Newsgroup: it.comp.sicurezza.varie
Titolo: Winroute e Ftp

Sto provando a configurare Winroute per condividere una connessione ad
internet e per proteggere i pc della mia lan. Ho impostato delle regole di
packet filtering in modo che alcune macchine possano utilizzare solo servizi
di http, ftp, pop. smtp e news. Tutto sembra funzionare tranne che per
l'ftp. Ho lasciato aperte in uscita le porte tcp 20-21-137-138-139 ed udp
137-138-139 ma non riesco ad effettuare connessioni. Guardando i log ho
trovato che il client cerca di aprire sul server la porte 21 (e qui tutto
ok) e a caso una porta >1023. Come posso risolvere questo problema? Il mio
scopo era proprio quello di chiudele il miaggior numero di porte possibili
(quelle > 1023) per evitare che si utilizzino software non aziendali.
Grazie.

 internet e per proteggere i pc della mia lan. Ho
<cut>
Come hai potuto notare il Protocollo FTP utilizza una  diversa connessione
TCP per la trasmissione dei file. Si tratta di una connessione attiva,
iniziata dal server verso il client. E' chiaro che questo comportamento
'anomalo' (compared con le connessioni tipiche client-server) non funziona
bene con un semplice packet filter-based firewall, che in generale non
permette connessioni dall'esterno su una random port number.
Il problema potrebbe essere facilmente risolto se i 'produttori' di tcp
client e server applicassero gli standard RFC 959 Section 4.1.2 (A
server-FTP MUST implement the PASV command).
Nel tuo caso specifico la risposta e' (in IMAO) che se usi active ftp
attraverso il packet filter-based firewall il sistema non funzionera' mai
(almeno che non vuoi compromettere l'intera sicurezza del tuo network).
La soluzione e' usare passive FTP (PASV FTP) dove la trasmissione dei dati
(files) e' iniziata dall ftp client invece che dal server.
La maggior parte dei Web browser (che fungono anche da FTP client)
utilizzano passive FTP, e se non erro WS_FTP Pro ti permette di selezionare
tra active o passive ftp...
HTH
AMS67
--
He tried to tell me that NT was more secure than Unix. Then I realized: NT
is fairly secure. How easy is it to hack into a box that is down more than
it is up?


Per ftp le spiegazioni tecniche e una possibile soluzione te le ha già fornite
ams67.
Io ti direi:
- chiudi 137, 138 e 139 anche in uscita, atrimenti rischi di spargere
inutilmente in rete pacchetti e informazioni destinati alla tua LAN;
- valuta l'utilizzo di un proxy, invece del NAT, per tutte le connessioni
verso l'esterno. In questo modo, oltre a risolvere il problema di ftp, elimini
del tutto la possibilità di utilizzo di protocolli non ammessi.
Fabio

 permette connessioni dall'esterno su una random port number.
cut...
Ho fatto ancora un po' di prove. In passive mode il client prova ad
effettuare una connessione al server ftp utilizzando una suo porta >1023 e
questo non è possibile perchè voglio chiudere il maggior numero di porte.
Per effettuare la connessione in active mode invece sono obbligato ad
aggiungere una regola sull'interfaccia Internet del tipo "from any, any
port --> to localhost, port 20,21 --> accept" che sinceramente non mi sembra
proprio il massimo della sicurezza. Sono obbligato ad utilizzare un proxy?


Il proxy pero' mi gestisce solamente porta 80 e 21 (a meno che non
implementi un socks proxy) mentre invece avrei la necessità di utilizzare
anche pop3, smtp, news e qualche altra...

 anche pop3, smtp, news e qualche altra...
Per le mail potresti usare il server POP/SMTP integrato o usare nat.
Per ftp/http potresti usare il proxy di winroute, che dovrebbe essere anche
caching.
Per le news e le altre porte esci con nat.
I nat li fai solo per le porte necessarie (25,110,119,143, ecc.) e per i
client abilitati.
Comunque non capisco bene la risposta che hai dato a ams67: non puoi chiudere
le porte >1024 in uscita, altrimenti non funziona più niente, non solo l'ftp
passivo.
Quando imposti le tue regole tieni sempre conto che winroute è stateful
inspection.
Fabio

 inspection.
Non capisco cosa vuoi dire, potresti essere piu' chiaro?
Ivan

 proprio il massimo della sicurezza. Sono obbligato ad utilizzare un proxy?
Non direi. Comunque se hai un proxy a disposizione, perche' non usarlo...
AMS67
--
A complete lack of evidence is the surest sign that the conspiracy is
working.

