Newsgroup: it.comp.reti.locali
Titolo: WinRoute 4.2.5, Filtro Pacchetti e Mappatura porte

Ciao a tutti, non sono un frequentatore abituale di questo NG ma da quello
che letto, credo
di trovarci gente in gamba che non avrà certamente problemi a risolvere il
mio problema.
Ho installato, ormai quasi un'anno fa, la versione di winroute in oggetto su
un server con
2 schede di rete. La prima connessa al router ADSL e la seconda connessa
alla rete interna.
Seguendo alla lettera il manuale ho configurato il NAT e adesso felicimente
esco con i PC
della rete interna verso internet, leggoe scrivo la posta, faccio FTP e
altre cose su tutti gli IP
e le porte di questi che mi interessano. Apparentemente non ho mai ricevuto
attacchi
dall'esterno o comunque il NAT è bastato a proteggermi. Prima dell'attuale
configurazione
avevo un router configurato con il NAT e anche li non è mai successo niente.
Il problema adesso è che più si va avanti e più aumenta il pericolo di
attacchi da parrte di
virus, worm, troian e chi più ne ha più ne metta e pertanto volevo inibire
l'accesso su tutte
le porte che non mi servono.
Sempre manuale alla mano, ho provato ad inserire la configurazione proposta
per il filtro
pacchetti che soddisfa la maggior parte delle esigenze della nostra gestione
e che riporto
di seguito:
FILTRO PACCHETTI
INTERFACCIA INTENET
OK TCP Any host all ports => Any host port=80
OK TCP Any host all ports => ip_server_SMTP port=25
OK TCP Any host all ports => ip_server_POP3 port=110
OK TCP Any host all ports => Any host port=21
OK TCP Any host all ports => Any host port=20
KO TCP Any host all ports => Any host all ports
sembra abbastanza chiaro che le porte aperte sono la 80 per il web la 25 e
110 per la posta
e infine la 21 e 22 per l'FTP e tutto il resto dovrebbe venir tagliato
fuori.
Appena premo applica la rete interna muore...non si accede più a niente con
nessuno dei
servizi presumibilmente abilitati.
Cerca, cerca in questo ed in altri NG durante il fine settimana ho trovato
dei post che parlavano
della mappatura delle porte, e anche il manuale ne parla ma ho alcune
perplessità in merito.
Da quello che mi è sembrato di capire da manuale nella mappatura delle porte
posso specificare
un solo ip come destinatario delle informazioni in arrivo su una determinata
porta.
Per esempio tutti i pacchetti in arrivo sull'ip 192.168.0.1 porta 21 li
mandi all'IP 192.168.0.2 porta 21.
Ma questo non è vero !!! Se per caso io ed il mio collega stiamo entrambi
facendo FTP e siamo uno
192.168.0.2 e l'altro 192.168.0.3 la mappatura dovrebbe mandare a me i miei
pacchetti e a lui i suoi
un po' come succedere ora con il solo NAT.
Comunque a filtri attivi ho provato ad inserire la mappatura almeno per la
porta 80 e non è cambiato
niente, non si esce. Sempre dal manuale ho visto anche che si può/deve
configurare anche la porta 53
prot. UDP per le richieste DNS......ma prima che continuo a spippare qua la
i parametri brancolando
nel buio, preferire che qualcuno che conosce bene WinRoute mi dia qualche
spiegazione.
Tornerò sicuramente a leggere le risposte qui nel NG ma se mi voleste
rispondere in email ve ne sarei
veramente grato.
Grazie in anticipo
Stephen

 spiegazione.
Domanda, ma perché vuoi farti del male con un software così inadatto a
fare un routing sicuro? Quei programmi lì sono tutti giocattoli che
vanno bene per condividere la connessione in casa, ma per uso serio
aziendale lasciali perdere, per carità.
-- 
Massimo Bacilieri AKA Crononauta 
ICQ:4005815


