Newsgroup: it.comp.os.linux.sys
Titolo: In azienda: Iptables Vs Ipcop

Ciao a tutti,
nella piccola/medio azienda secondo voi quale firewall è più
consigliabile.
Conosco bene Iptables, quali vantaggi mi darebbe usare ipcop al suo
posto?
Alternative?
Grazie
The Big O

 Alternative?
Ci sono parecchie distribuzioni tipo ipcop, una delle piu' conosciute e'
astaro (non so se ora e' commerciale o ne esiste ancora una gratuita ma con
delle limitazioni). Oppure senza prendere proprio una distribuzione
specifica potresti usare shorewall sul tuo attuale iptables per
semplificarti la vita.
-- 
Davide Veneziano
http://www.vene.ws
ICQ# 14047537

> Alternative?
Se non hai di questi problemi recentemente ho imparato ad amare OpenBSD e
pf.
ciao
Luca

 The Big O wrote:
Uh, scusa, sbagliato post.
ciao
Luca

semplificarti la vita.
Gli darò un'occhiata.
Grazie
The Big O

pf.
Purtroppo deve essere Linux-based, anche se PF+CARP l'ho sempre
considerata la soluzione migliore.
The Big O

Uh, scusa, sbagliato post.
Gli effetti iniziano a vedersi...lol ;D
The Big O

 Gli effetti iniziano a vedersi...lol ;D
Di cosa? Delle 10 ore di lavoro al giorno che mi sparo? Si, direi di si. ;)
ciao
Luca

 Alternative?
m0n0wall 
http://m0n0.ch/wall
HTH
-- 
Stefano Zamboni - 
zam...@freemail.it
Legge di Biondi:
Se il tuo progetto non funziona, controlla la parte che non ti pareva
importante.

 pf.
Si parla di iptables ed ipcop: non vedo cosa c'entri pf.
pfsync a parte, che è una gran bella feature, (chissà, magari
un giorno ct_sync vedrà veramente la luce...) rimango sempre curioso
di capire perchè dovrei preferire pf ad iptables/netfilter.
-- 
No more tradition's chains shall bind us;
Arise, ye slaves! No more in thrall!
The Earth shall stand on new foundations;
We have been naught - We shall be All!

 di capire perchè dovrei preferire pf ad iptables/netfilter.
A parte una sintassi non lisergica e un inspection del TCP più 
approfondito, dici? Nulla...
-- 
cat: .signature: No such file or directory

 
scusi l'ignoranza: che vuol dire "lisergica"?

"Leone2000" <leone2000SPAMMATI@LA_FAVAinwind.it> ha scritto nel messaggio
news:5y4Hd.9430$fs6.2...@twister2.libero.it...


Acido lisergico ti dice di piu? LSD ? :)

n3tgan3sh ha scritto:

ah, ok, ora ho compreso. :-D

 e un inspection del TCP più approfondito, dici? Nulla...
Cosa intendi per inspection più approfondita?
Il tcp-window-tracking?
Beh, sui miei firewall linux c'è, essendoci apposita pacth.
Per il resto, non sono un supermegaesperto di pf, ma mi pare
che, in quanto a feature, iptables abbia pochi rivali.
O sbaglio? :)

 O sbaglio? :)
Nono... anzi...
Già gestire quello che con netfilter richiede un modprobe 
ip_conntrack_XXX fa spesso bestemmiare.
Epperò che ogni tanto anche iptables...


 Epperò che ogni tanto anche iptables...
Uhm...ho avuto in passato rotture di balle con i moduli per il gre ed il
pptp, ma poca roba.
Tu cosa, invece?

 di capire perchè dovrei preferire pf ad iptables/netfilter.
Mah, io essenzialmente per due motivi:
- CARP/pfsync.
- La filosofia security by default di OpenBSD, che per un firewall mi
sembra un ottimo punto di partenza.
- Personalmente proveniendo da iptables ho trovato pf molto piu' intuitivo
da configurare e semplice da debuggare.
ciao
Luca

basata su... Netfilter/Iptables.
Questo lo sapevo già :)
Riformulando più pignolamente la mia domanda: "quali vantaggi da ipcop
rispetto ad una debian con iptables?".
Ciao
The Big O

 rispetto ad una debian con iptables?".
Le cose facili son piů facili, le difficili son piů difficili...


