Newsgroup: it.comp.os.linux.sys
Titolo: Firewall nascosto

Premesso che "se no i xe mati no i voemo" passo ad esporre la richiesta 
che mi è stata fatta al fine di capire se ci sono strumenti che 
permettono di metterla in pratica.
Si tratta di mettere un filtro alla navigazione in internet non 
autorizzata senza che si veda che c'è il filtro.
Il perché del filtro nascosto è dovuto al fatto che $DittaPiccola ha 
acquisito $DittaMedia, all'interno di $DittaMedia ogni uno faceva quello 
che voleva, quindi il Boss di $DittaPiccola sta cercando di mettere 
ordine. Purtroppo tra quelli da mettere in riga ci sono alcuni 
contabili/consultenti/tipi strani da tenersi buoni, almeno per un po'.
A complicare le cose ci sta l'ex sysadmi... formattatore di pc in 
combutta con i tipi di cui sopra. Teoricamente potrebbe fare una 
circolare con la quale dice che blocca l'accesso ad internet ecc. in 
pratica per altri motivi al momento è meglio stare calmi, solo che 
questi passano parecchie ore a cazzeggiare.
L'idea del boss sarebbe quella di mettere un firewall che con cadenza 
casuale, rallenta/disturba la navigazione di taluni pc su siti che non 
servono ai fini lavorativi. Conoscete qualche programma che permetta di 
"disturbare" delle connessioni?
Per ovviare al sysadmin (che stanno progressivamente dedicando ad altre 
attività in quanto sa solo reinstallare win, configurazione posta, 
spegnere e riaccendere il router quando c'è qualche problema) che ogni 
tanto va a mettere il naso in sala macchine e si accorgerebbe del 
firewall, mi chiedevano di imboscarlo. L'unica cosa che mi è venuta in 
mente è di provare a fare qualcosa con dell'arp poisoning in modo che il 
traffico prima di passare per il default gw passi per il firewall.
A me pare un gran accrocchio però visto che il cliente è il cliente 
volevo almeno capire se c'è qualche programma che possa fare da 
filtro/disturbatore.

 filtro/disturbatore.
Un breve aneddoto su una azienda di medie dimensioni (80 dipendenti,
circa 120-130 tra consulenti e collaboratori): hanno messo un filtro su
facebook nelle ore lavorative (dalle 9 alle 13 e dalle 14 alle 18) per
una delle 4 sedi ed il personale, dopo lo scontento iniziale, si e'
adeguato facendo registrare un aumento della produttivita' in linea con
le altre sedi (in cui non c'era filtro). Dopo circa un anno hanno
rimosso il filtro e si sono accorti che la produttivita' saliva molto
piu' velocemente rispetto alle altre sedi. Dopo diverse altre analisi,
il risultato finale e' stato che l'assenza di facebook sul luogo di
lavoro aveva educato il personale ad un uso accorto del mezzo facendo
impennare la produttivita'.
Il mio consiglio e' di strutturare meglio il cazzeggio (con dei corsi di
formazione interna, di time management, appositamente studiati) invece
che cercare di impedirlo a forza perche' l'azienda potrebbe trarne
maggiori benefici.
Jey
-- 
Non prendere la vita troppo sul serio... non ne uscirai mai vivo
http://www.joram.it/servizi/consulente.htm

