Newsgroup: it.comp.os.linux.sys
Titolo: firewall "invisibile"

A lavoro abbiamo uno scatolotto della packeteer che fa da firewall e da
packet shaper (limita la banda in base all'host e ai servizi). E' collegato
nel seguente modo:
internet
    |
router cisco
    |
packet shaper
    |
hub
    |
tutti i server
Premetto che ho già installato dei firewall linux che fanno da nat. La mia
domanda è: il suddetto packet shaper non ha un indirizzo IP, è completamente
trasparente (vi è assegnato un indirizzo IP giusto per la configurazione via
web), è possibile fare una cosa del genere con linux? e se si come?
Vorrei mettere un firewall linux su una rete con ip pubblici del tipo
a.b.c.* ma mi trovo in difficoltà perchè ero sempre abituato ad avere due
schede di rete (o scheda+modem) appartenenti a reti diverse, sicuramente mi
sfugge qualche cosa di banale ma non so cosa...qualche link please?



Mi daresti mica l'indirizzo web del packet shaper (che lo sto cercando
come il pane)?
Grazie
-- 
Roberto Tagliaferri<-> r.tagliaferri@(forse)
tosnet.it
	Il giovane marito si ammira nudo allo specchio...
	"Vedi cara, con qualche centimetro in più sarei un re"
	e la moglie "e con qualche centimetro di meno saresti una regina!"

 web), è possibile fare una cosa del genere con linux? e se si come?
La puoi fare molto meglio con OpenBSD.
Ciao

 Grazie
Certo:
http://www.packeteer.com/

 Ciao
Molto interessante, posso solo con OpenBSD o anche con gli altri due della
famiglia BSD? Dove posso trovare documentazione a riguardo?

In un messaggio del Tue, 05 Feb 2002 18:13:23 GMT Topper scriveva:


IMHO meglio, *molto* meglio OpenBSD: lo sto provando in questi giorni in
ufficio ed e' fantastico: fa stateful inspection con uno script che ha
un numero di regole ridottissimo rimanendo estremamente leggibile.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 un numero di regole ridottissimo rimanendo estremamente leggibile.
;-) carino vero?
A raga', se potete date un contributo al team di OpenBSD acquistando
i 2 cd originali.
Ciao

 writes:
Fra> La puoi fare molto meglio con OpenBSD.
Non č vero che lo fai molto meglio. Lo fai punto e basta.
Si fa bene anche con Linux.
Saluti
Marco

 writes:
thorin> IMHO meglio, *molto* meglio OpenBSD: lo sto provando in questi
thorin> giorni in ufficio ed e' fantastico: fa stateful inspection con
thorin> uno script che ha un numero di regole ridottissimo rimanendo
thorin> estremamente leggibile.
Non so quale sorta di kernel usiate voi, ma con netfilter si ottengono
delle configurazioni molto chiare e semplici. Non ci sono
controindicazioni all'uso di Linux in questo senso, neppure per uno
che ha usato ipfilter.
Ciao
Marco

 che ha usato ipfilter.
Ti ho gia' risposto nell'articolo precedente BTW io finora ho sempre
usato ipchains su kernel 2.2.x perche' non conosco iptables ma da quello
che ho sentito in giro non mi sembra proprio sia cosi' semplice da usare
anzi mi sembra di aver capito che si deve specificare cosa esce da una
chain per entrare in quale altra (una cosa del genere, l'ho letta un po'
di fretta da qualche parte) comunque sia OpenBSD almeno per questo lo
preferisco perche' non soffre di problemi che ha Linux riguardo il bug
del momento vuoi sul kernel vuoi sulla libc o su altro (e che OpenBSD
sia *molto* piu' sicuro mi pare sia un dato di fatto) e questo senza
nulla voler togliere a Linux per tutto il resto.


