Newsgroup: it.comp.reti.locali
Titolo: Firewall gratis per rete domestica

Che firewall gratuito mi consigliate per una rete domestica con il 
computer server con Windows Xp Home edition service pack 2?
Grazie.
Platone

 computer server con Windows Xp Home edition service pack 2?
Direi SyGate Personal Firewall oppure OutPost.
Ciao
Luca

> Direi SyGate Personal Firewall oppure OutPost.
hmm CHX (
www.idrci.net
) no :-) ??

 hmm CHX (
www.idrci.net
) no :-) ??
:-)
Diciamo che credo sia un tantino per utenti smaliziati; senza offesa per 
Platone, ma un utente di XP Home che non conosca un PF mi sembra un 
pelino fuori target per CHX.
Pero' si puo' anche usare un profilo predefinito e via andare ;-)
Ciao
Luca

 computer server con Windows Xp Home edition service pack 2?
Di lasciare perdere ché tanto è inutile.
Se hai la condivisione di cartelle sulla stessa macchina di frontiera,
il firewall non serve a una beneamata sega: il firewall serve a
difendere le macchine che stanno *dietro* al firewall, non la macchina
stessa, come purtroppo erroneamente molti credono.
A parte che usare XP Home come server... bah.
-- 
Massimo Bacilieri AKA Crononauta 
ICQ:4005815

 stessa, come purtroppo erroneamente molti credono.
Beh, secondo me la cosa e' alquanto discutibile.
Prova a usare XP connesso direttamente a internet per qualche ora con e 
senza firewall, poi vedi la differenza.
Certo che, se per "firewall su XP" intendi un PF con il NetBIOS aperto, 
allora e' come montare una porta blindata e togliere la serratura :-)
Ciao
Luca

 A parte che usare XP Home come server... bah.
Giusta osservazione. Fosse per me userei linux come server, ma purtroppo 
la scelta non dipende da me.
Ma va considerato che è un rete domestica costituita da 2 computer, non 
una rete aziendale.
Platone

 una rete aziendale.
Comunque nel caso il "server" abbia anche il compito di offrire una
connessione su internet, il suggerimento di Crononauta e' sacrosanto: il
firewall deve stare su una macchina a se' stante. Se proprio non riesci
ad ottenere un firewall vero e proprio (anche un pc di recupero con
m0n0wall e 2 schede di rete, niente disco e sw su chiavetta usb o
cd-rom), vedi se sia possibile avere almeno un router provvisto di
firewall con stateful packet inspection.
Ciao
Luca

 firewall con stateful packet inspection.
Miglioro le cose se munisco (come già faccio) anche il computer client 
di firewall?
Platone

 di firewall?
Rispetto a internet decisamente no. Se il client non deve condividere
niente in rete, puo' prevenire la diffusione di worm. Ovviamente da
abbinare ad un decente antivirus e ad un antispyware.
Ciao
Luca

 abbinare ad un decente antivirus e ad un antispyware.
Il client (che ha debian come sistema operativo) non condivide nulla in 
rete; ha il firewall che blocca tutte le connessioni in entrata e quasi 
tutte quelle in uscite (apre, all'occorrenza, le porte addette a servizi 
come la posta elettronica, internet o i servizi di messaggi istantanei).
Platone

 Il client (che ha debian come sistema operativo) non condivide nulla in
In questo caso (client linux), non credo servano protezioni particolari,
sia per proteggere se' stesso, sia per prevenire diffusioni sulla rete.
Ciao
Luca

 profilo predefinito e via andare ;-)
Appunto :-D

 allora e' come montare una porta blindata e togliere la serratura :-)
Intendo dire che stare a cercare un "personal firewall" è tempo perso.
Quei giocattoli servono solo a introdurre nuove debolezze nel sistema
(sono pur sempre programmi aggredibili e soggetti a bug - vedasi i vari
casi di Kerio, ZoneAlarm ed altri), ma soprattutto hanno senso solo per
impedire a chi è dentro di uscire, non a chi è fuori di entrare...
Il fatto basilare è che Windows è inadatto di per sé a stare su una rete
pubblica, con o senza "firewall": cosa "firewalli" su un sistema dove
non puoi sapere quali servizi effettivamente girano, visto che non te lo
dicono?


 rete;
Fammi capire per quale perverso motivo pensi che un Linux debba venire
difeso da un Windows, quando è necessario esattamente l'opposto...
Fa la cosa giusta, metti il Linux in frontiera!


