Newsgroup: it.comp.os.linux.debian
Titolo: Aprire porte firewall su richiesta

Ciao a tutti! Avrei bisogno di un consiglio per gestire la seguetne  
situazione: alcuni client (con IP dinamico) devono collegasi a un server  
interno tramite telnet (l'ho sò, non e' per niente sicuro ma il protocollo  
ssh ci dà qualche problema con l'applicativo) utilizzando un'applicativo  
via web.
Praticamente l'utente deve accedere a un sito web, autenticarsi e dopo gli  
si apre una pagina web dalla quale si collega al server.
Volevo implementare un sistema di "sicurezza" che funzionasse + o meno  
così:
Quando l'utente si e' autenticato nella pagina web prima di farlo  
collegare lancio un script (perl, php, cgi) che "prende" il suo ip, si  
collega su una porta del firewall e "passa" l'indirizzo ip in modo che il  
fw natta la porta "telnet" verso il server interno solo all'ip del  
portatile.
Naturalmente il firewall rimarrà in ascolto sulla porta da dove si collega  
il web server solo per l'ip del web server.
Ho guardato un pò in giro e al momento ho trovato solo questo portknocking  
ma purtoppo non fà al caso mio perchè:
1) Non voglio installare ulteriori programmi sui client o dover far  
lanciare agli utenti altri programmi
2) Voglio nattare la porta solo agli indirizzi ip degli utenti che si  
loggano sul sito web
Spero di essere stato chiaro nella spiegazione.
Grazie e Saluti.

 loggano sul sito web
Port Knocking apre solo all'indirizzo da cui arriva il knock.
Ciao
Ercole

 (l'ho sò
Vediamo: l'hai chiesto qui, su it.comp.os.linux.sys e su 
sikurezza.org
.
Altro?
-- 
Words are very unnecessary
They can only do harm

 Altro?
Non me ne venogno in mente altri, sorry :)
Scherzi a parte chiedo scusa per il disturbo ma è importante :(
-- 
Creato con il rivoluzionario client e-mail di Opera:  
http://www.opera.com/mail/

 Ercole
Ciao

Mi è venuto in mente un progetto che avevo visto tempo fa: SSHWebProxy
(
http://www.ericdaugherty.com/
). Ti permette di collegarti via ssh da
una pagina web. Non dovrebbe essere difficile modificare i sorgenti in
modo che utilizzi telnet anzichè ssh.
Ciao
Ercole

  
ha scritto:

Ma io non mi devo connettere in telnet su un server via web.
Il telnet lo deve fare l'utente del suo pc perchè deve lanciare  
un'applicativo apposta.
Io devo fare in modo che il fw abiliti in automatico un pat per un  
determinato indirizzo ip.

 il web server solo per l'ip del web server.
100 righe di perl e 10 di bash:
Uno script cgi che scrive l'evento (OPEN/CLOSE) e l'IP del client su una
socket tcp verso il firewall (magari usando una semplice crittografia
con shared key e un md5 per il checksum)
Un demone in perl che giri come utente "pippo", che legga dalla socket
tcp di cui sopra (ovviamente il firewall consentirà le connessioni solo
dai web server), che decritti il contenuto, verifichi l'md5, faccia
sanity check dell'input (importantissimo) e tramite *sudo* esegua gli
script bash di apertura e/o di chiusura delle porte (parametro il solo
indirizzo IP).
Ovviamente gli script di apertura e chiusura del firewall devono essere
di proprietà dell'utente root e modificabili *solo* da root e nel
sudoers dell'utente pippo devono essere eseguibili come root solo i due
script di apertura e chiusura delle porte.
man Net::Server
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.


Si, semplicissimo, peccato che:
1) non sò neanche da che parte iniziare
2) Il Web Server gira su Windows e quindi niente bash (a meno che non  
installo cgywin).
Tu hai qualcosa di già fatto?

 
Probabilmente la soluzione più flessibile è quella di scrivere una
applicazione web che fa tutto il lavoro.
Puoi usare Python o Ruby o altro linguaggio di alto livello che conosci.
Alcuni toolkit in Python:
- Twisted Web
- Django
Alcuni in Ruby:
- Ruby on Rails
Saluti  Manlio Perillo

 Tu hai qualcosa di già fatto?
Al momento no, sorry.
