Newsgroup: it.comp.os.linux.sys
Titolo: meglio un firewall software su LINUX o un firewall hardware???

Sono amministratore di una piccola rete basata su win2000server e stiamo
valutando la possibilità di attivare una connessione adsl in alternativa a
quella attuale con dialup su isdn.
Pensavamo di implementare un firewall software sfruttando un vecchio pc k6
installando Debian ma qualcuno mi ha sconsigliato di farlo per presunti
problemi di configurazion del firewall (troppo complicato...) suggerendomi
di affidarmi ad un qualsiasi buon firewall hardware (3com).
Se qualcuno che ha esperienza può aiutarmi a sciogliere questo dubbio......
Saluti.
Ringraziamenti anticipati.
Luca

 di affidarmi ad un qualsiasi buon firewall hardware (3com).
I firewall hardware sono in genere dei computer con OS preconfigurato ed
hardware ridotto all'osso. Il firewall lo configuri tramite una interfaccia
(di solito Web), ma la sostanza non cambia.
Ritengo che, essendo tu un'amministratore, l'installazione e la manutenzione
di un firewall dovrebbero essere una parte dei tuoi compiti e non
"troppo complicati". Vedi il Firwall-HOWTO e l'IP-CHAINS-HOWTO su
www.pluto.linux.it
 o 
www.linuxdoc.org
Davide

 wrote:
Se oltre ad utilizzare il PC in questione come firewall, volessi utilizzarlo
anche come server di posta interna, pensate che questa scelta implichi
problemi di sicurezza??

 di affidarmi ad un qualsiasi buon firewall hardware (3com).
IMHO i firewall hardware non esistono, (tranne una bella forbice per 
tagliare i fili di rete) anche i firewall (costosissimi) chiamati 
hardware sono un computerino con un OS ed il suo kernel che filtra i 
pacchetti, proprio come linux, solo che sono preconfigurati, più facili 
da installare, ma meno scalabili.
Chi dice che un firewall software è meno sicuro può avere due motivi:
1) è un rivenditore di firewall "hardware"
2) non sa che è il sig. kernel in persona a filtrare i pacchetti
se il firewall è un software che sta sopra all'OS è più facilmente 
"bucabile", (vedi zone allarm e simili) se è il kernell direttamente a 
filtrare i pacchetti è molto meno bucabile (vedi iptables di linux).
ovviamente tutto rigorosamnete IMHO
cya
Banana


Il thread è un po' trito e ritrito, comunque...
1) La difficoltà di implementare un fw sta nella conoscenza dello stack 
necessaria a configurarlo *bene* non certo nella sintassi del comando 
usato per implementarlo. Per cui la presunta difficoltà è assolutamente 
fittizia.
2) Un conto è un FW hardware e un conto un FW appliance. La differenza è 
grande... l'appliance è chiamato anche, impropriamente, hardware, ma 
sono cose distinte... l'appliance ha un firmware in flash che altro non 
è che un OS in tutti i sensi... diciamo che in linea di massima è 
equivalente a un Linux + fw sw... dà un'idea il PIX di cisco che poi ha 
anche hardware di architettura x86: è un pc, per dirla tutta... 
ovviamente però è già ottimizzato per fare quello e farlo bene...
l'HW e basta è una cosa + o meno inutile (IMHO, sia chiaro), dato che 
per sua natura è privo di flessibilità: è basato su una cpu ASIC. Se i 
controlli effettuati dalla ASIC sono aggirabili o buggati, te li 
tieni... se vuoi fargli fare qualche controllo che non implementa alla 
nascita, te lo scordi... e già qui le differenze mi paiono evidenti. Se 
poi vedi i prezzi, lo diventano ancora di più...
Se non hai grande esperienza di tcp/ip e la tua configurazione tende al 
complesso, allora potrebbe essere sensato andare su un appliance (ma se 
la rete è piccola, come dici, non credo sia il tuo caso). Più sensato 
ancora è far fare il FW a qualcuno che lo faccia di mestiere...
Se non hai grande esperienza di linux, invece, meglio andare su una 
minidistro ottimizzata, che ti evita un sacco di beghe e i possibili 
bichi dovuti all'inesperienza...
PS: vai a dare un'occhiata agli archivi di it.comp.reti.cisco e alla 
mailing list di 
sikurezza.org
: l'argomento è stato sviscerato anche 
nelle sue incarnazioni più estreme.. se vuoi una panoramica 
dell'argomento i dati non mancano...
Byez...
-- 
Emanuele Balla aka Skull
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)

