Newsgroup: it.comp.os.linux.debian
Titolo: Proxy e firewall su unico server

Salve,
 
si lo so... bisognerebbe avere macchine diverse per ogni servizio ma 
allo stato attuale (casa) ho un solo server con Debian Buster ed ho 
l'esigenza di controllare, filtrare ed anche bloccare il traffico di rete!
 
Morale della favola, come in oggetto, ho bisogno di un proxy ed un 
firewall, sul server non ho desktop quindi qualcosa che mi giri anche da 
console!
 
Ora non ho modo e tempo (purtroppo!) di riprendermi le regole di 
iptables, di nftables, etc. per scrivermi tutto a mano quindi mi 
tornerebbe utile un prodotto che giostri "da solo" il tutto.
 
Chiedo "semplicemente" consigli poi dopo la materia me la studio da solo! :)
 
Saluti.
GabrieleMax


Shorewall?
 
-- 
Luca
http://www.civinini.net
 
 
"Unix is simple. It just takes a genius to understand its simplicity." - 
Dennis Ritchie

> Shorewall?
 
Ti ringrazio intanto per la risposta, ne avevo sentito parlare ma da 
quello che mi sembra di capire Shorewall faccia "solo" da firewall, io 
ho necessità di tracciare tutti i collegamenti che vengono fatti da ogni 
device ed eventualmente poi bloccare porte e servizi (...).
 
Credo, non sono esperto in materia ma devo iniziare ad diventarlo, sia 
necessaria l'azione di uno Squid+Shorewall per arrivare a quello di cui 
necessito...
 
Saluti.
GabrieleMax
 

 necessito...
 
Non so bene come sia la tua configurazione, ma se cerchi un prodotto 
"tutto in uno" potresti dare un'occhiata a PFSense. Lo trovi come distro 
FreeBSD e lo amministri da interfaccia web.
 
Se no il classico netfilter+squid: con il primo metti tutto quello che 
vuoi solo in log e poi apri poco per volta. Non conosco Shorewall, se 
non di nome.
 
Void

 Void
 
Saluti!
GabrieleMax

 hoc...
 
Premetto che sono tutt'altro che un esperto per cui posso anche dire
sfondoni ma da quel che so netfilter sono le "regole" del firewall del
kernel che puoi configurare direttamente con la sintassi appropriata
oppure usando qualche interfaccia come il citato shorewall oppure ufw.
 
-- 
Ciao
leandro
http://6xukrlqedfabdjrb.onion/blog/
 


Architecture: amd64
Depends: libip4tc0 (= 1.6.2-1.1), libip6tc0 (= 1.6.2-1.1), libiptc0 (= 
1.6.2-1.1), libxtables12 (= 1.6.2-1.1), libc6 (>= 2.14), 
libnetfilter-conntrack3, libnfnetlink0
Suggests: kmod
Description-it: strumenti amministrativi per filtraggio pacchetti e NAT
  iptables è il programma a riga di comando in spazio utente usato per
  configurare l'insieme di regole di filtraggio dei pacchetti di Linux. È
  pensato per gli amministratori di sistema. Dato che anche il NAT (Network
  Address Translation) è configurato dall'insieme di regole di 
filtraggio dei
  pacchetti, iptables viene usato anche per questo. Il pacchetto iptables
  include anche ip6tables. ip6tables è usato per configurare i filtri per i
  pacchetti IPv6.
Description-md5: c998471c84128382a425d500ab6155da
Multi-Arch: foreign
Homepage: 
http://www.netfilter.org/
 
Tag: admin::configuring, implemented-in::c, interface::commandline,
  network::firewall, protocol::ethernet, protocol::ip, protocol::tcp,
  protocol::udp, role::program, role::shared-lib, scope::utility,
  security::firewall, use::monitor, works-with::network-traffic
Section: net
Priority: important
Filename: pool/main/i/iptables/iptables_1.6.2-1.1_amd64.deb
Size: 293972
MD5sum: 85258ba07e8be7f8a0de29396965c1aa
SHA256: 6a064a9db45190d83e2ba1f6da9432d737654ea5b727bd05e08fc38141a80921
 