 Non capisco cosa vuoi dire, potresti essere piu' chiaro?
Con la stateful inspection quando arriva un pacchetto non viene valutato come
singola entitą a se stante ma viene verificata anche la sua appartenenza o
meno ad una connessione gią stabilita. Questo semplifica la scrittura delle
regole e consente un maggior controllo del traffico.
Prova a dare un'occhiata alla documentazione di winroute.
Fabio

 mai
Beh, un po' di stateful inspection e funziona. ;-)
(esiste qualcosa per windows che abbia funzionalita' di 
stateful inspecting [estabilished, related] oltre a Firewall1?)

 appartenenza o meno ad una connessione già stabilita. 
Uhm...ho visto che winroute fa stateful inspection.
Non ha anche funzionalita' tipo il "related" di netfilter, oltre
all'"estabilished"?

 all'"estabilished"?
Come ho detto qualche post fa non conosco bene winroute: l'ho solo visto
installato e ho fatto un giretto di 5 minuti nelle finestre di configurazione.
Mi era sembrato che lo stato venisse verificato solo per le connessioni
'estabilished' ma non vorrei ricordare male.
Mi spiace ma di più non posso dirti.
Ciao
Fabio

 stateful inspecting [estabilished, related] oltre a Firewall1?)
CyberwallPLUS-IP
http://www.network-1.com/
IDS+Statefull Packet Inspection....non male (meglio di quella ciofeca ultra
commercializzato di FW-1 (sempre IMAO))..

 filter...ma forse mi sbaglio...
Infatti mi sbagliavo...sembra che sia statefull...forse vale la pena
testarlo...

 Nani,ballerine e poc'altro.
Sono stato anch'io alla presentazione di NG FP1 a Londra. Che strano, ho
avuto un simile feeling, una imponente manovra commerciale con tante di
bionde e brunette vestite da business managers con sorrisi che iniziavano da
un orecchio e finivano all'altro. Tutto fumo (o meglio dire profumo) niente
arrosto. Il problema e' tutto quel (pro)fumo non e' gratis, visto che anche
i prezzi dei loro prodotti sono altrettanto imponenti.
All'inizio di quest'anno trovammo una notevole vulnerabilita' in Fw-1. Un
attacco attraverso le cosiddette hidden ports del firewall. Quello che posso
dire e' che dopo aver contattato il supporto tecnico siamo stati prima
ignorati, poi derisi, poi minacciati...poi quando la vulnerabilita' e stata
resa nota su bugtrap...hanno finalmente preso la cosa seriamente,
provvedendo nel giro di 2 giorni al relativo patch.
Checkpoint...no thanks!
AMS67
--
For a sysadmin, surprise is bad. Excitement is _VERY_ bad, unless it comes
from unpacking new toys. Boring is good.

 siamo stati prima ignorati, poi derisi, poi minacciati...
Addirittura minacciati...ma tu guarda che [censorship].
Poi dicono che la full disclosure e' dannosa.


Alla fine della fiera cosa mi conviene fare per evitare che vengano
utilizzati software non aziendali (tipo i clients per la ricerca di mp3)
dato che come mi hai detto chiudere tutte le porte >1023 potrebbe essere
pericoloso?
Qualche suggerimento?
Ivan

 pericoloso?
Mi sembrava di aver già detto qualcosa in qualche post precedente.
Non è pericoloso. Semplicemente se blocchi il traffico in uscita originato da
porte >1023 non ti puoi collegare a niente.
Con gli strumenti che hai a disposizione, per impedire l'utilizzo di porte non
abilitate io userei un proxy per http, https e ftp e nat solo per le porte
smtp, pop3, nntp e imap solo per i client abilitati (se non vuoi usare il
server di posta di winroute come gateway). Poi respingi sull'interfaccia
interna il traffico proveniente dai client e diretto verso l'esterno diretto a
porte non abilitate. Se non ci fosse il proxy farei nat anche per http[s] e
ftp (usando ftp passivo).
Se winroute non consente un controllo coì granulare puoi abilitare il nat per
tutti i client e protocolli, abilitare il passaggio di traffico diretto verso
le porte permesse dalle vostre policy e repingere con una regola finale
sull'interfaccia interna tutto il resto del traffico diretto verso l'esterno.
In pratica un approccio del tipo 'non passa niente tranne quello che è
abilitato', in contrapposizione al 'passa tutto tranne quello che è bloccato'.
Fabio

