Newsgroup: it.comp.os.linux.sys
Titolo: Consigli per una installazione 'esotica'

Dovrei installare su un PC di recupero (486 DX2/66+20M+2 schede di rete) di
ram linux affinchè svolga le seguenti funzionalità:
proxy tra la rete locale e internet (via router adsl)
firewall
server dhcp
client vpn (forse server, a proposito, in questo caso non dovrebbe essere
indispensabile l'ip fisso ?)
web server + php + perl + mysql
ftp server
samba per renderlo un domain controller di una rete costituita solo da PC
windows
e fin qui niente di nuovo, solo vorrei evitare di installare x-window (farò
tutto da terminale :-) o magari via https, ho visto qualche bella
interfaccia amministrativa) partendo da una Slackware 9.1
le particolarità arrivano dopo:
uno dei PC si trova in una sala prove dove è installato un impianto
interfonico via radio (avete in mente le cuffie di Jean Todt ? proprio
quelle :-))) )che vorrei interfacciare al PC, dando la possibilità a
qualsiasi persona in rete di poter parlare con i tecnici, e per rete intendo
sia la Intranet che da Internet (svolgiamo prove per conto di ditte esterne
e sarebbe bello offrire questa funzionalità) e magari con una bella
telecamerina sulla pista di prova e al banco di prova motori.
Avete dei consigli per che software utilizzare ? Con Google ho trovato il
seguente link: 
http://www.openh323.org/
 , cosa ne pensate ? E' il software
che fa per me ?Deve essere gratuito, magari Open Source, il computer alla
cui scheda audio è interfacciato l'interfono è un W2k, deve superare
firewall, proxy e router, inoltre lato client deve richiedere
l'installazione di poco o niente (ci sarà quasi sicuramente un pc con
Windows).
Ma non è fnita qui: tutta la strumentazione è governata da software scritto
con LabView di National che offre la possibilità di essere gestito da remoto
via tcp/ip da un browser IE (purtroppo l'unica modalità realmente
funzionante richiede l'utilizzo di un ActiveX :-(). Non ho ancora
approfondito gli aspetti tecnici del protocollo e delle porte in gioco, ma
qualcuno ha già esperienze in merito o indicazioni da darmi ?
Passiamo all'ultima richiesta: la sicurezza.
E' corretto avere il domain server sullo stesso PC che funge da proxy ? Che
precvauzioni devo prendere ? Inoltre in rete c'è anche un vecchi pc con w95
che funziona da print server e per condividere lo zip, vorrei portare il
tutto sul pc con Linux tramite samba, pensate che il 486 regga ? Anche qui
che ruolo gioco la sicurezza ?
Scusatemi se sono stato un po' scontato, non un sono un sistemista Linux, ma
un semplice programmatore cresciuto soprattutto in ambiente Windows, che
cerca di far risparmiare qualche soldino al suo committente (che tra l'altro
è un ente pubblico - squattrinato - e quindi in ultima analisi sono soldi
risparmiati per tutti :-) )
Grazie, CB

 precvauzioni devo prendere?
Fatti dare un'altro computer ed usa quello come firewall _e_basta_
Davide

 windows
Non credo si riesca a far girare (bene) tutta sta roba in un 486, non tanto per
il processore, quanto per la ram, 
ricordati che se comincia a 'swappare' i tempi di esecuzione dei processi
saranno lunghissimi.
In piu' come ti Ãš gia stato detto) dovresti almeno usare due macchine.
IMHO ti conviene tenere il 486 per firewall vpn,
tutto il resto, (dhcp proxy ftpd httpd php perl mysql samba ecc) in un'altra
macchina.
CYA
Banana

 ti buca il firewall si risucchia praticamente TUTTA LA RETE?
E intuitivo che avere un elemento critico come il domain server su un
computer direttamente connesso a Internet non è il massimo della sicurezza,
mi chiedo però cosa ci sia di corretto dietro questa intuizione, preferisco
capire le cose e mi chiedo il perchè una operazione simile è pericolosa e
grado di insicurezza raggiungo: premesso che sfrutto la gestione del NAT del
router per bloccare tutte le porte in ingresso eccetto quelle strettamente
necessarie: VPN / SSH / Voice-over-ip (una volta chiarito il protocollo è
magari possibile veicolarla su una connessione sicura SSH) / labview (penso
sia la usuale porta 80, ma non ricordo con sicurezza) / https , a questo
punto cosa rischio ?
La domanda potrebbe essere banale, ma non ho chiaro il panorama dei
possibili attacchi, in particolare mi sfugge cosa intendi per 'bucare il
server'.
Grazie per la gentilezza se vorrai chiarirmi le idee.