Le cose facili son più facili, le difficili son più difficili...
Traducendo: ipcop semplifica la gestione di una linuxbox dedicata alla
funzione di firewall?
The Big O

 Tu cosa, invece?
Perlopiù idiosincrasie nel trattamento delle finestre TCP con alcune 
delle patch che citi... :-/
Altra cosa legata a questo, a voler ben vedere può essere proprio il 
discorso "patch": su linux i developer badano ad altro[1], in un certo 
senso, che non a integrare features rivoluzionarie nel packet filter.
Il risultato è che le cose migliori le cavi tramite patch, con relativo 
smazzamento tuo a risolverti gli eventuali problemi.
Per carità, patch-o-matic è una gran cosa, ma lo share che ha una 
feature di quel genere lì sotto linux (con la relativa mole di problemi 
che saltan fuori) è limitata, rispetto a quanto accade in OBSD: lì gli 
utenti son molti meno, complessivamente, ma in compenso il sistema ha la 
cura di *quei* dettagli come target principale, e sono proprio *quei* 
dettagli che i suoi utenti vanno a cercare/spulciare/testare.
C'è da dire che da quando son sul lavoro attuale, le mie competenze sono 
andate in altre direzioni[2], quindi è parecchio che non realizzo più 
firewall del tipo che fai tu; e nel frattempo ne è passato parecchio, di 
codice nei debugger...
[1] La mia opinione sul "cosa" la tengo per me, che è meglio... O per 
l'altra sede...
[2] Come i miei vaneggiamenti e la mia monotonia su determinati 
argomenti dovrebbe aver lasciato intendere...


 funzione di firewall?
Fintanto che le tue necessità son supportate da quello che la sua 
interfaccia offre. Se inizi ad andare oltre, diventa più difficile, 
perchè ti tocca infilare le mani in qualcosa che altrimenti sarebbe 
sicuramente stato fatto diversamente.


 sicuramente stato fatto diversamente.
Esatto, anche perche' solitamente quando si vedono come sono strutturate le
catene generate da una distribuzione per firewall non ci si capisce niente
dato che si perde l'astrazione di alto livello. E quindi mettere mano li'
penso sia quasi impossibile.


 perlomeno...
Secondo me e' indispensabile. Ed infatti...
# grep -i pcap /etc/ulogd.conf
pcapfile /var/log/ulogd/ulogd.pcap
pcapsync 1
plugin /usr/lib/ulogd/ulogd_PCAP.so
Fabio

 # grep -i pcap /etc/ulogd.conf
Ecco: esattamente quel che intendevo io. ;)
Quindi, alla fine, ulodg è equivalente a pflog, da questo punto
di vista.

 di vista.
Hmmm.. pare che inizio a stare troppo in ritardo.. Qualcuno dà 
ripetizioni? O__o


 ripetizioni? O__o
LOL!
Scambio con ripetizioni di postfix voodoo. ;-P

 Scambio con ripetizioni di postfix voodoo. ;-P
Quello è Mizio, chiedi a lui... :-/


 Quello è Mizio, chiedi a lui... :-/
E piantala di fare il modesto...;)

 E piantala di fare il modesto...;)
Che, l'hai detto a me?!?
Fancuuuulooo...


 di vista.
Non scherziamo eh? :-P Anche rimanendo nell'ambito "pcap logging"
non c'e' paragone tra la flessibilita' delle due soluzioni.
Ad esempio si possono avviare diverse istanze di ulogd in ascolto
su dei gruppi netlink diversi con impostazioni diverse secondo le
esigenze della direttiva di iptables che logga su quel gruppo. E'
comodo, tanto per dirne una, per sostituire i logging sistematici
con tcpdump/snort sulle interfacce "ballerine" (tun, tap, ipsec),
cosi' da metterli su file separati rispetto ai log del firewall e
con ampi buffer netlink e scrittura bufferizzata nel file di log,
magari con nice diversi. Sempre ad esempio, puoi forzare il flush
della coda nel caso arrivino pacchetti considerati critici. Ecc.
Fabio

 Non scherziamo eh? :-P
Ho scritto "da questo punto di vista", eh! :-P
un whiplash "ma non si è capito che sono uno zelota di netfilter?" :-) 

