Newsgroup: it.comp.sicurezza.varie
Titolo: NAT e sicurezza

Ciao!
Premesso che il NAT è solo una piccola misura di sicurezza (security
through obscurity) vorrei sapere secondo voi in quali casi a un
amministratore non convenga utilizzarlo sul firewall perimetrale per
mascherare l'indirizzamento dei server in dmz?
Detto in altro modo, in quale scenario è consigliabile usare gli
indirizzi pubblici (non nattati) sulla dmz?
Inoltre, in generale, ci sono delle controindicazioni di sicurezza
nell'impostare in un firewall perimetrale come default gateway un
router interno (e non esterno)?
Grazie
The Big O

 mascherare l'indirizzamento dei server in dmz?
Bah, mi viene in mente, quando in dmz c'č piů di un server e hai un 
indirizzo solo (magari lo stesso su cui *esce* la rete interna).

indirizzo solo (magari lo stesso su cui *esce* la rete interna).
In questo caso (1 ip pubblico e piů server) e' "obbligatorio" usare il
nat (anzi PAT). Io chiedevo quando invece NON viene usato e si usano
direttamente gli ip pubblici.
Ciao
The Big O

 indirizzi pubblici (non nattati) sulla dmz?
Dal punto di vista della sicurezza non cambia una nespola, e il NAT *non 
è* una misura di sicurezza.
Neanche through obscurity, visto che la raggiungibilità si ha sull'ip 
pubblico che in ogni caso è sempre lì.
Non è che il fatto di non sapere l'IP "reale" sposti un granchè il 
problema[1].
C'è piuttosto una mera questione di funzionalità.
Avendo un NAT, hai ad esempio il vantaggio di poter avere più macchine 
su un unico IP pubblico (ovviamente per porte/servizi diversi).
Hai lo svantaggio che ti tocca gestire una situazione "interna alla DMZ" 
che è diversa da quella di fuori.
Se hai un server "pippo" che richiede di accedere a un server "pluto" e 
stanno entrambi in DMZ, non si possono chiamare per nome, perchè si 
vedono con IP diversi da quelli con cui i loro nomi risolvono, a meno di
- abilitare il rewrite del DNS (vedasi PIX), che però non è fattibile se 
il DNS sta a sua volta in DMZ
- NATtare sia sorgente che destinatario anche per il traffico interno 
alla DMZ
- gestire le differenze di risoluzione (file hosts, viste DNS, ecc)
Inoltre, alcuni protocolli non gradiscono affatto la presenza di NAT tra 
i due endpoint.
Se non vi è una reale necessità di nattare (impossibilità di cambiare il 
routing sul router perimetrale, impossibilità di avere firewall in 
bridge, necessità di avere più macchine sullo stesso IP, ecc.), avere la 
DMZ con ip pubblici risparmia sulla lunga molti grattacapi.
IMHO
[1] mi viene in mente quel genere di configurazioni che ogni tanto trovo 
in giro, di gente che configura i FW (quando non i router direttamente) 
per lasciar passare tutto, salvo NATtare solamente le comunicazioni 
dirette ad alcune porte. Da rabbrividire.
-- 
cat: .signature: No such file or directory

IMHO
Certo, infatti cercavo proprio una discussione, uno scambio di pareri
come questo :)
Grazie
The Big O

 Con IPV6 il NAT morira' :-)
...se non muore prima IPv6... :-/


 Non credo che siano effettivamente dei grattacapi rilevanti.
Diciamo allora che molto dipende dale dimensioni di quello con cui hai a 
che fare.
Se per reti da qualche decina di server i grattacapi possono essere 
facilmente controllabili, non è detto che gli stessi scalino linearmente 
con le dimensioni dell'installato, visto che più macchine (e servizi) ci 
stanno, più è probabile che il NAT rompa le pelotas a qualcosa.
Saluti.


 protocolli non nattabili, allora si usa il nat".
Virus e altro vanno a scansione casuale, quindi la monnezza tenta di passare
lo stesso, e se c'e' il buco e' solo questione di tempo per trovarlo.
Pero' col NAT introduci delle complessita' in piu' nella rete, necessita di
risorse di calcolo ed e' piu' difficile da clusterizzare a livello di
router, se si pianta una sessione TCP nattata per un blocco del router che
fa il nat occorre riavviarla.
Con IPV6 il NAT morira' :-)
ciao
Michele

 ...se non muore prima IPv6... :-/
In effetti ci stanno studiando sopra troppo e stanno pensando di farlo
troppo bene...
La storia informatica insegna che non sopravvivono i migliori...
ciao
Michele

stanno, più è probabile che il NAT rompa le pelotas a qualcosa.
Mi hai quasi convinto :)
Ciao!
The Big O