Newsgroup: it.comp.reti.locali
Titolo: Router e firewall

Ciao a tutti, vorrei fare una domanda per molti forse stupida:
Secondo voi è necessario un firewall tra il router e lan mia lan
considerando che il router è configurato con NAT.
Scusate se non sono stato chiaro
Grazie a tutti qualli che mi risponderanno, o che leggeranno.
--
**********************************************************
Alessio

 considerando che il router è configurato con NAT.
Si
-- 
Emanuele Balla aka Skull
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)

 considerando che il router è configurato con NAT.
Certo che ne hai bisogno; un router e' un router, un firewall e' un
firewall !!! :-))
Se tu hai un router con NAT non hai affatto un firewall !!! 
Bye
Herman
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 > considerando che il router č configurato con NAT.
Avendo NAT  diventa poco probabile che dall'esterno qualcuno attacchi i pc
della lan ed entri grazie a qualche buco della sicurezza.
Perņ se metti il firewall questo evita che qualche programma malizioso si
connetta all'esterno senza che tu lo sappia, cosa che non puo essere evitata
con il nat.
ciao

 pc della lan ed entri grazie a qualche buco della sicurezza.
direi proprio che questa è una gran panzana...
Mandi.


 ciao
Non e' assolutamente vero. 
La tua spiegazione e' molto semplicistica e totalmente falsa.


ok, ditemi il perchč perň!

 ok, ditemi il perchč perň!
Perche' non hai capito a cosa serve il firewall !!! E che cos'e' un NAT
!!
Studia un po' di fondamenti di Networking, studiati bene il TCP/IP, che
cos'e' il NAT, etc..
e poi ne riparliamo !!!


 ok, ditemi il perchè però!
http://groups.google.it/groups?hl=it&lr=&ie=UTF-8&threadm=am41t6%242doqu%241%40ID-109207.news.dfncis.de&rnum=3&prev=/groups%3Fq%3Dsource%2Brouting%2Bfirewall%2Bnat%2Bgroup:it.comp.sicurezza.varie%26hl%3Dit%26lr%3D%26ie%3DUTF-8%26selm%3Dam41t6%25242doqu%25241%2540ID-109207.news.dfncis.de%26rnum%3D3
chiedo scusa per la mancanza di wrap, ma visto che è un link + o - tocca
:-P



?
mi spieghi come mai?
prendiamo un esempio:
-router con solo nat abilitato
-nessuna redirezione di porta a pc interni (ovvero nessun servizio)
-telnet disabilitato sull'interfaccia esterna del router
-pc senza trojan (ovviamente...)
come puoi entrare nella mia lan?

 come puoi entrare nella mia lan?
Hai abilitato l'Http sul router ed hai messo una password del cavolo del
tipo "Cisco" su un router Cisco oppure non hai messo password...
In tre secondi di buco il router !! ....


 In tre secondi di buco il router !! ....
Questo è un altro discorso!
 Se configuri una password cosi stupida per l'http è chiaro che la rete è
vulnerabile!
--- Ma in questo caso lo sei anche se installi il firewall!!!!!!!! --
Nessuno dice che il NAT ti protegge da errori tuoi cosi stupidi!


http://groups.google.it/groups?hl=it&lr=&ie=UTF-8&threadm=am41t6%242doqu%241
%
40ID-109207.news.dfncis.de
&rnum=3&prev=/groups%3Fq%3Dsource%2Brouting%2Bfir
ewall%2Bnat%2Bgroup:it.comp.sicurezza.varie%26hl%3Dit%26lr%3D%26ie%3DUTF-8%2
6selm%3Dam41t6%25242doqu%25241%
2540ID-109207.news.dfncis.de
%26rnum%3D3
Ho letto il link e non mi pare mi contraddica.
Forse mi son spiegato male; quel che intendo dire è che:
1)il nat rende invisibili dall'esterno gli ip della rete locale ( a meno che
non siano i miei pc a conettersi all'esterno), perciò le migliaia di pc in
internet che fanno continuamente del port scanning alla ricerca di servizi
da bucare, certo non potranno bucare i miei pc della lan, visto che non sono
visibili da internet.
Da questo punto di vista, la probabilità di essere attaccati diminuisce.
2) il nat  !! non !! protegge da backdoor (o altro) installate nei pc della
lan, che si connettono all'esterno (tramite router) e fanno quel che devono
fare.
Questo era abbastanza chiaro nel mio post iniziale.

 --- Ma in questo caso lo sei anche se installi il firewall!!!!!!!! --
Verissimo.
Infatti una configurazione ottimamante "paranoica" č quella di separare
completamente le interfacce nattando TUTTO sul router.
Il router si configura da console col cavo seriale, e si disabilita ogni
accesso telnet e web.
Dopo auguri, o trovi un buco nel firmware del bios del router oppure fai
come l'edera: ti attacchi, se vuoi entrare :-b
-- 
Massimo Bacilieri AKA Crononauta 
mailto:
ulib...@libero.it
 ; ICQ:4005815

