Newsgroup: it.comp.os.linux.sys
Titolo: [OT] Consiglio firewall hardware

Ciao,
mi potete consigliare un firewall hardware da utilizzare in un piccolo 
ufficio?
La configurazione attuale ï¿œ la seguente:
Adsl con relativo router
Server linux che fa solo da fileserver (niente servizi aggiuntivi)
5 client.
Vorrei aggiungere un ulteriore server linux per pubblicare un piccolo 
sito dello studio ma vorrei metterlo in dmz, per tenerlo staccato dalla 
lan.
Che modello potrei comprare?
Cosa mi consigliate?
Grazie
ciao

 ciao
Io ti consiglierei una soekris con almeno 3 schede di rete e pfSense.
-- 
"Mai sottostimare la larghezza di banda di un camioncino che sfreccia a
razzo sull'autostrada" 
Andrew S. Tanenbaum
python -c "print 'bG9ybWF5bmFAZ21haWwuY29t'.decode('base64')"

 Davide
Infatti, secondo me il secondo firewall è inutile.
Se vuoi pubblicare il sito web in una DMZ ti basta la Soekris con 3 
schede di rete e delle ACL messe a modino.
Comunque concordo con Davide sul fatto di acquistare dello spazio web, 
costa meno e ti levi tante beghe


 Io ti consiglierei una soekris con almeno 3 schede di rete e pfSense.
Vi ringrazio per i consigli sulla soekris e sullo spazio web...
Ma volendo rimanere su un firewall "commerciale", tipo uno della zyxel 
piuttosto che netgear (o simili) cosa mi consigliate per queste 
esigenze?
Grazie
ciao

 esigenze?
Io sono un po' di parte e ti consiglio un Cisco ASA 5505, ma forse fa un 
po' troppe cose per le tue esigenze.
In situazioni simili (SOHO) ho visto utilizzare i firewall Snapgear, 
costano poco e fanno il loro sporco lavoro.


 idea in testa?
infatti.. :-)
io rimango dell'idea che un soeckris con m0n0wall basti ed avanzi.. e sia 
certament epiù user friendly di un qualsiasi zyxel et similia (oltre che 
notevolmente più versatile)
S.

> concordo con il soekris, 
Io sconsiglio i soekris visto il costo.
Meglio un Alix2 (
pcengines.ch
) che costa molto meno e fa le stesse cose.


Bravo, grazie. Informazione preziosa (sempre trovato che i Soekris
fossero carini, ma troppo cari
per le caratteristiche che hanno).

 Io sconsiglio i soekris visto il costo.
Peraltro, a mia esperienza, hanno degli alimentatori con un MTBF ridicolo...
-- 
Paranoia is a disease unto itself. And may I add: the person standing
next to you may not be who they appear to be, so take precaution.
-----------------------------------------------------------------------------
http://bofhskull.wordpress.com/

 Peraltro, a mia esperienza, hanno degli alimentatori con un MTBF ridicolo...
Pur con esperienza molto limitata (uno) confermo, il che per un
apparato per cui comunque l'alimentatore sarebbe  normalmente il punto
debole per quanto riguarda l'affidabilita`, non e` proprio il massimo
(anzi e` abbastanza il minimo). Tra l'altro il nostro non s'era
nemmeno guastato che il Soekris non si acendeva piu`, ma era bello
acceso e vispo, solo che non funzionava piu` manco per niente.

 ridicolo...
No dai, t'è andata di sfiga.
Io ne ho uno online da anni senza problemi.

 acceso e vispo, solo che non funzionava piu` manco per niente.
Esatto: inizia a non riuscire pi� ad erogare la corrente necessaria.
Se si vogliono usare appliance soekris, � opportuno procurarsi altro
alimentatore pi� affidabile, o mantenere una scorta di ricambi a magazzino.
Per il resto, le schede di per s� non m'han mai dato problemi.



