0
tale cosa e' facilmente verificabile sotto windows con ipconfig o
winipcfg (a seconda di che windows hai, visualizzano i tuoi ip) e con il
comando route print.
sotto cisco:
sho ip int brie
sho ip route
e potrei continuare per ogni piattaforma conosciuta.
purtroppo fabio ha ragione, e concorda persino con la rfc citata.
ti basta fare una prova pratica e verificare.
un mayhem e le serate al telefono



wrote:

ma dai mi rovini il gran finale uffi ...
 
un mayhem che adora fare le sorprese


 che attualmente effettua solo natting e non routing. Antonino.
no, hai sbagliato voce.
static routes sono le entry che inserisci tu a mano per raggiungere reti
diverse dalla tua. tu hai sicuramente il default gateway (0.0.0.0).
la tua rete locale rientra tra le reti direttamente connesse, non tra
quelle indirizzate staticamente.  
un mayhem che vorrebbe avere un prestige per indicarti il menu' corretto.


 poche parole, a confutare tale mia affermazione ?
 
certo. smtp e' tcp.
scherzi a parte ti ha risposto fabio, ed anche io ho portato esempii
chiari, spero. quel che manca lo chiarisce google e lo studio di doa e'
il routing. non puoi parlare di nat senza conoscere il routing.
credo che siano state portate abbastanza prove prove ed esempii. se
ancora non sei convinto, di testardaggine ed orgoglio si parla.
io chiudo qui questo 3ad che si sta trasformando in un flame.
buono studio.
un mayhem spiaciuto che finisca cosi'


 quelle indirizzate staticamente.
Ok. Faro' delle prove, e se hai ragione ti assicuro che saro' il primo ad
ammetterlo.


Sono dispiaciuto per te. :)

 un mayhem spiaciuto che finisca cosi'
Così come?
Se passi dalla mia citta ti invito pure a cena :)

ammetterlo.
ha ragione.
-- 
Maurizio - Tannoiser - Lemmo
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

 ha ragione.
. . . il secondo ad ammetterlo :)

 definire un attacco) o del tipo Dos.
Da alcune categorie di DoS non ti salva neppure il miglior firewall del 
mondo.


RFC 2663:
   Address translations performed by NAT are session based and would
   include translation of incoming as well as outgoing packets belonging
   to that session. Session direction is identified by the direction of
   the first packet of that session (see sec 2.5).
Ecco la causa del mio errore: pensavo fuzionasse solo, per cosě dire, a
senso unico; nel senso che una sessione potesse essere iniziata solo dalla
rete privata verso la rete pubblica, ed invece cosě non č.
Una lettura completa del RFC mi avrebbe salvato.
Chiedo venia.
Antonino.

 lettura completa del RFC mi avrebbe salvato. Chiedo venia. Antonino.
da uno che legge le rfc una cena la accetto volentieri.
io adoro la carne al sangue ed il vino rosso.
tu cosa offri? ;PPP
 
un mayhem ed i lieti fine


 un mayhem spiaciuto che finisca cosi'
Anche perche' e' un thread interessante anche per chi lo legge soltanto.
Max keeping.
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 138WU/7633hrs on a P166MMX :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 [1] Chi si ricorda i "direttori"[2] della IBM?
Letta recentemente da qualche parte: "Fonte aperta" (= Open source)


 tu cosa offri? ;PPP
Nella mia zona vi è la cultura del pesce, pero' se ci spostiamo qualche
chilometro abbiamo anche ottima carne.
Per il vino nessun problema.
Quando vuoi.
Antonino.

Max keeping.
Ciao!
Concordo che il thread e' molto interesasnte, zitto zitto di giorno in
giorno l'ho seguito con estrema attenzione in quanto sono uscite delle
affermazioni decisamente interessanti.
Sostanzialmente il Natting ci da un livello di sicurezza di "base",
involontario,  in grado di proteggere da eventi molto standard come
banali scan ma non puo' proteggere, ovviamente, da tentativi di
attacco piu' seri basati ad esempio sulla possibilita' di sfruttare il
source routing. Il dispositivo che fa natting, a sua vota deve essere
protetto, aggiungerei ovviamente, da un firewall che con opportune
regole scarti i pacchetti che non aderiscono alle stesse o comunque
che siano stati manipolati o che non siano appartenenti alla sessione
in atto in quel momento.
concordate o ho sparato ca@@te?
Ciaociao!

 un mayhem che adora fare le sorprese
Acc.. non mi ero reso conto del trappolone che stavi ordendo.
Dovro farmi perdonare offrendoti io quella birra :-)
Fabio

Max keeping.
Faqqiamolo :-)
Leonardo
-- 
Says I, "My young lassie, I canna' weel tell ye,
The road and the distance I canna' weel gie,
But if you'll permit me tae gang a wee bittie,
I'll show you the road an' the miles tae Dundee".