 filtro/disturbatore.
Lascio perdere tutto il discorso filosofico e vado al tecnico.
Se non puoi toccare nulla sulla rete allora punterei sulla suite
dsniff... urlsnarf per vedere dove vanno, tcpkill a caso per rovinargli
le sessioni di navigazione, tcpnice per rallentare le loro connessioni
http://tournasdimitrios1.wordpress.com/2011/02/14/tcpnice-the-linux-bandwidth-conrtoller-on-your-local-network/
Ovviamente però l'ottimo sarebbe mettere il firewall inline in modalità
transparent, nel qual caso iptables, tc e compagnia cantante sarebbero
di per sè sufficienti.
Se non vuoi dare nell'occhio mettendo l'apparato fisicamente tra la rete
ed il firewall, e hai uno switch managed, puoi semplicemente creare una
vlan separata su cui attestare il firewall, installare il tuo scatolotto
collegandolo su una singola porta su cui porti la VLAN della rete
untagged e la nuova VLAN del firewall tagged. Poi configuri un bridge
tra le due vlan e usi iptables (eventualmente anche ebtables) per
giocare con le tue cavie.
In questo modo dovresti passare inosservato perché:
- usi un solo cavo di rete per il nuovo arrivato che puoi spacciare come
un syslog server per la legge sugli amministratori di sistema
- non sposti fisicamente la connessione del firewall quindi se non sono
un pelo sgamati non ci arrivano a pensare ad un acrocchio così
- non impatti più di tanto sull'esistente perché non cambi nessuna
configurazione sul firewall o sulla rete; se 
p.es
. andasse in tilt il
transparent firewall puoi sempre dire che s'è bruciata la porta sullo
switch e spostando il firewall su un'altra porta dello switch tutto
funziona perfettamente
- non facendo routing eviti anche di essere rilevato con un traceroute
per via del TTL
- non hai bisogno di fare arp poisoning che non è mai bello su una rete.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 formazione interna, di time management, appositamente studiati)
Adoro i corsi di cazzeggio :)
</FLAME>
Nicola.
-- 
chi va pian va san e va lontan

 o rallenta.
Con un consulente come te, molti miei clienti sarebbero finiti in
mutande alla prima vertenza


 mutande alla prima vertenza
Ed in base a quale legge il datore di lavoro è tenuto a dire ai
dipendenti quali sono le policy del firewall?
Attenzione, i siti visitati non sono loggati: 
www.facebook.com
 è
rediretto a 127.0.0.1 oppure il QoS privilegia il traffico verso
www.google.it:80
 e mette in  priorità bassa MSN.
-- 
ValeRyo
XT600 "Katoki Pajama" - 
http://www.slimmit.com/go.asp?7Y9
GamerTag: 
http://card.mygamercard.net/IT/nxe/ValeRyo76.png
 

 mutande alla prima vertenza
Peccato che lui abbia completamente ragione. NESSUNA legge impedisce di
bloccare o rallentare le connessioni aziendali fintantoché non si
profili un trattamento illecito dei dati personali o il telecontrollo
dei lavoratori.
Ovviamente nel caso illustrato non si profila nessuno dei due, quindi
non ci sarebbe nemmeno stata alcuna vertenza da "vincere".


 maggiori benefici.
E questo è ben diverso dal dire che per filtrare Facebook e la Gazzetta 
devi chiedere il permesso ai dipendenti, mi pare.
-- 
Massimo Bacilieri AKA Crononauta

 "disturbare" delle connessioni?
Firewall no.
Io ho un proxy che può fare questo lavoro ma, essendo un proxy, non è 
completamente trasparente nel senso che talvolta diventa visibile (quando 
ci sono degli errori).
Può però disabilitare il logging per la privacy.
Può però fare lo shaping su singole connessioni o su singole richieste ed 
un sacco di altre cosine molto carine da vero bofh.
Esempi:
- limitare la banda degli aggiornamenti di windows per evitare che le 
linee si saturino (300 Kb/sec)
    if ( string.find(host, "(%a+.
microsoft.com
)") ) then
        nproxy.connection_set_traffic_shaper(conn, 0, 300*1024);
        nproxy.request_set_traffic_shaper(conn, 0, 300*1024);
        return 0
    end
- limitare i video di youtube a 15 Kb al secondo quando superano i 100 Kb 
l'uno.
    ctype = nproxy.response_get_header(conn, "Content-type");
    if ( ctype ) then
        if ( ctype == "video/x-flv" ) then
            nproxy.request_set_traffic_shaper(conn, 100*1024, 15*1024);
        end
        if ( ctype == "application/x-shockwave-flash" ) then
            nproxy.request_set_traffic_shaper(conn, 100*1024, 15*1024);
        end
    end
- limitare a 512 bytes al secondo ogni connessione verso facebook e fare 
in modo che non duri più di 15 secondi (che sono 7 Kb, ovvero ZERO) con 2 
secondi di timeout sui dati.
    if (
            string.find(host, "(%a+.
facebook.com
)")
         or string.find(host, "(channel(%d+)%.
facebook.com
)")
         or string.find(host, "(%a+.
fbcdn.net
)")
       ) then
        nproxy.connection_set_traffic_shaper(conn, 0, 512);
        nproxy.connection_set_inactivity_timeout(conn, 2);
        nproxy.connection_set_max_duration(conn, 15);
        return 0
    end
- Bloccare le chat di facebook ...
    if ( string.find(host, "(%a+.
facebook.com
)") ) then
        if ( string.find(url, "chat") ) then
            if (
                   string.find(url, "send%.php")
                or string.find(url, "typ%.php")
            ) then
                return 500
            end
        end
    end
- Segare l'accesso a qualsiasi sito, facebook in particolare, piallando i 
cookies del client prima di inviare la richiesta.
    if ( string.find(host, "(%a+.
facebook.com
)") ) then
        nproxy.request_del_header(conn, "Cookie");
    end
----------------------------------------------------------
Ovviamente quanto sopra è a puro titolo di esempio.
Il proxy è scritto in C e si programma in LUA.
E non è opensource (almeno per ora).
Ovviamente è stato scritto proprio perchè non esisteva nulla di 
flessibile per fare il bastardo come piaceva a me. 
E' utile anche per cavare via i banners, quindi trova utilizzo anche 
oltre il BOFH.
Per info -> email

