Newsgroup: it.comp.reti.locali
Titolo: Doppio firewall

Ciao a tutti!
Ho visto nei vecchi post delle configurazioni consigliate che  prevedono
l'utilizzo di un doppio firewall.
Qualcuno le ha implementate?
Quali sarebbero i vantaggi? E quali gli svantaggi? (immagina complessità,
installazione, configurazione e manutenzione, costo).
E' consigliabile una tale configurazione? E quando?
Grazie in anticipo.
Ciao,
Alfonso.

 installazione, configurazione e manutenzione, costo).
L'impiego di due firewall e' abbastanza classico per definire una DMZ in 
modo piuttosto rigoroso. Il principio della questione e' che se il 
firewall con DMZ risiede tutto sulla stessa macchina, e viene 
compromesso, il cracker e' sulla LAN.
Se invece si impiegano due firewall, l'attacker puo' compromettere il 
primo (quello sulla WAN), mentre resta integro quello fra DMZ e LAN.
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Security, Networking, Windows NT/2000/XP
http://support.microsoft.com/newsgroups/default.aspx
IDRCI Italia - 
http://www.idrci.it
 - 
http://forum.idrci.it
CHX-I, CHX-I NAT Stateful Packet Filter


Uhm... si avevo pensato a questo.
Conviene che i firewall (nel caso) siano diversi immagino...
E le regole sui firewall?
Immagino che quello interno abbia una sola regola: vietare tutto il traffico
in ingresso (se non esplicitamente richiesto)
Mentre quello esterno dovrebbe avere tra le regole la possibilità di
accedere alla DMZ.
O sbaglio qualcosa?
A livello fisico come dovrebebro essere connessi? Intendo:
il firewall interno sarà connesso ad uno switch della LAN (magari su una
VLAN) e ad uno switch della DMZ?
Mentre quello esterno allo stesso switch della DMZ ed al router?
Grazie ancora.
Ciao,
Alfonso.

 Mentre quello esterno allo stesso switch della DMZ ed al router?
Ma se conosci gia' tutte le risposte non c'e' gusto ...:-)


 Ma se conosci gia' tutte le risposte non c'e' gusto ...:-)
Eheheh... magari le conoscessi tutte :-)
Uhm... magari dopo parnzo approfitto di te per qualche altra domandina
allora :)
Grazie per la consulenza.
Ciao,
Alfonso.

In realtà è preferibile utilizzare un firewall con più DMZ
La configurazione risulta più semplice ed eventualmente puoi acquistare un 
secondo firewall da usare come failover (che ovviamente costa un sacco meno 
del primo pur essendoidentico).
Ciao
Don
------------------------
http://www.ciscoshop.it
 

 del primo pur essendoidentico).
Scusa la domanda... ma a che pro utilizzare più DMZ?
In ogni caso, comunque, se bucano il firewall non ho altre "barriere
protettive" o sbaglio?
Ciao,
Alfonso.


L'utilizzo di più DMZ ti consnete di confinare i server in zone in grado di 
rendere visibili solo alcuni servizi.
Ad esempio puoi usare una DMZ a cui connettere solo ils erver WEB aprendo 
solo la porta per i servizi http e https, usare una seconda DMZ in cui 
confinare il solo server di posta consnetendo solo i servizi POP, SMTP e 
IMAP, usare un altra DMZ per confinare ils erver FTP, ecc ecc
Hai un maggior controllo del traffico e puoi implementare delle policy più 
mirate.
Il fatto poi di 'bucare' il firewall be qui ci sarebbe da discutere per 
mesi....
Tenendo conto dei costi. io preferirei un firewall con DMZ ( 1 o più) e con 
un secondo firewall di failover. Ti costa meno di un doppio firewall 
(tenendo conto che l'unità failover costa molto meno pur essendo identica) a 
meno che non usi due firewall con prestazioni più limitate.
Dai un occhiata a 
http://www.microsoft.com/resources/documentation/msa/idc/all/solution/en-us/default.mspx


 mesi....
C'e' sempre il problema del single point of failure. Se entrambe le 
barriere WAN|DMZ e DMZ|LAN sono sulla stessa macchina, e questa viene 
compromessa, non c'e' piu' niente da fare.
E' pero' valutabile un discorso misto e distribuito. Ad esempio 
impiegando un'unita' "a rischio" come quella detta, con le policies 
adatte, piu' il discorso VLAN ed una protezione dedicata per ogni 
macchina sia DMZ che LAN (es. SPF). E' una soluzione economica, a parte 
lo switch managed per la DMZ, ma se al medesimo si fa gestire tutta o 
parte della LAN, con acquisto mirato ad es. in caso di potenziamento 
della rete, il costo viene in parte riassorbito.


 riassorbito.
Le alternative possonoe ssere diverse, come ad esempioa nche quewlla di 
inserire nel sistema funzionalità IDS non prese ine same in precedenza.
Il fatto di utilizzare due firewall o in singolo firewall non cambia molto 
la situzione.
Dal punto di vista della gestione, dei costi,ecc. io preferire comunque la 
soluzione singolo firewall.
Ovviamente la sicurezza non è solo funzione della presenza o meno di uno o 
due firewall, ma è una 'faccenda' assai complessa.
Occorre implementare le policy su ogni singola porta dello switch (oltre 
alle VLAN ed eventualmente alle VLAN private), le policy a livello di 
server, un sistema di monitoraggio costante, un sistema con più motori 
antivirus sui server email, ecc ecc


 della rete, il costo viene in parte riassorbito.
Uhm... in effetti ho a disposizione un paio di switch Cisco Catalyst 3500 XL
e sarebbe un peccato "sprecarne" uno solo per la DMZ.
Ovviamente DMZ su una VLAN (o più DMZ su più VLAN) e la LAN su un'altra
VLAN... giusto?
Poi rifletterò sugli indirizzi da assegnare alle interfacce.
Ciao,
Alfonso.

 due firewall, ma è una 'faccenda' assai complessa.
Assolutamente daccordo. Dopo la progettazione fisisoc/logica c'è tutta una
fase di progettazione a livello gestionale che è fondamentale.
Ciao,
Alfonso.

 alle VLAN ed eventualmente alle VLAN private), le policy a livello di 
Scusa, cosa intendi per "VLAN private"?


 VLAN... giusto?
Esatto.



Le VLAN private  consentono di ottenere un isolamento tra le porte che 
appartengono ad una stesssa VLAN.
Ad esempio, potresti avere 2 host nella stessa VLAN che possono accedere ad 
un server o ad un router comune ma non in grado di vedersi tra di loro,.
Puoi trovare un po di info su
http://www.cisco.com/en/US/tech/tk389/tk814/tk840/tech_protocol_home.html
e su
http://www.cisco.com/en/US/products/hw/switches/ps700/products_tech_note09186a008013565f.shtml


 lavorare per un periodo con un solo firewall.
Come detto nell'altro post, il firewall di failover costa circa il 40% in 
meno pur essendo identico al primo.
Inoltre non devi compiere alcuna azione manuale ...lo switch tra quello 
guasto e quello di failover avviene automaticamente.
Anzi con il failover ethernet i due firewall possono trovarsi anche in 
locali diversi e a distanza...basta che esista un cavo di rete che li 
connetta..
