Newsgroup: it.comp.os.linux.sys
Titolo: pvlan, vlan o simili

semplificando molto, supponiamo di avere due server gestiti da
clienti.
come proteggersi da vari spoofing (ip, arp, mac) evitando quindi che
l'utente 1 possa in qualche modo danneggiare l'utente2 magari
cambiandosi semplicemente il proprio ip mettendo quello di utente2?

 cambiandosi semplicemente il proprio ip mettendo quello di utente2?
Non dandogli le password di root, configurando ad uopo lo switch/router
in modo da non accettare ip diversi da quelli 'giusti', lartando a
dovere il cliente in questione.
Davide
-- 
Microsoft should switch to the vacuum cleaner business where people
actually want products that suck.
   -- Bruno Bratti


Li metti in due vlan diverse.
-- 
http://bofhskull.wordpress.com/

 dovere il cliente in questione.
Non possono non dare la password di root al proprietario del
server. Il server � il suo.
So che sugli switch � possibile forzare il mac address, ovvero ogni
porta pu� fare accedere solo un dato mac, ma con gli IP non mi pare
si possa fare. Sarebbe perfetto. Una volta lockato l'ip ed il mac,
l'utente difficilmente potr� fare degli scherzetti.
Per� ho come l'impressione di complicarmi la vita.
Se un giorno l'utente volesse 5 ip, dovrei riconfigurare gli switch.

 Li metti in due vlan diverse.
Esatto, come pensavo di fare io.
Ma ci sarebbe uno spreco di almeno 3 ip per utente,
ed in breve tempo mi ritroverei a gestire una fiumana
di vlan assurda. (le virtual machine, croce e delizia)
Da qu� al mio topic precedente: come aggrego le vlan per non
finire gli ID, che sono "solo" 4k?
Dovrei terminare le vlan degli utenti su una porta di un router,
ovvero dovrei piazzare dei router di distribuzione ogni X server
o meglio, ogni 4k vlan. Non ci arriver� mai, ma proprio mai, ma
mi piacerebbe avere almeno il controllo della situazione ovvero
sapere cosa fare nel caso mi dovessi trovare in questa sciagurata
situazione.
Mi sembra una soluzione un po 'strana', poi non so, magari � la
normalit�... Ma non vorrei ritrovarmi con un sistema fatto alla
pene di segugio per colpa di una errata progettazione iniziale.
Googolando, il livello di aggregazione � composto, solitamente, da
switch, che AFAIK supportano 4k vlan per chassis, e non per porta
come i router.

 Se un giorno l'utente volesse 5 ip, dovrei riconfigurare gli switch.
In tal caso puoi solo raccomandargli di non fare 'azzate (come se
servisse a qualche cosa) ed aspettare il botto.
Davide
-- 
Ah, young webmaster... java leads to shockwave. Shockwave leads to
realaudio. And realaudio leads to suffering. -- Peter da Silva

 servisse a qualche cosa) ed aspettare il botto.
Con delle VLAN per� non avrei di questi problemi.
L'utente potrebbe far quel che gli pare, tanto sarebbe
comunque confinato alla sua VLAN.
Se cambi l'ip, ti tagli fuori dalla rete, dato che perderesti
anche il default gw.

 Con delle VLAN per� non avrei di questi problemi.
Pero' poi devi definirti le VLan e se lui vuole aggiungere degli ip al
suo server (ip pubblici ovviamente), dovrai aggiungere le route al
router/switch/firewall...
Davide
-- 
Why use Windows, since there is a door?

 router/switch/firewall...
Per i soli IP aggiuntivi, perch� quelli interni alla sua subnet
gi� sa dove trovarli.
Ad esempio se la vlan eth0.100 � 
10.0.0.0/31
, non devo fare alcuna
route. Dovrei fare una route per aggiungere 
10.10.10.1/32
 e veicolarlo
su quella vlan.
Uhm, bisogna valutare le due cose.
o locko ip e mac sullo switch (e non saprei come fare a lockare gli IP
sinceramente) oppure mi pongo il problema solo se devo ruotare alcuni
ip aggiuntivi all'interno di una vlan gi� creata in precedenza.
Per� scusa, sugli switch � possibile lockare pi� di 1 ip per ogni porta?
Posso dire che la porta X pu� lavorare solo con il MAC Y
e gli IP A, B e C mentre gli altri IP sarebbero tagliati fuori?
Mi sembra strano....