 di affidarmi ad un qualsiasi buon firewall hardware (3com).
se hai una buona esperienza con linux direi che non avrai grossi problemi
a costruire questo firewall (chiaro che il vecchio pc deve essere anche un
pc affidabile), se invece non hai mai amministrato una macchina linux e/o
non hai confidenza con la gestione di un firewall e su come funziona il
protocollo ip ti SCONSIGLIO vivamente di fare una cosa simile!
infine, se mi trovassi io nelle tue condizioni non userei nessun firewall,
ma mi accontenterei di un banale router che faccia nat, guadagnando in
affidabilita` (se va via la corrente riparte da solo senza rischi per il
filesystem, ad esempio) e tempo di gestione (praticamente nullo, una volta
configurato)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 Si, *MAI* un firewall deve fornire alcun tipo di servizio.
frena, pier, sta parlando di server di posta, per definizione puo'
essere esposto, e se scelto con cura, non aumento particolarmente i
rischi.
Lo puo' fare, con le dovute accortezze, solo se serve anche da server
esterno, altrimenti il gioco non vale la candela.
-- 
          |Save our planet!
   Ciao   |Save wildlife!
  roberto |For your E-MAIL use ONLY recycled Bytes  !!
          |roberto poggi   
rpo...@softhome.net

ho un bel po' di esperienza sul campo quindi ti scrivo la mia opinione:
1) esistono firewall su hardware dedicato con sistema operativo embedded 
atto solo a filtrare, come i pix della cisco. costano parecchio, la 
configurazione richiede esperienza, come sicurezza sono molto buoni, 
visto che fanno solo quello che devono, ovvero filtrare i pacchetti.
2) esistono altri firewall su hardware dedicato che fanno girare una 
versione modificata di linux (o altro), offrendo magari un'interfaccia 
grafica per la configurazione più o meno intuitiva. costano meno del pix 
e la sicurezza dipende dal modello. ad esempio i watchgard costano 
relativamente poco (mi pare qualche milione) e sono dei pc monchi senza 
disco fisso eccetera che fanno il boot dal floppy (per lo meno quello 
che ho usato io in passato). sul floppy ci sta una mini distro linux 
fatta per l'uopo
3) la soluzione più flessibile è di certo una bella macchina linux 
installata ad ok (ovvero senza compilatori e servizi - se è un firewall 
eviti di installare sendmail o apache o altro, deve fare il firewall! Se 
sei capace di cofigurarlo non è molto diverso dal pix - d'altronde per 
configurare un firewall che garantisca una buona sicurezza non 
bisognerebbe essere dei bambocci e la diffixcoltà non dovrebbe ricoprire 
un ruolo predominante nella scelta. costa poco e ci metti quello che 
vuoi. In ogni caso, le grosse ditte continuano a prediligere i pix, in 
quanto è facile gestire l'uso di failover (firewall in background che si 
sostituiscono al principale se si incarta) e il nome cisco a loro suona 
come garanzia.
per il tuo caso io consiglierei una macchina linux dedicata

 configurato)
e se il firewall lo fai girare da cd senza dischi e senza problemi di 
filesystem???
per quanto riguarda la configurazione, non č poi tanto difficile
-----------------------------------------
#!/bin/bash
iptables -A POSTROUTING -i ext_inf -s ip_locali/netmask -j MASQUERADE
echo "1" > /proc/sys/net/ipv4/conf/all/forwarding
---------------------------------------
con 2 righe abiliti il routing corretto, poi basta mettere delle regole 
(poche) per accettare le conessioni RELATED, ESTABLISHED, vietare le 
connessioni NEW dall'esterno, policy a DROP.
in 10 o 15 righe ti fai un firewall, di basse pretese, ma funzionante 
(egregiamente).
cya
Andrea