In un messaggio del 06 Feb 2002 12:26:13 +0100 kaboom scriveva:




Non voglio scatenare flame wars fra Linux e OpenBSD, lo sai che sono e
restero' sempre un appassionato del Pinguino ma posso dirti che dopo
aver provato il PF di OpenBSD 3.0 ne sono rimasto affascinato perche'
e' semplice (molto piu' di iptables - che non conosco ma da quel che ho
sentito in giro...) e potente (di ipchains che comunque anche rispetto
ad iptables ha delle limitazioni). Ti assicuro che puoi fare degli
script di regole ridotti ed estremamente leggibili.
Ne ho appena messo uno in ufficio (anche perche' con la policy di
default DENY su ipchains ho sempre litigato a morte) e ne e' uscito
fuori un feretro per tutti i cazzeggiamenti dei miei utonti.


 i 2 cd originali.
I miei li ho comprati in Belgio da Van de Putte.


 e non vedo?
Compare Gnomo me la mandi in pvt?
:-)
Saluti, Antonio Gallo - AGX per gli amici di Usenet
(o_         
http://www.antoniogallo.it
   Sito personale
//\         
http://www.badpenguin.org
    Progetto "Bad Penguin" (d)
V_/_        
http://www.linux.it/ILS
      Italian Linux Society 

 writes:
[...]
thorin> ho appena messo uno in ufficio (anche perche' con la policy di
thorin> default DENY su ipchains ho sempre litigato a morte) e ne e'
thorin> uscito fuori un feretro per tutti i cazzeggiamenti dei miei
thorin> utonti.
Md ha un ipotesi, che per certi versi condivido: ogni caratteristica
degli altri Unix prima o poi entrerà -se già non l'ha fatto- con
qualche originalità anche nel kernel di Linux.
Qualche bug openbsd ce l'ha (ce l'ha avuto anche in tempi recenti) e a
dirla tutta non mi spaventa la complessità di iptables, se poi, proprio
grazie a questa, si riesce ad ottenere una flessibilità non comune.
Saluti
Marco

 grazie a questa, si riesce ad ottenere una flessibilità non comune.
Iptable non è tanto male. Il problema di Linux e che cambiano gli header
ogni settimana, anche dei kernel di produzione, la cosa non intacca tanto
RedHat e compagnia bella ma chi deve gestire delle soluzioni customizzate
si trova a dover ricompilare oltre al kernel anche tantissimi pacchetti
che vanno a patchare il kernel o che hanno bisogno comunque di avere
i sorgenti del kernel decompressi e configurati... se questa operazione
non va liscia come l'olio ci si perde un sacco di tempo.
Per questo a "volte potrebbe" essere conveniente andare a cercare una soluzione
che non sia basata su Linux.
"A volte potrebbe"...
-- 


 fuori un feretro per tutti i cazzeggiamenti dei miei utonti.
quindi la regola:
deny all from any win to any win
funziona!
ciao

 funziona!
Direi proprio di si.. :)


 grazie a questa, si riesce ad ottenere una flessibilità non comune.
Nessun sistema, credo, e' esente da bug pero' Bugtraq alla mano pare
siano tutte cose di poco conto rispetto ad altri UNIX in generale.


 :-)
Mail spedita, THNX


PEr farla breve, stanotte stavo giardando il pacchetto debian bridgex.
Col kernel 2.4 si fa il bridging (senza IP) in maniera oserei dire BANALE).
Oltretutto supporta anche il firewalling.
Massimo

agx> Per questo a "volte potrebbe" essere conveniente andare a cercare
agx> una soluzione che non sia basata su Linux.
agx> "A volte potrebbe"...
Mica dico di no. È che non mi è capitato. Capiterà.
Ciao
Marco

 writes:
[...]
thorin> architetture SMP mentre Linux si quindi da questo punto di
thorin> vista Linux e' in vantaggio pero' posso dirti che la
thorin> sensazione di stabilita' che da' mi ha positivamente
thorin> impressionato.
Concordo. Non si puņ sempre aspettare Linux.
Spesso perņ Linux aspetta noi :)
Ciao
Marco

