Newsgroup: it.comp.os.linux.iniziare
Titolo: Firewall?

Salve, dovendo proteggere da accessi esterni i miei computer domestici
(quelli selvatici non mi piacciono), e avendo ragione di credere che
ci sia almeno un hacker (all'estero) intenzionato a violarli (non sto
qui a spiegare i perché e i percome di questa convinzione), cercavo un
firewall che fosse abbastanza semplice da usare ed al contempo
sufficientemente efficace, tipo ZoneAlarm.
Vorrei bloccare tutte le porte salvo quelle delle applicazioni che uso
(email, browser, p2p ecc.) e che ad ogni nuovo tentativo di accesso in
entrata o in uscita mi venga richiesto se lo autorizzo o meno.
Se ho capito bene, esistono dei sistemi che filtrano gli indirizzi IP,
ma, se è così, non vanno bene dato che attraverso gli anonymizer sono
facilmente aggirabili (ci riesco perfino io che non sono un accher...)
Qualcuno ha qualche suggerimento da darmi?
Ripeto, semplice, magari draconiano, ma che quando blocca... BLOCCA :)
Grazie a tutti :)
C.
PS: chi volesse, può scrivermi in pvt

 sufficientemente efficace, tipo ZoneAlarm.
Ma hai dei pc con IP pubblico?Altrimenti è piuttosto difficile (ma non 
impossibile) che l'attaccante possa violare un pc dietro un NAT.
Se poi hai ip pubblici, guardati come funziona shorewall, è semplice, ma 
molto diverso da ZoneAlarm.

 Ripeto, semplice, magari draconiano, ma che quando blocca... BLOCCA :)
Mah, bloccare bloccano tutti, dipende da come vengono configurati.
Personalmente, se hai dell'hardware anche vecchio a disposizione ti
raccomando di crearti un firewall dedicato con una delle tante
distribuzioni dedicate; personalmente amo pfsense (anche se non è
linux, ma bsd), ma come quella ce ne sono tante: ipcop, zeroshell, ...
Cerca di avere le idee più chiare possibili su cosa vuoi lasciare
aperto al mondo (ammesso e non concesso che tu abbia veramente
necessità di esporre _qualcosa_).
HTH,
Manuel

 Ripeto, semplice, magari draconiano, ma che quando blocca... BLOCCA :)
Non sono un esperto di firewall, a parte un minimo uso di iptables. Ma 
dubito che ci sia in firewall per linux adatto ad un newbie. Già se sai 
qualcosa lasci sempre qualche buco in giro, se poi non sai nulla ti tocca 
imparare per forza. Tutto IMHO naturalmente.
Nicola.
-- 
chi va pian va san e va lontan

 molto diverso da ZoneAlarm.
Grazie, lo guardo subito :)

 necessità di esporre _qualcosa_).
Grazie dei suggerimenti.
Alcuni programmi agiscono come server (es P2P) e altri devono comunque
accettare traffico in ingresso (ricezione di email, streaming video
ecc.), vorrei che le uniche porte aperte fossero quelle necessarie ai
programmi che utilizzo, ma che sia il FW ad attivarsi e chiedermi di
volta in volta come voglio regolarmi
C.

 imparare per forza. Tutto IMHO naturalmente.
Imparare va bene, dedicarci tutto il tempo a disposizione non va bene.
Oltretutto ho notato che non sempre imparare è utile. Avevo imparato
tutto su come fare certe cose con Ubuntu fino alla 8, poi con la 9
hanno cambiato tutto e sono dovuto ripartire da capo, e quello che
avevo imparato prima era diventato inutile (filosofeggio).
Quindi vorrei mantenermi al "minimo sindacale" :)
C.

 significhi qundi non ci metterei la mano sul tagliere...)
Se non hai le basi di networking, lascia perdere la configurazione del 
firewall