Allora, su una rete di un mio cliente con Hdsl con un router cisco 2600
con NAT pertanto i con pc della rete interna irraggiungibili dall'esterno
e che per questo motivo ritenevo sufficientemente protetta, è accaduto
che su un pc tramite posta è arrivato un programmillo (tipo VNC comunque
di gestione remota), che credo si sia installato in quanto uno degli utenti
ha
apero la posta. Questo a sua volta apriva una certa porta sulla quale
qualcuno
entrava e sorrazzava sul pc, per fortuna si trattava di un pc
dell'amministrazione
che usa la rete giusto per internet e non ha accesso alle cartelle di rete
e in più ha un'utenza con pochi privilegi, altrimenti avrebbe avuto accesso
completo o quasi a tutta la rete. Se con un prodottino da pochi soldi
riesco ad impedire che si possano aprire "porte che non servono" che
tradotto
significa porte che non è previsto che siano aperte per l'uso tradizionale
che si fa di quella determinata rete. Anche se gli utenti si installano
programmi
tipo quello che ho trovato o programmi di chat o programmi che in qualche
modo possano compromettere la sicurezza, l'integrità e il buon
funzionamento,
non vedo la confusione che invece hai visto tu.
Per abitudine prima di proporre un prodotto ai miei clienti, lo provo sulla
mia pelle, per valutare se i risultati possono soddisfare l'esigenza
contingente,
e finora non mi sembra di aver trovato *software* migliori di WinRoute.
Per questo motivo chiudevo il mio post chiedendo di qualcuno che conoscesse
bene il WinRoute e non di qualcuno che mi sconsigliasse l'uso del prodotto.
Pertanto ringraziandoti comunque della risposta, visto che comunque non
conosci
WinRoute o comunque lo schifi, credo che a rispondermi: hai perso tempo!
Stephen


Ciao Stephen,
ti do un consiglio!  Fai l'upgrade alla versione 5 e troverai una gestione
delle policy che neanche ti immagini.
L'abisso tra la 4 e la 5 di winroute è incredibile. Inoltre adesso dovrebbe
uscire la versione 6 che ha anche l'antivirus per la posta elettronica.
Ciao
Rocco

 WinRoute o comunque lo schifi, credo che a rispondermi: hai perso tempo!
Non credo, se è servito a far capire almeno a uno che quei giocattoli
NON vanno usati, ma una rete sicura parte da ben altri presupposti!


 si parte dal presupposto di rendere *sicura* una rete.
La chicchierata si fa interessante. Soprattutto perchè io fondamentalmente
mi occupo di programmazione e non ho nozioni profonde sulle reti. Mi ci
sto spostando a forza, per risolvere problemi che continuamente intralciano
il naturale svolgimento dei lavori che fisiologicamente si stanno sempre più
spostando verso la rete.
Di seguito ti invio un link alla pagina del manuale del "giocattolo" dove
viene
rappresentata graficamente l'architettura dello stesso.
http://www.winroute.it/man/it/579.htm#o579
Nel grafico si evidenziano 6 strati. Se immaginariamente volessi disegnare
a fianco di questo, il grafico dei 7 livelli della pila iso/osi, come dovrei
collocare
i rispettivi 7 livelli ?
In un parco informatico in cui almeno il 90% degli utenti utilizza il
proprio
computer ignaro di essere appestato da virus e worm che grazie a lui
continuano
a diffondersi, in situazioni in cui gente acquista contartti con 8,16,32 IP
fissi
e dietro consiglio del venditore collega il router alla rete aziendale e
assegna
ad ogni pc, un IP pubblico, in sintesi, in un mondo di totale ignoranza non
credi
che anche solo un fottutissimo NAT renda comunque una rete più sicura ?
A condizione che non ci siano porte aperta da worm, virus e programmelli di
turno, mi confermi che se io raggiungo l'IP del router dell'azienda (e
faccio
anche presto perchè sul RIPE ci sono praticamente tutti) non riesco ad
andare
oltre ?
Ho provato a contattare oggi un mio conoscente, ma no ci sono riuscito,
proprio
in funzione di questa nostra conversazione perchè volevo chiedergli il nome
di
un prodotto che lui utilizza sotto Linux, in genere su una macchina con due
schede di rete, per fare proprio un firewall. Lui è un esperto di router
Cisco
studia e fa continuamente corsi per prendere nuove certificazioni e poi,
come
quasi tutti quelli che fanno questo lavoro, per hobby continua a stare con
le mani
sulla tastiera. Lui ritiene molto valido il sistema e me lo ha consigliato
più di una
volta in quanto anche economico come sistema. Avrò comunque modo di
contattarlo per chiedergli ulteriori dettagli e spiegazioni e se conosce
WinRoute
per farglielo paragonare qualitativamente al sistema da lui utilizzato.
Se credi che la chiacchiera sia troppo lunga (infastidisca il newsgroup)
puoi
anche rispondermi via email.
Ciao a presto
Stephen