 fare.
Io faccio un backdoor che esce sulla porta 80 e riesco a farla installare su
un client della rete, tu hai la necessità dall'interno della rete di vedere
le pagine web, non hai un proxy (non ne hai parlato) e la backdoor funziona
perfettamente anche se tu mi hai bloccato tutte le porte in uscita  tranne
ovviamente http e dns. Spero che l'esempio, seppur banale e non
perfettamente esatto, renda l'idea. Imho il firewall ti protegge poco da
backdoor nella rete interna, quelle le devi combattere con altri strumenti,
oppure con una soluzione firewall+proxy molto restrittiva.
Per tornare alla domanda di Alessio io risponderei: dipende!
Dipende da cosa deve proteggere. Se è una normale rete che non interessa
praticamente a nessuno imho può bastare una seria configurazione del router
(password difficile, bloccare accesso dall'esterno e renderlo amministrabile
solo da seriale, configurare correttamente il nat), altrimenti si può
mettere anche un firewall (per esempio se vuoi spendere poco o nulla puoi
usare un vecchio pc con due schede di rete e smoothwall).
Ciao
Fabio


...
mi pareva di essere stato abbastanza chiaro, anche se non ho specificato
ogni possibilità!
:-)
ricomincio:
avendi disabilitato l'amministrazione del router dall'esterno (qualsiasi
mezzo, monitoring smnp comreso), senza porte redirette a host interni, come
attacchi la mia lan?
ovviamente, sempre escludento trojan.

 ovviamente http e dns. Spero che l'esempio, seppur banale e non
:-)
l'esempio è chiarissimo, ma illustra la situazione opposta a quella che
indicava marticos nel post iniziale.
tu parli di host interno craccato (o cmq compromesso), mentre lui parla di
connessione dall'esterno direttamente a host interni.
se ho un router che fa solo nat, non posso in alcuna maniera connettermi
direttamente a un host nattato.
NB: il router fa SOLO ed ESCLUSIVAMENTE nat, quindi nessuna redirezione di
porta o altre cose strane, nessuna backdoor o host interni compromessi
(precisazione ad uso e consumo d ermanno, che sembra mooooolto pignolo ;-P)

 (precisazione ad uso e consumo d ermanno, che sembra mooooolto pignolo
;-P)
Ok, in questo caso sono del parere che con una corretta configurazione del
router (vedi sopra) si possa stare abbastanza tranquilli, certo, una
macchina dedicata a firewall con magari un intrusion detector e un proxy
(blindato dall'esterno) migliorerebbe parecchio la situazione.
Ciao
Fabio

 perfettamente
Non è esatto. Una backdoor "servente" non funzionerà mai, tutt'al più
puoi mettere una backdoor che pubblica verso l'esterno dati, in altre
parole uno spyware.
Ma non puoi poi da fuori utilizzare quella backdoor per accedere tipo
login.
Alla fine il rischio è assolutamente analogo a quello di virus che
inviano a indirizzi remoti dati vari tipo password di posta, documenti
riservati etc.


 parole uno spyware.
Siamo d'accordo.
Ho sicuramente usato il termine sbagliato ma intendevo dire un programma che
dall'interno invia dati all'esterno, o che comunque instaura una connessione
originata dalla LAN.
Ciao
Fabio

Non ho capito se nel tuo post volevi contraddirmi o darmi ragione!
Io ho scritto:
2) il nat  !! non !! protegge da backdoor (o altro) installate nei pc della
lan, che si connettono all'esterno (tramite router) e fanno quel che devono
fare.
e tu mi rispondi con un esempio di come una backdoor possa rendere
vulnerabile la rete.
Mi pare una conferma di quello che ho detto io,no???!!!!!
Io non capisco.. nel mio primo post affermavo che il nat fornisce protezione
rispetto ad attacchi dall'esterno, ma non rispetto a backdoor, e subito
skull e Ermanno mi attaccano (addirittura consigliandomi di studiare
tcp/ip).
Poi viene proposto un link ad una discussione che conferma quel che dicevo
inizialmente, allora mi spiego meglio, ma c'è subito qualcuno che riscrive
in altre parole le mie affermazione.
Insomma, non mi sembrano concetti difficili:
il nat protegge abbastanza da attacchi esterni ma non da quelli
dall'interno.
O forse per capire questo c'è bisogno di studiare chissa quale teoria di
networking .....??

 networking .....??
Sicuramente studiare non ha mai ucciso nessuno.

 Sicuramente studiare non ha mai ucciso nessuno.
Infatti è cosi, e a cmq piace studiare! Ma da fastidio dire una cosa
corretta (anche se non ho fatto una tesi completa) e sentirsi dire "vatti a
studiare il tcp-ip".

 software non basta installarlo perche' funzioni correttam.
Ok, allora siamo d'accordo.
Ciao
Fabio

 che devono fare.
Come dimostrato, non ti protegge da molto altro...
E i casi possibli si sprecano...


 direttamente a un host nattato.
Balle ;-) vedi sopra...


 networking .....??
Nono, altrochè... bastano le basi e un po' di sperimentazione.
Byez


 superfluo...
Io non ho detto che il firewall è superfluo, anzi all'inizio avevo spiegato
all'amico del post che il firewall dava protezioni che il nat non offriva
per niente.
Secondo me, visto che stando connessi ad internet anche per 10 min si
ricevono minimo 1 o 2 tentativi di port scanning o altro, e che il nat evita
tutto cio, non mi sembra sia una cosetta da niente.