 dei lavoratori.
Qui fai confusione tra bloccare, rallentare e limitare che sono (a norma
di legge) 3 cose diverse.
Bloccare le connessioni indiscriminatamente e' una cosa, rallentarle in
certi orari e' un'altra e limitarle per dar priorita' ad altro traffico
e' un'altra ancora. La limitazione del traffico (QoS) e' l'unica che il
datore di lavoro puo' attuare autonomamente con i giusti presupposti
organizzativi (DPsS) senza dover chiedere il parere al sindacato
relativo.


 
www.google.it:80
 e mette in  prioritą bassa MSN.
Piu' o meno e' una cosa del genere, molto piu' dettagliata, che riporta
anche le finalita' per le quali questi limiti sono imposti, le misure
adottate, la manutenzione sulle apparecchiature svolta, ecc...


 devi chiedere il permesso ai dipendenti, mi pare.
Il rapporto con i dipendenti deve essere onesto e rispettoso delle leggi
in materia, su questo non ci piove, e per questo io, a chi mi chiede
come e' meglio comportarsi di fronte ad un uso eccessivo di internet non
lavorativa, consiglio di seguire una strada diversa ma la legge
sull'argomento rimane ugualmente valida, indipendentemente dal
totalitarismo del capo o del sysadmin.
Lo dico per esperienza, non perche' abbia piacere che sia in un modo o
nell'altro, e lo dico perche' piu' di una vertenza ho visto perdere da
datori di lavoro troppo "rigidi" o sysadmin troppo "zelanti"


 relativo.
Riferimenti normativi plz?

 ecc...
IMHO confondi il DPS con il divieto di controllo a distanza degli
impiegati.


 relativo.
non penso proprio..
il datore di lavoro può decidere a prescindere cosa e dove far navigare i 
dipendenti senza rendere loro conto
il datore non può controllare DOVE navigano i dipendenti *a posteriori*, 
ma può certamente decidere di bloccare i siti non professionali *a 
prescindere* dalle volontà dei lavoratori e dei dipendenti
S.

 facebook nelle ore lavorative (dalle 9 alle 13 e dalle 14 alle 18)
E chissà quante comunicazioni hanno fatto ai dipendenti....


Facebook: Massimo Bacilieri

 relativo.
http://www.youtube.com/watch?v=MvyYmwvGmmA
bye G.L.
-- 
Da i.d.c.tutela:
P.S. Quando ci sarà lo switch-off, avrò problemi anche col
monitor del PC? Ho visto che è collegato in modalità analogica.

 relativo.
Ma ci mancherebbe anche... io con la mia rete blocco quel cavolo che mi
pare e tu, lavoratore, zitto e lavora... Se voglio bloccare sul MIO
firewall l'AS32934 lo faccio e NESSUNO può dirmi nulla. E se voglio
droppare un pacchetto ogni 7 verso l'AS13414 o voglio limitare la banda
a 7 bytes per secondo il primo che si azzarda a lamentarsi finisce a
calci in culo a lavare i bagni...
Fintantoché non memorizzo o comunque non guardo la tua navigazione io
sono libero di fare assolutamente quel che mi pare.
x-post it.diritto, it.diritto.internet
f/u it.diritto.internet
-- 
Flavio Visentin
2006: l'onestà  2007: la storia  2008: la leggenda  2009: il mito epico
2010: l'apoteosi!! 3 TITULI!!! Scudetto, Coppa Italia, Champions League
   Far rodere un cretino come ponziopilato è godurioso come 4 TITULI!