 Fa la cosa giusta, metti il Linux in frontiera!
Lo farei volentieri, ma per ora non posso: non dipende da me.
Platone

 Lo farei volentieri, ma per ora non posso: non dipende da me.
Allora fa presente a quello da cui dipende la cosa, che quella che state
facendo è una cretinata.


 connessione internet con l'altro.
Basta che osservi la successione:
Internet
  |
  |
router
  |
  |
WinXP
  |
  |
Linux
Come puoi notare, non c'e' nulla che Linux possa fare per difendere la 
macchina XP.
Se non dipende da te, fai presente a chi di dovere che un firewall 
hardware non costa poi tanto, rispetto a dover ricaricare 
un'installazione XP intera con applicazioni e settaggi (per non parlare 
dei dati persi ...)
Ciao
Luca

 pronto! Non ci fosse alternativa, capirei anche... ma così proprio no!
Posso essere d'accordo, ma anche a questo punto dovrei condividere la 
connessione internet.
Platone

 connessione internet.
Ma e' un altro paio di maniche:
- linux accede a internet su una nic
- shorewall su linux protegge la macchina
- sempre shorewall fa masquerading per la connessione di XP su una 
seconda nic
Sempre le stesse due macchine, ma in una configurazione certamente piu' 
sicura.
Ciao
Luca

 macchina XP.
Questo è chiarissimo, ma infatti io cercavo un firewall per windows XP,
per proteggere il computer che ha windows xp stando nella condizione:
Internet
  |
  |
WinXP
  |
  |
Linux
Platone

 sicura.
Ma anche se meno sicura, con windows xp non si può fare qualcosa del genere?
Platone

 genere?
No. Linux ha il firewall che agisce sui pacchetti direttamente a livello 
di kernel, per cui non deve chiamare un'applicazione che svolga questo 
lavoro. Windows (qualunque), invece, usa i firewall a livello di 
applicazione, per cui in caso di attacco il sistema e' scoperto, dato 
che i pacchetti sono gia' passati dal kernel. E' un approccio 
completamente differente.
Con CHX-I puoi avere un buon grado di protezione, nel senso che e' 
l'unico packet filter in grado di intercettare il traffico all'interno 
dello stack TCP/IP. Ma avendo sottomano linux, non ci penserei nemmeno 
due volte ;-)
Ciao
Luca

 che e' l'unico packet filter in grado di intercettare il traffico
<snip>
afaict (correggimi se sbaglio) CHX utilizza i kernel filtering hooks
(che sono NEL kernel) per il filtraggio, tali hook permettono di
creare/eliminare filtri "al volo" ma non hanno alcun meccanismo
di tipo "stateful", meccanismo che in questo caso viene fornito
dal driver di CHX... resta il fatto che il filtering è .. a livello kernel
:)
Ciao

 dei dati persi ...)
Per firewall hardware si intendono solo computer che fungono da 
firewall? Oppure anche i router adsl dotati di firewall?
Grazie.
Platone

 firewall? Oppure anche i router adsl dotati di firewall?
Un dispositivo indipendente con funzione di firewall. A livello di
affidabilita' credo che fra un fw autonomo ed un router+fw non ci sia
questa gran differenza, al netto di eventuali bachi software evidenti
(v. il recente caso Cisco).
Se si tratta di router + firewall, come detto cerca fra i prodotti che
offrono la Stateful Packet Inspection, ovvero che tengono traccia della
storia recente dei pacchetti, per decidere se lasciar passare traffico
ritenuto lecito oppure no.
Oppure fallo da te con due soldi, con m0n0wall (
http://m0n0.ch/wall
)
installato su un pc qualunque (dal 486 in su); il sistema puo' risiedere
su cd-rom (config su floppy) o su chiavetta usb (sono 6MB); serviranno
due schede di rete (lato router e lato LAN).
Niente monitor, ne' tastiera, ne' mouse: metti il tuo pc in un angolino
nascosto e lo dimentichi.
Si gestisce e si aggiorna via interfaccia web protetta.
Considera che, veramente con due soldi e 10 minuti di installazione,
eviti una marea di rischi, oltre ad avere un firewall veramente tosto :-)
Ciao
Luca

 eviti una marea di rischi, oltre ad avere un firewall veramente tosto :-)
Ma chi dice a questo computer quali pacchetti far passare e quali no?
Platone