 configurato)
Il tuo post ha appena fatto partire un brivido lungo la mia schiena...
E non era di piacere...
Quello che dici è proponibile nel caso in cui come router ti ritrovi in 
casa un cisco con IOS firewall e un *BEL* contratto con cisco che ti fa 
passare in casa tutti gli aggiornamenti al firmware.
*NON* è affatto più facile da configurare, ma almeno ti dà qualche 
garanzia non banale...
In qualsiasi altro caso è suicida.
Poi, conosco gente con un mailserver/proxy con dentro anche i dischi 
condivisi con i dati sensibili dell'azienda, il tutto su winnt con ip 
pubblico e senza FW davanti e con le condivisioni visibili al mondo... a 
'sta gente non è mai successo nulla (!!!); per cui c'è di peggio al pat 
del router...
Il nat/pat dei router non aggiunge *nulla* alla sicurezza, così come non 
lo fa il fatto di impostare (come molti fanno) solo una regoletta di 
masquerade (che è la stessa cosa) con la input chain a drop...
Questo è un mascheramento della rete interna... un firewall è un'altra 
cosa...
byez...


 masquerade (che č la stessa cosa) con la input chain a drop...
Senza polemica e solo per cercare di capire. Perchč ed in quali casi 
(esempi pratici, intendo) un nat sarebbe meno sicuro di un packet 
filter qualora dovessi solo condividere un accesso ad Internet 
(senza fornire servizi). 
-- 
Vincenzo


concordo al 101%

 Si, *MAI* un firewall deve fornire alcun tipo di servizio.
beh, pero', SE e' un server di posta interno (quindi dall'esterno il
servizio e' inaccessibile, lo blocchi da ipchains/iptable...
vedrai che problemi ne hai pochi)
E non hai utenti furbetti
E non usi sendmail (postfix e' meglio)
direi che lo puoi fare.
Imho, un firewall per reti piccoline, puo' offrire anche servizi
INTERNI (oh, poca roba eh)
-- 
nebbia

 ha scritto nel messaggio
news:apb1sj$3gk$1...@ciemme.it...

io dico: firewall+proxy imho può andar bene...

 
tanto per fare un esempio spiccio spiccio :-)
il nat effettua una riscrittura degli ip sorgenti dei pacchetti in 
uscita da una interfaccia.
dato che mantiene traccia di queste connessioni "iniziate da dentro", è 
in grado di fare l'operazione opposta e cambiare la destinazione, che 
passa da ip pubblico a ip privato.
Dato che non esiste una route valida per un ip privato, ciò fa sì che 
dall'esterno l'unica cosa visibile della tua rete sia l'ip pubblico del 
router che si occupa del nat. Ergo, se chiudi i servizi del router 
(tipicamente 23 e 80) in teoria saresti a posto.
In realtà, se da una macchina che fa parte della stessa network dell'ip 
pubblico del router imposti il router stesso come gw per la network 
privata, passi, perchè hai un routing valido.
Idem per quanto riguarda eventuali pacchetti con loose source routing 
impostato: basta sapere gli indirizzamenti della tua rete interna, 
creare il pacchetto perchè la route attraversi il router e passi...
Ecco perchè si parla di packet filtering (magari stateful) e 
firewalling, anzichè di NAT...
E' solo un esempio, e anche banale, ma mi pare significativo...
Byez.



PS: sono un discreto numero, ma molti meritano un attenta lettura.
-- 
Always remember that you are unique.  Just like everyone else.
Maurizio - Tannoiser - Lemmo
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

 tematiche, molto bello e tecnico.
Come diavolo fai a sopportare la caciara che c'è in quel NG? mi fa 
venire l'esaurimento nervoso il solo leggere la lista dei thread...
uno skull con i brividi...


