Newsgroup: it.comp.reti.locali
Titolo: FTP su rete Ufficio

Il firewall del mio ufficio EFW (endian friewall community)
non è predisposto per una DMZ ma io vorrei adibire a FTP una porzione di 
una NAS che ho in ufficio.
Le domande sono 2:
1) cosa utilizzare come server FTP?? Il PDC è w2008 e la NAS ha anche la 
funzione FTP... oppure i vari Filezilla ecc..
2) cosa si rischia a implementare una cosa del genere senza DMZ??
Grazie a tutti
Bicio

 2) cosa si rischia a implementare una cosa del genere senza DMZ??
Che ti entra la porta 21 fin dentro la LAN.
-- 
Traveller, not tourist!
www.inter-rail.it

 Che ti entra la porta 21 fin dentro la LAN.
e se collego la NAS "a monte" del FW??
(in questo caso accedendo dall'interno della LAN
l'antivirus e il FW dovrebbero ripararmi decentemente
o è tutto un colabrodo e non conviene??)
Quale è la SOLUZIONE DEFINITIVA vista la tipologia di rete che ho??
Grazie
Bicio

 Quale ï¿œ la SOLUZIONE DEFINITIVA vista la tipologia di rete che ho??
Definitiva non lo so. Dipende dalla sensibilitï¿œ dei dati. Se non ci vuoi 
perdere troppo tempo inoltra la porta 21 e va bene cosï¿œ.
Se vuoi fare le cose per bene o crei la DMZ (cfr. IpCop) o... non mi 
viene in mente altro di "pulito ed elegante". :)
PS: da qui leggo che Endian ha la DMZ!
http://www.endian.com/en/community/feature-comparison/
ï¿œ


 funzione FTP... oppure i vari Filezilla ecc..
Sul server hai anche altra roba? Uno dei rischi e' che qualcuno acceda 
alla macchina e vada altrove. Considera FreeNAS 
www.freenas.org
, lo 
installi su flash con un hardware anche di recupero e hai una 
macchinetta dedicata all'FTP (e altro).
Un mio personale suggerimento: fai un pensierino alla Intel Little 
Falls: 
http://www.eprice.it/Schede-Madri-INTEL/s-1864201
70 euri IVA inclusa, mancano solo RAM e disco (come detto, usa una 
flash o una chiavetta USB).
Altro personale suggerimento: prendi un embedded tipo PCengines ALIX2 
(86 euro + box + PSU + IVA) e installa m0n0wall 
http://m0n0.ch
, cosi' 
avrai la tua DMZ.
http://www.wispmax.com/vm.html?page=shop.product_details&flypage=flypage-ask.tpl&product_id=146&category_id=39
Ciao
Luca

> Quale � la SOLUZIONE DEFINITIVA vista la tipologia di rete che ho??
creati una screened network; in pratica, aggiungi una terza scheda
di rete sul box che funge da firewall (endian la supporta che io sappia)
ed assegna alla terza scheda una subnet diversa da quella della LAN
(e della WAN), ad esempio avendo la LAN su 192.168.x.y potresti usare
172.20.x.y per la terza scheda; a questo punto, connetti il NAS alla
terza
scheda assegnando al NAS stesso un indirizzo 172.20... e configurando
il tutto in modo da assicurarti che le macchine della LAN riescano a
raggiungere il NAS; fatto questo, procedi con la pubblicazione del tuo
FTP dal NAS; considera per� che se sul NAS sono memorizzate delle
informazioni riservate, l'uso dello stesso come server FTP pubblico non
� esattamente un'ottima idea, in questo caso sarebbe forse opportuno
valutare l'installazione di un serverino FTP dedicato da pubblicare
comunque seguendo le istruzioni gi� viste

 PS: da qui leggo che Endian ha la DMZ!
Certo.. mea culpa...infatti ho scritto MALE.. non dovevo scrivere
"non è predisposto per..." ma "non è configurato con..."
il fatto è che volevo evitare di buttare troppa carne al fuoco.
Credo che alla fine farò come da te consigliato... "pulito ed elegante"
:D

 comunque seguendo le istruzioni giï¿œ viste
Tutto questo non si chiama anche "DMZ" ? :-)