Io ne ho alcune dozzine in giro da clienti, da alcuni anni, e ne gli
alimentatori zompati sono circa 1/3 dell'installato...


 piuttosto che netgear (o simili) cosa mi consigliate per queste esigenze?
zyxel e netgear sono firewall estremamente economici, Sateful 
Inspection, che sostanzialmente aprono e chiudono porte e stop.
Soprattutto se vuoi mettere un piccolo webserver in casa io ti consiglio 
qualcosa che ti consenta di ispezionare meglio il traffico.
Personalmente preferisco (visto che parli di firewall commerciali ed hai 
anteposto il tag OT) NetASQ. Il firewall parte con le licenze tutte 
sbloccate, non impazzisci ad avere un prezzo, il prodotto ï¿œ di estremo 
spessore.
Notevole anche Fortinet ma con una politica commerciale spesso poco 
flessibile.
Cisco mi sembra troppo costoso per ciï¿œ che devi fare.
Watchguard molti non ne parlano bene, ma comunque siamo anni luce avanti 
a zyxel o netgear di cui parlavi.
Nokia, Juniper e similari potrebbero crearti difficoltï¿œ nella ricerca di 
personale specializzato che ci sappia metter mani (poi dipende dalla 
zona di dove sei), non sono in molti ed ï¿œ un peccato vista la bontï¿œ Juniper.
IMHO, sono solo considerazioni personali, intendiamoci.
Ciao.

  pfSense.
+1

 Cisco mi sembra troppo costoso per ciò che devi fare.
Un ASA 5505 costa intorno ai 500€ (oviamente non ha la Security Plus e
5 utenti VPN), non credo che gli altri costino meno

 Cosa mi consigliate?
Routerboard. Una RB450G sta attorno alle 170 euro iva compresa. Comunque 
sia, per le tue esigenze un firewall hardware e` sovradimensionato, 
personalmente seguirei il consiglio di Davide ed utilizzerei il router 
ADSL per affacciare eventuali servizi alla bisogna
Enrico

 idea in testa?
Ho un'idea sul tipo di firewall che vorrei comprare ma non sul 
modello/marca piï¿œ adatto alle mie, credo "piccole", esigenze.
Mi sono documentato un po su tutti i vostri consigli ma, da ignorante 
in materia, credo siano tutti di non semplicissima manutenzione.
Ho menzionato zyxel e netgear per citare 2 marche abbastanza 
commerciali e di facile reperimento, ma ovviamente qualsiasi altra 
potrebbe andar bene.
In definitiva cercavo un consiglio per gestire una cosa di questo tipo:
Router adsl del provider
           |
           |
           V
Firewall (da comprare) --> dmz --> web server
           |
           |
           V
Lan (server + 5 client)
In questa situazione, uno zywall 5 potrebbe andare?
Ripeto che sto citando lo zyxel ma andrebbe bene qualsiasi altra marca 
con un costo massimo sui 300/350 euro.
Grazie a tutti
ciao

 ufficio?
valuta anche questo:
http://www.applianceshop.eu/
anche se non ho esperienza diretta (per l'hardware).. come software puoi 
scegliere tra pfSense, m0n0wall e IPcop, tutti validi per fare quello 
che ti serve
ciao!

 
http://www.applianceshop.eu/
Estiquatzi...
contengono Alix, quelle.
Costano il triplo di quanto lo siano dal produttore, case rack escluso 
che è folle come prezzo.

 che è folle come prezzo.
concordo su tutta la linea.. per molto meno mi compro dei watchguard 
firebox e ci installo m0n0wall (e faccio anche la mia porca figura)
S.

 firebox e ci installo m0n0wall (e faccio anche la mia porca figura)
...ora cancello il bookmark!


Cinque piccì? Tutto qui?
Un router ADSL della QontroQatsi basta e avanza.


se deve metterci un webserver dietro, fosse anche 1 solo pc, non pensi 
sia il caso di proteggere maggiormente il traffico di quanto faccia un SIF?

 sia il caso di proteggere maggiormente il traffico di quanto faccia un SIF?
Non saprei.
Il web server in teoria è grande abbastanza per proteggersi da solo.
In questi giorni mi sono arrivate richieste per fare delle verifiche
su modsecurity.
Non conoscevo il prodotto, però mi pare che questo sia quel che ci
vuole per proteggere un web server.
http://www.modsecurity.org
Che ci fai con un firewall se ti attaccano apache?