 Spesso però Linux aspetta noi :)
LOL, questo e' poco ma sicuro.. hasta el Pinguino siempre ! 8-))


grazie a questa, si riesce ad ottenere una flessibilità non comune.
Agree anche qui e aggiungo.
OpenBSD 3.0 ha aperto un grosso problema: il firewall storico di OpenBSD
e` cambiato (problemi di licenza). quindi quello che c'e` in questa
versione e` completamente _nuovo_ con tutti i problemi che questa frase
si porta dietro.
Oggi come oggi, _personalmente_, preferisco lavorare su
netfilter/iptables che mi sempra piu` rodato di pf, appena uscito.
Rimangono (linux e openbsd, imho, l'unico bsd che ha senso installare)
due splendidi prodotti, ognuno con le proprie peculiarita`
-- 
Maurizio - Tannoiser - Lemmo
STIGE Srl Servizi Informatici
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

 netfilter/iptables che mi sempra piu` rodato di pf, appena uscito.
Data la precedenza temporale mi sembra scontato questo..


 una botta di Vi e via !) che per un pessimo advocate incontrato altrove
:-) fallo con una SuSE :-)

 :-) fallo con una SuSE :-)
No grazie, preferisco vivere (C) Pubblicita' Progresso :-))



Seguendo questo thread, mi avete incuriosito...
Ho un paio di cdrom provenienti da riviste, tanto con openbsd che con
freebsd e volevo provare ad installarne uno per prender mano con uno unix
"altro". Come mai questa preferenza per openbsd (immaturita' del firewall
a parte)?
-- 
  paolo massei         |      Mi sono accorto di essere      |
****************       | troppo gentile per il mio carattere |
paoafr{at}
tin.it
       |        * Marcello Marchesi *        | 

 a parte)?
Il freebsd 4.2 che c'era su Linux e co non funziona, nel caso ti riferissi a
quello.
Io spezzo una lancia a favore di freebsd. Il layer scsi e' migliore e
recentemente hanno aggiunto il supporto cam anche per device atapi.
-- 
  Giuseppe "Cowo" Corbelli \/\ My software: 
http://cowo.yoda2000.net
    **ANTI-SPAM** -- **Substitute IHATESPAM with cowo to reply by mail**
-<! Computer programmers never die, they just raise an unhandled exception.!>-

a parte)?
Ovviamente si va a pareri personali. i *BSD hanno qualche vantaggio di
fondo, in primis sono Unix veri e propri (a differenza di Linux).
// ATTENZIONE
Chi scrive, preferisce ampiamente usare Linux a *BSD, non dimenticarlo!
I tre brench BSD (Free, Open e Net) hanno obbiettivi diversi.
Il Free e` il "multipourpose" (alla Linux, per intenderci), il Net e`
orientato al multipiattaforma, e l'Open alle "security out of the box",
ovvero orientate alla sicurezza come fulcro di partenza.
_Personalmente_, non sento il bisogno ne del primo ne del secondo (Sul
free la prima cosa che faccio e` tirare su bash, vim, mutt... tanto vale
tenersi linux no? - Per quanto riguarda il multipiattaforma, niente e`
piu` multipiattaforma di Linux oggi, dal OS/390 alla Playstation...);
mentre sono interessato ad una box con orientamenti alla security.
Capiamoci: E' possibili "sicurare" una box linux qualunque come e`
possibile fare immonde schifezze su una box BSD, ma se lo spirito della
distro e` orientato ad una cosa, farai meno fatica e avrai piu`
strumenti.
Due esempi minimi: in ambito professionale utilizzo debian e RH, la
prima, mi serve in ambito "server" per la sua caratteristica "Sysadmin
oriented". Non e` che non possa fare da desktop, e` solo che ha poco
senso IMHO.
La seconda (RH) la uso come workstation. Anche qui, non e` che non possa
fare da server e` solo che ha poco senso.
OpenBSD mi interessa come "server" tanto quanto Debian per queste
caratteristiche. gli altri BSD, per i miei gusti, potrebbero pure andare
a farsi benedire.
Forse, se fossi uno sviluppatore, avrei opinioni diverse.
Per la cronaca: a casa, slack resiste.
:-))
Ciao


