Newsgroup: it.tlc.gestori.fastweb
Titolo: [Fibra100] - gli ip "interni" non sono tutti uguali ... ;)

Dunque, sto cucinando e debbo esser breve.
Ho una fibra100, quindi la configurazione con NAT su subnet
192.168.1.0/24
.
A dispetto di quanto ho letto qui, non mi funziona il port mapping dalla
pagina di fastweb. Essendo attivo da tre giorni, non ha MAI funzionato.
Ho collegato l'XBOX 360 direttamente all'HAG e il Live non va, mi
segnala un "moderate NAT", cosa che con la vecchia configurazione con IP
della MAN non succedeva.
So che posso risolvere con dei port forward, ma - appunto - *non mi va*.
;(
Telefono per segnalare il problema del port mapping. L'operatore
conferma che il "vecchio" problema è stato risolto, e scopre che NEMMENO
LUI riesce a configurare il port map dalla sua interfaccia sulla mia
utenza, otteniamo lo stesso errore. Apre una segnalazione. Vedremo.
Gli accenno dell'xbox. Mi dice di provare a darle MANUALMENTE l'ip
192.168.1.251. Gli chiedo delucidazioni tecniche. Farfuglia qualcosa
cdel tipo "bla bla non ufficiale bla bla specie di DMZ". LOL. ;)
Provo, scettico: **CAZZO VA !!! **. Non mi segnala nemmeno "open nat".
Non mi segnala ... NULLA. Test OK !!!
2 possibilità (dopo la pasta se ho voglia indago).
1) Tutte le porte NON FORWARDATE esplicitamente vengono NATtate sull'ip
di cui sopra (stile DMZ alla buona, appunto). IL che PER ME che ho un
ULTERIORE NAT sarebbe una manna dal cielo, perchè gli di quell'IP li e
gestisco TUTTO dal mio router.
2) UPnP attivo SOLO su quell' IP.
Qualcuno ha voglia di fare qualche prova ? Macs ? ;)
ciao, f.

 Non mi segnala ... NULLA. Test OK !!!
A parte le impostazioni ALG e UPnP [*], nella configurazione L3 base vi
sono alcune regole di NAT/PAT preimpostate x IP/Porta/Protocollo, attive
quindi sin dall'attivazione sia per alcuni apparati con IP assegnato
automaticamente tramite DHCP che per quelli su cui e' stata impostato
manualmente uno specifico indirizzo IP con subnet mask 255.255.255.0 e
gateway 192.168.1.254 :
==
------------------------------------------------
- EmuleTCP1   - 192.168.1.128 - 4662 TCP WAN/LAN
- EmuleUDP1   - 192.168.1.128 - 4672 UDP WAN/LAN
- Bittorrent1 - 192.168.1.128 - 6881 TCP WAN/LAN
------------------------------------------------
- EmuleTCP2   - 192.168.1.129 - 4663 TCP WAN/LAN
- EmuleUDP2   - 192.168.1.129 - 4673 UDP WAN/LAN
- Bittorrent2 - 192.168.1.129 - 6882 TCP WAN/LAN
------------------------------------------------
- EmuleTCP3   - 192.168.1.130 - 4664 TCP WAN/LAN
- EmuleUDP3   - 192.168.1.130 - 4674 UDP WAN/LAN
- Bittorrent3 - 192.168.1.130 - 6883 TCP WAN/LAN
------------------------------------------------
- FTP Control - 192.168.1.250 -   21 TCP WAN/LAN
- FTP Data    - 192.168.1.250 -   20 UDP WAN/LAN
- SSH         - 192.168.1.250 -   22 TCP WAN/LAN
- HTTP        - 192.168.1.250 -   80 TCP WAN/LAN
- HTTP-Alt.   - 192.168.1.250 - 8080 TCP WAN/LAN
------------------------------------------------
- XBOXLiveTCP - 192.168.1.251 - 3074 TCP WAN/LAN
- XBOXLiveUDP - 192.168.1.251 - 3074 UDP WAN/LAN
------------------------------------------------
[*] Con le CPE/HAG in modalita' L3 & con UPnP attivo/gestibile (non 
    tutte lo sono) e' possibile attivare i port-mapping addizionali
    tramite UPnP :
    ==
    - 
http://sourceforge.net/projects/upnp-portmapper/
    - 
http://upnp-portmapper.sourceforge.net/
 