Peregrino "Pipino" Tuc ha scritto:

vlan e blindi....altrimenti devi separarli fisicamente...

 come i router.
Il limite delle 4k VLAN � dato dalla dimensione definita (12 bit) per 
l'ID nel frame, non da limiti degli apparati.
-- 
http://bofhskull.wordpress.com/

 e gli IP A, B e C mentre gli altri IP sarebbero tagliati fuori?
Dipende da che switch hai. La risposta di base in caso tu usassi Cisco 
L3 sarebbe si.
Anche perche' l'idea di fare security con solo le vlan imho e' un po' 
superficiale; il vlan hopping e' ad un secondo di strada per uno che ha 
la passgour di root su una macchina unix-like.
Personalmente andrei di ACL sugli IP e filtering sui mac poi tutto 
dipende da che frequenza di manutenzione ipotizzi di avere.
Rizio
-- 
Si dice che essere liberi significa non avere nulla da perdere...sembra 
facile a prima vista...ma la verit� � che non avere nulla da perdere 
significa essere pronti a rischiare tutto ci� che si possiede.

 la passgour di root su una macchina unix-like.
Solo se le VLAN le ha configurate un demente.
Altrimenti ti credo quando me lo fai vedere.
-- 
http://bofhskull.wordpress.com/

 l'ID nel frame, non da limiti degli apparati.
Si lo so.

 dipende da che frequenza di manutenzione ipotizzi di avere.
Quindi tu bloccheresti le vlan?
Allora forse � meglio mettere dei router multiporta come distribuzione
piuttosto che degli switch.
Potrei filtrare per ogni porta le 4k vlan terminate su di essa
impendendo il traffico tra eth0.100 e eth1.100 che sono due vlan
differenti su porte differenti.
Per� cos� mi pregiudicherei il traffico legittimo tra server.
Oppure, intendi filtrare gli IP utilizzabili su una determinata vlan?
qualcosa tipo (buttata gi� per rendere l'idea e non testata):
iptables -A FORWARD -i eth0.100 -s ! 
10.0.0.0/30
 -j DROP
dovrebbe bloccare tutto il traffico in forwarding da eth0.100 non
appartenente a 
10.0.0.0/30
e' questo che intendi?

 Otterrei quindi 4k*4k vlan possibili.
E una rete incasinata allo spasimo nella gestione.
4000 reti distinte, anche ammesso di dare solamente 8 IP (quindi 5 
utilizzabili) a VLAN, significa che stai allocando una /17 *satura* 
gestita da una unico datacenter in una unica struttura L2.
La vedo *assai* difficile, come prospettiva.
Tu fai pure come ti pare, ma io suggerisco vivamente di concentrarti su 
una buona progettazione dello strato L2-L3 "tradizionale".
Almeno, se l'obiettivo � quello di ottenere qualcosa di funzionante.
Se e quando dovessi avere 4000 clienti in housing, il flusso di cassa 
che hai � tale da poter realizzare il secondo datacenter in cui mettere 
i successivi 4000...
-- 
http://bofhskull.wordpress.com/

 i successivi 4000...
non se sono a 9 euro l'una :D
Comunque, ripeto, non � il mio caso, sto solo ragionando con i valori
massimi per trovare la best-practise. Non devo fare nulla di cos� complesso.

 non se sono a 9 euro l'una :D
Allora, forse, le stai vendendo ad un prezzo che non ti puoi permettere.
-- 
http://bofhskull.wordpress.com/

 Allora, forse, le stai vendendo ad un prezzo che non ti puoi permettere.
non sto vendendo niente, si fa per parlare.

 complesso.
vado OT ma giusto per capire...stai (vorresti/immagini) di poter fornire 
dei mini vps a 9ï¿½ ? no dimmelo perchï¿½ te lo compro subito

 Altrimenti ti credo quando me lo fai vedere.
Puo' essere, pero' google e' di tutt'altra idea, cmq e' una questione di
opinioni; personalmente _non_ la considero una misura di sicurezza, per
lo meno fine a se stessa.
Ci sono centinaia di esempi e di bug che rendono le vlan insicure con
unico metodo di protezione (a prescindere da come sono configurate); da 
sole non sembrano proprio inattaccabili, soprattutto per chi
ha la password di root di una macchina in inside.
Aggiungi anche questo, per chi usa VOIP in azienda:
http://www.cisco.com/warp/public/707/cisco-sn-20050608-8021x.shtml
e qualche dubbio imho c'e' da metterselo.
Poi sicuramente tu avrai gia' valutato con i fatti quello che dici pero'
io preferisco non contarci eccessivamente, tutto li'.
Se qualcuno vuole provare:
http://www.darknet.org.uk/2008/01/voip-hopper-vlan-hopping-tool/
Premetto che io non l'ho mai provato ma tempo fa avevo anche visto un
proof of concept a riguardo ma ora non ricordo piu' dov'era....


 dei mini vps a 9€ ? no dimmelo perchè te lo compro subito
No, non voglio fare niente.
Io devo gestire i miei vps e volevo fare una vlan per ciascun cliente.
Al che mi son domandato: ma se si dovessero fare più di 4000 vlan
ovvero se si dovesse superare il limite dei 12 bit dell'ID, come poter
gestire tale cosa?
E' semplice curiosità.
Quello che devo fare è proteggere da sabotaggi la VPS di X da parte di
Y
e credo basti fare una VLAN.
Però se vuoi VPS a 9 euro................. :)

 ha la password di root di una macchina in inside.
Stando a quei documenti, sembra un problema per chi usa VoIP...

 lo meno fine a se stessa.
E quindi come opereresti te per mettere in sicurezza una rete basata
su vlan partendo dal presupposto che NON si hanno ne gli accessi ne
il controllo dei server virtuali al suo interno?
Devo fare tutto ad un livello sopra i server, il server in se per se è
offlimits.