 di affidarmi ad un qualsiasi buon firewall hardware (3com).
Premesso che configuro firewall Watchguard (configuro non vendo e quindi non 
ho nulla in magazzino da piazzare ;-), faccio le seguenti considerazioni 
specifiche dei prodotti che conosco:
Hardware:
una appliance ha un hardware specifico per la sua funzione, quindi:
solo quello che serve (meno cose ci sono, meno cose si possono rompere); 
ovviamente niente hard-disk, ma memoria flash; 
struttura che da un certo livello in su si monta in un rack da 19" insieme 
ad ups, server, router e switch;
il modello piccolo di firewall non ha nemmeno la ventola;
Ovvia controindicazione, se una appliance va arrosto, a meno che tu o il tuo 
fornitore non ne abbia una di scorta, rimani senza connessione fino 
all'avvenuta riparazione; invece in caso di Pc è sufficiente andare al 
supermercato e comprarne un altro.
Costi: 
si parte da 400-500 euro per i piccolini passando a 3.500 euro per 700 
utenti fino all'infinito per le configurazioni ridondandi da migliaia di 
VPN attive contemporaneamente (non vendendoli prendete la cifra come molto 
indicativa); 
con Linux si può recuperare un vecchio Pc, ma personalmente cambierei il 
disco e darei una buona pulita alle ventole di raffreddamento.
Gestione:
Su Linux c'è assolutamente tutto quello che serve per la reportistica, per 
il filtraggio dei siti, ecc... ma bisogna andarselo a trovare installarlo e 
configurarlo.
Con i Watchguard trovi tutto bello pronto, inscatolato, per windows 2000 
professional, da installare con qualche colpo di click sul pulsante avanti 
(certo per impostare le regole e per capire cosa ti dicono i log devi 
metterci del tuo, non a caso faccio un paio di giorni di corso/attivazione 
prima di lasciare il firewall in mano al responsabile della rete).
a titolo esemplificativo: 
configurazione visuale delle regole (più veloce e meno facile sbagliare);
analisi e filtraggio dei log;
generazione (anche a tempo) di report in formato html, che puoi depositare 
direttamente sul tuo web server e rendere disponibile a tutti;
VPN-IPSEC semplicissima da attivare (una sola macchina deve avere un 
ip-statico, le altre possono anche averlo dinamico)
Possibilità di obbligare gli utenti a loggarsi prima di dare loro accesso 
alla connessione, o in alternativa aggancio con un dominio NT;
Servizi: 
qui un prodotto specifico può fare la differenza. Attivando l'abbonamento 
live service, si ha:
nuove release di software;
l'accesso alla community mondiale di utenti watchguard, focalizzata 
ovviamente su tali prodotti;
si ricevono via e-mail (o forum) notizie quotidian sui gli ultimi exploit, 
con indicato come pararli (mandano non solo cose specifiche al proprio 
firewall, ma ti avvisano pure che è uscita la tale patch da installare su 
windows);
si ricevono articoli in generale sulla sicurezza fornendo un canale di 
aggiornamento sulla sicurezza ben scritto e curato da professionisti.
Conclusione, come al solito non c'è una risposta univoca.
Se hai tempo di mettere su e SOPRATTUTTO SEGUIRE il firewall, linux va 
benissimo. Sottolineo il seguire, e cioè installare patch, e aggiornare i 
vari pacchetti utilizzati nella configurazione.
Se invece fai mille lavori, allora fatti aiutare da prodotti come il 
watchguard che ti porta a casa notizie, aggiornamenti software, e ti 
permette in generale di fare molto in poco tempo.
Un ultima nota, ovviamente i firewall watchguard usano linux come loro 
sistema operativo ;-)
Stefano Sancese
-- 
Pgp Fingerprint: FF8D 7255 E8DE 882C  7991 B3E7 C703 C7EA
In God we trust, all others we monitor (National Security Agency)


Ottimo, grazie.
-- 
Vincenzo

uno skull con i brividi...
un tannoiser con i filtri. :)
-- 



appunto :-)

 Si, ma non sulla stessa macchina: e' questo che vado dicendo, mi sono
Se vuoi ti posto il message-ID di un post di Md'I dove afferma invece
che non e' una cosa sbagliata. L'esempio lo faceva con postfix.
Non aggiungi grosse falle, fidati.
Anzi, cosi' il fw e' ancora piu' chiuso, la 25 non la deve veicolare da
nessuna parte.
Ma come sempre, occorre che l'MTA sia sicuro, aggiornato, e seguito come
un cagnolino.
Insommma, non metterci un sendmail di quattro anni fa. :-))


 ha scritto nel messaggio
news:A%Tt9.28539$aL4.8...@news1.tin.it...

