Newsgroup: it.comp.reti.locali
Titolo: Domanda da ignorante (firewall e NAT)

Ho un router adsl Zyxel (un 660HW) che mi permette di nattare staticamente 
delle porte su indirizzi IP specifici. Lo stesso router implementa anche una 
sorta di firewall. Ora, da ignorante, mi chiedo questo: a cosa mi serve il 
firewall se non natto nessuna porta sugli indirizzi privati della mia rete 
locale? Mi spiego: che possibilita' c'e' che i computer della mia LAN 
vengano raggiunti da pacchetti "indesiderati" provenienti dalla WAN se non 
ho impostato delle regole specifiche per il NAT (o Port Forwarding come si 
chiama su alcuni router) verso questi computer? Che differenza c'e' tra 
lasciare il firewall abilitato e creargli delle eccezioni per le porte 
nattate e non nattare per niente quelle porte lasciando il firewall 
disabilitato?
Grazie in anticipo per l'aiuto.
G 

 G
PS: evita nell'oggetto di mettere "Domanda da ignorante" o altro, tanto non 
serve a nessuno. 


di default un router fa passare tutto tranne quello che espressamente 
gli dici di non instradare, il firewall di base blocca tutto tranne 
quello che desideri venga lasciato passare, poi, il metodo con cui il 
router blocca e' meno sofisticato di quello del firewall, inoltre il 
firewall protegge lo stesso router.

 disabilitato?
Ci sarebbe la necessità di specificare qualche concetto che purtroppo
(per lo più per "pubblicità ingannevole") rimane spesso vago e ignorato
dai più.
La presenza di un firewall (inteso come il "classico" packet filter,
quindi ignorando estensioni quali la cosiddetta Deep Packet Inspection)
non è *in alcun modo* garanzia di migliore sicurezza.
Dopo 'sta sparata, specifichiamo cosa intendo...
La sicurezza non la fa il firewall. La fanno le policy pensate
dall'amministratore su cosa deve esere autorizzato a passare e cosa no.
Sia in ingresso che (soprattutto, di questi tempi) in uscita.
Il firewall è solo un cesello (più o meno flessibile a seconda delle
funzionalità da esso implementate) che permette di dare forma e
applicazione a queste policy.
Secondo la mia modesta opinione, un firewall che si limiti al classico
screening (dentro->fuori tutto; fuori->dentro niente) è di fatto
assolutamente inutile. Già la presenza di un router a malapena decente
che si occupi di nattare la LAN ottiene praticamente lo stesso risultato.

 indirizzi privati della mia rete locale? 
Per esempio puo' essere utile rendersi conto se qualcuno ti ha 
preso di mira con scanport & C, l'"attacante" ovviamente esegue 
lo scan sul tuo ip pubblico "mantenuto" dal router e se questo 
non ha filtri e log attivi (o non ha nessun redirect impostato)
non avrai mai un'idea di cio' che ti circonda.
Quindi "minimo" attivi il firewall per motivi statistici e di 
monitoraggio (e' assolutamente riduttivo intendere il firewall 
solo come "questo entra e questo no"). 
Magari imposti pure qualche rules per impedire che dall'esterno 
passino pacchetti in entrata con indirizzi di rete privati e 
magari per avere dei log seri istruisci lo stesso Zyxel a spedire
i log su una tua macchina in LAN.
A questo punto pero' avrai un syslog in ascolto (potenzialmente
pericoloso) su l'interfaccia di rete collegata al router. 
Questo significa che pacchetti "falsificati" in arrivo da internet
che riportano l'indirizzo dell'interfaccia interna del router 
potrebero causare sul tuo server dei DOS caricandoti di log
(magari su un filesystem mal partizionato) ... quindi altra regola
da impostare come filtro WAN da parte dello Zyxel: 
"bloccami tutti gli UDP diretti alla porta 514 in arrivo da 
qualsiasi IP verso qualsiasi IP".
Tutto questo come vedi senza parlare minimamente di Forwarding o 
di impostazioni SUA (giusto per rimanere in tema di Zyxel).
Questi ovviamente sono solo spunti, spero di esserti stato utile.

 (magari su un filesystem mal partizionato)
Non posso che essere d'accordo.
Ciao
----------
Akira