Newsgroup: it.comp.reti.locali
Titolo: icmp & udp (chiusura porte 2)

leggiendo tra i vecchi post mi sono informato senza
stressarvi inutilmente sulle porte da chiudere
(router 642r/lan100-10pc/no server/no servizi da mettere
in internet). In rapida sintesi ho dato permesso di uscire
alle porte >1024 dirette alle porte 20,21,25,53,80,110,119,443
3389, 8080,8000. Entrano solo pacchetti provenienti da
20,21,25,53,80,8080,8000,110,119,443 e 3389 di andare a
porte >1024 locali (Tutto TCP). Tutto il resto è bloccato.
Ho però alcuni dubbi:
1) la porta 3389 (da un messaggio definita come "Terminal Server")
serve effettivamente che sia aperta?
2) ho letto in un thread che qualcuno consigliava di lasciare
a segnali icmp tipo 0,3,11 ... é necessario lasciare entrare
questi segnali? Sul 3 qualcuno avanzava problemi su attacchi
tipo dos.. è vero? Se devo lasciarli passare in entrata devo
lasciarli anche in uscita?
3) non ho impostato nessun filtro (nel senso che non passa niente)
su pacchetti udp.. devo aprire qualcosa (per ora non intendo usare
programmi di videoconferenza.. è probabile però che si voglia ascoltare
ad esempio streaming tipo realaudio e simili.. non credo che crei gli
stessi problemi di netmeeting.. i no?)?
--
Ciao
The Bos
the-bos#
axelweb.com
http://the-bos.axelweb.com

 su pacchetti udp..
per la sicurezza no so, lascia chiuso sinche' non avrai la necessita
d'aprire ;) tracert mi sembra usi anche l'udp

 d'aprire ;) tracert mi sembra usi anche l'udp
tracert potrebbe servirmi, hai idea di che segnale udp devo lasciar
passare?


 tra settaggio filtri tcp/udp/icmp. Quindi seguo la stessa logica?
no, icmp non ha le porte; il firewall deve prevderlo come protocolloa se!

 wrote in message 9od61b$clcmm$1...@ID-65620.news.dfncis.de...

immagina una maschera di configurazione, uno dei parametri è er definire
tcp/udp/icmp. Il resto della maschera non cambia.. vabbuò allora imposto
solo di lasciarlo passare per qualsiasi ip senza specificare porte.
allora solo i segnali 0 e 8?



I'm not prejudiced, I hate everyone equally.

 funziona l'FTP ....
the name of the game: PASV

 the name of the game: PASV
cioe' ?!? c'e' qualcosa che non so ???
ciao .....


 puo' usare entrambi dipende dal server e normalmente l'udp
Usa UDP per le interrogazioni e TCP per i trasferimenti di zona.
Fabio

 cioe' ?!? c'e' qualcosa che non so ???
si, come cercare con google? ;)
ok ok
come indicavi giustamente tu il problema dell'ftp e' che il server apre la
connessione dati con tcp sulla macchina client che ha richiesto il download;
un'evoluzione del protocollo detta passiva permette di evitare questo
passaggio. il client apre la prima connessione, si mette d'accordo con il
server sulla porta ed apre anche la seconda... ovvii vantaggi.

 funziona l'FTP ....
purtroppo non ho ipchains: l'unico "firewall" è quello dello zyxel 642r..
mi spieghi o mi dirigi verso qualche documento che parli di questo syn
e dei pericoli che posso (potrei) correre a non settarlo?
grazie mille


 e dei pericoli che posso (potrei) correre a non settarlo?
1) se vuoi metti un firewall sulle macchine. ce ne sono per qualunque SO;
iptables/ipchains parlano gnu/linux, ma zonealarm e.g. e' per win* (ma non
so se aggratis)
2) qualunque documento che parli del tcp e delle modalita' per stabilire la
connessione. e' veramente pieno!

 grazie mille
ciao ciao


 si, come cercare con google? ;)
trovato ;-))) lascia stare l'altro followup ... e grazie mille ;-)))


 server sulla porta ed apre anche la seconda... ovvii vantaggi.
ma devo abilitare i browser dei Mac per fargli usare questa procedura, o
lo fanno in automatico (Netscape) ??? 
perche' queste righe del firewall (rubate platealmente dall'HOWTO di Mr
Shark ;-))) si parla di passive mode ....
se lascio chiusa la 20, il server va in passive mode e si connette
nell'altro modo ???
# Attivazione FTP (20/21)
	$IPCHAINS -A input -i $INTERFACE -p tcp ! -y --source-port 21 \
		-d $LOCALIP $UNPRIVPORTS -j ACCEPT
# FTP Port Mode (normale)
	$IPCHAINS -A input -i $INTERFACE -p tcp --source-port 20 \
		-d $LOCALIP $UNPRIVPORTS -j ACCEPT
# FTP Passive Mode (senza questa i browser non accedono ai siti FTP)
	$IPCHAINS -A input -i $INTERFACE -p tcp ! -y --source-port 	$UNPRIVPORTS \
		-d $LOCALIP $UNPRIVPORTS -j ACCEPT
 
grazie per le spiegazioni ..... 


 sicuramente chiudi i 5 redirect
magari a qualcuno può servire: il manuale del router riporta (capitolo
3.14.1 sui vantaggi del SUA): "UDP and TCP packets can be routed: In addition,
partial ICMP, including echo and traceroute, is supported".
Credo di poter dedurre quindi che impostando una regola tipo "fai passare l'icmp"
senza altri settaggi (che non c'entrano con l'icmp) si dica al router di far passare
solo i segnali che supporta (echo and traceroute), che non dovrebbero costituire (?)
eccessivi problemi di sicurezza.


 richieste di connessione ....
sul manual del router, spiegando le varie voci della parte filtri, una
di queste (TCP Estab) viene spiegata cosě:
"If yes, the rule matches only established TCP connections; else the rule
matches all TCP packets."
stando alla tua spiegazione, dovrebbe essere proprio questa la voce che
si riferisce ai pacchetti SYN..
in questo caso basta che lo setti su "yes" nei pacchetti provenienti da
Internet (tranne la 20 per l'ftp) e sarei finalmente a posto.
Nel manuale non parla mai di pacchetti syn.. c'č qualcuno che ha trovato
voci simili a questa per riferirsi ad essi?


puo' usare entrambi dipende dal server e normalmente l'udp
Il TCP si usa solo per lo zone transfer.
-- 
BlueRaven
Scrivi su USENET? Allora:
# kill -HUP html_posting && modprobe quoting.o

 Ciao
ciao ...


grazie ancora
The Bos

 grazie ancora
de nada ;-))) in bocca al lupo !!!
