Newsgroup: it.comp.reti.locali
Titolo: Ristrutturazione server

Ciao a tutti.
Attualmente ho un server Linux collegato alla linea ADSL tramite un 
modem ethernet.
Questo server funge da gateway per permettere l'accesso ad Internet alla 
rete locale tramite il modem e la linea ADSL.
Questo server eroga servizi sia all'interno della rete che su Internet.
Su Internet eroga servizi legati alla posta elettronica (mail, pop3, 
imap-ssl), http, ssh e vpn.
I servizi erogati all'interno sono samba, web e imap.
E' attivo un firewall scritto tramite regole di iptables che 
dall'esterno chiude tutto e apre solo quello che serve.
Vi chiedevo se secondo voi un sistema del genere sia abbastanza sicuro, 
oppure se convenga prendere un'altra macchina da adibire a 
gateway-firewall e collegare il server in DMZ ad una scheda di rete del 
firewall. Il problema però sarebbe che il server in questione eroga 
anche servizi all'interno della rete.
Purtroppo diventerebbe abbastanza dispendioso mettere in funzione 
un'ulteriore macchina da adibire esclusivamente a server interno (e 
utilizzare l'altra solo per i servizi verso l'esterno).
Che consiglio mi date? Lascio tutto così com'è oppure posso fare delle 
modifiche?
Grazie mille!
Ciao
Decibel.

 dall'esterno chiude tutto e apre solo quello che serve.
Quindi il firewall e' sulla stessa macchina che si collega a internet e
alla LAN: brutta situazione.
Ti conviene installare un firewall tipo IPCop 
www.ipcop.org
 o m0n0wall
http://m0n0.ch
 e definire una DMZ in cui risiedera' il server.
Le stazioni della LAN vedranno il firewall come default gateway e
potranno accedere a tutti i servizi del server. Quest'ultimo sara' poi
protetto dalla struttura front-end del firewall, che gestira'
direttamente la WAN (IPCop lo fa via USB, per m0n0wall devi usare un
modem ADSL-ethernet).
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Security, Networking, Windows NT/2000/XP
http://support.microsoft.com/newsgroups/default.aspx
IDRCI Italia - 
http://www.idrci.it
 - 
http://forum.idrci.it
CHX-I, CHX-I NAT Stateful Packet Filter

 potranno accedere a tutti i servizi del server.
Ok. Ma come facciamo per la distribuzione dei servizi verso la LAN e 
verso Internet?
Il server dovrà essere quindi avere due interfacce, una collegata alla 
rete locale (utilizzata per i servizi erogati alla rete locale) e una 
collegata alla DMZ del firewall (utilizzata per i servizi erogati verso 
Internet)?
In pratica, il problema è che i servizi per la rete locale vengono 
raggiunti sull'indirizzo IP privato del server (192.168.1.x), mentre 
quelli verso Internet vengono raggiunti sull'inidirzzo pubblico 
(212.x.x.x)...
Grazie mille!
Ciao
Decibel.

 (212.x.x.x)...
In questo caso, puoi definire sul firewall delle NAT statiche dagli
indirizzi WAN, limitati ai soli servizi che ti occorre pubblicare, al
corrispondente indirizzo di DMZ (es. xx.xx.xx.xx:25 natta su 
10.0.0.1:25
ecc...). Il firewall fara' quindi routing dalla LAN (192.168.1.0) alla
DMZ (10.0.0.0), raggiungendo le risorse del server.
Le connessioni impartite dalla DMZ alla LAN sono negate per default.
P.S.: comunque si tratta di uno schema piuttosto classico ;-)


 P.S.: comunque si tratta di uno schema piuttosto classico ;-)
Si si, ma volevo avere le idee un po' più chiare prima di perderci 
dietro tempo... :-)
Grazie, ciao!
Decibel.

 dietro tempo... :-)
Nessun problema. Peccato non ci sia la live-CD di IPCop; comunque si
installa in 10' e funziona bene; se hai da parte un disco inutilizzato,
provalo, anche installando i moduli add-on. Una volta installato lo
gestisci completamente via SSL e HTTPS.


 gestisci completamente via SSL e HTTPS.
Era SSH e HTTPS :-)



m0n0wall, m0n0wall, m0n0wall :-D
ha una gestione globale di tutti gli aspetti di firewall/router/nat etc etc
etc che definire flessibile è riduttivo..
visto che gira tutto in ram e che tu hai un server linux per le mani,
abiliti il log dal firewall al server e poi ti crei tutte le statistiche che
vuoi.. considera che in questo modo, se ti dovessero bucare (IMVHO molto
difficile a meno di cazz.. ahem cavolate in fase di conf), hai i log su
altra macchina
HTH
ciao
-- 
Stefano Zamboni - 
zam...@freemail.it
Principio di Shaw:
Fai un programma che anche un idiota può usare, e soltanto un idiota vorrà
usarlo.