 un'altra macchina.
Questa č una idea da prendere in considerazione, potrei riconvertire il
server di stampa (dovrebbe essere un 486/33 con 8 mega e 250M di HD) da W95
a Linux, resta sempre il dubbio di come bilanciare i demoni, sia come
sovraccarico della macchina, sia come grado di sicurezza.
Per il momento ho queste certezze:
Macchina 1: firewall
Macchina 2: dhcp, samba (condivisione stampanti e zip + domain conroller),
httpd, mysql
restano in sospeso VPN e Proxy (ftpd non č strettamente necessario), inoltre
sarebbe utile sapere quante interfacce di rete avere su ognuno dei due PC.
TI farň inorridire, ma quasi quasi butto via il firewall: sono convinto che
con una oculata e restrittiva gestione del NAT per quanto riguarda le porte
in ingresso penso di raggiungere un grado di sciurezza molto elevato, mi
preoccupano a questo punto molto di piů programmi di sharing e troian
incautamente installati sui client; spero in un alto numero di commenti e
critiche documentate a questa affermazione :-).
Grazie !

 server'.
Ogni demone in ascolto e' un potenziale pericolo, sia per bug noti e non noti,
sia per una cattiva configurazione, sia per altri motivi. Il punto e' che,
finche' si tratta di un server in dmz, se questo viene hackerato (=bucare), il
problema viene isolato, specie se hai uno switch in dmz che isola fra loro i
server. Se il firewall offre servizi, e viene hackerato attraverso un exploit su
uno di questi servizi, si offre ugualmente una bella opportunita' di entrare nel
firewall, magari con i diritti di amministratore. La differenza e' che, a questo
punto c'e' MOLTA probabilita', se non la certezza, che si impadroniscano anche
degli host presenti nella dmz, nella lan, in tutte le reti collegate al FW...
In quest'ultimo infausto frangente, fare un controllo ed un recovery della tua
rete e dei suoi host, con la certezza di avere rimosso ogni "scherzetto",
potrebbe costarti il ricovero in neurologia.
Per questo motivo, il firewall, che e' un punto nodale della tua rete che si
frappone fra te e l'internet, non dovrebbe offrire servizi. Al piu' potrebbe
offrire servizi che non sono pero' disponibili all'esterno, ma solo all'interno.
E volendo essere ancora piu' paranoici, pensando ad eventuali attacchi
provenienti proprio dall'interno delle proprie reti, cancellerei anche questa
eventualita', e delegherei questi servizi ad altri computer...
bye G.L.
--
La logica non attiene alla verosimiglianza delle ipotesi,
ma alla coerenza delle tesi con le ipotesi.


In generale, (non solo nel caso di firewall) avere tutti o quasi i
servizi necessari alla tua ativita' in un unico server, e' una
criticita'.
Il server diventerebbe "l'anello debole", se si rompe quello che fai,
tutti a casa per qualche ora??!?
Se tutti i servizi che vuoi offrire stanno sulla macchina che fa da
"collegamento" tra la tua lan ed internet, aumenti ancora la
criticita' perche' sei esposto a due reti, la lan ed internet.
Un router che fa il nat, non offre il massimo della sicurezza, ti
faccio l'esempio dell'alcatel speed touch pro, esiste un programillo in
c in giro perinternet, che se gli dai l'ip del router ti dice utente e
password.
Poi tramite il macaddres del router si riesce a reperire la password per 
usare il router in expert mode (fa un po' te...).
Capirai che se uno buca il router (e non Ãš cosa diffcile) sitrova di
fronte tutta la lan, andare oltre non e molo diffcile una volta
arrivati a questo punto.
CYA
Banana

hanno quali sempre la stessa piedinatura.
Speriamo in bene !
Grazie per l'idea

 Capirai che se uno buca il router (e non Ã¨ cosa diffcile)
A meno che non sia un Alcatel (o altri router con analoghe backdoor, a
memoria mi viene in mente un vecchio CISCO e nient'altro) mi senbra una cosa
ben ardua ... logicamente suppongo che si sia provveduto a cambiare la
password di default e/o avendo bloccato la possibilità di accesso da WAN.

Nel fausto dě di Fri, 30 May 2003 22:08:31 +0200, il prode _D.L._
presente alla corte di _it.comp.os.linux.sys_
cosě ebbe l'ardire di pronunziarsi:
|>  Se ti va e sei capace, o conosci qualcuno che sappia e voglia farlo:
|> ...
| 
| Non sono un esperto, la voglia c'č, forse il saldatore č uno di quelli
| classici per elettronica termostatato perň mi viene un dubbio: per gli
| integrati a montaggio superficiale ci vuole attrezzature apposita ?
  Per gli SMD sě.  Per i chip con contatti a "J" basta un saldatore da
elettronica, il meglio č una stazione saldante regolabile in temperatura e
termostatata che possa montare una punta sottile.
  Sandro
-- 
"In a world without walls and fences
you would not need windows and gates."
(Confucius)

 ben ardua ... logicamente suppongo che si sia provveduto a cambiare la
che non sia facile con tutti i modelli di router e' vero, ma dire che e' 
sicuro è una leggerezza, avere un firewall è un po' come avere il
paracadute.
IMHO, un firewall non e' lo strumento che risolve tutti i mali
informatici e se le macchine esposte al pubblico sono ben configurate e
continuamente aggiornate, puoi stare abbastanza tranquillo, ma io non
farei a meno del mio paracadute.
In più sarebbe meglio non mettre servizi che possono avere delle
vulnerabilita' nel firewall.
cya
Banana