Newsgroup: it.comp.os.linux.iniziare
Titolo: un firewall

bene bene... doveva arrivare il momento in cui avrei cominciato a rompere
anche sul firewall con iptables. Allora, ho letto un bel po' di
documentazione sul funzionamento di iptable, tuttaviami chiedevo: avreste
un bel script semplice semplice da studiare e d evnetualmente modificare
considerando che al momento devo proteggere solo un computer collegato in
dsl con fastweb e non una piccola LAN? E poi,ci sono delle cose
particolari di cui tener conto considerando che fastweb e' gia' una lan?
Intanto continuo a studiare :)  
-- 
Anjin
dalla Citta' Eterna
"un marinaio non prega per il tempo buono...
impara a navigare!"

 particolari di cui tener conto considerando che fastweb e' gia' una lan?
Ho scritto un piccolo articolo per la situazione che descrivi:
 
http://www.siforge.org/articles/2003/05/07-firewall-linux.html
Guarda anche quello sul sito di skull (
www.skullcrusher.net
 IIRC), 
anche se dovrebbe essere un pelo piu' complicato di quello che chiedi.
CIao

 particolari di cui tener conto considerando che fastweb e' gia' una lan?
Potresti usare NARC... è semplice da configurare e abbastanza completo. Lo
uso da parecchio con soddisfazione. Lo trovi su
http://www.knowplace.org/netfilter/narc.html
 o sul sito in firma.
Ciao. Giuseppe.
-- 
Registered user at 
http://counter.li.org
 # 253177
Homepage: 
http://utenti.lycos.it/altarius/
E-mail: togliere NOSPAM per rispondere in privato

 anche se dovrebbe essere un pelo piu' complicato di quello che chiedi.
Grazie, oggi gli do un'occhiata e vedo se riesco a capirci qualche cosa :)


 	
http://www.siforge.org/articles/2003/05/07-firewall-linux.html
Ottimo, cosi' ho una base da studiare :) Una domanda, ma lerighe che ti
riporto sotto sono quelle in cui si specifica attraverso cosa il mio
sistema dialoga con l'esterno, giusto? Non usando il modem normale ma
essendo interfacciato al modem adsl tramite ethernet devo cambiare ppp0
con eth0 o qualcosa di simile? 
03 ### definizione dell'interfaccia pubblica, cambiare se necessario
04 EXT-IF="ppp0"
Altra cosa... (gia' che ci sono approfitto ;) non ho ben capitocomehai
definito le sorgenti esterne che reindirizzi alla catena chian-spoof.
Ammetto che la mia conoscenzadel pacchetto tpc-ip e' limitatissima ma le
sorgenti, dove le hai prese? Presumo che siano sorgenti particolari, tipo
l'equivalentedi quella di loopbackper capirci. (mi sa che gia' fatico a
capirmi da solo... speriamo che hai una grossa dose di intuizione...)
grazie :)


 definito le sorgenti esterne che reindirizzi alla catena chian-spoof.
Mah, ormai le so quasi a memoria ;-P
Comunque non e' un elenco esaustivo e mancherebbero (
1.0.0.0/8
 
2.0.0.0/8
 
che sono riservate, 169.254. che sono quelle che vengono assegnate da 
windows quando c'e' una scheda di rete senza configurazione e non si trova 
un server dhcp).
Quelle che cito nell'articolo (le solite 
192.168.0.0/16
 , 
172.16.0.0/12
 e 
10.0.0.0/8
) sono indirizzi da usare in LAN, quindi se mi arrivano da 
internet c'e' qualcosa che non va; sono conosciuti come indirizzi 
privati. Altra cosa, in internet quegli indirizzi non sono instradabili
(in teoria, purtroppo non tutte le macchine fanno controlli sull'indirizzo
sorgente) quindi anche se ricevesse il pacchetto la mia risposta non 
andrebbe da nessuna parte.
Ciao
PS Ti e' stato utile l'articolo?