 usarlo.
se posso dire la mia opinione (server di interb. permettendo) ;)
mi lascia un po' perplesso l'idea di 'chiudere' le porte anche sul
server: in questi casi si finisce spesso per dimenticarsi di averlo
fatto e, poi, in un futuro si perde una giornata perche' si vuole
aggiungere un servizio e non si capisce perche' non va :-)
piuttosto credo sia meglio curarsi di lasciare sul server attivo solo
quelle che serve e fare sempre gli update di sicurezza. anche perche'
oggi la "sicurezza" non e' piu' una questione di 'apri porta chiudi
porta'. per esempio se fosse un web server non sarebbe brutto mettergli
davanti squid (volendo restare linux) che faccia da reverse proxy e
filtri eventuali chiamate biricchine tipo
www.sito.it/sd,mnmnxcv////s
<varie porcherie>/?wget--//worm.bin
;)
-- 
Tinto

 
http://firewalladdons.sf.net
Si, consoco Ipcop e l'ho già utilizzato, oltre ad aver fatto qualche 
prova...
Il problema è che non ho avuto buone esperienze con Ipcop... Spesso si 
bloccava, senza motivo, a volte non funzionava proprio e a volte mi dava 
alcuni problemi più disparati...
Inoltre non so perchè, forse sarà una mia fissazione, ma mi sento più 
sicuro ad utilizzare uno script creato da me stesso, in maniera da poter 
gestire al meglio le regole di Iptables...
Non so, ripeto, forse è una mia fissazione, ma chi mi assicura che Ipcop 
è intrisecamente più sicuro di una normale installazione Debian Stable 
configurata ad-hoc?
Ciao, grazie!
Decibel.

 Non so, ripeto, forse è una mia fissazione, ma chi mi assicura che Ipcop è intrisecamente più sicuro di una normale installazione Debian Stable configurata ad-hoc?
Io l'ho testato a lungo (1.3.0) e quindi installato presso parecchi
Clienti; non ho mai avuto la benche' minima noia e alcune macchine hanno
un uptime di quasi due anni: questo almeno come testimonianza personale.
La 1.4.6 e' decisamente piu' matura e flessibile. Che sia piu' sicuro di
una debian ad hoc credo non possa dirlo nessuno ... iptables e' sempre
quello, il kernel di IPCop 1.4 e' un linux from scratch e, almeno in
teoria, dovrebbe essere stato completamente ripassato con un occhio al
prodotto finale. Ho seguito la (interminabile) beta e di bug ne sono
stati corretti moltissimi, cosa che ha delle analogie con la lentezza
causa test delle releases di debian.
Probabilmente e' una questione di feeling, e forse di rapidita' di
installazione. Nei firewall che installiamo presso i Clienti usiamo
memorie flash per ridurre i rischi di guasto, ed i 60MB di IPCop fanno
proprio comodo.
Diverso e' il discorso di m0n0wall. E' un BSD, con tutta la fama di
sicurezza e solidita' che possiede, usa netfilter, e' velocissimo (ho
Clienti con macchine con LAN e DMZ gigabit che con un celeron ragiungono
i 60MBytes/sec di throughput sostenuto), e' estremamente flessibile
(piu' di IPCop) e (giustamente) limitato a fare *solo* il firewall. Per
i log, come ha bene scritto Stefano, configuri un logserver e poi fai
quello che vuoi.
Per i firewall 10/100Mbps con m0n0wall uso l'eccellente hardware Soekris
www.soekris.com
.


 
www.soekris.com
.
Ne ho sentito parlare benissimo, decisamente ottimi anche secondo me... 
Chissà che inizio a testarne uno anch'io, anche se i firewall non sono 
il mio core-business... :-)
Ciao, grazie!
Decibel.

 il mio core-business... :-)
Se acquisti Soekris, tieni presente che l'interfaccia php fa schizzare
al 100% la CPU dei modelli a 133MHz, per cui sembra molto lento con la
WebGUI, ma in effetti nel funzionamento normale e' veloce quanto basta.
Per il software, il mirror italiano e' mio :-)


 WebGUI, ma in effetti nel funzionamento normale e' veloce quanto basta.
Ho ordinato Soekris!! :-)
Ho preso proprio il modello a 133 MHz con tre interfacce...
M0n0wall e via, vediamo come va!!
Ciao, e grazie ancora!
Decibel.
PS [OT]: ho un problema con l'installazione di Ubuntu, sai mica darmi 
una mano? Sai mica come si può caricare all'installazione un modulo 
esterno di un controller RAID non direttamente supportato dal kernel? 
Grazie!!

 esterno di un controller RAID non direttamente supportato dal kernel?
Con Ubuntu non ho mai avuto bisogno di installare altri moduli, ma e'
debian-based, per cui credo che la procedura sia press'a poco la stessa
di debian. Mi spiace di non poterti dare una mano in questa cosa.


 di debian. Mi spiace di non poterti dare una mano in questa cosa.
L'installer è lo stesso di Debian, ma purtroppo non c'è l'opzione per il 
caricamento di moduli esterni, o almeno, io non l'ho trovata...
Grazie mille!!
Ciao

 \\10.0.0.100\Condivisa ...
Mi è venuta in mente una cosa...
Ma quanto è sicuro far agire il server sulla DMZ anche da server Samba 
(e quindi da controller di dominio per la rete interna)?
Ciao,
Decibel.

 (e quindi da controller di dominio per la rete interna)?
Se le porte NetBIOS non sono raggiungibili da WAN, e' come se non ci 
fosse. Eventualmente puoi implementare criteri di accesso alle risorse 
SMB condivise per ridurre la possibilita' di intrusione in caso di 
compromissione del firewall.


 compromissione del firewall.
Però se qualcuno riesce a compromettere la macchina attraverso uno dei 
servizi accessibili dall'esterno ha accesso completo ai dati del file 
server...
Comunque, posso far diventare Controller di dominio (PDC) un server 
posizionato nella DMZ?
Ciao, grazie ancora!
Decibel.