Newsgroup: it.comp.os.linux.iniziare
Titolo: Firewall semplice...

Esiste un documento che mi permette di impostare un Firewall molto semplice
da eventualmente sviluppare nel tempo, man mano che mi viene in mente qualcosa
di nuovo? A parte il firewall-howto?
-- 
-- Get Linux Power --
--    It's Free    --

 mente qualcosa di nuovo? A parte il firewall-howto?
Ho postato la mia esperienza su 
www.giambonini.com
ATTENZIONE: Il mio approccio e'  fondamentalmente sbagliato ! Apro tutto
e  chiudo le  porte pericolose,  mentre  sarebbe piu'  corretto fare  il
contrario.   Pero' fino  ad oggi  sono riuscito  a respingere  tutti gli
attacchi, quindi :-) ...
-- 
                                                                     __
 __                                                              _  ///
| _        Student in Computer Science, Swiss Federal Institute  \\///
|__|iambo      of Technology - mailto:
ggia...@iiic.ethz.ch
       \X/

 
... sei fortunato...
LG
-- 
**************************************************************************
Leandro Gelasi
V Year Computer Science Engineering at Siena University
email : 
gela...@lucy.ing.unisi.it
Gilles Villeneuve will live forever
**************************************************************************

contrario.   
Nossignore, il tuo metodo è quello corretto e sono d'accordo anch'io
su questo modo di procedere.
Si chiudono solo le porte pericolose *se esistono*.
Non ha senso chiudere una porta che non esiste.
se ti provo a pingare sulla porta - che so - 34897tcp, che sul tuo
sistema non esiste perché non c'è nessun servizio che la apre, non
avrò risposta e il pacchetto cadrà nel vuoto.
Se invece blocco la porta col firewall, il sistema deve respingere
l'attacco caricando la cpu.
Ricordo certi tipo di aggressioni che si basavano sul sovraccarico
della cpu dovuto alla "sovrastimolazione" del firewall... ovvio che
questo non ti permette di "violare" il sistema, ti permette però di
metterlo down (una sorta di DoS, insomma).
Quindi IMHO il metodo di "bloccare tutto e poi lasciar passare quello
che interessa" non è rigorosamente la cosa migliore. Almeno se il
firewall è un pc e non un dispositivo fisico.
-- 
Crononauta
==========               | togli 'sse' dall'indirizzo  | 
ICQ UIN: 4005815         | per rispondermi in e-mail   | 
IDAnet: 
http://adcserver1.biodip.unimi.it/ida/index.html
GP Legends: 
http://www.multiplayer.it/driving/index.html

 un pc e non un dispositivo fisico.
Sai che mi hai convinto :) ?


 firewall e` un pc e non un dispositivo fisico.
l'overhead generato e` veramente basso
inoltre questo approcio permette di capire quali servizi sono presenti
sul sistema
e poi devi esser sicuro di non lasciare fuori nulla (il che comprende
tcp, udp, icmp, igmp)
ciao
Kronos
-- 
Home: 
http://kronoz.tsx.org
Al termine di un pranzo di nozze mi hanno dato un
amaro alle erbe cosi' schifoso che perfino sull'etichetta
c'era un frate che vomitava.

tcp, udp, icmp, igmp)
Dipende cosa pensi che ti dia fastidio, in dipendenza anche del tuo
sistema, dei tuoi servizi, e della LAN che eventualmente mascheri.
-- 
Crononauta               
==========               | togli 'sse' da ulissebarra | 
ICQ UIN: 4005815         | per rispondermi in  e-mail | 
IDAnet: 
http://adcserver1.biodip.unimi.it/ida/index.htm
GP Legends: 
http://www.multiplayer.it/driving/

 metterlo down (una sorta di DoS, insomma).
Potrebbe essere, ma la vedo piu` come una possibilita` di sovraccaricare
i log di sistema (i miei, da quando  ho messo su il firewall che logga i
tentativi di connessione sulle  porte non autorizzate, stanno diventando
un bel po' cicciottelli).
Mi pare che  il firewall di Linux 2.2 mandi  un ICMP_DEST_UNREACHABLE se
la porta e` sotto firewall, sia essa aperta o chiusa, mentre mi pare che
quello di Linux  2.4 mandi un piu` "raffinato" RST...  ma dovrei prima o
poi verificarlo (ho installato il 2.4  in pianta stabile solo oggi, e ho
ancora un po' di fine-tuning da fare prima di pensare al firewall).
-- 
  _      ___ ____
 | | /| / (_)_  / >>> aka Luciano Di Lucrezia
 | |/ |/ / / / /_   . Radiance BBS: 
+39-0362-332921
 - JOIN THE FUN NOW!
 |__/|__/_/ /___/   . Ban Micro$oft from Universities! Support Free Software.
 
Il cane alano, e noi pure. (G.C.O.)

 di nuovo? A parte il firewall-howto?
	Cerca l'howto di mrShark. L'indirizzo lo trovi nella firma di
un suo post. Ah, l'ultima volta che l'ho visto era solo per ipchains,
se hai iptables dovrai cercarti anche uno script che ti trasformi
le regole di ipchians in quelle di iptables.
	Ciao, Giovanni.
-- 
   |^^^^|
   |    |  Eat my shorts !             * Linux Powered *
   |()()| /                            - Kernel 2.2.18 -
                 -> gio.bcc(at)
tin.it
 <-

 Se non sai i servizi che girano, cosa fai, chiudi a caso?
riformulo: permette all'aggressore di capire quali servizi sono aperti
se torna un rst la porta e` chiusa, se non ritorna nulla e` aperta e
coperta dal firewall


 ancora un po' di fine-tuning da fare prima di pensare al firewall).
ipchains permette di non rispondere affatto (deny) o di usare l'icmp
citato (reject)
iptables permette anche di specificare cosa rispondere (sempre che lo si
voglia fare)
ciao
Kronos
-- 
Home: 
http://kronoz.tsx.org
Non ho ancora capito se il mio cane e' maschio o femmina:
quando fa la pipi' si chiude in bagno

 impostare un firewall!!!!!
Penso che intendesse che un attacker puo' capire quali servizi sono 
attivi, e' ovvio che chi ha creato il firewall lo sappia... ;))
-- 
* Jotaro Kujo *
 Can't you see the end
 Twentieth Century Man ?