> Tutto questo non si chiama anche "DMZ" ? :-)
Impropriamente; una DMZ vera e propria �
ext network
|
firewall
|
+--- DMZ
|
firewall
|
int network
invece una screened network �
ext network
|
firewall -- screened network
|
int network
la differenza sta nel fatto che per la DMZ vera e
propria si usano due firewalls separati mentre per
la screened ne basta uno che sia "three legged"
ciao

 la screened ne basta uno che sia "three legged"
"trigambico" :)
Ciao
Luca


Grazie per il chiarimento, quindi praticamente tutti utilizzano 
impropriamente il termine DMZ!


 impropriamente il termine DMZ!
Piu' o meno. In soldoni, con network di tipo screened tutte le 
interfacce del firewall sono gestite dal medesimo sistema operativo e, 
nel caso venisse violato, l'intero firewall risulta nullo.
La struttura a due firewall e' un po' piu' complessa da configurare 
(es. le VPN) ma piu' sicura.
Ciao
Luca

 le VPN) ma piu' sicura.
si ma Endian non supporta questa cosa... o meglio dovrei averne 2 con la 
NAS/FTP in mezzo....
Vedrò come procedere... nel frattempo conoscete dei servizi free ON-line 
"FTP ORIENTED" che si possono utilizzare in alternativa alle "jumbo mail"??
Lo scopo è fornire un serbatoio ad utenti esterni su dati che siano 
accessibili a loro e cmq gestibili da me. (serve solo DOWNLOAD/UPLOAD)
Grazie a tutti per l'aiuto
Bicio

 "trigambico" :)
yes, basta che quando si parla di terza gamba in
questo contesto, non si pensi a siffredi o trentalance <grin>

 impropriamente il termine DMZ!
Si, diciamo che per pigrizia (screened network � pi� lungo
di DMZ :D) si usa il termine DMZ in entrambi i casi, alla fine
della fiera nel caso della screened � come "riunire" i due
firewalls (ext/int) in un unico box :) ovvio che, come ha scritto
Luca entrambe le soluzioni hanno i propri pro e contro ma
anche le loro ragioni di esistere; nel caso in questione credo
che una screened (EFW con tre schede di rete) potrebbe
andare bene

 configurare (es. le VPN) ma piu' sicura.
Io preferisco terminare le VPN sul firewall esterno o su un box
in DMZ e poi gestire il traffico verso la LAN (ammesso che la
VPN debba arrivare in LAN) filtrandolo tramite il firewall interno
tra l'altro in tal modo � possibile usare un IDS/IPS in DMZ per
tenere sotto controllo il traffico ;)

 DOWNLOAD/UPLOAD)
Creati una screened con Endian connetti il NAS oppure
(meglio secondo me) un serverino con FileZilla allo switch
della screened e modifica la config di endian per pubblicare
la 21 di tale host

 accessibili a loro e cmq gestibili da me. (serve solo DOWNLOAD/UPLOAD)
Servizi free mi viene in mente 
www.megaupload.com
; se ti occorre 
qualcosa in piu' (es. automazione), contattami in pvt: l'email e' 
valida, solo cambia myname con luca.
Ciao
Luca

 per indicare una funzione che non fa altro che impostare un NAT
La prossima versione sara' un adesivo applicato sul firewall con su 
"Hands off!"
Ciao
Luca

Luca Sasdelli ha scritto:

ma esistono anche ottimi prodotti completi di contratti esterni a prezzi 
non esagerati: 
http://www.fortinet.com/products/fortigate/60B.html
 ... e 
sicuramente funzionano :)

 macchinetta m0n0wall come backend:
Non per voler fare il bastian contrario a tutti i costi ma secondo
me potrebbe fare l'esatto opposto, ossia, lasciare la config cos�
come � ed installare m0n0 come firewall esterno cos� non dovr�
cambiare la config LAN e metter� in piedi la DMZ senza troppe
manovre e tribolazioni :) - per il resto, concordo su FreeNAS che
reputo un buon prodotto e sulla scelta dell'hardware (oddio, ci
sarebbero anche altre soluzioni hw ma quello che hai suggerito
credo possa essere ok in questo caso)