    Qualora persista il KO post-attivazione per accesso/uso di Gestione
    Abbonamento / Configura Porte Router, puoi provare se tale
    workaround funzioni per il tuo caso.
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|<|> *FAX/Mail Server  : 
+39 - 02700426582
 <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \<|> *Casella Vocale   : 
+39 - 0230312251
  <|
|_|  |_/_/ \_\___|___/<|> *FAQ ITGF 
http://plany.fasthosting.it
 <|
|>- RST - Plany/MACS -<|> *FAQ GCN  
http://faq.news.nic.it/
 ____<|

 Non mi segnala ... NULLA. Test OK !!!
Quindi se ho ben capito : prendi il tuo router WAN che usi per
l'ulteriore nat e imposti come ip lato wan 192.168.1.251 e poi lato LAN
ti sbizzarrisci come meglio credi , risolvi tutti i problemi .
Unica cosa , sarebbe da poter configurare sulla mfp il router fastweb
che non deve fare alcun port fwd predefinito (a meno che serva nello
specifico) ma comportarsi da DMZ sull'ip 192.168.1.251 .
Sarebbe la stessa soluzione che ho adottato da un cliente aziendale
infostrada con router/voip proprietario "blindato"in comodato d'suo .
Ci ho messo un mese a fare fare la dmz su un ip specificato allo scopo
dai tecnici infostrada , ma alla fine ci sono riusciti .
La configurazione funziona perfettamente (hanno vpn , server RDP ,
server per vpn l2pt/pppt ) nonostante ci siano due nat , che � poi il
motivo per cui si � aperto l'argomento :)

 
Non se la cosa ha risolto il caso di Cujo , ma ne ha risolto uno mio da
una utenza che ha poca confidenza con il port-fwd sui router :)
La domanda che uno si pone ora  � quali rischi per la sicurezza ci siano
mantendendo attivo su un router upnp

 ti sbizzarrisci come meglio credi , risolvi tutti i problemi .
Esatto, AMMESSO che sia come ho supposto ...
Purtroppo non ho avuto tempo di verificare oltre, e *NON* conosco nello
specifico XBOX 360 come si comporti. ;(
Quello che *SO* � che con l'ip di cui sopra va, e so ANCHE che l'�XBOX
se la cava da sola con UPnP, per cui un'altra spiegazione potrebbe
appunto essere UPnP attivo solo su quell'ip.
Stasera se riesco faccio qualche prova e vi so dire ...
ciao, f.

 mantendendo attivo su un router upnp
A naso mi fa INORRIDIRE.
Non uso windows ma non oso immaginare un virus/malware cosa potrebbe
fare ... ;(
ciao, f.

 automaticamente tramite DHCP che per quelli su cui e' stata impostato
[..]
Ti ringrazio !
'stasera provo con UPnP. 
Il mio problema NON è ancora risolto fra l'altro ... ;(
ciao, f.

Trip65 ha scritto:

E' sufficiente installare un firewall sul PC e far controllare le porte 
a lui per evitare che l'upnp faccia danni ..... e magari bloccare con il 
firewall proprio la porta che l'upnp sul pc usa per dialogare con il router.

 siano mantendendo attivo su un router upnp
Premessa : in ambito di router domestici/SOHO (e non solo) esistono
comunque diversi sistemi per forzare l'apertura indesiderata di port
mapping senza il servizio UPnP attivo & in base 
p.es
. al funzionamento
dei moduli ip_conntrack (stile quanto facevano Mozzarella/Pomodoro, per
restare in ambito FW), e.g.:
==
- 
http://www.phrack.com/issues.html?issue=63&id=19&mode=txt
- 
http://samy.pl/natpin/
 
Il livello di rischio in scenari con servizio UPnP attivo dipende da un
lato dalle condizioni di sicurezza dei client/host in LAN e dall'altro
da come avviene l'interazione tra il gateway e l'applicazione UPnP.
Qualora infatti non fossero presenti condizioni di vincolo su IP host
remoti e/o sulle porte mappabili & lato gateway fossero consentite tutte 
le modifiche tramite UPnP (ved. permessi accordati per il servizio UPnP)
l'esecuzione di codice 'malevolo' lato client/host in LAN potrebbe
portare non solo alla compromissione dei port-mapping, ma anche di altri
servizi associati al gateway (e.g. nel caso di quelli domestici/SOHO
DNS resolver/relay & gestione wifi).
 