 Stando a quei documenti, sembra un problema per chi usa VoIP...
No, non solo, quello del voip e' per un "bug" (tra virgolette perche' in 
realta' sembra essere un metodo di funzionamento intrinseco del protocollo).


 protocollo).
Ma quindi come risolveresti il problema del vlan hopping?

 il controllo dei server virtuali al suo interno?
Usare le VLAN con la testa, e sapendo cosa sta accadendo nel dettaglio.
*Tutto* il traffico non trusted (il che significa tutto tranne il 
traffico di controllo) deve transitare rigorosamente taggato, *mai* in 
native.
Disabilitare pedissequamente tutte le funzionalit� di autoconfigurazione 
del trunking su tutte le porte di tutti gli switch, e operare solo 
impostazioni manuali.
Prepararti un bel template di configurazione ragionato.
Non usare switch della mutua.
-- 
http://bofhskull.wordpress.com/

 offlimits.
E questo ci sta'....


 Tutto li'.
E' esattamente quello che voglio fare io, per questo ne sto discutendo qui.
Non devo gestire 4k vlan, mi stavo giusto chiedendo come poterle gestire.
Io ne gestir� molto meno, e vorrei sapere come adottarle in sicurezza
evitando spoofing di vario genere, dato che non ho il controllo di tutti
i server che stanno sotto.

 Non usare switch della mutua.
Ok.

 i server che stanno sotto.
Sono d'accordo con te.... anche solo perche' c'e' gia' abbastanza gente 
che lavora con il cxxx senza bisogno di andare ad incrementare 
obbligatoriamente il loro numero.... almeno proviamo a fare le cose 
fatte bene, poi al massimo possiamo sempre scaldarci nella copertina di 
Linus del "io ci ho provato"...


 native.
P.S. Cosa cataloghi come traffico "untrusted" ? Mi riferisco a traffico 
di routing o cdp.


 di routing o cdp.
Per dirla tutta, tutto � untrusted, salvo la vlan1.
E in VLAN 1 non c'� nulla se non il management degli apparati, sotto il 
mio unico, univoco e sovrano controllo... ;-)
Ovviamente, su una VLAN non routata.
-- 
http://bofhskull.wordpress.com/

 Ovviamente, su una VLAN non routata.
Minimo ;)


 porte trunk e port security.
Dunque, non ho cisco, ma dovrei risolvere ugualmente.
Proviamo a ricapitolare.
Su XenServer avr� 5 virtual machine.
Ogni VM dovr� appartenere ad una vlan specifica ed avr� il proprio
IP.
Sullo switch imposto la porta1 in modalit� tag (dato che trasporter�
le vlan di tutto il nodo).
Creo una ACL per ciascuna VM.
La ACL1 far� il permit del solo traffico proveniente da 
10.0.0.0/30
Associo la VLAN1 alla ACL1.
Per la miseria, i miei switch non fanno ACL su VLAN!!!!!

 Per la miseria, i miei switch non fanno ACL su VLAN!!!!!
E allora che parli affa' !!! ^_^
'guri


 access vlan1" per l'associazione della porta al tagging della vlan 2
Yup.... volevo scrivere "vlan 1" in realta'


 Per la miseria, i miei switch non fanno ACL su VLAN!!!!!
mi correggo, forse abilitando l'ip source guard in questo modo:
ip source-guard binding 11-22-33-44-55-66 vlan 1 192.168.0.99 interface 
ethernet 1/5
dovrei riuscire a dire che la porta 1/5, su vlan 1, puï¿œ accettare solo
un IP 192.168.0.99 avente MAC 11-22-33-44-55-66.
Devo capire se la stessa porta puï¿œ avere piï¿œ di un source guard, uno per
ogni vlan.

 access vlan1" per l'associazione della porta al tagging della vlan 2
trunk, ovviamente transitano pi� vlan, ovvero tutte quelle delle
singole virtual machine.
In realt�, ogni porta sullo switch (connessa al server) sar� un trunk
che trasporter� 5 vlan.

 me lo fai vedere.
Quoto.
Iniettare da una vlan a un'altra è teoricamente possibile; ricevere però
qualcosa in risposta è tutt'altra storia...

 dei mini vps a 9€ ? no dimmelo perchè te lo compro subito
Ci sono di già: 
www.server4you.de
 offre VPS (ovviamente basati su 
Virtuozzo) a prezzi del genere
-- 
"Le opinioni dei fanatici prescindono dai fatti"
python -c "print 'bG9ybWF5bmFAZ21haWwuY29t'.decode('base64')"
Linux Registered User: 461615