Newsgroup: it.comp.reti.locali
Titolo: bloccare netbios con router zyxel

Ho un router ZyXel 650H-11 e vorrei bloccare lato wan le porte del
netbios (137-139 tcp/udp) per poter condividere tranquillamente i file
all'interno della rete domestica
collegandomi via telnet al router e accedendo al menu 21 (Filter Set
Configuration) trovo preimpostato 4 set di regole di cui una fa al
caso mio: e' la 2 e si chiama NetBIOS_WAN. Entrando nel menu di
modifica del filtro vedo quanto segue
                       Menu 21.2 - Filter Rules Summary
# A Type                       Filter Rules                      M m n
- - ---- ------------------------------------------------------- - - -
1 Y IP   Pr=6, SA=0.0.0.0, DA=0.0.0.0, DP=137                    N D N
2 Y IP   Pr=6, SA=0.0.0.0, DA=0.0.0.0, DP=138                    N D N
3 Y IP   Pr=6, SA=0.0.0.0, DA=0.0.0.0, DP=139                    N D N
4 Y IP   Pr=17, SA=0.0.0.0, DA=0.0.0.0, DP=137                   N D N
5 Y IP   Pr=17, SA=0.0.0.0, DA=0.0.0.0, DP=138                   N D N
6 Y IP   Pr=17, SA=0.0.0.0, DA=0.0.0.0, DP=139                   N D F
che da quanto ho letto su altri messaggi è proprio il set di regole
giusto perchè blocca le porte 137-139 sia tcp che udp
poi sono andato nel menu 11 (Remote Node Setup) e entrando nella
configurazione della mia connessione ho modificato la voce edit
filters su yes e poi ho aggiunto alla voce "input filters sets:
protocol filters" il numero 2 cioè proprio il set di regole
precedentemente visto
ho provato a fare un test sul sito di gibson (
www.grc.com
) ma la porta
139 continua a essere "closed". e' normale o dovrebbe essere su
stealth? il mio obiettivo vorrebbe essere proprio stealth ma non
capisco se configuro male il router o se non posso fare quello che
vorrei
e' necessario spengere e riaccendere il router dopo aver apportato
modifiche?

 modifiche?
No.
-- 
« E' assolutamente evidente che l'arte del cinema
  si ispira alla vita, mentre la vita si ispira alla TV »
(Woody Allen)

 con un icmp dest. port unreachable, o un tcp reset. IMHO va bene.
Cioe' alla fine queste porte sono "inaccessibili" dalla wan e posso
stare tranquillo? anche prima di applicare i filtri avevo la 139
chiusa e non stealth, non c è modo di farla diventare invisibile con
questo router?
se bloccassi anche l icmp?

 modifiche?
Ho uno Zyxel 642R, piu' o meno identico al tuo in questa parte, provo a 
risponderti.
Andiamo per punti.
Per aggiungere piu' filtri in sequenza occorre modificare le regole 
precedenti, cosa che sul maledetto User's Manual non e' scritta.
Mi spiego, se dove hai aggiunto il filtro 2 ce ne era gia' uno, 
sicuramente l'ultima delle regole che compongono quest'ultimo finiva con 
un F (forward) per cui, anche se puoi aggiungere altri filtri le regole 
di questi verranno ignorate. Non so quale filtro esiste gia' prima del 2 
che hai inserito, ma per esempio se tu volessi aggiungere un'altro filtro 
dopo il 2, dovresti modificare la regola 6 (che hai postato), da:
6 Y IP   Pr=17, SA=0.0.0.0, DA=0.0.0.0, DP=139      N D F
a:
6 Y IP   Pr=17, SA=0.0.0.0, DA=0.0.0.0, DP=139      N D N
devi cioe' cambiare il comportamento da "Forward", a "Next". Questo 
perche' se il filtro fosse l'ultimo, dopo aver verificato che il 
pacchetto non soddisfa nessuna delle regole dovrebbe inoltrarlo, mentre 
se esiste un filtro successivo deve passare il pacchetto all'esame delle 
regole che lo compongono (Next).
Percio' dovresti modificare il filtro prima del 2 che hai inserito, e 
cambiare il comportamento "n" (not matched) dell'ultima regola da "F" 
(Forward) a "N" (Next).
Per quanto riguarda il vedere la porta chiusa dall'esterno, se tu non hai 
mappato le porte netbios con il SUA (Zyxel chiama cosi' il PAT) verso un 
PC specifico, e' normale che un tentativo di connessione su queste porte 
dalla WAN sull'indirizzo pubblico le trovi chiuse, perche' il router non 
sa a quale PC reindirizzarle e non ha alcun proprio servizio che faccia 
capo ad esse. E' uno dei vantaggi del NAT che intrinsecamente e' anche 
firewall.
Infine, se vuoi far risultare stealth alcune porte basta mapparle col SUA 
verso un indirizzo interno inesistente. Per esempio se la tua rete 
interna e' 
192.168.1.0/24
 e NON usi su alcun PC l'indirizzo 
192.168.1.250, mappale verso 192.168.1.250. In questo modo, i pacchetti 
indirizzati a quelle porte cadranno nel "nulla" e saranno stealth. Se 
verso questo indirizzo mappi l'intero IP con "default", sara' stealth 
tutta l'interfaccia WAN.
Aikon