Cio' vale peraltro non solo per il caso citato da Cujo di trojan/malware
presenti su macchine infette, ma anche per l'esecuzione di codice 
associato a siti/applicazioni web (e.g. exploit UPnP basati su XSS/JS o
Flash) = non sono vulnerabili solo i client Windows-based.
 
Tradotto in soldoni, uno scenario "piu' tranquillo" prevederebbe la
disabilitazione di UPnP & la gestione dei port-mapping, definendoli
staticamente per IP/Porte tramite Port-Forwarding / Virtual-Server e/o
dinamicamente per IP mediante Port-Triggering in associazione a
specifiche connessioni precedenti in uscita dai client in LAN.
Tuttavia, non sempre le esigenze di connessione sono risolvibili con
Port Forwarding/Triggering e/o e' necessario mantenere UPnP e.g. per
l'uso da parte di HW Multimediale A/V -> in tal caso e' opportuno
seguire alcune avvertenze, considerando che le comunicazioni UPnP non
prevedono trust tramite autenticazione :
==
1. Disabilitare sul gateway i permessi UPnP di configurazione lato
   utente per i servizi non richiesti/necessari.
2. Limitare l'uso di UPnP solo agli host per cui sia necessario, agendo
   a livello centralizzato tramite filtri/firewall lato gateway (invece
   che solo a livello di singoli host/client).
3. Verificare che l'applicazione UPnP interagisca correttamente con il
   gateway, e che quindi siano inviati/ricevuti OK i comandi di chiusura
   del port mapping una volta che le porte associate non risultino piu'
   in uso/ascolto lato host.


 pagina di fastweb. Essendo attivo da tre giorni, non ha MAI funzionato.
[..]
MA VAFF ...
Risolto ... c'e' voluta UNA SETTIMANA perchè mi dicessero che il port
mapping funziona SONO con ip dinamici assegnati dalla CPE, se li setti
staticamente non va.
Parte è colpa mia, faccio davvero *FATICA* mentalmente a mandar giù un
port forward su un IP dinamico, ma vabbè ... suppongo che il lease sia
legato indissolubilmente al mac address, viceversa sarebbe follia.
IL problema è che sono dei cazzoni perchè nella tendina gli ip statici
COMPAIONO ECCOME e l'errore che viene fuori è molto generico.
Come ho segnalato (prob. invano) al call center, un po' di
** CAZZO DI SANA DOCUMENTAZIONE TECNICA **
ci vorrebbe e farebbe loro onore con poco sforzo.
E benchè agli utenti di solito non interessa, interessa a quei poveretti
che vengono chiamati dagli utenti per sistemare i loro casini. ;( (non
io perchè ho scelto di lavorare solo con aziende, però cribbio ....)
ciao, f.

 a lui per evitare che l'upnp faccia danni ..... 
Dissento per due motivi:
1) La security di una lan IMHO va gestita a livello del gateway, punto.
Se hai uno o due pc è un conto, se ne hai quindici non è proponibile.
2) UPnP agisce dall' INTERNO e quindi, un eventuale exploit vorrebbe una
macchina compromessa in LAN che via UPnP si aprisse le porte che vuole
(mediante un virus/trojan, ecc). Se sono in questa situzione, non è il
firewall della MACCHINA STESSA (che per definizione è compromessa) che
mi salverà le chiappe. ;)
ciao, f.

 che vengono chiamati dagli utenti per sistemare i loro casini.
?

 
Tu ti fai troppi film.

 Tu ti fai troppi film.
No, è banale logica.
Ci riprovo.
I casi sono solo due
A) NON vedi UPnP come una "minaccia". Bene così, a me non fa impazzire
il fatto che un eventuale malware potrebbe aprirsi porte sul firewall da
solo, ma tant'e'.
B) Vedi UPnP come una *possibile* minaccia.
Nel caso B) (che è quello di cui stiamo parlando), non ha SENSO dire che
il firewall *della macchina* "ti salva". Perchè PER DEFINIZIONE, stiamo
parlando di una macchina compromessa e quindi non mi posso fidare del
suo firewall. Se uno scrive un rootkit/virus/worm in grado di aprirsi le
porte del router sfruttando UPnP, allo stesso modo potrà tirarsi giù il
firewall della macchina.
ciao, f. 

 perfetta implementazione dell'utilissimo upnp.
TALMENTE SEMPLICE che per far funzionare XBOX live devo settare l'ip
manualmente sul 251. Semplicissimo, eh, *SE LO SAI*. E se ci fosse la
documentazione, l'avrei SAPUTO prima di avere la fortuna di beccare un
operatore che lo sapeva.
ciao, f.