Facebook: Massimo Bacilieri

 dovresti domandarti: "ho bisogno di un firewall?".
Andiamo ancora più a monte, allora, e rigiro a te la seguente
questione, se sarai così gentile da rispondermi :)
Ho un PC Linux che uso per molte attività, fra cui email (Thunderbird
con diversi plugin), Skype (nativo, non wine), browsing (Chrome), P2P,
macchine virtuali (mi serve *proprio* MS Office, ahimè, oltre ad usare
il successore di mulve che non gira in wine e un programma di bulk
downloading di immagini...), on-line banking, editing di documenti
(OpenOffice), streaming (Rythmbox, youtube), mediaplayer (xbmc),
editing di immagini (gimp, xsane, gthumb) e forse ancora qualcosina
che al momento mi sfugge.
La domanda è: posso assicurarmi che, nei limiti del ragionevole (cioè
p.es
. senza allestire un PC firewall dedicato e sistemi allodola), non
sia violato dall'esterno? E se sì, come?
Abbi pazienza, non tutti sono sysadmin/Valentino Rossi ma ciò
nonostante possono essere utenti/motociclisti e ogni tanto dover
mettere le mani sul mezzo senza pretese di fare un fine-tuning... :)
C.

 ha bloccato
Posto che "buono" e "Zone Alarm" nella stessa frase suona di controsenso, il 
problema e` che i personal firewall di windows sono piu` di semplici 
firewall
Enrico

 E se sì, come?
Tenendo aggiornate le applicazioni, evitando di cliccare su qualsiasi link 
ti capiti sotto mano, controllando quali servizi siano in esecuzione che 
abbiano una porta TCP/UDP aperta verso l'esterno e capendo il perche` lo 
siano (e.g. usi KDE? Allora e` possibile che vi sia la porta 3306/TCP - 
MySQL - in ascolto verso tutti i pc che possano raggiungere la tua macchina)
Enrico

 mettere le mani sul mezzo senza pretese di fare un fine-tuning... :)
Ma metti in NAT il router e vivi sereno, dammi retta! Facendo così ho da 
anni pure dei Windows dietro il router che non hanno problemi, con 
giusto un antivirus minimale (perché Windows è sempre Windows).


 avevo imparato prima era diventato inutile (filosofeggio).
sempre filosofeggiando, questo è successo perché avevi "imparato" la 
pratica, invece della teoria. I concetti rimangono, i comandi non sempre
-- 
:cf

 giusto un antivirus minimale (perché Windows è sempre Windows).
Massimo, grazie dei consigli, mi varò un giro su netstat che è un
comando che non conosco ma dal nome mi ispira :)
Vedendo (da un sito) come il mio PC si presenta all'esterno, ho
provato a fare un traceroute fino all'IP indicato dal sito, ma in
effetti non va oltre il modem.
Il modem assegna a sé stesso e al router un indirizzo 10.*.*.*, mentre
la rete di casa è su rete 192.168.0.* (e il router viene visto come
192.168.0.x), per cui  desumo che sia già in nat, o sbaglio?
Grazie
C.

 192.168.0.x), per cui  desumo che sia già in nat, o sbaglio?
Se è così è già in NAT (1), quindi sei già a posto ed è inutile che ti 
ponga problemi. Il tuo PC non è esposto sulla tratta pubblica, quindi 
eventuali aggressori dall'esterno vedono solo il router, che non avendo 
servizi non ha porte aperte (a meno che tu non abbia configurato 
specificamente qualche "virtual host", ovvero "pubblicato" all'esterno 
qualche porta locale su cui c'è qualche servizio che vuoi offrire 
all'esterno).
Le porte sul router vengono aperte dinamicamente mano a mano che i 
client interni fanno richiesta di uscire all'esterno, e viene gestito il 
ritorno dei pacchetti solo dall'indirizzo remoto verso cui si è fatta la 
connessione.
Sono ovviamente sempre possibili attacchi di spoofing o "man in the 
middle", ma questi ti scavalcherebbero anche un normale firewall se non 
configurato ad hoc, per cui non è che ci perdi qualcosa in termini di 
sicurezza.
In tutta onestà, quando hai un router configurato in routing (e non in 
bridging) sei già a posto per il 100% delle esigenze domestiche.
Ovviamente, il discorso cambia a livello aziendale specie se di mezzo ci 
sono dati da tutelare, ma non mi pare il caso.
(1) in realtà non è propriamente in NAT, che è una cosa leggermente 
diversa, in questo caso stai facendo banalmente routing.


