Newsgroup: it.comp.reti.locali
Titolo: Ma il firewall dei router come funziona?

Sicuramente faccio una domanda sciocca ma ci provo lo stesso. Sarei curioso 
di capire quali sono le sostanziali differenze che rendono un firewall 
migliore di un altro. Mi spiego meglio. Tutti i router hanno una funzonalità 
di firewall, ma partiamo da 30 euro per un d-link da supermercato e finiamo 
alle svariate centinaia o migliaia per certi Cisco o Fortigate e via 
dicendo. Di sicuro osservando il software di un Cisco o similari si vedono 
mille funzioni ulteriori che probabilmente costituiscono un valore aggiunto 
che si paga.
Io parlo del semplice (si fa per dire) firewall. Considerando che un 
qualunque router ha per default bloccati tutti i servizi in ingresso tranne 
quelli che si vanno ad abilitare come port forwarding, virtual server e via 
dicendo, a quel punto mi chiedo: che cosa farà in questo caso un Cisco o un 
Fortigate meglio di un Netgear/d-link/Zyxel ? Non parlo, ripeto , delle 
funzionalità ulteriori su cui non voglio nemmeno discutere (questi 
apparecchi di classe superiore fanno anche da antivirus, web filtering 
centralizzato, dual wan e altro), mi chiedo semplicemente che tipo di 
protezione "migliorata" mi offrirebbe un oggettino costoso rispetto ad uno 
economico nel semplice sbarramento della mia rete, senza cercare servizi 
avanzati.
Grazie a tutti

 migliore di un altro. Mi spiego meglio. Tutti i router hanno una funzonalità 
Senza scrivere un romanzo (cosa che la tua domanda potrebbe richiedere), 
direi che si possono identificare queste categorie:
- velocita' / prestazioni
- layer operativo
- strategie / tecniche di rilevamento
La prima riguarda la potenza di calcolo del firewall, ovvero la 
capacita' di servire un certo numero di connessioni simultanee; questo 
dato si fa molto importante all'aumentare dei servizi dello stesso (vedi 
sotto).
Il layer di lavoro implica l'analisi del traffico a seconda del layer 
servito (frame, packet, datagram), il che richiede la presenza di 
un'intelligenza dedicata.
Il tipo di firewall che indichi e' ormai obsoleto, ovvero a semplice 
chiusura/apertura di porte. La tecnica Stateful Packet Inspection e' 
gia' un passo avanti, dato che analizza cio' che arriva sul firewall 
come traffico che ci si aspetta in funzione dei pacchetti generati in 
uscita dallo stesso. Ci sono poi ulteriori strategie di analisi degli 
attacchi basate su schemi noti, oppure su algoritmi, cosa che puo' 
portare il costo del firewall molto in alto.
Ciao
Luca

 dallo stesso.
Beh, il mio era un esempio. Sulla carta anche un d-link DI 604 da 29 euro 
utilizza la SPI, idem Netgear, Zyxel e compagnia bella (più o meno bella per 
carità). Vorrei capire se una rete piazzata dietro a un DI 604 è meno sicura 
della stessa piazzata, chessò, dietro a un Fortigate 100 da 1500 euro ad 
esempio.
ciao e grazie 

 della stessa piazzata, chessò, dietro a un Fortigate 100 da 1500 euro ad 
Il livello di sicurezza potrebbe gia' essere abbastanza elevato con il 
firewall da 29 euro (sarei proprio curioso di vedere se supporta 
veramente lo SPI, come dichiarato nelle note); si tratta poi di vedere 
se ad es. vengano pubblicati servizi in internet oppure no. La qualita' 
di un sistema di difesa si mostra soprattutto se, piuttosto che isolarsi 
completamente dalla rete, ci sia la necessita' di pubblicare servizi, 
ciascuno con modalita' adeguate.
Il fatto ad esempio di disporre di un'analisi layer 7, che identifichi 
cosa sta facendo l'utente connesso alla porta 80 del tuo web server, 
permettendo di metterlo in quarantena se dovesse fare stupidaggini, e' 
gia' un notevole elemento di prevenzione e difesa.
P.S.: perche' parli di provocazione? A me sembra che la tua domanda sia 
piu' che lecita, alla luce anche dello sbandieramento indiscriminato che 
i rivenditori fanno di qualsiasi prodotto di sicurezza ... o presunta 
tale :-)
Ciao
Luca

 :-)
:-)) perchè quando prima hai accennato al fatto che sarebbe necessario un 
romanzo per rispondere alla mia domanda avevo quasi avuto l'impressione di 
vederci una puntina di polemica eheheheh...
Grazie ancora (ora devo correre al lavoro, ciaooo) 

 trovo chi mi dice che tanto uno vale l'altro....
Come sempre, dipende dall'uso che se ne fa. Per dire: per alcuni Clienti 
usiamo m0n0wall installato su piccoli server rack Dell, in modo da 
fornire un accesso gigabit alla DMZ piuttosto performante. In questo 
caso e' richiesta potenza di calcolo e interfacciamento elevati, e un 
modesto impegno di cpu.
Ciao
Luca

Visto che ci siamo ti chiedo un altro parere :-))
Per il web management useresti porte diverse dalle classiche 80 per http o 
443 per https o dici che non cambia nulla ai fini pratici per limitare gli 
sguardi eventuali dei "curiosi"?
Grazie, ciao 

 sguardi eventuali dei "curiosi"?
Mah ... va' te a sapere cosa passa per la testa di chi attacca :-)
Comunque li sposterei su porte non-standard, non foss'altro perche', se 
voglio pubblicare un server http o https, e ho un solo IP pubblico 
(assegnato al firewall), almeno ho le porte canoniche libere.
Ciao
Luca