 pericoloso?
ti hanno detto male. chiudi tutti i syn diretti a quelle porte e vedrai ;P
inoltre quei programmi usano porte ben precise come "server" e le puoi
chiudere.
una buona configurazione dei diversi clienti dovrebbe inoltre impedire
l'installazione di nuovo sw a qualunque pincopalla.
un mauyhem yawn
--
"il dubbio non e' un crimine, semplicemente una ragionevole alternativa alla
tirannia"

 l'installazione di nuovo sw a qualunque pincopalla.
Ci sono client che non devono essere installati e altri che funzionano
utilizzando l'ambiente java eventualmente presente. Soprattutto in ambiente
win9x potrebbe essere complicato e dispendioso intevenire su ogni possibile
aspetto. Penso che sia meglio intevenire regolando il traffico.
... anche se questo non toglie niente all'utilità di fare un po' di
enforcement delle policy sull'utilizo del software :)
Fabio

 wrote in message
news:pan.2001.12.18.2...@despammed.com...

Penso che anche Checkpoint e' affetta dalla sindrome di Bill Gate.
Il controllo monopolizzato del mercato dei firewalls permette loro di
trattare i loro clienti come pecore; se ne perdi una chi se ne frega, tanto
altre pecore si uniranno al gregge spinte piu' dal trend del mercato che
dalla qualita' (dubbia) del prodotto.
AMS67
--
A computer without Microsoft is like ice cream without ketchup.

 enforcement delle policy sull'utilizo del software :)
e' anche un dovere legale, non dimentichiamolo.
un mayhem che vuole un mouse nuovo


 ha scritto nel messaggio
news:3c206...@mk-nntp-1.news.uk.worldonline.com...

io ho sempre guardato con sospetto il firewall dalla graziosa interfaccina
...
i miei sospetti sono stati confermati nel tempo. risi molto leggendo su
securityfocus la recensino di fw-1.
"fw-1 prodotto dalla israeliana checkpoint e' leader di mercato fin dal
1984, data del suo rilascio, grazie all'accattivante interfaccia grafica che
...". ho smesso di leggere. a me piace informarmi sui firewall, non sui
lettori mp3.
il problema e' poi che fw-1 su solaris sarebbe anche accettabile, ma su nt,
dai diciamocelo, nt fa bene tante cose, ma a tcp/ip non siamo messi bene,
neppure come router. si si fw-1 riscrive lo stack. quanto e come? e poi devo
per forza usare tutta la mia ram e cpu per tenere su un bell'ambiente
grafico? con linux, pix ed openbsd posso fare le stesse cose, i loro
problemi li hanno pure loro, lo ammetto, ma mi danno molta piu' sicurezza,
affidabilita', senso di benessere ;PPP tutto questo a parita' di competenze
dell'admin ovviamente. un fw-1 onfigurato da me sicuramente avrebbe dei
problemi e sarebbe configurato male. non trovo nesso tra i colori ed i
protocolli, e le iconcine colorate mi danno la nausea. preferisco il mio vi,
il mio bel file nella etc e log da parsare.
ognuno poi faccia come creda, ma quando poi ti trovi una porno chat sul db
server aziendale, decidi tu se come passare il tempo[1]
[1] a reinstallare il server o partecipando attivamente alle discussioni
;PPP
un mayhem che un firewall e' una cosa difficile, e cosi' deve essere.