 giusto un antivirus minimale (perché Windows è sempre Windows).
Massimo, grazie dei consigli, mi varò un giro su netstat che è un
comando che non conosco ma dal nome mi ispira :)
Vedendo (da un sito) come il mio PC si presenta all'esterno, ho
provato a fare un traceroute fino all'IP indicato dal sito, ma in
effetti non va oltre il modem.
Il modem assegna a sé stesso e al router un indirizzo 10.*.*.*, mentre
la rete di casa è su rete 192.168.0.* (e il router viene visto come
192.168.0.x), per cui  desumo che sia già in nat, o sbaglio?
Grazie
C.

Ronin wrote:

Premesso che non ho capito se ha un modem o un router (ma hai l'adsl o roba 
della tim, tre, vodafone?), l'indirizzo 10.*.*.* non è pubblico né tantomeno 
il 192.168.0.*. Devi avere per forza un altro IP, magari assegnato 
dinamicamente.


 assegnato dinamicamente.
È il point-to-point dell'ADSL. Per Alice è 192.168.100.1, per esempio.
Se fai un traceroute lo vedi. Un mio traceroute:
 1  192.168.1.1  10.462 ms  10.482 ms  10.550 ms
 2  192.168.100.1  18.695 ms  21.624 ms  23.857 ms
 3  88.44.230.149  24.450 ms  26.938 ms  29.129 ms
 4  80.17.209.142  31.380 ms  34.160 ms  34.540 ms
[...]


  4  80.17.209.142  31.380 ms  34.160 ms  34.540 ms
Ah, d'accordo, ma ci avrà pure un IP pubblico, per lo meno dinamico. Io ho 
un IP fisso e non conosco bene come funziona Alice ma credo che l'IP 
pubblico lo devi avere sul router adsl non a casa della Telecom, o no?
Oppure la Telecom ha tutti gli IP dinamici sui propri server e fa il 
mascheramento di tutto quello che passa fino al router Alice?
Non so se ho detto una cosa sensata :)


 pubblico lo devi avere sul router adsl non a casa della Telecom, o no?
Non ho mai indagato la cosa, onestamente, ma una spiegazione che mi do è 
che alla fine il point-to-point è un router a sua volta in bridge: 
quindi ha una "faccia interna" che è quella che vedi tu "da dentro" 
(192.168.100.1 nel mio caso) e una "faccia esterna" che è l'IP pubblico 
che ti viene assegnato.
Quando fai un traceroute verso l'esterno vedi l'IP interno; se invece 
fanno il traceroute da fuori verso di te, vedono il tuo IP pubblico.
Non so se sia vero, ma mi pare verosimile.


 che ti viene assegnato.
Il mio discorso era che questo IP pubblico lo dovresti avere nel tuo router 
adsl, quello che hai in casa tua. Questo poi è in bridge o in nat rispetto 
alla rete "da dentro" 192.168.100.1, ma la configurazione si trova nel tuo 
router adsl. Tuttavia credo che se come dici tu il router in casa della 
Telecom fa da bridge e su questo c'e' l'IP pubblico alla fine non ci 
dovrebbero essere differenze rispetto al fatto (come nel mio caso) che l'IP 
pubblico si trovi nel router adsl locale.
Comunque ho l'impressione che ronin non abbia chiarito bene come è messa la 
sua rete facendo confusione tra modem è router (quale dei due?).


Ciao ronin... Allora...
da ciò che hai scritto chiaramente sei in NAT.
Per poter parlare di sicurezza va visto tutto il contesto e non la
soluzione di un firewall come ZA.
Nelle macchine installati firestarter.... E' molto semplice e puoi
dirgli di chiudere tutte le porte ed aprire solo quelle che usi di
solito (beowser, emule.. ecc ).
Se però stai dientro un modem/router.... Già li c'è un firewall,
almenochè tu non abbia aperto e dato accessi senza un minimo di
ritegno.
Salvatore