> Che ci fai con un firewall se ti attaccano apache?
I firewall che ho consigliato, appunto, non si fermano a livello 3. 
Serve qualcosa di differente rispetto ad un SIF, che possa ispezionare 
il traffico e rilevare eventuali vulnerabilitŕ.
NetASQ e Fortinet hanno innumerevoli check su apache o IIS.

 NetASQ e Fortinet hanno innumerevoli check su apache o IIS.
beh a pensarci bene anche modsecurity viene classificato come
firewall...
Però, se lo installi come modulo di apache lo fai girare sulla stessa
macchina dove gira il web server... e ti sei risparmiato un catorcio
in più da amministrare, da backuppare, da monitorare....

 Che ci fai con un firewall se ti attaccano apache?
Così, ad occhio (e per esperienza): 
- i firewall servono per bliccare le porte in entrata (e soprattutto in 
uscita)
- a livello applicativo la sicurezza la fa l'applicazione, non altre robe
- mod_security non serve ad una cippa. Blocca il 90% degli exploit 
identificabili in qualche modo, ma per il resto è fuffa dedicata ai 
paranoici che della sicurezza poco capiscono.
Se fosse possibile, con un programma X, bloccare tutti gli attacchi, 
allora gli antivirus sarebbero una tecnologia sicura al 100% e non 
esisterebbero botnet.

 Così, ad occhio (e per esperienza):
Nessuna polemica. Io ho dato il mio suggerimento in un'ottica di
contenimento dei costi.
- router ADSL di buon livello per pubblicare le porte 80 e 443
- eventualmente, se ti va e se ti pare, modsecurity sulla macchina
dove gira apache.
Il router ADSL lo devi avere comunque, e l'hardware per il WS lo devi
avere comunque. E in questo modo hai speso ZERO euro.

 identificabili in qualche modo,
  Se tu tu senti più sicuro lasciando passare anche questo 90%...
  Nessun applicativo, come pure nessuna struttura aggiuntiva (che sia a
livello di applicativo, di sistema operativo, di kernel, di filesystem, di
librerie o funzioni o layer aggiuntivi di sicurezza) può garantire da solo
contro qualsiasi attacco o bug possibile.  L'insieme di più strumenti di
controllo e contenimento delle possibili falle fa la forza.  La sicurezza
non è mettere tutte le uova nello stesso paniere "inaffondabile"
supercorazzato e scordarsi del resto.  Tali arnesi esistono solo nelle
fantasie del reparto pubblicità e vendite, non nella realtà.
  Ciao,
-- 
Alessandro Selli, 
http://alessandro.route-add.net
AVVERTENZA: i messaggi inviati a "trappola" non mi arriveranno.
WARNING: messages sent to "trappola" will never reach me.
Chiave PGP/GPG: EC885A8B

 realtà.
Io penso che la sicurezza la faccia il sistemista ed il programmatore.
Io penso che la sicurezza sia una attività continuativa, e non 
l'installare un tot di sistemi che mi tamponino gli attacchi.
Io penso che mod_security e gli stessi firewall siano inutili dal momento 
in cui uno, solo per averli installati, si sente sicuro.
Conosco troppa gente che spende gran soldoni per comprare firewall e 
sistemi di filtraggio (una tantum, senza assistenza / aggiornamenti).
Conosco tanta gente che non li manutiene e che dopo 6 mesi, ZAC, padulo.
Penso, in conclusione, che la sicurezza la facciano più le persone e la 
competenza di un TOT di attrezzi, gratis o costosi che siano, che vai ad 
installare.