Void


E' stato uno dei primi che ho usato e mi pareva di ricordare che avesse 
la possibilità di interfacciarsi con squid.
Però squid fa da "content filter". Se la tua intenzione è solo quella di 
bloccare delle porte allora shorewall è perfetto.
Se il server è casalingo, io mi limiterei alle porte anche perchè ormai 
tutto è in https quindi se vuoi bloccare quello che c'è dentro https 
devi fare ssl inspection ovvero installare il certificato del tuo server 
su tutti i tuoi devices.
 
Sennò ancora più semplice: compri un mikrotik da poco e fai fare tutto 
il firewalling a lui (io faccio così a casa mia)


 
 
Li ho visti ma come ti dicevo ho già un server e vorrei far tutto con esso!
 
Saluti.
GabrieleMax

 GabrieleMax
 
 
Se devi bloccare delle porte specifiche, shorewall (ovvero iptables) è 
sufficiente. Se vuoi bloccare i devices in base al mac address o 
limitare la banda o dare ai tuoi devices un plafond di MB giornalieri, 
vai di iptables (e quindi shorewall).
 
Se invece vuoi dire: se nella pagina web che sto scaricando c'è scritta 
la parola xyz allora bloccala, ti serve squid. Però ormai tutto è https 
quindi devi anche metterti all'anima di fare ssl inspection e quindi 
caricare il certificato sui devices (non so se è possibile mettere dei 
certificati sul frigorifero collegato alla rete wifi ... :-) )
 
In altre parole:
iptables --> firewall "classico"
squid --> Content filtering
 
Ps
per anni ho avuto la tua stessa config, usando un vecchio PC (all'epoca 
non c'erano raspberry e diavolerie varie).


 non c'erano raspberry e diavolerie varie).
 
Il mio server è un Athlon 800, 1,2GB di ram, disco da 500gb ata100 su 
un'Abit K7-a raid del 1999 che fa da ftp, samba (su cui registrano 7 
ipcam), OpenVPN, etc. ovviamente senza desktop!
 
Saluti!
GabrieleMax

 
 
Vedrai la stampante o il frigorifero che fatto delle connessioni tcp/443 
(HTTPS) verso un IP x.y.z.k.
 
Se sono cose lecite per il tipo di device, x.y.z.k apparterrà ad un 
range noto  del produttore (lo ricavi da ripe/arin/ecc) e quindi farai 
una regola per consentire a quel device di andare SOLO verso il range 
del produttore.
 
Se invece sei sfortunato, x.y.z.k va verso akamai o simili e allora sono 
casini perchè questi range sono enormi e associati ai (tanti) clienti di 
questi CDN.
 
Per mitigare la cosa potresti limitare la quantità di bytes 
giornaliera/la velocità e aggiungere un alert per mail quando il device 
supera una certa soglia (num. connessioni al minuto / quantità bytes 
trasferiti al giorno / banda usata oltre xyz). In questo modo avrai una 
indicazione di cosa sta succedendo.
 
Se invece il traffico NON è https (TCP/443) ma magari usa un altra 
porta(es. TCP/23987 - da verificare che non sia registrata per qualche 
servizio particolare - vedi sito IANA), la cosa potrebbe essere più 
semplice perchè potresti aprire quella porta verso qualsiasi IP dato che 
probabilmente è usata solo da quel produttore. Fermo restando gli alert 
al punto sopra tanto per scoprire quanto sono chiaccheroni i nostri 
dispositivi domestici... :-)
 
Ciao


 Ciao
 
Saluti!
GabrieleMax


OK, ma per IMPEDIRE ti basta un firewall, non ti serve SQUID!


> OK, ma per IMPEDIRE ti basta un firewall, non ti serve SQUID!
 
Ma per capire dove vada chi mi serve SQUID! :)
 
Saluti.
GabrieleMax


NO, un qualunque firewall ti dice l'IP di destinazione dei pacchetti che 
fa passare/blocca.
