Newsgroup: it.comp.reti.locali
Titolo: DMZ e sicurezza

Scusate se forse chiedo qualcosa di gia' chiesto... ho cercato un poco con
google/groups ma una cosa non mi e' chiara... perke' introducendo in una LAN
una DMZ ho una sicurezza maggiore?
Grazie,
Bit.

 ha scritto nel messaggio
news:zPgWa.8626$cl3.2...@news2.tin.it...

La DMZ serve per offrire servizi su internet. Visto che permettere che da
internet si possa accedere ad un server locale è pur sempre un rischio, lo
si limita mettendo un server in una DMZ dove è possibile imporre alcune
regole sul traffico. Nel caso sfortunato che un aggressore possa prendere il
controllo del server internet, se la DMZ è configurata opportunamente non
potrà fare ulteriori danni perchè il server è come se fosse staccato dalla
rete interna.
Se non offri servizi internet (tipo ospitare il sito), puoi farne a meno.
Matteo

BeEtLeJuI wrote:

Faccio un'aggiunta alle risposte date, poiche' mi par di capire che non ti
sia chiaro come venga realizzata una DMZ.
In linea di massima, vengono definite tre diverse zone, introducendo due
firewall (o un firewall atto allo scopo).
[WAN]
Una zona e' direttamente corrispondente alla rete geografica, ovvero al
router; il router non dovra' effettuare NAT e la connessione dovra' disporre
di almeno un IP pubblico oltre a quello utilizzato dal router.
[DMZ]
Un primo firewall viene inserito fra la WAN e una parte speciale dell'utenza
interna; in questa rete, in genere definibile arbitrariamente poiche' a
valle di un NAT, risiedono server pubblici (web, ftp, mail eccetera).
Nonostante il firewall, questa zona presenta comunque un certo grado di
vulnerabilita', poiche' i servizi delle macchine pubbliche sono per forza
disponibili all'esterno. Il firewall, comunque, viene opportunamente
configurato per lasciare aperte solo le porte indispensabili, bloccando
tutto il resto del traffico in entrata.
[LAN]
Un secondo firewall viene interposto fra la DMZ e la LAN. Si tratta di un
firewall piuttosto semplice, che pero', di default, permette il traffico
solo in un senso, e cioe' da LAN a DMZ, non viceversa; in piu' effettua NAT
fra LAN e DMZ. L'effetto di questa configurazione permette alle macchine
della LAN di raggiungere quelle della DMZ, ma non di entrare in contatto
diretto con la WAN. Se un hacker riuscisse ad inserirsi in uno dei server
pubblici, resterebbe comunque intrappolato nella DMZ, poiche' il secondo
firewall impedisce ai pacchetti originati in DMZ l'accesso alla LAN.
Un'eccezione e' data dai cosiddetti DMZ Pinholes, che vengono aperti per
consentire a specifici servizi in DMZ di raggiungere la LAN; questo tipo di
"buchi", pero', va tenuto sempre minimo o, possibilmente, nullo.
Io ad esempio uso i DMZ pinholes per raggiungere macchine in LAN dopo
essermi inserito in DMZ, ma di solito programmo il firewall per tenerli
chiusi, e li apro solo per il tempo necessario alla mia connessione.
Qualche eccezione: esistono firewall (es. 3Com) che non effettuano alcun NAT
fra WAN e DMZ, permettendo di fatto la presenza degli IP pubblici in DMZ,
cosa che trovo abbastanza comoda.
I firewall con supporto DMZ di solito permettono di definire il NAT
direttamente fra LAN e WAN, per raggiungere internet senza passare per
macchine in DMZ; personalmente, pero', preferisco un proxy in DMZ, dal quale
far passare tutto il traffico diretto dalla LAN ad internet. Inoltre, due
normali firewall costano insieme la meta' di un firewall con DMZ :-)
Se vuoi fare un po' di prove, scarica la ISO di IpCop 
www.ipcop.org
 (ca.
20MB) e installala su un qualsiasi pc con tre schede di rete. E' una
fesseria da installare, e ti permette di giocare un po' con gli indirizzi ed
i servizi.
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Networking, Windows NT/2000/XP
http://mvp.support.microsoft.com

 firewall (o un firewall atto allo scopo).
Tanto per mettere giů due figure :-) ...
Internet
|
nic#1
firewall-nic#2---- DMZ
nic#3
|
LAN
oppure
Internet
|
nic#1
firewall
nic#2
|
DMZ
|
nic#1
firewall
nic#2
|
LAN
Ciao
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm