Newsgroup: it.comp.os.linux.iniziare
Titolo: e la sicurezza?

probabilmente una domanda stupida... o forse no!
sto per realizzare un file server per la ditta, in cui una quindicina di 
client windows accede ad un disco condiviso da una macchina linux. Tutte 
le macchine sono collegate in rete, e su questa rete esiste un 
modem/router adsl.
La cosa si č resa necessaria dal momento che l'attuale file server ha 
s.o. xp pro e le connessioni massime sono 10.
La strada che ho testato su vmware č questa:
1. ho installato ubuntu versione server
2. ho installato e configurato samba per condividere una cartella, 
accessibile dai soli utenti esistenti sulla macchina linux
funziona tutto.
La mia domanda č: il server linux č protetto da eventuali attacchi 
esterni? Se uno non azzecca la password sono a posto? Serve qualche 
firewall aggiuntivo o sono a posto cosě?
L'unica cosa che devo fare č mantenere aggiornato il server tramite 
aptitude?
Ciao e grazie
  BQ

 
Hai indovinato: questo è il punto. Non so bene quali e quante cose 
girano e a cosa servono. Per questo ho cercato una distribuzione di tipo 
server, con il minimo numero di fronzoli ma gestibile anche da un utente 
non esperto.
Ma se ho solo samba, e se risolvo il discorso firewall e non tocco più 
niente, meglio così o meglio una macchina windows xp con decine di 
software installati, usata per navigare in internet e per il cad (probl 
di sicurezza e di prestazioni)?
Ciao e grazie
BQ

 aptitude?
Sarebbe meglio, ma il discorso si applica anche con Windows, avere un
approccio più consapevole...

 approccio più consapevole...
questo di sicuro... si fa quello che si può...
Grazie e ciao
BQ

 
...stando sul modo brutale on,
visto che uscire dalla rete locale non mi servirà mai,
ho pensato che potrei togliere il gateway da /etc/network/interfaces 
(così non ho facile accesso all'esterno)
e mettere l'indirizzo ip del gateway in hosts.deny
(così dal gateway non mi possono neanche pingare se non sbaglio)
in questo modo tutti i nodi della rete locale possono accedere al server 
linux tranne il modem/router adsl giusto?...ed eventuali attacchi 
dovrebbero passare giocoforza tramite una macchina xp della rete locale
(poi quando quella volta al mese mi serve l'accesso a internet per fare 
gli aggiornamenti faccio un route add default gw 192.168.eccetera e 
commento il gateway in hosts.deny)
Andrebbe bene o è meglio che mi studi iptables?

 
ok :-)
anche perchč ho appena letto che la tecnica con hosts.deny non funziona 
sempre perchč non tutti i servizi possono essere controllati da tcpd...
Certo che č un casino iptables... non riesco neanche a trovare uno 
straccio di esempio minimale come č il mio caso...
cmq grazie di tutto
ciao
  BQ

 
infatti non sembra difficile. Ho fatto alcune prove e le cose vanno come 
mi aspetto. Non mi è ancora chiaro una cosa però: se imposto una regola 
e poi un'altra in append con -A, la seconda sostituisce e cancella la 
prima, oppure sono in AND?

 
ok allora avevo capito bene, ma ho applicato male. Ora riprovo. Grazie 
per la pazienza :-)

BQ wrote:

per alcuni la teoria si impara meglio su esempi pratici.
ti consiglio di andare qui:
http://easyfwgen.morizot.net/gen/index.php
e crearti il tuo bello script di firewall per un server stand alone.
seleziona solo l'interfaccia, l'indirizzo e la tipologia single system,
senza aprire servizi.
dopo di che con questo fai le tue prove, contando che così configurato il fw
blocca tutte le connessioni new in ingresso sulla scheda di rete.
se ho capito bene tu vuoi aprire tutto il traffico sulla tua rete locale ad
esclusione di quello proveniente dal gw.
dovrai quindi fare DROP del traffico proveniente dall'indirizzo interno del
router e poi ACCEPT di quello proveniente dalla rete.
mi sembra curioso che il tuo modem router adsl non possegga un anche minimo
firewall. che modello è?

 del router e poi ACCEPT di quello proveniente dalla rete.
probabilmente vorrai commentare o cancellare queste due regole:
$IPT -A udp_inbound -p UDP -s 0/0 --destination-port 137 -j DROP
$IPT -A udp_inbound -p UDP -s 0/0 --destination-port 138 -j DROP

 straccio di esempio minimale come è il mio caso...
un semplice esempio te lo posso fare io [se accetti gli scherzi]
iptables -t filter -A INPUT -s pub_dell'angolo -p birra --dport
tutte_le_birre_chiare -d claudio -j ACCEPT 
a te l'interpretazione ....
ciao
 
-- 
---------------------------------------
linux slackware
tutto il resto e' inutile
---------------------------------------

 firewall. che modello è?
non so che modello è, te lo potrò dire solo domani perchè ora non sono 
al lavoro
come immaginerai questo router adsl il firewall ce l'ha, o immagino che 
ce l'abbia... ahem sul router cosa mi converrebbe fare?

 
:-) è chiarissimo!! se invece le birre scure le droppi, ci penso io... :-)

gt ha scritto::

yess....!
una cosa, una volta finito lo script, come faccio a farlo chiamare 
all'avvio?
pensavo di sbatterlo in /etc/init.d/ e poi chiamarlo da 
/etc/rcxxxd.local o giů di lě, dove posso leggere un po' di documentazione?

 ce l'abbia... ahem sul router cosa mi converrebbe fare?
generalmente i router adsl sono già configurati per bloccare tutto il
traffico originato dall'esterno verso l'interno.
inoltre, se non espressamente stabilito da te, una macchina esterna non ha
la possibilità di raggiungere su una determinata porta una determinata
macchina interna.
una volta al lavoro prova a navigare con un browser all'indirizzo del router
e vedi che situazione ti si presenta.

 documentazione?
si, puoi richiamarlo da rc.local
nel manuale di ubuntu ci sarà qualcosa sulla gestione dei servizi,
altrimenti cerca sulla documentazione debian

gt ha scritto:

nel frattempo ho trovato, grazie :-)

 
LOL! la password del router è stata persa! comunque qualcuno ricorda che 
l'interfaccia era a linea di comando, niente interfaccia web....