 Grazie
Ho testato ed e' ancora in uso presso diversi clienti IPCOP 4.
Non c'e' da discutere sulla base che e' Iptables; quello che a
mio parere sono dei punti a favore della distro sono:
- l'integrazione con altri servizi come proxy trasparente, gestione
della banda, statistiche dettagliate che fanno sempre gola ai capi.
- Ottima gestione degli upgrade di sistema. Specialmente perche'
non ti chiede di riavviare ogni volta il sistema :)
A parte cio' che ho sopra descritto e che chiunque ne abbia
le conoscenze implementa in poco tempo, il fatto pero' di trovarlo
integrato in una unica distribuzione gia' pronto e' un risparmio
non di poco.
La distribuzione contiene all'interno solo cio' che veramente puo'
servire ad un firewall senza fronzoli.
Insomma in diversi casi abbiamo introdotto Linux presso clienti
iniziando in questo modo...
Ciao..
--
Giuseppe Careri

 non ti chiede di riavviare ogni volta il sistema :)
Uh, io la mia Debian la riavvio solo quando cambio il kernel perché ho
modificato dell'hardware (e allora in un modo o nell'altro riavvio per
forza...).
-- 
Massimo Bacilieri AKA Crononauta 
ICQ:4005815

servire ad un firewall senza fronzoli.
E' possibile configurare iptables direttamente senza GUI varie?
Grazie ancora
The Big O

  intrusion detection, ... ...).
Mi diresti che software/tools usa per le funzionalità che hai citato?
Grazie ancora :)
The Big O

 sicuramente stato fatto diversamente.
Si e no. E' prevista la modifica A MANO delle regole senza interferire 
con l'interfaccia. Nel senso che ci sono dei files dove inserire regole 
"custom" non contemplate dall'interfaccia, e che l'interfaccia non ti 
andrà mai a toccare.


andrà mai a toccare.
Ma esiste un file "finale" che è la somma delle regole generate
dall'interfaccia e quelle custom? Insomma, formattato secondo la
sintassi di iptables, riusabile in altri sistemi linux con iptables?
Ciao e grazie
The Big O

 andrà mai a toccare.
Il problema non è quello che l'intefaccia tocca o non tocca.
Il problema è che il ruleset lo strutturi in funzione di quello che vuoi 
ottenere.
Mettere mano in un ruleset pensato in maniera non conforme a ciò che si 
vuol realizzare è scomodo, intricato, a volte impossibile.
Se si stabilisce che ciò deve avvenire si e no in un paio di occasioni, 
indubbiamente è fatica di poco conto, ma se ci si ritrova nella 
necessità di utilizzare tali regole spesso, si sta prima a sciversi a 
mano l'intero ruleset.


 mano l'intero ruleset.
Colgo l'occasione per segnalare questo:
http://www.vene.ws/firewallconfig
L'ho realizzato qualche tempo fa e l'idea era appunto quella fornire
un'interfaccia per la gestione del ruleset in grado di generare delle regole
con una struttura tale da essere comprensibile e permettere quindi
anhce la modifica manualmente.
Se a qualcuno potesse essere utile...


 E' possibile configurare iptables direttamente senza GUI varie?
Volendo puoi anche toccare a manina, su quello che teniamo in ufficio
come test ci pasticcio di brutto ma non e' mai crollato definitivamente,
certamente entro alcuni limiti lo puoi personalizzare.
Io una cosa che ad esempio faccio a tutti i clienti e' inserire un
smtp proxy server e nelle ultime patch e' stato anche inserito dnsmasq.
Per altre info sugli add-on dai un'occhiata qui :
http://www.ipcop.org/modules.php?op=modload&name=phpWiki&file=index&pagename=IPCopAddons
http://firewalladdons.sourceforge.net/
Saluti
--
Giuseppe

 
Scusami, forse non ho reso bene con le parole quello che avevo
in testa, anche se la faccina serviva proprio a questo....
Intendevo dire che gli upgrade vengono effettuati scaricando dei
.tar.gz che il sistema automaticamente decompatta ed installa
senza appunto chiedere MAI di riavviare come fa invece qualche altro
sistema d'oltreoceano....
Purtroppo anche lui da buon pinguino quando ricompili il kernel vuole
essere riavviato, e non solo per modifiche all'hw !!
Ciao.
--
Giuseppe