Newsgroup: it.comp.reti.locali
Titolo: IPCOP + WLAN vantaggi?

Ho un firewall che monta IPCOP,
attualmente ho esteso la rete con la
copertura wireless, attualmente l'AP
l'ho collegato ad uno switch.
Ho visto che si potrebbe aggiungere una
s.rete sul firewall e collegare li l'AP.
Che vantaggi avrei?
Il fatto di avere una classe di IP diversa
dalla rete migliora la sicurezza ?
grazie per l'attenzione
M


IMHO solo una maggiore complessità di configurazione del firewall
Matteo
-- 
--
Corollario della Legge di Murphy
"La causa principale dei guasti nelle apparecchiature elettriche
  e' la scadenza della garanzia"

 ciao, f.
Io preferisco usare la stessa subnet ed implementare regole a livello di 
security, ad esempio filtri mac-address, SSID nascosto, autenticazione 
con certificato, vpn e WPA piuttosto che utilizzare una seconda subnet e 
complicarmi la vita con il firewall.


 
Si, ma "l'intruso" deve prima associarsi all'AP che è protetto con WPA 
ed autenticazione con certificati, oltre a trovare l'ssid. Quindi è 
virtualmente impossibile (a meno di avere a disposizione mooolto tempo e 
capacità di calcolo parallelo non da tutti...) che si associ e che 
quindi entri. E cmq la server farm è sicuramente su un'altra subnet in 
quanto, di solito, è in DMZ e quindi protetta da firewall e/o router.
Matteo


 quanto, di solito, è in DMZ e quindi protetta da firewall e/o router.
Scusate la mia ignoranza, ma la DMZ non è una zona con una protezione + 
"debole" rispetto all LAN interna??

 "debole" rispetto all LAN interna??
DMZ = Zona Demilitarizzata (Poca o nessuna protezione) in cui metti 
server che danno servizi su internet (es. SMTP, HTTP) ma non Database, 
POP Server che devono essere in lan in quanto contengono dati sensibili.
Praticamente "dovrebbe" (il condizionale č d'obbligo in quanto molte 
aziende non seguono queste regole) essere cosě:
Internet --> Firewall --> DMZ --> Firewall --> Lan
I due firewall nel 90% dei casi sono unificati ma questo porta ad una 
falla di sicurezza in quanto se ti rompo un firewall la tua lan č 
spacciata mentre in questo modo prima di entrare nella lan devo fare 
ulteriore fatica.
Ciao


 quanto, di solito, è in DMZ e quindi protetta da firewall e/o router.
Si, ma in genere il traffico originato dalla LAN e diretto verso la DMZ
è regolato in modo... diciamo "permissivo".


 
Dipende dalla configurazione, se devi fare una rete sicura consiglio di 
disabilitare il SSID Broadcast ed il DHCP.



Beh; se consideri che sia WEP che WPA sono stati
crackati e quindi sono intrinsecamente insicuri e se
a questo aggiungi che connettere un access point
alla rete cablata permette a chiunque di accedere
a quest'ultima senza limitazioni; il fatto di connettere
l'access point ad una subnet diversa e soggetta a
regole di filtraggio più stringenti potrebbe sicuramente
aumentare la sicurezza della tua rete; a tal proposito
ho già sperimentato con successo una soluzione che
permette di ottenere un livello di sicurezza "decente"
anche per quanto riguarda WiFi; in pratica ho utilizzato
http://m0n0.ch/wall
 come firewall connettendo poi ad
una NIC "dedicata" l'access point; a questo punto ho
configurato m0n0 in modo da richiedere IPSec per tutte
le comunicazioni in transito su tale NIC; questo significa
che tutto il traffico tra la rete cablata e la wireless viene
criptato e protetto da IPSec il che evita i problemi di
sicurezza di WEP/WPA e come ho scritto garantisce
un decente livello di sicurezza... a prezzo di una maggiore
complessità di configurazione.. anche se per i clients
wireless basta utilizzare un semplice software di config tipo
http://www.draytek.com/product/smart_vpn/index.php
 per
semplificare la configurazione del tunnel IPSec
Ciao
-- 
* ObiWan
Microsoft MVP: Windows Server - Networking
http://www.microsoft.com/communities/MVP/MVP.mspx
http://italy.mvps.org
DNS "fail-safe" for Windows clients.
http://www.ntcanuck.com
Newsgroups and forums
news://
news.ntcanuck.com
http://forums.ntcanuck.com
408+ XP/2000 tweaks and tips
http://www.ntcanuck.com/tq/Tip_Quarry.htm

 quindi entri.
Hem ...
Many Wireless Security Breaches Reported At Security Conference
http://www.securitypipeline.com/60402137
WEP: Dead Again, Part 2
http://www.securityfocus.com/infocus/1824
Cracking WPA, Parts 1 & 2
http://www.informit.com/articles/article.asp?p=369221
http://www.informit.com/articles/article.asp?p=370636&rl=1
Cracking WEP, Parts 1 & 2
http://www.tomsnetworking.com/Sections-article118.php
http://www.tomsnetworking.com/Sections-article120.php
Warnings on woeful WiFi security
http://news.bbc.co.uk/2/hi/technology/4335777.stm
e, giusto per completezza ...
Cisco "security blueprint"
http://tinyurl.com/xnla


 
azz....non sapevo che wpa fosse stato crackato. Grazie per i links. Cmq 
nella mia rete wireless utilizzo un sistema ipsec di autenticazione 
simile al tuo.
Grazie Ancora


 di autenticazione simile al tuo.
Hem .. più che altro il discorso IPSec serve ad impedire
traffico non autorizzato.. visto che WEP/WPA non possono
(vedi links) assolvere al compito :-)
Già che ci siamo, e sempre a proposito di IPSec, eccoti
qualche esempio di configurazione
http://www.freebsddiary.org/ipsec-wireless.php
http://www.freebsddiary.org/ipsec-wireless-move.php
in questo caso viene usato BSD, ma il discorso di base
non cambia; l'idea è quella di avere un gateway tra la
porzione wireless della rete e quella cablata che accetti
solo traffico IPSec (con le dovute credenziali) in questo
modo potresti addirittura disabilitare WEP/WPA senza
incontrare grossi problemi di sicurezza.. che c'entra, un
minimo di WEP in questo caso non farà male ... giusto
per dissuadere anche i "casual scanners" :-) per quanto
riguarda poi l'ambiente Microsoft ti consiglio di consultare
questa pagina 
http://www.microsoft.com/ipsec
 ed anche
questi articoli (anche se non tutti relativi ad IPSec)
http://www.microsoft.com/technet/community/columns/cableguy/default.mspx


Grazie a tutti per le esaurienti risposte
e la discussione, grazie anche per i link,
direi che ho un pò di materiale da studiare,
effettivamente che il wifi fosse un colabrodo
già lo sapevo , appena avrò un pò di tempo
cercherò di migliorare la sicurezza, per ora
l'ho configurata: con il wep, non posso usare
il wpa perchè incompatibile con i palmari che
usiamo, con il filtro sui mac-address, no dchp,
ssid nascosto ....
Mi sento cmq relativamente tranquillo perchè girando
attorno agli uffici con netstumbler  (wifi scanner)
il segnale esce di pochissimi metri, quindi se vedrò qualcuno
appoggiato ai muri con il portatile ...
gli tiro una bella secchiata d'acqua :)))
In compenso ho beccato altre 2 reti wifi ovviamente aperte
nel raggio di 1 km ... divertente il war-driving ;)
un saluto a tutti