Noi in ditta siamo passati da FW hardware a FW software (redhat linux) e il
risultato è che è tutto più gestibile (ovvio, una volta presa la mano con
iptables)...
Ciao!
--
RaSca
"Il regno dei cieli è simile a un mercante che va in cerca di perle
preziose; trovata una perla di grande valore, va, vende tutti i suoi averi e
la compra." - Gesù Cristo
http://web.tiscali.it/rascasoft

 Ovvio, un bel postfix e stai tranquillo :-))
Lo diceva anche lui. :-)


 (egregiamente).
ok, quella era l'opzione "sai cosa vuoi fare e sai come farlo", ma non e`
per nulla banale per un utente medio
la soluzione semplice che ho proposto e` chiaro che non va bene come
sisitema di sicurezza per la banca d'italia, ma, secondo me, e` un ottimo
compromesso per il 90% delle situazioni del mercato SOHO



bhe ma dove e' finita la lega per la soppressione dei troll? ;)
------------------------------------------------
Cesare Fontana
http://www.nexisonline.it/
------------------------------------------------


ne approfitto per fare una domanda  sul nat
ho una rete privata che deve essere nattata...
avevo 2 possibilitą....  usare linux o usare un cisco (avevo gią un
3600 quindi non dovevo comprare nuovo harware)..
ho provato con linux....  tutto ok tranne un piccolissimo problema:
le macchine dovevano condividere servizi windows (ok gią questa e' una
falla enorme) con macchine fuori dalla rete...
con linux non funzionava!!
mi sono armato di pazienza e tcpdump  e vedo che i pacchetti smb/nmb
portano nel payload informazioni sul source destination... (ho il
sospetto che sto maledetto protocollo non sia nato su ip e quindi
microsoft ha semplicemente incapsulato il suo vecchi protocollo su ip
fregandosene del fatto che ip ha s/d !!!)
risultato il nat di linux trasla solo l'header ip (address) e tcp
(porte) ma non toccano il payload....  risultato non funziona nulla!!
il cisco invece sembra piu' furbo (IOS (tm) 3600 Software
(C3620-IS-M), Version 12.2(8)T1,  RELEASE SOFTWARE (fc2)) e fa
funzionare tutto a meraviglia....
oltre a questo il cisco fa un'altra cosa degna di nota..
trappa le query dns e trasla pure il loro payload...  
quindi se ho una macchina nattata 1-1 e un'altra macchina fa una query
nella cui risposta compare l'ip pubblico della macchina nattata questo
viene traslato nell'ip locale...  e questo non e' poco...
con linux come siamo messi?
so che per la storia di smb qualcuno ci lavorava...  avevo trovato una
patch per il kernel ma mi ha sempre kernelpanicato....  scrissi
all'autore ma nessuna risposta...
byez


come garanzia.
che ne pensi riguardo all'idea di implementare una soluzione firewall
basata su linux, con una high availability minimale (una macchina di
backup) attivata con heartbeat ? Come ottenete la replicazione
automatica sul secondo firewall delle regole modificate sul primo
firewall ? Intermezzo è ancora un po' indietro... coda ?
Krusty

 sisitema di sicurezza per la banca d'italia, ma, secondo me, e` un ottimo
IMHO la soluzione che hai proposto *NON* è un sistema di sicurezza, nel 
tuo post precedente proponi di non usare nessun firewall.
cya
Banana

 firewall ? Intermezzo è ancora un po' indietro... coda ?
<irony>
Gia` che ci siamo perche' non AFS?
</irony>
Le regole di un firewall non cambiano certo ogni ora.  Un scp manuale
basta e avanza, anche rsync in un cronjob mi pare un po' esagerato.
Massimiliano

basta e avanza, anche rsync in un cronjob mi pare un po' esagerato.
mmm, quello che dici è vero, e mi ha fatto venire in mente un'idea
ancora più semplice: modificare lo script che salva la configurazione
di iptables in modo che dopo averla salvata faccia un scp con chiave
sull'altra macchina e che via ssh rilanci iptables sull'altra
macchina.
Krusty