Newsgroup: it.comp.os.linux.iniziare
Titolo: Firewall ed Hackers

Ciao a tutti,
    se volessi mettere in server con modem ADSL esposto alle intemperie di
internet, come dovrei configurare il firewall?
Se uso l'opzione DENY per tutte le porte e tutti gli indirizzi può entrarmi
qualche hacker? (Lo so , è come essere FUORI rete ma è un punto di
partenza!!)
A questo punto supponiamo io voglia navigare in internet: basta che accetti
messaggi dalla porta 80 (server web remoto) diretti verso... cosa? Che porta
usano i browsers (client sul mio PC)??
Se poi voglio la posta elettronica devo solo accettare messaggi da e per le
porte 110 e 25 vero?
E se attivo le regole di cui sopra (e se sono funzionanti per navigare e per
la posta) può qualche hacker entrare? Per esempio da una porta Telnet, anche
se il firewall rifiuta messaggi esterni verso la porta telnet (23 se non
sbaglio).
Per ultimo: i routers che installano telecom, infostrada, etc etc sono a
prova di bomba o qualche hacker può 'aggirarli' ed entrare in una rete ad
essi collegata? Penso che praticamente se mi mettono un Modem ADSL che fa
passare tutto io debba fare un firewall con le stesse regole o quasi di quei
routers...
Grazie per l'attenzione
    Osolemio


I'm not prejudiced, I hate everyone equally.

 "tecnici" Telecom non sono altro che tecnici telefonici riciclati ...
Ci penserň!!
Grazie
    Osolemio

  Grazie


Considerazioni sulla sicurezza:
(Scusate ma posto su più gruppi, dato che sono diverse le competenze (Linux,
reti, hackers, firewalls))
Stavo pensando ad un sistema sicuro per proteggere la mia rete ed i miei
servers! Tralasciamo un attimo le questioni di principio e il tempo che ci
vorrebbe a realizzare tale soluzione, puramente custom.
Premetto che:
- sono un elettronico, mi occupo di firmware su microcontrollori e quindi
sono abituato alle questioni di basso livello;
- ho già realizzato un driver per schede NE2000;
- devo proteggere una connessione ADSL, 640kbit/128kbit, dunque nulla di
performante;
- ho un vecchio Pentium 166Mmx e una decina di schede ISA NE2000.
- l'ADSL serve in una piccola ditta con 4 locali/6 macchine, non ci sono
problemi logistici (posso quando voglio mettere mano al firewall)
Cosa mi ci vuole a realizzare un firewall/router per i fatti miei?
Metto su il PC con due schede di rete, il buon vecchio MSDOS 6.22 (o MSDOS
di Win95), l'HD da 1.6GB tutto per me.
Le schede di rete non le faccio gestire né al DOS né al BIOS. Faccio tutto
io sulle I/O ports.
Smanetto in C e mi faccio il mio bel substrato I/OPORTs-NIC-IP/ARP-UDP/TCP,
(già fatto a livello di sperimentazioni sulle NE2000), e su questo scrivo il
mio programmino di Firewall e Routing. Mi genero il mio bell'EXE che tutto
solo con lo spazio che vuole gira e gestisce tutto scrivendo i Log dei
pacchetti. Il Nat/Masquerading lo fa un server Linux (web, mail, samba
server) che a sua volta mi separa dalla rete. Il router ADSL lo lascio in
trasparente totale tra internet e il mio firewall (NAT statico)
Internet~~~Router ADSL~~~Firewall~~LinuxServer~~Tutta la rete
Il firewall lo configuro per rifiutare qualsiasi protocollo non UDP e non
TCP.
L'UDP lo apro solo per la porta DNS
Il TCP lo rifiuto se c'è il solo flag SYN (connessione originata
dall'esterno, no?) fintantoché non ho un server WEB.
Accetto solo pacchetti che hanno a che fare con FTP/HTTP/SMTP/POP.
I vantaggi? Non in ordine di importanza:
-Lo modifico come e quando voglio
-Nessun altro programma (servizio) gira sul firewall (e ce credo!), che non
ha neppure un sistema operativo (MSDOS non lo considero tale riguardo alla
rete, eppoi non sa neppure di avere due schede di rete), quindi è
impossibile sconfigurarmi il firewall
-I files di LOG sul firewall (come sopra) non sono assolutamente alterabili
da nessuno, solamente da chi prende in mano la tastiera localmente.
-Il server linux (che fa web(forse), mail, samba) se ne sta al sicuro DENTRO
la rete protetto dal Firewall
-Posso (se non ho servizi per l'esterno tipo web) tenere completamente
chiusa la rete se non mi serve! Da tastiera, da seriale, da parallela vado a
dire al mio programmino firewall di aprirsi quando mi pare e mi serve! E se
voglio usare la LAN posso mandare un comando NON STANDARD dall'interno della
mia rete: un pacchetto di protocollo INESISTENTE che mi gestisco come voglio
e riconosco per aprire e chiudere il firewall. Per la posta elettronica
(agisco sempre da client per scaricare le mie caselle ed inviare la posta)
mi basta periodicamente aprire solo le porte per lo scarico e l'invio (e il
DNS). Ovvio che posso solo aprire le 5/6 porte sicure che mi servono, tutto
il resto resta comunque chiuso!
-Posso, se la cosa mi preoccupa, aggiungere una terza scheda NE2000
appositamente per il server Web, che sarà un'altra macchina staccata dalla
rete aziendale. I buchi su Apache riguarderanno solo il sito.
Internet~~~Router ADSL~~~Firewall~~LinuxServerMail~~Tutta la rete
                                                 |
                                                 ~~~~LinuxServerWeb
Insomma, tale soluzione è NON STANDARD e rigida (modificabile solo sul
posto)... mi pare attuabile per una piccola azienda. (Certo per la Fiat non
sarebbe il massimo...:-)  )
Quali punti negativi potrei analizzare?
Grazie
    Osolemio