 puoi anche rispondermi via email.
Non credo infastidisca, è o non è un gruppo di discussione sulle reti
locali??? :-)


 restare fuori.
Ecco infatti, io parlando di NAT intendo questo. Sui contratti tipici
Telecom per capirci che Fullcompany / Iterbusiness che nel contratto
prevedono la prima configurazione NAT e/o PAT gratutira e io gli
faccio fare sempre per i miei clienti il NAT in modo che il router
stesso sia raggiungibile con IP 192.168.0.254 e su nessun pc della
rete viene inserito un IP di quelli pubblici. In questo modo tutti
escono e utilizzazzano tutti i servizi ma nessuno può entrare.
Perlomeno era quello che credevo fino a quando non ho trovato
quel programmino di cui ti ho parlato che permetteva l'accesso
dall'esterno ad un pc della rete.
Con winroute, (che mi hai fatto carede dal cuore) ho in effetti una
situazione pericolosa in cui un pc, avendo a bordo due schede,
una con IP pubblico e una con IP privato puù essere colpito eludendo
il winroute e permettendo di imboccare con tutte le scarpe nella rete
rete privata interna a uno comunque ritengo abbastanza bravo/cattivo.
Se però sulla stessa macchina anzichè winroute monto Linux con il sistema
detto sopra, che, mi hanno confermato trattasi solo di una interfaccia per
impostare comodamente i parametri da te descritti. Dovrei raggiungere,
impostando sia il NAT che il filtro pacchetti una situazione di relativa
tranquillità ?
Grazie di tutte le spiegazioni e a presto.
Stephen

 tranquillità ?
No, mai il NAT. Limitati al forward masquerading.
Non pubblicare mai *nulla* che sia in LAN sull'interfaccia pubblica.
Se fai il forward masquerading, fai sì che da fuori possano vedere
*solo* il gateway di frontiere, e tutte le connessioni che vengono
richieste da dentro la tua LAN vengono "mascherate" in uscita al punto
che, per gli host remoti, la connessione sembra arrivare dalla macchina
di frontiera.
In questo modo da fuori è fisicamente impossibile entrare dentro la LAN,
anche se le macchine interne hanno 25 backdoor, visto che da fuori
l'unico indirizzo puntabile è quello pubblico, del gateway.
Ovvio che questo non ti salva da un servizio debole, nel senso che se
p.e. hai un server web pubblicato all'esterno (e in questo caso almeno
il PAT è inevitabile, altrimenti da fuori come lo raggiungono???)
possono approfittare di qualche debolezza del servizio per exploitarlo.
Mi viene in mente p.e. qualche debolezza in qualche script perl, per
esempio, o similari, usualmente sono dei buffer overflow. Dopo dipende
anche da come sono assegnati i permessi dell'utente virtuale che fa
girare il servizio web.
E ad ogni modo, ecco la necessità di avere tali server in una DMZ: in
questa maniera possono anche prenderne i privilegi di amministratore, ma
sono comunque ristretti a quella macchina: la LAN è ancora inviolabile.