 - a livello applicativo la sicurezza la fa l'applicazione, non altre robe
in un mondo utopico.
in un mondo reale, dove il sistemista aggiorna il proprio server 
pubblico ogni 15 giorni (sono ottimista, e sempre che il sistemista non 
sia di quella fazione che "funziona, quindi non serve aggiornare, anche 
se si tratta di un server pubblico") un appliance in cui la regola
any any websrv 80 pass
includa anche un controllo a livello applicativo in grado di rilevare 
stringhe riconosciute come tentativo di sfruttare una vulnerabilità o 
anomalie protocollari (che sono ben l'80% degli attacchi) o anche un 
semplice buffer overflow su body, argument, cookie etc.. male non fa. 
Soprattutto perchè l'appliance si aggiorna di continuo ed è meno 
invasivo informare l'appliance di un nuovo attacco su apache versione 
pinco pallo, piuttosto che aggiornare il server vero e proprio.
Che poi molte applicazioni siano fatte con i piedi, ci mancherebbe. ma 
la concezione di firewall pass/deny ormai è morta con gli ultimi oggetti 
preistorici di nome PIX.

 installare.
  Le persone che si fanno trovare sprovviste degli strumenti, applicativi e
security layer vari e senza la giusta congizione delle loro funzioni, area
d'uso e limiti di applicabilità nel momento in cui questi erano necessari,
non possono nulla quando si ritrovano l'inatteso improvvisamente davanti
come un treno che gli mira la faccia inaspettatamente all'uscita di una
galleria.  Allora mormoreranno confusi qualcosa come "Ma no, che dici mai,
non può essere, l'applicativo è sicuro, è una corazzata, è inaffondabile!"


 l'applicativo è sicuro, è una corazzata, è inaffondabile!"
Vedi che mi dai ragione ?
strati di layer di sicurezze e ridondanze e log e monitoraggi non fanno 
un sistema sicuro.
Fanno sentire il sistemista più sicuro, ma non fanno la sicurezza.
L'approccio corretto non è dedicarsi agli inutili strati aggiuntivi e al 
loro aggiornamento.
L'approccio giusto è dedicarsi all'aggiornamento del prodotto principale, 
senza fare affidamento su strumenti che danno una *falsa* idea di 
sicurezza e che hanno un effetto *assai* limitato.
Puoi avere tutte le appliance del mondo in cascata a proteggere in web 
server ma poi se hai phpbb bucato, awstats bucato o apache con mod_proxy 
di 4 anni fa, il tir da dietro ti arriva.
Le appliance sono un elemento di contorno che può aiutare a farti sentire 
sicuro. Ma niente più.
In parole povere: se i cinesi hanno bucato gmail con tutte le policy di 
sicurezza di google, l'hanno fatto per cazzate di programmazione.
Una appliance davanti a gmail non avrebbe (e non ha) risolto 
assolutamente nulla.

 assolutamente nulla.
  Perché tu sai com'è strutturato internamente Gmail, vero?


 sicurezza e che hanno un effetto *assai* limitato.
citrix, con tutto il rispetto che nutro nei tuoi confronti, ma il mondo 
della sicurezza si è evoluto, e di tanto. Mi permetto di esprimere 
questa considerazione perchè anch'io la pensavo nello stesso tuo modo, 
fin quando non ho giocato con prodotti seri che fanno solo questo. Il 
multilayer non è una trovata commerciale, ma un profondo passo in avanti 
dagli obsoleti IDS/IPS ad UTM in grado di interagire seriamente con ciò 
che sta dietro.
premesso che qui parliamo di "applicazione principale" e non di un 
codice php scritto con i piedi (su cui un firewall e qualsiasi altro 
apparato poco possono fare), a volte bisogna umilmente fermarsi e capire 
che apache può non essere sicuro. Che su una batteria di n server, uno 
poco aggiornato ti può capitare e che un'appliance in grado di 
ispezionare seriamente il traffico male male non fa.
Se ti capita, gioca con un firewall NetASQ e scoprirai un mondo molto 
differente e molto più concreto di "aprire e chiudere" una porta su un 
apparato.
Se posso bloccare un attacco prima che questo arrivi sul server o 
semplicemente che mi tolga risorse su di un server, perchè non dovrei 
avere fiducia di uno strumento simile? Non mi ci devo fidare come fosse 
bibbia, per carità, ma tra avere un PIX, uno zywall o un SIF di 
qualsiasi router, ed avere un Fortinet, un NetASQ, un'ASA... se permetti 
preferisco uno di questi 3.
Nulla togliendo alla bontà di ciò che ho dietro, dopo un'ora la 
vulnerabilità di pinco pallo viene bloccata. E non dimenticare che 
vengono rilevate anche molte falle di client. Aggiorni tutti i client? 
...davvero?
:)

