Newsgroup: it.comp.reti.locali
Titolo: [possibile marea di idiozie...] FIREWALL SOFTWARE SU ROUTER ??

scusate le domande da neofita, (e le possibili ca@@te che posso dire),
purtroppo ho dovuto mettere su una rete quasi da solo ma non ho
assolutamente le conoscenze necessarie quindi, dopo aver  ruzzolato
qua' e la' non sono riuscito a reperire info per i seguenti problemi:
CONFIGURAZIONE
- server nt4: xxx.xxx.xxx.2 (non configurato per Internet - non vede
il router) 
- rete di 15 client nt e w2000 su 2 switch: xxx.xxx.xxx.11-12-13 ecc.
- router ISDN Elsa lancom 1100 office 192.168.xxx.100
- 6 client che possono raggiungere Internet (tramite il router) 
siccome ultimamente sfruttiamo molto la connessione internet volevo
sapere se corriamo dei rischi a livello di intrusioni.
PROBLEMI:
1) il router ha un comportamento "simile" al firewall, cioe' riesce a
filtrare i dati in entrata? Oppure devo mettere un firewall per essere
totalmente sicuro?
2) il Server non puo' collegarsi al router (gateway non definito) ma
e' possibile dall'esterno fare il contrario?
3) E' possibile mettere un firewall software? (zonealarm o qlcsa di
simile) e se si va bene installarlo su un qualsiasi client che "vede"
il router? 
--------------------------------------------
E' curioso a vedere che quasi tutti gli uomini che valgono molto,hanno le maniere semplici; 
e che quasi sempre le maniere semplici sono prese per indizio di poco valore.

 il router?
Starei in linea di massima come ti ho spiegato. ZoneAlarm o Tiny Persona
Firewall sembrano essere i migliori attualmente, oltre che gratuiti (per uso
personale).
Una volta che blocchi il NetBIOS (porte 137/8/9), nessuno puo' mapparti
risorse sul server, per cui non dovresti correre nessun rischio.
I client ovviamente avranno il server come default gateway e come proxy
sulle applicazioni.
Ciao
Luca

 router, ma questo non sa come instradarli per rispondere.
Non "router" ma "server".
Ciao
Luca

computer con OS+software adatto (es. Linux).
Ok per il firewall: praticamente tutti i router hanno pero' filtri per
l'accesso dall'esterno: dov'e' il punto debole di questi, se la rete
interna non deve pubblicare servizi all'esterno? Parlo ovviamente
della parte di controllo che riguarda l'esterno verso l'interno della
rete ...
A voi la palla ...

 rete ...
Per quel che so, in genere i router possono bloccare il NetBIOS verso
l'esterno ed eventualmente chiudere le porte non in uso. La caratteristica
di un firewall consiste nella capacita' di riconoscere e bloccare tentativi
di intrusione (es. IP/port/service scan) e attacchi di tipo flooding/DoS
mirati a provocare il crash dello stack TCP/IP; anche per questo
personalmente prediligo i firewall hardware, piuttosto che software. Su
questi ultimi c'e' parecchia roba in merito (white papers) su
www.zonelabs.com
 e su 
http://grc.com
. E' interessante su 
grc.com
 la
descrizione dell'attacco Distributed DoS, il 20 giugno scorso, da parte di
un hacker tredicenne che gli ha fatto saturare due T1 verso l'ISP usando
windows XP.
Ciao
Luca

 generalmente solo come I/O su un numero finito e noto di porte.
ecco, appunto :-)
Il server, in quanto tale, fornisce servizi, e li puo' fornire alla propria
rete e/o all'esterno.
Metterci sopra un fw e permettergli di continuare a fare il suo lavoro
richiede di aprire det. porte, direttamente _sul_ fw.
Questo espone il fw stesso e ne complica in modo inutile la configurazione.
Se fornisse servizi all'esterno, sarebbero forniti fal fw stesso: immagina
un bel webserver, magari IIS...
invece che compromettere solo il server, si arriva addirittura sul fw, che
deve invece essere blindato!
Se poi si tratta, come in questo caso, di un server che non fornisce servizi
all'esterno della propria LAN (non e' configurato nemmeno il gateway ;-) ),
non vedo prorio la necessita' di metterci sopra un fw per poi dover aprire
delle porte per farlo lavorare _come server_ con la lan e farci passare
sopra altro traffico e lavoro.
Non sappiamo che tipo di server sia e a cosa serva, potrebbe essere gia'
carico (se fosse, ad es., un db?) e non reggere bene un ulteriore lavoro.
Infine, se si trattasse di un server interno win, potrebbe non essere banale
permettere al fw-server di fare da file server e condividere con i client le
proprie risorse, poiche' ci sono fw-software che inibiscono completamente
questa possibilita' in fase di installazione, durante il processo di
hardening (cmq consigliato anche a mano, agendo sui registri).
Io sono dell'idea che un fw, potendo, _debba_ essere una macchina dedicata.
ciao :)
Lyl

 Io sono dell'idea che un fw, potendo, _debba_ essere una macchina
dedicata.
Vero: potendo, si'. Possibilmente hardware, senza stack TCP/IP da buttare
giu'.
Ciao
Luca

 sull'indirizzo della nic relativo alla connessione con il router.
sinche' non salta fuori un qualche attacco che ti da un account su quella
macchina...
(ho appena visto un advisor nuovonuovo ancora da leggere su squid)
Un Paolo con *tutto* su UN PC ;)

 Un Paolo con *tutto* su UN PC ;)
NonCiPossoCredere :)
Ciao
Luca

Allora ... firewall hardware e cross-fingers!
A proposito, nella configurazione cross-fingers, quali dita conviene
usare? Della mano sinistra o destra? Qual'e' il massimo tratto di
strada che si puo' percorrere con la configurazione CrossFingers
attiva?
P.S. non sono OT. Il topic e' "Possibile marea di idiozie" :-)

 P.S. non sono OT. Il topic e' "Possibile marea di idiozie" :-)
Un esempio di efficace coerenza ...:-)
Ciao
Luca

router, ma questo non sa come instradarli per rispondere.
Diciamo che non e' possibile direttamente: se buco una macchina sulla LAN,
al server ci accedo anche se non ha il gateway impostato.
-- 
BlueRaven
Scrivi su USENET? Allora:
# kill -HUP html_posting && modprobe quoting.o

Motivo?
Perche' e' perfettamente inutile avere un firewall su una macchina che offre
anche dei servizi, in quanto basta che uno solo di questi sia vulnerabile e
la protezione salta su tutta la linea.
Il firewall _deve_ fare solo quello, possibilmente in modo da non offrire
appigli di alcun genere.
Dai un'occhiata su 
www.linuxrouter.org
 oppure su 
www.coyotelinux.org
: sono
mini-distribuzioni assai adatte al compito, in quanto puoi costruire un
firewall interamente in RAM.