 Ma chi dice a questo computer quali pacchetti far passare e quali no?
Ci sono le regole che imposti tramite l'interfaccia web, oltre a
netfilter che provvede a gestire il passaggio dei soli pacchetti
legittimati a seconda della connessione. Dai un'occhiata alla
documentazione su 
http://m0n0.ch/wall
 e su 
www.netfilter.org
.
Poi prova a creare una ISO con la versione da CD, che non richiede
installazione, e provalo su un pc qualunque.
Ciao
Luca

 usare un modem adsl.
Uso un modem ADSL usb.
Platone

 Linux
E se invece adottassi la seguente disposizione?
       Internet
          |
          |
        Router
          |
   ---------------
   |             |
WinXP         Linux
Potrei comunque condividere risorse tra i due computer con lo stesso 
grado di sicurezza? Maggiore sicurezza? Minore sicurezza?
Grazie.
Platone

 Platone
E, con questa configurazione, con quale computer potrei configurare il 
firewall del router?
Sarebbe indifferente?
Platone

due schede di rete (lato router e lato LAN).
Visto che mi pare che tu lo conosca, sapresti dirmi se con m0n0wall si
riesce a "condividere" una connessione internet attraverso una Vpn?
Alla pagina 
http://m0n0.ch/wall/features.php
 non mi sembra di aver
visto nulla.
Tanto per chiarire, ora i PC della Lan si collegano singolarmente a
questa Vpn, con una connessione di Windows XP fatta con il wizard (si
e' indicato l'indirizzo ip di destinazione, oltre a user&password).
Una volta autenticati nella Vpne possono navigare in internet
(ricevono un ip pubblico, oltre che le impostazioni Dns).
Io vorrei che ad autenticarsi fosse solo il router-firewall a monte, e
poi gestire la Lan con ip fissi come piace a me, in pratica vanno
nattati.
Grazie,
Alessio
_____________________________________
Per rispondermi in email togli NOSPAM

 grado di sicurezza? Maggiore sicurezza? Minore sicurezza?
In questo caso, e' indispensabile impiegare un firewall hardware a valle
del router, oppure un router+firewall.
Ciao
Luca

 nattati.
Non ho capito con esattezza cosa intendi fare.
La vpn passa da internet, per cui non capisco che vantaggio ci sia a
fare un tunnel che finisca su un'altra network aperta sulla stessa internet.
Oppure hai necessita' di definire una LAN con IP privati a piacere? In
questo caso, metti m0n0wall come default gateway per tutte le macchine;
volendo puoi usare il DHCP di cui m0n0 e' dotato, uno per ogni interfaccia.
Ciao
Luca

 del router, oppure un router+firewall.
Sì, infatti mi riferivo proprio a questo tipo di configurazione: 
router+firewall. In tal caso, potrei configurare il firewall da uno 
qualsiasi dei due computer. E' così?
Platone

 del router, oppure un router+firewall.
Se fai il NAT con mascheramento e separazione di interfacce, l'impiego
di un firewall è semplicemente inutile, dato che l'interfaccia in
frontiera è quella del router e servizi inoltrati all'interno non ce ne
sono. In quel caso passerebbero solo le connessioni established,related
che sono state originate dall'interno: un firewall non avrebbe ruolo,
dato che farebbe semplicemente quello che già fa il router.


 di un firewall è semplicemente inutile, dato che l'interfaccia in
Beh, in questo caso di piccola rete a due client, forse si potrebbe 
anche fare cosi', ma da qui a dire che il semplice NAT (DoS, IP spoofing 
...) sia sufficiente a garantire la sicurezza della rete, IMHO potrebbe 
generare confusione.
Ciao
Luca

 l'impiego di un firewall č semplicemente inutile, dato che l'interfaccia
<snip>
Di papers su "NAT traversal" ne trovi a bizzeffe, basta cercare, certo,
se non devi proteggere una rete aziendale ma solo due computers
di una rete domestica che magari hanno anche dei personal firewalls
attivi.. mi puo ancora star bene, ma, se parliamo di "mettere in sicurezza"
l'accesso internet di una rete aziendale, credo proprio che un semplice
NAT non sia sufficiente ma sia necessario ricorrere ad un vero e proprio
firewall con tanto di SPI e magari .. con il controllo del payload ;-)
Ciao
-- 
* ObiWan
Microsoft MVP: Windows Server - Networking
http://www.microsoft.com/communities/MVP/MVP.mspx
http://italy.mvps.org

 se non devi proteggere una rete aziendale ma solo due computers
E di quello si parlava.
L'azienda con 200 client da tenere in sicurezza (sia in entrata che...
in uscita... dato che il pericolo più grosso di solito è tra sedia e
tastiera...) è un altro discorso.
