Newsgroup: it.comp.os.linux.sys
Titolo: firewall

ciao
volevo farvi alcune domande su "dove", "quanti" e "quali firewall" usare.
mi spiego meglio :)
ho un'azienda che si connette alla rete tramite linea dedicata, utilizzando
un router, la rete ha un proprio dominio, server dns, server mail e web.
io avevo pensato a 2 firewall uno che protegge la lan, poi i server web e
mail poi un altro firewall e poi il router.
inoltre conviene utilizare firewall hardware o pc con linux/unix?
Potrebbe convenire utilizzare macchine diskless?
grazie

 Potrebbe convenire utilizzare macchine diskless?
potrebbe. ma se configuri bene un firewall non *dovresti* avere troppi 
problemi.
-- 
Fox Mulder
...the truth is out there

 Potrebbe convenire utilizzare macchine diskless?
Assolutamente no. Affideresti la sicurezza data dal firewall alla 
macchina che poi ne conterrebbe le immagini di boot, quindi sposteresti 
solamente il problema.
Può invece essere un'idea avere una macchina con la maggior parte del 
filesystem in read-only (via HW, ovviamente... tipo cd bootabile, o hard 
disk in sola lettura). Va da sè che non è la cosa più comoda del mondo: 
ogni aggiornamento vuol dire mettere fisicamente le mani all'HW o 
bruciare una nuova immagine bootabile...
Può essere una buona idea, invece, ricorrere a patch che integrino una 
qualche sorta di MAC... Anche se, in genere, se ti entrano nel firewall 
ormai è fatta...
il tutto, ovviamente, IMHO...
Byez
-- 
Emanuele Balla aka Skull
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)


Ciao
  David
-- 
<d.santinoli presso mi. flashnet. it>

 ancora incontrati.
Pesco a piene mani da un paio di thread che hanno discusso l'argomento, 
rispettivamente in it.comp.reti.cisco e in 
m...@sikurezza.org
, dato che se 
ne era già parlato...
1- PIX fa da "buffer", accetta connessioni da fuori, poi una volta che 
si verifica che la connesione e' una connessione legittima (non un 
half-open connection senza nessun intenzione di proseguire = tipico 
attacco DoS), il PIX gira la connessione verso il server reale al quale 
il client esterno vuole connettersi.
( questa la cita tal Tingting Jahe su icrc, onestamente non capisco 
come, dato che il PIX dovrebbe essere in grado di fare una previsione 
dei valori di ISN delle sessioni del server da servire, oppure 
"adattare" al volo i Seq.Number in uscita dallo stesso, per adattarle a 
quello che lui aveva annunciato... mi pare un poco complesso, per 
evitare qualche half-open... )
2- C'è la possibilità di metterne due in stateful-failover. Con linux 
ancora non ho trovato la maniera di farla, ammesso che esista: failover 
si, ma non stateful :-(
(questa la dico io...)
3- Netfilter ha i suoi helper per il conntrack di protocolli particolari 
che contrattino più porte. PIX ha l'equivalente, ma per qualche 
centinaio di applicazioni in più. Ad esempio ( e non mi pare poco ) 
Oracle: contratta la sessione 1521 e poi prosegue su due porte random. 
pix conosce sqlnet, linux/openbsd no. se hai una macchina da pubblicare 
verso alcuni host su internet e sta in una dmz con ip privati sei
semi-spacciato, a meno di non aprire tutte le porte > 1024 ...
(questa la cita mayhem, da 
spippolatori.org
 )
Di fatto comunque, pix e OS+FW sono fondamentalmente allo stesso 
livello, posto che si conosca sufficientemente l'OS in questione e il 
suo framework FW: alla complessità di configurazione delle rules di 
filtering si aggiunge la complessità di hardening dell'OS; con il PIX 
questi problemi non li hai.
E posto che le prestazioni non debbano essere esagerate: chiaro che HW 
dedicato può essere più prestante. (C'è da dire che un PIII a 1.1GHz con 
4 schede di rete in bridging e netfilter con patch per il filtering su 
bridge arriva a 65Mbps di throughput... quindi, se non sei sulla dorsale 
continentale, non penso che la cosa sia preoccupante...)
Byez...



fico. pero' non risolvono eventuali problemi di budget :)


 evitare qualche half-open... )
Mi rispondo da solo per aggiungere che, dopo breve consulto con mayhem, 
posso confermare che il pix effettua la riscrittura dei SN, sia per 
avere questo metodo per evitare i DoS, sia per randomizzare gli ISN 
delle macchine da proteggere, in modo da non affidare la protezione da 
blind spoof all'algoritmo di generazione degli ISN dell'OS delle 
macchine stesse.
Byez


 Ecco: si puo' mettere un pix in bridging?
Huh... bella domanda... non mi risulta, ma come dicevo -d'altra parte- 
non ho troppo a che fare con pix...
E' chiaro che l'idea di pc + OS ha una flessibilità maggiore... basta 
poi anche saperla sfruttare... anche questa non è una cosa proprio alla 
portata di tutti, anche se non è esageratamente complessa...