 PS Ti e' stato utile l'articolo?
Certo che si! inoltre l'avevo gia' incontrato durante le ricerche con
google.. solo che dubbi (che tu ora stai aiutando a chiarire) me ne ha
lasciati, magari dalle mie domande potresti aggiungere delle note o delle
precisazioni... 
Grazie :)


 Grazie :)
Figurati ;)

 cercato con google nei gruppi :-P
continuo a dire che nei gruppi ci cerco solo che essendo niubbo non e'
facile capire o discernere tutte le info, come i numeri ip che citavi,
come dici tu, ormaili sai a memoria! Infatti tra lecose che mi piacciono
di linux c'e' che la comunita' e' generalmente aperta ad aiutarsi :)


 di linux c'e' che la comunita' e' generalmente aperta ad aiutarsi :)
Anche a me piace moltissimo questa cosa, i NG penso che siano uno dei posti 
in cui, se una persona ne ha la volonta', puo' imparare -veramente- tante 
cose :-)
Ciao

 cose :-)
Infatti li leggo avidamente :) purtroppo ho una memoria da schifoe finoa
cheuna cosa non la faccio mille voltenon la ricordo..:(


 e' il famoso ppp0 quindi che faccio?
Filtra su eth0 a questo punto. La differenza di fastweb che non avevo 
considerato e' che tra il tuo pc e il modem c'e' l' HAG, giusto?
In ogni caso se percaso usi altri pc oltre al tuo in casa ti 
converrebbe forse destinare un vecchio pc al firewall in modo da avere
uno schema di rete tipo questo:
		+------------+
		| modem adsl |
		+------------+
		       |
		       |
		+------------+
		|     HAG    |
		+------------+
		       |
		       |eth1
		+------------+
		| pc firewall|
		+------------+
		       |eth0 [192.168.0.1]
		       |
		+------------+
		|   switch   |
		+------------+
		  |  |  |  |
		  |  |  |  |
		 rete  locale [
192.168.0.0/24
]
In questo modo proteggi anche i computer in lan e hai bisogno solo di 
un vecchio pc (un pentium 1 va benissimo) con 2 schede di rete e uno 
switch.
Ciao
-- 
Sono un servitore del Fuoco Segreto, e reggo la fiamma di Anor.
A nulla ti servira' il fuoco oscuro, fiamma di Udun.
Torna nell'Ombra! Non puoi passare.

 switch.
no no, per il momento e' impossibile..:( Non c'e' modo di proteggere solo
il mio pc dietro un firewall filtrando la eth0? partendo dal tuo script
magari? Gia' il fatto che mi sonoposto dei dubbi sul tuo script pero' e'
un buon segno no? vuol dire che a forza di leggere qualcosa ci sto capendo
:)


 magari?
Cercto, anzi e' proprio quello che fa il mio script ;-)
Protegge la sola macchina sulla quale hai installato il firewall.
Filtra su eth0 e sei gia' a posto.
Quella che ti avevo disegnato era un'evntuale evoluzione futura.


 Quella che ti avevo disegnato era un'evntuale evoluzione futura.
piacerebbe anche a me tirar fuori una soluzione del genere, ma per ora
nulla... prima di quella spesa mi sa checi scappa un portatilino, magari
un machintosh visto che linux sui portatili ancora non e' granche'
(nemmeno le macchine a prezzi accessibili del resto...)


 (nemmeno le macchine a prezzi accessibili del resto...)
Intendi il pentium 1 che ti ho consigliato? Mah, secondo me quello lo 
trovi da uno sfasciacarrozze a 50/100 euro.


 trovi da uno sfasciacarrozze a 50/100 euro.
no intendevo le macchine portatili: per averne uno piccino e potente, con
una buona autonomia e tutto che funziona bisogna andare su macchine
costosette (secondo me alla fine costano come o piu' dei mac)


 si suppone un portatile abbia?
Di preciso non lo so, so che sugli apple la ventola parte mooolto
raramente, anche grazie al clock piu' basso, che il processore gira sempre
alla stessa velocita' (ed e' quella dei desktop piu' o meno, cioe' un g4
9000 gira come un g4 900 desktop e non diminuisce o dimezza nulla). I
portatili apple hanno una funzione (che penso abbiano in maniera minore
anche i portatili pc: lo sleep. In pratica invece di spegnere il computer
lo congelano, il computer puo' essere trasportato,consuma poco, credo che
blocchi tutte le funzioni ma mantiene in memoria la sessione. Quando si
risveglia il computer in pochissimi secondi si ha il portatile attivo.
C'e' gente che non riavvia il portatile da mesi! Io credo sia la cosa piu'
figa che ci sia :)
a proposito, qui si sta per scadere un po' nell'OT, tu usi icq?


 a proposito, qui si sta per scadere un po' nell'OT, tu usi icq?
No, comunque non ti preoccupare per l'OT, ho cambiato il titolo :-P
