Newsgroup: it.comp.reti.locali
Titolo: firewall e p2p

Ciao,
sto mettendo su un firewall Linux con iptables per proteggere una lan
costituita da una ventina di pc. Vorrei sapere come vi comportate voi
per quanto riguarda il filtraggio delle connessioni p2p e quale
politica adottate per impedirne l'uso.
Grazie.


Brutalmente, NESSUN tipo di forward o nat dall'interno della LAN
all'esterno: per la navigazione, proxy locale che è l'unico abilitato ad
accedere al web all'esterno.
-- 
Massimo Bacilieri AKA Crononauta 
ICQ:4005815

sono sicuro che questa sia la soluzine migliore, ma per il momento un
prozy non è previsto.
Si potrebbe autorizzare solo il forward delle risposte alle connessioni
web e pop3/smtp e chiudere tutto il resto?
Che te ne pare?
Ciao

 Che te ne pare?
Che ci sono dei p2p che fanno tunneling su protocollo http, quindi se
lasci passare in forward la porta 80, è come lasciare passare tutto...


quindi se
lasci passare in forward la porta 80, è come lasciare passare tutto...
Mi sembra di capire che anche un proxy lascerebbe passare le
connessioni web, o no?
Quale sarebbe la differenza?
Ti ringrazio.

 Quale sarebbe la differenza?
Che se hai un proxy, il client si collega al proxy, il quale ricerca la
pagina richiesta e gliela mette a disposizione. Il client non può in
alcun modo fare uscire dei dati, o riceverne direttamente.
Se invece permetti la comunicazione sulla porta 80, il client può
collegarsi direttamente all'esterno a un altro server. E non è più detto
che siano pagine web quelle che si scambiano...


Che se hai un proxy, il client si collega al proxy, il quale ricerca la
pagina richiesta e gliela mette a disposizione. Il client non può in
alcun modo fare uscire dei dati, o riceverne direttamente.
Quindi attraverso un proxy (per es. Squid) il client non realizza una
connessione direttamente con il server esterno, ma le pagine vengono
memorizzate nella cache e poi "rispedite" al client, giusto? Una
connessione diretta client/server è quindi impedita, ma se il p2p si
"accontentasse" dei file nella cache?
Ti faccio queste domande non per far polemica ma per studiare meglio il
problema e cercare una soluzione adeguata, e ti ringrazio molto delle
risposte.
Ciao.

 si "accontentasse" dei file nella cache?
Non sarebbe più p2p, no? :-)
Il p2p (che sta per "peer to peer") implica che la connessione sia
bidirezionale e il collegamento fra i due peer sia diretto.
Se uno dei due non è visibile da fuori, né può trasmettere all'esterno,
semplicemente il collegamento non si può fare.


Ti ringrazio.
Per il momento devo cercarmi una lista delle porte più usate nei p2p e
chiuderle con iptables, poi successivamente, quando gli amministratori
decideranno, metteremo su anche un proxy.
Sapresti indicarmi un link dove trovare un buon manuale su squid in
italiano?
Ciao

 italiano?
Prova a guardare qui:
http://www.merlinobbs.net/Squid-Book/HTML/
Ad ogni modo, per un sysadmin che si avventura nella configurazione di
ambienti complessi come i proxy, i firewall, i gateway etc. credo sia
indispensabile la conoscenza dell'inglese per poter leggere le
documentazioni originali.
Ovviamente a 
http://www.squid-cache.org
 la documentazione è esaustiva.


credo sia
indispensabile la conoscenza dell'inglese per poter leggere le
documentazioni originali.
Hai ragione. Cmq l'inglese lo conosco abbastanza bene (almeno quello
scritto). Per il sysadmin sto imparando a farlo , per questo chiedo
consiglio a chi ne sa più di me.
Grazie infinite.

chiuderle con iptables,
Io penso che dovresti invece fare la lista delle porte indispensabili
e lasciare aperte solo quelle.