 Per la cronaca: a casa, slack resiste.
Beh il problema è questo. La Slack puoi metterci le mani come vuoi
ma ha poco softare di base. Il FreeBSD è molto simile alla Slack
ma ha la directory dei ports che è comodissima se gestisci
un server :-)


 un server :-)
Si chiama feature: ha poco software di base perchè ti consente di
compilarlo ed installarlo, semplicemente, e praticamente tutto quello
disponibile ad oggi, cosa che con rpm,deb etc etc necessita attendere
che sia fatto da altri (quando tu non sei capace)....
Features....

un server :-)
Se gestisci un server non hai bisogno di molto software, e cosi` a
braccio, non mi viene in mente nulla che freebsd possa avere nei ports
lato server che non sia disponibile per linux.
Sul poco software di slack, se intendi pacchettizzato posso anche darti
ragione, ma:
1. ci sono i sorgenti
2. ci sono quelli che servono a me: bash, vim, mutt, ipchains/iptables,
ifconfig
;-)


  quello.
Ca**o, ecco perche' non funziona, grazie :(
-- 
 ___     | (o_
 |_|     | //\
 | |ndry | V_/_ Linux Newbie (quasi User :-) ), Slackware 8.0
         |        Linux User #221457

 ha scritto nel messaggio
news:slrna6inb4.1b...@poldo.andry.home...


 fondo, in primis sono Unix veri e propri (a differenza di Linux).
Scusa la domanda (volutamente con un pizzico di polemica :-)) ma che
significa "sono Unix veri e propri (a differenza di Linux)"?
Disorientato dal motto "Linux is not UNIX"? Dal fatto che nei sorgenti
di Linux non c'e' traccia dei sorgenti originali AT&T?
Ti faccio notare che anche in BSD non c'e' (piu') traccia dei sorgenti
originali AT&T.
A guardare questa figura
http://perso.wanadoo.fr/levenez/unix/history.html
sembrerebbe che Linux sia uno Unix, ne piu' e ne meno degli altri.
Se non sei d'accordo gradirei sapere la tua opinione su che cosa
definisce "essere uno Unix vero e proprio", e cosa no.
C:\>iao Angelo
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 recentemente hanno aggiunto il supporto cam anche per device atapi.
Io invece a favore di OpenBSD, FreeBSD l'ho provato per un po' e non mi
e' piaciuto ma siccome mi interessano le applicazioni in campo sicurezza
e firewall in generale ritengo OpenBSD piu' adatto.


 Features....
Dissento! La maggior parte del software "fuori" richiede spesso
di metterci le mani dentro per "farlo andare" xk anche gli header
dei kernel di produzione qualcuno si diverte a cambiarli...
Per questo mi piace /usr/ports/ contiene spesso gią le patch :-)


 ifconfig
Guarda che ho appena installato una slack su un server :-)
Ma che tristezza il syslog.conf :-P


 definisce "essere uno Unix vero e proprio", e cosa no.
Siamo nel 2002... :-)


significa "sono Unix veri e propri (a differenza di Linux)"?
Non preoccuparti (per la polemica). Avevo annunciato che prediligo
ampiamente Linux ai *BSD, per una serie di gusti personali.
Quello che ho scritto e` esattamente quello che e`. BSD fa parte del
"branch" originario Unix ed e` uno unix a tutti gli effetti.
Linux e` stato scritto da "zero" come "clone" (qui non ha un accezione
negativa) di unix.
Per chi inizia non fa` differenza, ma per chi viene dal mondo Unix
"canonico" si trovera`, in teoria, meglio sui i BSD rispetto a Linux.
Il sistema di sviluppo (in particolare del kernel) e` totalmente
diverso.
AFAIK, il kernel e` in mano ai loro sviluppatori, e non accettano patch
dall'esterno, esiste solo il "kernel ufficiale" nel bene (niente kernel
ac, aa, Suse, RH, ecc) e nel male (niente kernel ac, aa, Suse, RH, ecc)
:-)
Sono due sistemi diversi, in definitiva.
-- 
Every program has two purposes -- one for which it was written and
another for which it wasn't.