Lo stesso messaggio appariva all'epoca di IPPD quando associavi un 
device interno al quale veniva assegnato staticamente un ip anzichè 
usarne uno assegnato dal dhcp della cpe.
Una volta associato il device da un ip dinamico regolarmente rilasciato 
dal dhcp , poi te lo risettavi come statico e funzionava tutto lo stesso 
, ma per non incappare in tale errore durante l'attivazione della 
sessione di IPPD  eri costretto a fare l'attivazione in remoto ovvero al 
di fuori della rete fastweb .

 di fuori della rete fastweb .
Ne prendo atto, solo che con la vecchia configurazione mai mi era
passato per la testa di assegnarmi staticamente un IP della MAN visto
che "a disposizione" avevo solo 5 IP e *tutti e 5* stavano nel range
assegnato da DHCP. ;( Per me gli IP statici si "pescano" da un range che
NON � compreso nel range di assegnazione del DHCP, per ovvie ragioni.
In questo caso invece il call center stesso mi ha dato esplicitamente
l'OK ad assegnarmi come statici ip sotto il 128 nell'ottetto finale.
Mi fa comunque sorridere il fatto che Marc Serafino abbia passato anni
ad inveire contro Fastweb, ma se qualcun altro (come me) solleva una
critica (poca documentazione) per lui � una minchiata.
Cio� non solo spara a zero, ma pretende anche l'esclusiva in tal senso.
LOL.
ciao, f.

 
Beh quindi nel tuo caso non ci sono problemi :-) La tua CPV non supporta
upnp se non upnp-av per cui non potrai mappare alcuna porta. L'ho scoperto
proprio di recente presso un amico a cui e' stata configurata la tua stessa
CPE che appunto non supporto il PF tramite upnp :-) al contrario della mia
Telsey Broadcom.

 Telsey Broadcom.
Non me ne faccio un problema. ;)
Per contro segnalo che non ho *alcun* problema a raggiungere i 12
MBytes/sec effettivi, per cui per il resto la CPE Elsag sembra
comportarsi bene.
Lo scrivo perchè mi pareva di ricordare che proprio tu avevi riportato
un problema a raggiungere la banda piena con - se ben ricordo - CPE
Pirelli ... confermi ?
ciao, f.

 Pirelli ... confermi ?
No, non ero io, io ho la Telsey e il mio record su singolo file, non che ci
abbia poi provato molto, e' 12,1 MB/s.
Ora comunque da quello che mi risulta installano solo piu' Elsag che a
parte l'upnp non ha apparentemente nulla da invidiare alla Telsey. E' tra
l'altro - sia pur castrato da Fastweb - un Media Server, quindi in teoria
potresti attaccarci un HD o quant'altro.

 potresti attaccarci un HD o quant'altro.
Il solito attentato alla libertà dell'utente  :)
Chissa se Richard Stallman si abbonerebbe a Fastweb
Ascolta : ma la videostation come viene gestita con queste nuove cpe ?

 Ascolta : ma la videostation come viene gestita con queste nuove cpe ?
Hehehe bella domanda! Funziona! Probabilmente si prendera' uno dei 120 IP?
Boh!!! :-)

 Boh!!! :-)
Quindi dietro NAT , bene . Bisognerebbe fare una sana operazione di
sniffer della rete interna per vedere anche come viene gestito il
multicast anche per "carpire" qualche segreto sul suo funzionamento :)

"Trip65"  wrote in message news:8ss320...@mid.individual.net...



Si, si prede un IP della lan interna ma esterno al pool destinato ai pc 
(sotto il .128), un po' come accade per la xbox. Che cosa si vede sul 
funzionamento sniffando la rete interna? Come viene gestito il nat 
rimarrebbe comunque indecifrabile o sbaglio? Sarebbe comunque utile a capire 
se viene applicato un sano meccanismo di snooping.
Comunque visto lo sky-home pack  e chili tv direi che la strada per il 
futuro del video è segnata o meglio almeno la scelta di fastweb sembra 
presa.