 ...". ho smesso di leggere. a me piace informarmi sui firewall, non sui
Sottoscrivo e salvo pure il post.. ahh, non sai quanto sottoscrivo.
Pensa, nemmeno su Linux io uso i programmini facili tipo Bastille o
Firestarter per configurare un firewall perche' ritengo che le migliori
icone colorate siano quelle di Vim in modalita' testo, figuriamoci poi
FW-1 su NT che mi fa solo ridere (potrei anche raccontare di un posto in
cui sono stato a lavorare in cui usavano FW-1 su NT in versione trial a
scadenza di 30 giorni, cioe' quanto di piu' [ ] comico [ ] patetico [ ]
pericoloso [ ] orientato ai rapporti anali (checkare la casellina
preferita) io abbia mai visto in vita mia).
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 e' anche un dovere legale, non dimentichiamolo.
Questo non nè sempre vero: solo in ben precise situazioni delineate dal
675+DPR318/99 e se entra in vigore (ma sempre in ben precise situazioni) ci
potrebbe essere qualcosa nelle nuove normative sui reati finanziari
internazionali.
E anche nei casi previsti le modalità sono molto nebulose e passibili delle
più svariante inetrpretazioni (in attesa di un po' di giurisprudenza che
chiarisca le idee).
O hai altre informazioni in proposito?
Fabio

"mayhem" <may...@MEspippolatori.com> wrote in message
news:9vptqn$kra$1...@fe1.cs.interbusiness.it...

Condivido quello che dici. Per quanto mi riguarda, ogni systema su di cui e'
installato un software per la sicurezza della rete (Firewalls, IDSs, Log
servers...) deve (per definizione) come minimo non avere l'interfaccia
grafica installata. In Linux ho l'opzione di non installarla, in piu',
potendo hackerare anche il kernel, posso rendere la piattaforma di
installazione (relativamente) sicura.
Windows non offre nessuna di queste opzioni (o l'accetti bacato e
pesantissimo come e' oppure sei fuori dall'immenso gregge).
E' chiaro che la maggioranza dei sys-admin trova piu' semplice manipolare un
systema centralizzato e graficamente appetibile che ti permette di
visualizzare quello che in realta' dovrebbe sapere. Senza una profonda
conoscenza dei fondamenti della network security (e.g. protocolli, OSs,
etc...)e' facile incappare in errori che nella maggior parte dei casi ha
come conseguenza un sistema compromesso, compromesso da qualcuno che mangia
TCP/IP a colazione...
Purtroppo non si possono incolpare i produttori di software che dopotutto
non fanno altro che seguire e realizzare quello che la gente vuole.
Dopotutto e' cosi' che mi sono comprato l'automobile nuova?  :-)
AMS67
--
Finding out what goes on in the C.I.A. is like performing acupuncture on a
rock. -- New York Times, Jan. 20, 1981

 rock. -- New York Times, Jan. 20, 1981
Stai forse facendo un parallelo tra Aldrich Ames e i fantomatici dipendenti di
AL Qaeda in m$ :)
Fabio

 O hai altre informazioni in proposito?
chiedilo in una azienda dove tutti potevano installare tutto ed un giorno e'
passato un omino vestito di grigio a vedere cosa c'era installato. indovina
poi di chi era la pelle usata per stampare le banconote false per pagare la
multa.
un mayhem che ha una cassettiera piena di liberatorie.


 acl sei comunque al punto di prima: non è l'usare vi piuttosto che una icona
Il punto e' che la disponibilita' di fireuòll con rating che vanno dal
semi decente (FW-1 ed altri commerciali) a penoso (ZA, BlackIce e tutti
quelli "domestici") su piattaforma NT invogliano poco a studiare,
parliamoci chiaro: quelli che amministrano reti m$ e conoscono bene i
protocolli e si interessano seriamente di sicurezza sono veramente
pochi. Studiare per molti di loro e' solo un noioso optional mentre
cliccare e' piu' facile.


 un mayhem che ha una cassettiera piena di liberatorie.
Ettecredo :-))


 multa.
Ho un sospetto :)
Non avevo capito esattamente l'ambito di applicazione (pensavo alla
sicurezza). Però, come hai ricordato, puoi limitare i danni con un po' di
carta firmata (anche se penso che probabilmente ti rimanga il dovere di
vigilare).
Fabio

anali (checkare la casellina preferita) io abbia mai visto
Si possono checkare tutte, o falsa la statistica?
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center

