Newsgroup: it.comp.os.linux.software
Titolo: Firewall: LRP o ipchains

Rivolto a chi abbia sentito parlare del Linux Routing Project (LRP).
Premetto che non ho mai davvero approfondito l'argomento di firewall etc. Le
poche nozioni di base apprese in questi anni mi sono bastate (non mi occupo
di sistemi, nella vita faccio altro, ma in una piccola realta' bisogna
arrangiarsi).
Veniamo al dunque: ho, in ufficio, una piccola rete con macchine win (95-98
e NT) con accesso ad Internet con connessione dial-up gestita da una
linux-box (un vecchio 486 con una manciata di dischi di recupero...) che
funziona egregiamente.
Essendo in procinto di adottare una DSL mi chiedevo quale fosse la miglior
soluzione per "proteggere" la rete interna (che utilizza indirizzi privati).
Non ho necessità di offrire nessun servizio esterno ne' di concedere
l'accesso a nessuna macchina interna; ovviamente le macchine interne devono
poter aver accesso ad Internet ed alla posta elettronica (tutte le
connessioni passano da un'altra linux-box che fa da proxy, dns cache, server
news e mail hub: e' molto comodo ed efficiente).
Ho visto il progetto LRP (linux routing project) una distibuzione linux che
sta su un unico floppy nata per creare un router-firewall e  mi chiedevo:
1) puo' fare al caso mio
2) che sicurezza da una configurazione di questo tipo?
3) da nessuna parte si fa menzione di regole di filtraggio: cosa filtra, se
filtra, un firewall fatto in quel modo? E' sicuro?
4) possibilita' di disabilitare praticamente tutti i servizi
I vantaggi sono: filesystem tutto in RAM (nessun HD ne altro). Semplicità di
configurazione e impossibilità di crackare la macchina (l'unico disco e' un
floppy che si può proteggere meccanicamente). Se manca la corrente la
macchina si spegne brutalmente (tanto il filesystem e' in RAM) e quando
torna la corrente si ripristina da sola. Il vecchio 486 con 32Mb di RAM
funziona egregiamente con un'installazione completa (minimale e senza X
ovviamente) figuriamoci con una mini-distro con filesystem tutto in RAM (a
detta dei programmatori un 486 con 12 Mb di RAM puo' getire anche una
T1!!!).
Da quel che ho capito io il firewall si limita a "separare" le due retei
attivando il masquerading degli indirizzi interni: e' sicuro o no? Una
distibuzione completa grazie ad ipchains mi consentirebbe, invece, di
"filtrare" gli accessi e di consentire l'utilizzo di certi host o di certi
servizi. Dal momento che non e' mia intenzione farlo (almeno pe ril momento)
sarebbe superfluo, o no?
Grazie mille a tutti quelli che hanno avuto la pazienza di arrivare fin qui
e che avranno la cortesia di rispondermi.
--
Rimuovere nsp dall'indirizzo per la risposta.

soluzione per "proteggere" la rete interna (che utilizza indirizzi privati).
La soluzione migliore è quella di un router fisico che faccia da gateway
per la rete interna.
Il linux  è un'arma a  doppio taglio. Per  le tue esigenze  (cioè nessun
server) lo vedo un rischio inutile.
Una linuxbox ha  senso se hai dei servizi  che devono essere accessibili
anche dall'esterno.
-- 
Massimo Bacilieri AKA Crononauta ______________________
========================|  togli 'sse' dall'indirizzo  | 
ICQ UIN: 4005815        |  per rispondermi in  e-mail  | 
IDAnet: 
http://adcserver1.biodip.unimi.it/ida/index.html
GP Legends: 
http://www.multiplayer.it/driving/index.html

sarebbe superfluo, o no?
direi di si, ma cmq come ho detto sono cose che puoi fare anche con i 
dischi tipo lrp, si tratta sempre di un linux con ipchains
-- 
    Pardo 
 
pardo.cjb.net

sta su un unico floppy nata per creare un router-firewall e  mi chiedevo:
...
Dunque: non so se lrp contenga il supporto per il firewalling e
ipchains/iptables. Se si' ti puo' andare bene, altrimenti io prenderei una
distro completa con installazione minimale. Anche se il gateway deve fare da
router non ci deve certo diventare scemo, ha solo 2 interfacce attraverso
cui forwardare i pkt. Se non hai alcun servizio da offrire verso l'esterno
sei praticamente in una botte di ferro. Con ipchains blocchi tutte le
connessioni TCP e tutti i pkt UDP salvo quelli in risposta al DNS. Il
livello di sicurezza in questo caso e' decisamente alto.
--
  	Giuseppe "Cowo" Corbelli  -->>  Riding on Linux-2.2.16
    **ANTI-SPAM** -- **Substitute IHATESPAM with cowo to reply by mail**
  -<! 3rd Law of Computing: Anything that can go wr
		fortune: Segmentation violation -- Core dumped !>-

 momento) sarebbe superfluo, o no?
Quasi sicuramente LRP si basa su ipchains, visto che ipchains e` solo
un comando in user-space per mandare comandi al firewall contenuto nel
kernel di Linux.
Se non hai necessita` di dare altri servizi da quel computer (proxy,
mailserver interno, newsserver interno, faxserver, webserver,
ftp-server, file-server) puoi tranquillamente usare LRP. Probabilmente
puoi anche modificare le tabelle di ipchains, salvarle sul floppy e
avviare con le tue regole invece di quelle di default.
E se non hai altre esigenze, IMO, e` la soluzione migliore: solo
firewall, nessun servizio da proteggere, tutti i computer sono
mascherati, quindi difficilmente raggiungibili dall'esterno.
Non ho mai visto LRP, ma probabilmente avra` una configurazione del
tipo "blocco tutto in entrata e in forward, maschero la rete interna".
Semplice ed efficace. :)
Se invece vuoi metterci altri servizi ti serve un HD, quindi a questo
punto meglio una distribuzione completa (consiglio debian) con ipchains
impostato a dovere.
-- 
Signature under rework - Shuriken

Poprio la risposta che cercavo,
grazie mille.