Newsgroup: it.comp.os.linux.iniziare
Titolo: Come posso verificare...

se la mia configurazione di iptables e' soddisfacente.
Allora ho una conessione ADSL tramite router  Telecom che svolge anche 
la funzione di NAT e se eseguo quei test che trovi su i vari siti 
dedicati alla sicurezza questi vedono il router e mi danno le solite e 
ormai conosciute risposte!
Ma come vado oltre?
Per favore non rispondetemi che devo installare un'altro PC perche' non 
ne' ho un'altro!

ThorOdinoAltair ha scritto:

Secondo me è impossibile senza un controllo interno (dietro al router). Il
controllo che hai fatto tu tramite i servizi esterni controlla la chiusura
del router che non è configurabile da te e quindi, come una diga costruita
male, potrebbe cedere improvvisamente e scaricarti tutto il traffico di
rete sul tuo pc interno che subirebbe l'ondata. Forse puoi chiedere aiuto a
qualcuno che conosci che ha un portatile.
Ciao, Daniele.

 Secondo me è impossibile senza un controllo interno (dietro al router). 
Mah, qualcosa  invece si puo' fare  (facendosi aiutare da  un amico in
remoto con nmap[1]):
 
http://www.insecure.org/nmap/docs/discovery.pdf
Questo documento spiega  come usare nmap per scoprire  gli host dietro
ad un firewall e altre cose.
[1] Ah, visto che sta scannando a tutti gli effetti un router telecom,
la cosa potrebbe non  essere perfettamente legale, informati di com'e'
la situazione.
-- 
Sono un servitore del Fuoco Segreto, e reggo la fiamma di Anor.
A nulla ti servira' il fuoco oscuro, fiamma di Udun.
Torna nell'Ombra! Non puoi passare.

 ad un firewall e altre cose.
Ho letto il documento (interessante) però non sono ancora riuscito a capire
una cosa che penso sia leggermente diversa dall'esempio riportato. Il
router (lo scatolotto, non un pc) è visto dalla WAN con un indirizzo IP e
il firewall che lo protegge è quello suo interno (di solito è un semplice
packet filtering).
Il dubbio è: se invio un pacchetto TCP/IP all'indirizzo WAN del router per
un servizio che non è gestito da lui (come per esempio telnet) e NON ci
sono regole SUA server definite (quindi non è dichiarato l'inoltro del
pacchetto ad un indirizzo IP interno) questo viene inoltrato nella intranet
con un MAC/IP broadcast o viene droppato? Dipende forse dall'ultima regola
del firewall nel router?
Ciao e grazie, Daniele.

>ad un firewall e altre cose.
Ho appena letto il doc ma mi rimane un dubbio.
Tutti gli esempi fanno riferimento a una rete dove router e host sono 
sulla stessa rete ma come fai se il router e' 172.26.1.1 e la DMZ e su 
una rete privata tipo 10.0.0.0?
Che tra l'altro e' il mio caso!

 del firewall nel router?
Certo, se poi il router/firewall  ha una acl per droppare/rejectare il
traffico per  determinate porte...  pero' il comportamento  di default
(se non sono state definite regole) e' quello descritto sopra.
Figurati, ciao.


 Che tra l'altro e' il mio caso!
Onestamente non ho ancora capito  bene com'e' organizzata la tua rete.
C'e' un router,  e questo ha un indirizzo pubblico,  fin qui ci siamo.
Ma dietro  al router  hai una  macchina linux con  tre schede  di rete
oppure il router ha gia' tre interfacce (pubblica, lan e DMZ)?
Comunque il tuo router ha  sicuramente piu' di una interfaccia, quindi
e'  improprio  dire  il  router  e' 172.26.1.1.   Poi,  se  il  router
internamente  e' 172.26.  e la  DMZ e'  10.0.0.0 allora  ci  sara' una
macchina fra router e DMZ; cosa fa quella macchina?
BTW in  linea di  massima il router  sara' configurato  per forwardare
alcune porte a determinati host (questo vuol dire che le comunicazioni
dall'esterno verso il router alla porta 80 verranno inoltrate verso il
webserver  in  DMZ).  Quando  scanni  una  porta  forwardata non  stai
scannando il  router, ma  il tuo webserver.   Se tu fai  una scansione
dall'esterno al tuo router scopri -sia- le porte che sono direttamente
aperte, -sia- quelle che sono forwardate.  Alcune volte dovresti anche
essere in grado  di capire quali sono quelle  direttamente aperte e se
invece c'e' uan macchina in mezzo.


 
Molto piu' semplice ho una smart-1 telecom quindi solo router e un PC.
Da quello che dici se fai un nmap sul mio ip fisso vedi anche i servizi 
attivi sul mio pc, poiche' fowardati dal router?
Ma se il router ha gia' una porta 80, ad esempio, aperta per il 
management telecom, come vedi il mio Apache?

 management telecom, come vedi il mio Apache?
Se e' aperta  su internet devi far si che  il router forwardi un'altra
porta  (una  qualsiasi, basta  che  non  sia  usata da  qualche  altra
applicazione) verso la porta 80 del tuo apache interno.
Oppure, semplicemente se hai accesso  al router redirigi pure la 80 al
tuo apache interno e vedi se telecom s'incazza ;-)