 organizzazione interna nella gestione dei dati.
Ah, ecco mi pareva.
Più precisamente il DPS tratta della sicurezza dei dati e di come viene 
garantita all'interno dell'azienda.
Nicola


 totalitarismo del capo o del sysadmin.
Ops, mi sento un po' Hitler in questo momento :P
Nicola.


 
paolo...@azienda.it
Sempre dell'azienda rimane, c'e' una sentenza del 2006 che fa da
precedente.
Rispetto a tutto il resto delle risposte che ho letto, rimane pacifico
che al momento abbiamo idee contrastanti sull'argomento ma non ho
trovato una confutazione e rimango della mia idea.


 
http://www.youtube.com/watch?v=MvyYmwvGmmA
Fichissimo! mica me lo ricordavo :-)


 integrazioni e relative delibere dell'ispettorato del lavoro)
che non giustifica quanto sostieni. Permettere o meno l'uso di
internet ai dipendenti non consente alcuna forma di controllo della
loro attività.
bye!

 per i datori di lavoro
Non vedo come tali riferimenti normativi o contrattuali possano
impedire ad un'azienda di chiedere ai propri sistemisti di configurare
l'accesso ad internet alle proprie postazioni di lavoro come se
andasse attraverso un modem a 14K. Anzi, potrebbero mettere DAVVERO un
modem a 14K come unico POS per l'internet dei dipendenti. Sarebbe per
caso illegale, secondo te? Dovrebbero chiedere il "permesso" ai
sindacati per farlo?
bye!

relativo.
Per limitazione del traffico si intende normalmente una cosa che con la
qualità del servizio (QoS) c'entra pochino.
Le limitaizoni normalmente attuate consistono nell'uso di firewall, non
c'entrano con la QoS, sono considerate buona e normale pratica della
gestione delle reti, e anche se non sono un legale mi sembrerebbe molto
strano che debbano riguardare il sindacato o in genere essere sottoposte
al parere dei dipendenti.

 al parere dei dipendenti.
Ed infatti e' esattamente quello che ho scritto.


 Ed infatti e' esattamente quello che ho scritto.
quotando "La limitazione del traffico (QoS) e' l'unica che il
datore di lavoro puo' attuare autonomamente con i giusti presupposti
organizzativi (DPsS) senza dover chiedere il parere al sindacato
relativo."
E le marmotte incartano la cioccolata

 
altro caso di sindrome da "sono stato frainteso" vedo..
S.

Sinceramente non pensavo di scatenare tutto questo vespaio :-)
A Boss di $DittaPiccola non interessa se un dipendente passa 5 o 10 
minuti due volte al giorno su internet. Il problema sono quelli che ci 
passano molto più tempo. Non sua intenzione inoltre loggare il traffico 
appunto per le implicazioni legali che ne potrebbero derivare.
Grazie cmq a tutti per le risposte.


Già.
Grazie dei consigli.


Interessante anche la tua soluzione. Vedo come evolve qui la situazione 
ed eventualmente ti scrivo.
Grazie.


A parte storie varie tipo wifi completamente open, sempre qui avevano 
nel 2010 installato come antivirus norton 2002 ovviamente non su tutti i 
pc in quanto avevano esaurito le licenze. La rete interna era una 
coltura virale. Non c'era un pc che non fosse stato infetto.
Il server windows con tutti i documenti non viene backuppato (ha il raid)...
Le mail sono solo sui singoli client non backuppati...
I dati del gestionale vecchio su as400 sono backuppati su dei nastri QIC 
che a memoria non si ricordano di avere mai sostituito con nastri 
nuovi... sudetti nastri erano conservati in una scatola di cartone sopra 
al monitor crt della videosorveglianza in bella vista nella reception...
Continuo?