Newsgroup: it.comp.reti.locali
Titolo: il router basta per la sicurezza?? della serie ho le idee confuse :-)

il soggetto e' un po' dispersivo e premetto che di reti ne capisco ben
poco, ma provo a farmi capire meglio:
stiamo installando l'adsl in ditta e, lurkando un po'
it.comp.reti.locali mi e' sembrato di intendere che se l'adsl ci serve
solo PER USCIRE (mail-http-aggiornamento via ftp di un server remoto)
il solo touter che ci fornisce Telecom ci dovrebbe prevenire da
minacce esterne.
Riporto quanto scritto da Crononauta: "Non capirò mai perché accanirsi
con quei giocattoli quando si ha a
disposizione un ROUTER, che è perfettamente in grado di separare LAN e
WAN e rendere superflui quei programmini".
Per programmini si riferiva ai firewall e proxy software.
Questo e' proprio il ns. caso: rete Winnt con server SBS, con
impostato su tutti i client ip statico e il router come default
gateway .
Su tutte le macchine e' gia' installato un buon antivirus che mi
controlla anche l'eventuale presenza di backdoor
Si voleva evitare di complicare le cose mettendo un Firewall (di
difficile gestione e configurazione) se appunto e' gia' sufficente un
router per separare nettamente le due reti.
Grazie a tutti per le risposte.
Gilbe

 wrote in message
news:3d94613d...@news.interbusiness.it...

In realtà telecom fornisce router senza cnfigurazione "Firewall".
Questo significa che il router potenzialmente può effettuare le funzioni
basilari di Firewall, ma in realtà di fatto non le fa.
Questo significa che :
1- o chiedi a telecom configurazioni personalizzate (che ti costano
parecchio).
2 - o usi un firewall di tua proprietà (altro router o Software).
Tieni presente che i firewall software in genere sono più completi e più
faccilemte configurabili per l'utente normale e in più spesso hanno tutta
una serie di possibilità tipo:
1-limitare la navigazione in base agli utenti, agli orari, ai giorni, alla
destinazione ecc..
2-avere dei report grafici su chi ha navigato dove e sul tipo di traffico
generato
3-fermare il servizio quando e come vuoi
3-evitare di usare un default gateway
e altro ancora.
Visto che c'e' già in SBS io monterei quello!
Ciao!

 router per separare nettamente le due reti.
Il router, se fa NAT, dovrebbe gia' fornire un certo livello di sicurezza
contro attacchi esterni. Sta pero' il fatto che il router potrebbe
presentare lacune del tipo:
- se un hacker riesce ad entrare nel router, e' gia' sulla LAN
- il router non ha difese verso attacchi di tipo DoS
- in caso di macchine da pubblicare, si sarebbe obbligati a fare NAT statico
da WAN a LAN, con il risultato che una macchina fisicamente sulla LAN ha un
IP pubblico e di conseguenza "scavalca" sicurezze varie. Se un hacker riesce
a forzare quella macchina, e' di nuovo sulla LAN e puo' fare quello che gli
pare.
Un firewall non mi risulta sia particolarmente complicato da gestire.
Intanto e' un bel po' "set it and forget it", e generalmente si puo'
amministrare con interfaccia web. Resiste ad attacchi di tipo DoS e
permette, se del tipo adatto, di definire una DMZ nella quale ospitare le
macchine pubbliche.
Io ho un firewall 3Com sulla linea adsl, ma il mese prossimo dovrebbero
portarmi la fibra ottica a 10Mbps e ho gia' pronto un firewall linux con
SmoothWall 2.0 (free, 
www.smoothwall.org
), installato su un Pentium-733 con
3 schede di rete. Provato e va ed e' estremamente facile da configurare.
Ciao
Luca

 3-evitare di usare un default gateway
Questi sono servizi tipici di un proxy, non di un firewall :-)
Ah: i report sul "chi ha navigato dove" sono illegali, ai sensi della legge
sulla privacy. E' invece consentito monitorare il tempo di utilizzo di
internet ed il totale dei dati movimentati. Allo stesso modo e' permesso
bloccare la navigazione in modo controllato, previa comunicazione scritta e
controfirmata dai dipendenti (e vorrei vedere! :-)).
Ciao
Luca

> Ok! Allora in italia siamo tutti fuorilegge!
Beh, proprio tutti forse no. Comunque ci sono gia' state clamorose condanne
di aziende per aver ficcanasato nell'attivita' internet dei dipendenti.
Credo valga assolutamente la pena farsi firmare una liberatoria per bloccare
il bloccabile, eventualmente impiegando un proxy con blocco via meta-tags
(tipo AllegroSurf o SquidGuard).
Ciao
Luca

chiedo scusa...in parte mi avete gia' chiarito con i post che seguono
"adsl e sicurezza" di Andrea, cmq se non siamo OT e volete
approfondire...thanks.
Gilbe

 minacce esterne.
se non hai pc con indirizzi pubblici o nattati e quindi accessibili
direttamente, il router è sufficiente a garantire che dall'esterno non
riescano ad entrare nella tua lan.
questo ovviamente se non entrano nel router, dal quale possono fare d
tutto :-)
come già detto da altri, il solo router non t permette d controllare
l'utilizzo della connessione da parte dei vari pc, ma se la cosa non t
serve, puoi fare a meno d proxy o firewall o apparecchiature dedicate.
in ogni caso, se non sbaglio, sbs include già il proxy.
puoi togliere a tutti i client il gw, impostare il proxy e controllare
da lì
ovvio che se l'utente smanettone imposta il gw t frega...