 cliccare e' piu' facile.
Sono in gran parte d'accordo con te ma mi rendo anche conto che un oggettino
relativamente semplice da usare permette anche ad un utente casalingo o non in
grado di affrontare il problema da un punto di vista tecnico, di implementare
un minimo di protezione che altrimenti non avrebbe.
Questo e' un aspetto che farei ricadere in un'ottica più ampia. Insomma: quasi
nessuno si metterebbe a cambiarsi da solo i freni della macchina o a cercare
di farsi l'impianto idraulico di casa, mentre quando si parla di computer
impera il fai da te. Temo che si sia una fase di transizione. Arriverà il
momento in cui la preparazione dell'utente medio sarà sufficiente a
permettergli di arrivare un po' oltre e soprattutto di sapere fino dove puo'
arrivare da solo e con quali strumenti.
Se invece si parla di admin o comunque di tecnici... per quello che mi
riguarda puoi cominciare ad affilare l'ascia.
Fabio

 Si possono checkare tutte, o falsa la statistica?
No direi che l'AND logico e' contemplato.


 riguarda puoi cominciare ad affilare l'ascia.
Infatti non sono pochi quelli che persnalmente ho affettato perche' ce
ne sono anche in questa categoria (e basta guardare sia nella gerarchia
it.comp.sicurezza.* come su it.comp.os.dibattiti: specie nel secondo ci
sono persone molto preparate su piattaforma m$ e che godono della mia
stima piu' completa - uno e' il Bertani) ma ci sono anche quelli che
hanno visto solo roba m$ in vita propria e non hanno la benche' minima
idea dei concetti alla base dei sistemi operativi, dei protocolli e di
tutto il resto.


 AL Qaeda in m$ :)
no...non sapevo di questa interessante parallelo...che comunque non mi
meraviglierebbe se risultasse vero...
AMS67
--
One IT department slogan : "Giving every user what they need." "how do we
get them to turn around so we can kick them in the ass?"

 anche pop3, smtp, news e qualche altra...
Beh, non tutti i proxy sono uguali...
Io uso 602Pro Lan Suite, 
www.602software.com
, che fa da proxy per
www-ftp-pop3-smtp-socks-realaudio-fax e ti permette di mappare tutte le
altre porte, in modo da utilizzare tutti i servizi che vuoi (io infatti ci
passo attraverso per le news)
Dagli un occhiata...
--
      Giovanni Barbieri  (
gi...@globoweb.it
)
Globoweb Internet Solutions   
www.globoweb.it


E' esattamente quello che ho fatto. Ho abilitato il nat solo per le porte
20-21-25-80-443 e con una regola finale ho respinto tutto il resto. Tutto
funziona, tranne l'ftp che non vuole andare neanche in passive mode...


Devo dire che il discorso si sta facendo molto interessante (per questo vi
ringrazio!). Mettiamo di implementare un proxy per http, https ed ftp con il
nat solo per le porte utilizzate. Mi pare decisamente un'ottima soluzione.
Però mi sembra che molti clients di applicazioni varie possano utilizzare la
porta del proxy http per effettuare le connessioni al server al quale sono
legate. Un esempio è il messenger di Ms. Tra le opzioni di connessione si
puo' settare proxy sock 4, socks 5 e proxy http. Quindi saremmo al punto di
partenza?

 partenza?
Non conosco messenger: se può uscire usando i servizi di un proxy http e vuoi
impedire questa cosa devi inserire regole di filtraggio aggiuntive (o a
livello di packet filter o a livello di acl del proxy) per non permettere la
connessione ai server di messenger.
La maggior parte di questi software di instant messaging o di file sharing,
comunque, usa protocolli proprietari che non possono sfruttare un proxy server
applicativo pensato per http/https o ftp.
E' diverso se parliamo di proxy socks (4 0 5), che lavorano a livello di
trasporto.
Fabio

connessione ai server di messenger.
E già, Messenger può uscire via proxy, quindi lo si deve filtrare a
livello di URL o pacchetto...
Basta filtrare le connessioni all'URL del  server che gestisce il
sistema, e Messenger resta muto, o meglio, essendo incapace di
connettersi non riesce a partire proprio....
-- 
                  Giovy  (
gi...@globoweb.it
)    ICQ #  54911070
         WebMaster di Extreme - The Site  
www.extremenews.it
Globoweb Internet Solutions - Team Member   
www.globoweb.it