Newsgroup: it.comp.os.linux.sys
Titolo: Iptables e analisi traffico

Mi č venuto un dubbio sulla gestione del traffico di rete con Iptables.
Poniamo ad esempio di avere un firewall sulla cui interfaccia esterna si
redirige il traffico HTTP (nat) su un web server interno. In questo caso
iptables si limita a fare del semplice packet filtering o c'č un modo per
dirgli di analizzare il traffico passante per la porta 80 verificando che si
tratti effettivamente di traffico HTTP e non contenga magari codice
potenzialmente pericoloso (a quanto ho capito questa dovrebbe essere una
delle caratteristiche principale di un firewall Statefull Inspection).
Grazie.

Sgranocchiando il cranio di Scannachiappolo, vi trovai inciso:

Risposta breve: no.
Risposta lunga: stateful inspection č un termine abusato in parecchie
accezioni.
Dal *mio* punto di vista, quello che dici tu non č stateful inspection ma
layer 7 inspection.
Il compito č pertanto non da packet filter ma da proxy, tipicamente.
vedi zorp, se vuoi approfondire.
Hola.
-- 
cat: .signature: No such file or directory

 vedi zorp, se vuoi approfondire.
In effetti a quanto vedo ognuno ha la propria idea sul significato di
"Statefull Inspection". Io ero convinto che un firewall fosse SI quando è in
grado di tracciare le connessioni, ad esempio iptables mi è stato utile a
gestire il traffico verso il mio server ftp in modalità attiva/passiva senza
tenere aperte tutte le porte. La settimana scorsa invece sono andato ad un
seminario Microsoft di presentazione a Isa Server 2004 (ok, non
picchiatemi! ) e secondo loro un firewall per essere SI deve esserre anche
in grado di analizzare il contenuto del traffico e quindi di lavorare fino
al livello 7 (ritornando all'esempio del nostro web server, dovrebbe essere
il protocollo http ad essere fatto passare e non tutto quello che passa per
la porta 80). Sinceramente pensavo che questo fosse il compito di un IDS,
quindi ho cominciato a farmi venire qualche dubbio...

 quindi ho cominciato a farmi venire qualche dubbio...
Di un IDS direi di no.
L'IDS deve monitorare e avvisare. E' uno strumento di verifica di abusi
sulle policy, non di applicazione delle policy stesse (lasciamo perdere il
caso di IDS inline, che non sono nè carne nè pesce..)
Il firewall è il membro deputato all'applicazione delle policy.
E firewall, nonostante l'accezione comune, *non è* sinonimo di packet
filter...
Nel caso in cui il firewall non agisca -solo- tramite packet filtering ma
tramite proxying (transparent o no), hai un firewall capace di di L7
inspection.
Tutto IMHO...


 inspection.
Ok, grazie per la delucidazione. Volendo mantenere iptables c'è un modo per
integrare anche l'ispezione a livello 7 del traffico, magari con qualche
tool? Quali potrebbero essere vantaggi e svantaggi nell'usare Zorp piuttosto
che Iptables?
Grazie.

 che Iptables?
Pro: inspection layer 7
Contro: una corretta configurazione puň essere estremamente impestata.
Non molto di piů.. ;-)



Scusa se insisto, ma non c'è proprio verso di integrare IL7 o qualcosa di
simile con iptables attraverso qualche tool? Ti rigiro anche la domanda di
prima. Vantaggi di iptables rispetto a Zorp? (Immagino la semplicità di
utilizzo...).
Grazie ancora.

 utilizzo...).
Hoh.. ma zorp si integra, non ne prende il posto...
Cmq, potresti essere interessato a questa cosa qui:
http://l7-filter.sourceforge.net/
non ancora provato, personally... in caso domanda a whiplash...