 Quali punti negativi potrei analizzare?
Riscoperta dell'acqua calda, potenziale rischio di bug ed errori di progetto,
testing lento e difficile (meno tester -> piu` tempo), e oltretutto
non vedo nessun vantaggio rispetto ad un *BSD/Linux opportunamente configurato,
magari utilizzando una minidistro ad hoc.
I miei 2C.
-- 
Ikitt

 Ikitt
Byebye, e di nuovo grazie per la risposta! Mi fa piacere discuterne perché
si arriva sempre a nuove idee. Come ho scritto in un altro group, prendente
questo mio progettino come un hobby per imparare cose che mi prendono molto!
Su questi concetti ci ho lavorato un annetto fa a bassissimo livello in
assembler (su microcontrollore da 16Kbytes di programma) e devo dire che con
un 10gg (sapendo come fare i protocolli) ho realizzato qualcosa di
commerciale in UDP, tutt'ora funzionante bene. Ripeto, parto da delle buone
basi, anche se non complete.
Se qualcuno è incuriosito ed ha delle proposte per migliorare l'idea di
partenza... io comunque parto con i tests, ho deciso! Salvo abbandonare
presto, chissà mai! ;-)

diciamo che piu'o meno quello che vuoi fare lo fa gia' un programma che 
si chiama iproute, lo metti su un bootdisk dos e il router firewall e' 
pronto (quasi).
l'unico problema e' che le ultime versioni sono a pagamento (cmq se non 
ricordo male costa poco), e il demo funziona solo per un 'ora a sessione. 
Se ti vuoi divertire a implementare uno stack tcp/ip da zero, e' 
sicuramente un'esperienza interessante, ma richiede un po' di tempo 
(dipende a da quanto conosci la materia).
Se vuoi, anche solo per scopi 'didattici', posso inviarti quello che ho 
su iproute (docs+demo).
ciao
paolo