Newsgroup: it.comp.sicurezza.varie
Titolo: Vpn con IpCop Bloccata da CHX

Ho installato con successo una Vpn sul firewall Ipcop 1.3
(con tutte le patch per la 1.3) in azienda e sul mio pc con
Windows Xp a casa (seguendo la guida nel sito 
ipcop.org
).
A casa ho Chx ultima versione con i filtri standard caricati.
Per questi filtri devo abilitare la Tcp Stateful inspection come
da guida di Chx, ma facendo cosi' la vpn non funziona.
La Vpn negozia con successo la connessione, ma poi, ogni
tentativo di accedere alle risorse remote viene, bloccato fino
a che non disabilito il flag su Tcp Stateful Inspection in Chx.
In questo modo, pero', non risulto completamente protetto, quindi
mentre sono in Vpn potrei piu' facilmente subire attacchi (mettendo
in pericolo anche la rete remota).
Qualcuno mi sa suggerire come intervenire per risolvere il problema? 

 
http://www.ipcop.org/cgi-bin/twiki/view/IPCop/IPCopVPNW2Kv140
Per installare la Vpn ho proprio seguito quella guida e in effetti la Vpn
funziona bene, pero' devo disabilitare sul mio firewall locale il Tcp 
Stateful
Inspection, altrimenti mi blocca tutto e questo proprio non lo riesco a 
capire.
Se disabilito il flag sul firewall Chx, la Vpn funziona a meraviglia, ma il 
mio
pc non e' piu' totalmente protetto da attacchi esterni.
In passato, con la versione piu' vecchia di Chx, con Tcp SI abilitata tutto
funzionava, ora che ho installato l'ultima versione di Chx non funziona 
piu'.
Se reinstallo la versione piu' vecchia di Chx non funziona piu' nemmeno 
quella...
.....mistero 

 non è che per caso devi dire a CHX di accettare connessioni su quella
Ho provato, niente da fare.
Ho disinstallato Chx e pulito a mano il registro per evitare di portare
residui della passata installazione.
Ho scaricato di nuovo l'ultima versione (ho letto che nella precedente
c'erano problemi con IpSec, pensavo fosse il mio caso, anche se in
realta' avevo gia' provato l'ultima versione).
Ho caricato i filtri base con Tcp Stat.Insp. attiva.
Se abilito la Stateful inspection per il Tcp, la connessione Vpn, viene
negoziata correttamente, ma una volta connesso tutti i tentativi di accedere
alle risorse remote sono bloccati.
La direzione del blocco e' in uscita, la porta 1723 in entrata non centra,
ho anche provato a mettere un filtro dove abilitavo tutto il traffico in
uscita, ma niente da fare.
Nel log di Chx vengono indicati questi due blocchi:
Direzione outgoing verso l'ip 192.168.0.x (nella vpn accedo ai pc come
fossi in rete locale, quindi agli indirizzi 
192.168.0.0/16
) tipo di
errore: invalid flag (i flag variano di volta in volta), oppure Out of connection.
Non sono riuscito in nessun modo a risolvere con la Tcp stateful inspection
attiva, se la disabilito va che e' una meraviglia.
A questo punto ho risolto cosi': ho disabilitato la tcp stateful inspection
e ho attivato due filtri che mi blocchino il traffico in entrata verso la
porta 0 e la porta 1.
In questo modo la vpn funziona, tutte le scansioni con Grc e Pc Flank mi danno
un risultato di protezione totale.
Pero' qualcuno mi sa spiegare il motivo di cio'?
Con la Stateful inspection disattiva corro qualche rischio anche se ho bloccato
a mano quelle due porte?
Ciao

 E Ipcop non ne ha log?
No IpCop non ha nessun log, i pacchetti  dall'altra parte non arrivano
proprio, vengono bloccati sulla mia macchina locale da Chx.