 vulnerabilità di pinco pallo viene bloccata.
scusami, aggiungo che, ad esempio netasq, chiude molte falle anche di 
applicativi noti php, non solo di apache.
Ci sono rilevazioni di buchi di phpmyadmin, di Oracle over http, di 
phpopenchat, di phpbb, di squirrelmail, di horde, di awstat... ho letto 
solo i nomi più noti... ma non mi dire che TUTTI questi un EDP li 
aggiorna ogni giorno, con una frequenza di controllo di ogni ora (ogni 
ora questi appliance aggiornano il proprio db)...
il concetto L7 va oltre il blocco o apro una porta, ma molto oltre... 
perchè non trarne vantaggio?

 sicurezza e che hanno un effetto *assai* limitato.
Si ma cosa fai, come ti comporti?
Come fai a stabilire a priori che la applicazione che hai deciso di
usare e sicura e che non necessita di ulteriori "layer di protezione"?
A priori l'unica cosa che puoi dire è l'esatto contrario
"l'applicazione avrà sicuramente una falla, un baco qualsiasi", quindi
sempre meglio proteggersi in un altro modo.
D'altra parte hai già scritto anche tu che apache di 4 anni fa aveva
mod_proxy bacato.

 idea di sicurezza e che hanno un effetto *assai* limitato.
Parti dall'assunto che dietro "gli strati aggiuntivi" ci sia un'unico 
prodotto
che viene controllato direttamente da chi gestisce il server.
Se io posso evitare che arrivino ../../../../ al phpbb di turno perch� non
dovrei farlo?
-- 
ValeRyo
XT600 "Katoki Pajama" - 
http://www.slimmit.com/go.asp?7Y9
Napoli - appartamento in vendita: 
http://www.quisicasa.com
 

 citrix, con tutto il rispetto che nutro nei tuoi confronti...
[Cuttone]
Senza la prima I, please.
Hai ragionissima.
Lo so che il mondo si è evoluto ma quello che io non sopporto è il 
sistemista wannabe (e ce ne sono tanti, anche in grandi aziende) o il 
programmatore di turno (e pure di questi ce ne sono tanti) che siccone 
hanno uno strato esterno che li protegge, gli uni non manutengono e gli 
altri programmano alla pene di segugio.
Sono perfettamente conscio che non esistono applicazioni sicure, 
altrimenti la sicurezza non avrebbe senso di esistere e di essere così 
importante.
Ma se Tizio scopre una vulnerabilità in, let's say, apache, si guarda 
bene dal divulgarla se vuole sfruttarla per fare danni.
In questa ottica è inutile sia l'applicativo esterno che l'aggiornamento 
del prodotto bucato.
RIASSUMO:
La sicurezza parte dalle persone, non dalle macchine.
Se al centro del discorso ci metti una appliance per sentirti sicuro e te 
ne sbatti degli aggiornamenti, allora secondo me è bene dedicarsi a 
raccogliere rape.
Se al centro del discorso ci metti una persona competente che aggiorna i 
software e che, magari, si *aiuta* anche con appliance dedicati allo 
scopo (ma non si basa solo su questi), allora stiamo dicendo la stessa 
cosa.
Tutto qui.

 Quanti utenti puo' reggere un hardware simile?
Dipende da cosa ci fai e da come lo fai e da quale modello prendi.
Max

 specifico sutto windows
pare che la versione 9 sia in web interface. pare.