Ma che tristezza il syslog.conf :-P
Perche`? cmq, c'e` syslog-ng...


 Slackware RULEZ....:)
E' appunto se hai una slackware di prova xk non provi
a smanettare con i miei tool per i pacchetti??
 
http://ftp.badpenguin.org/


 E' troppo gonfio??
Scarno


 Perche`? cmq, c'e` syslog-ng...
Ah non il demone ma il file di configurazione di default :)


Solaris non č System V?
SLOWlaris e` un paciugo.


 [...] Come mai questa preferenza per openbsd [...]
io sono molto umorale, utilizzo Linux, FreeBSD e Win98, ma mi sono
appuntato OpenBSD per la prossima occasione.
Ho parlato bene di FreeBSD solo perche' e' l'unico SO (di quelli che
avevo in mano (Debian, EasyLinux, Mandrake, RH per citarne qualcuno))
che si e' installato senza problemi su un 486 16M con un disco un po'
gigio riciclato come gateway domestico, si e' riavviato dopo la
ricompilazione del kernel e da allora sta li' senza lamentarsi pur
avendoci fatto girare ogni specie di porcheria (squid era un po'
lento).
Poter scrivere poche, comprensibili ed efficienti regole di
firewalling, per uno che gia' e' in crisi su win e ha sempre pensato
ai sistemi BSD come a qualcosa di buono per extraterrestri con
cervello binario, me lo ha fatto piacere ancora di piu'.
Tutto quello che ho fatto l'avevo gia' fatto, con grande
soddisfazione, con Linux (e sicuramente e' realizzabile con Win, ma
non saprei come), pero' non su quel PC.
I giudizi sulle modalita' di distribuzione del software, sulle utility
di configurazione ecc. ecc. mi sembrano dipendere soprattutto dal
gusto personale; nella mia esperienza e per le mie esigenze sono tutte
ottime.
L'utilizzo di sistemi Linux o BSD in ambito domestico mi lascia solo
un'unica grande perplessita': che l'abbondanza di distribuzioni
disponibili e il loro basso costo facciano concentrare l'attenzione
sul mezzo anziche' sul fine.
Ciao a tutti

  Peccato perche la rivista vale ma l'editore molto meno :-((
a me, l'unico che non funziona e' quello, e sono abbonato da 8 mesi ormai  


 Sono due sistemi diversi, in definitiva.
Diciamo che Linux:Unix = PC Compaq:PC IBM :-)


 SLOWlaris e` un paciugo.
Mi pare che abbiano annunciato che con il 9 (?) abbandoneranno il threading
a 3 livelli dopo che l'hanno menata per anni con questa meravigliosa e
tartarugosa feature. Tolto questo io pure non vedo quali caratteristiche
abbia Solaris di cosi' superbe.
PS: se sei iscritto a linux-cdwrite fai presente la tua opinione su Solaris
all'autore di cdrecord, ti magna il muso :-))
-- 
  Giuseppe "Cowo" Corbelli \/\ My software: 
http://cowo.yoda2000.net
    **ANTI-SPAM** -- **Substitute IHATESPAM with cowo to reply by mail**
  -<! Computers are not intelligent.  They only think they are. !>-

all'autore di cdrecord, ti magna il muso :-))
Rotfl, per fortuna no... ma sentiti libero di veicolare questo dato
tecnico:
Slowlaris e` un bocchino. ;)
-- 
Why is "abbreviation" such a long word?
