Newsgroup: it.comp.reti.locali
Titolo: Due IPCop in cascata?

Ciao a tutti.
Non so quanto questo post possa essere in topic col ng, ma non ho trovato 
nel mio newsserver qualcosa di piu' adatto. Se c'e', chiedo venia in 
anticipo :)
Venendo al succo della mia domanda, oggi mi e' balenata un'idea per la 
testa:
Attualmente proteggo la lan aziendale con un IPCop, su cui sono caricati 
diversi moduli aggiuntivi, quali advproxy e urlfilter. Ho provato a 
caricare anche Copfilter per tenere maggiormente sotto controllo il 
traffico smtp in ingresso e proteggere la navigazione http da virus che 
arirvano dal web.
Purtroppo, pero', Copfilter mi "sdraia" la macchina, utilizzando la 
maggior parte delle gia' scarse risorse (IPCop e' installato su una EPIA 
Mini ITX, conun processore non certo paragonabile a un PIV o superiori...) 
proprio per le scansioni antivirus realtime :(
Cosi' ecco la mia idea: un IPCop come proxy trasparente e firewall ed un 
secondo, attualmente nella GREEN ed in un prossimo futuro in DMZ, a 
proteggere e controllare il traffico del server di posta (che attualmente 
e', appunto, in GREEN e solo fra qualche mese sarà coadiuvato da un relay 
pubblico in DMZ)
O addirittura con un terzo, per creare una struttura con firewall, proxy e 
mail gateway indipendenti...
E' fattibile una configurazione di questo tipo, secondo voi?
O e' meglio che mi rivolga ad altri tipi di prodotti?
-- 
 Cristian Castellari - 
www.skyflash.it
 XBox Live TAG: Wiitiful Sky
 Wii TAG: 2634 4285 3158 4638

scusa, ma non ne capisco lo scopo.
installa un ipcop su una macchina adeguata, e configura tutti i moduli
che ti servono.
l'uso di più ipcop in cascata (su orange o su green) non comporta una
maggiore sicurezza, ma solo il fatto di avere 3 macchine accese.
se vuoi realmente aumentare la sicurezza, allora configura 3 sistemi
diversi, ad esempio il firewall esposto usi m0n0wall, sulla rete green
un ipcop, e sulla orange usi pfsense, o altro ...
in questo modo aumenti la sicurezza (ma anche la complessita).

 un ipcop, e sulla orange usi pfsense, o altro ...
A parte IPCop, gli altri non li conosco. Vedrò comunque cosa sono e se 
mi possono servire :)
Comunque la mia idea era quella di avere un proxy trasparente sicuro e 
un mail gateway con antivirus e antispam realtime separati. Se per fare 
questo mi servono tre dispositivi, non e' un problema. 


questo mi servono tre dispositivi, non e' un problema. 
no,te ne servono  due, quello che volevo dire, č che non hai benefici
nell'usare 2 ipcop separati per fare il lavoro che 1 ipcop
(adeguatamente dimensionato) č in grado di sostenere.
ovvio che non stiamo parlando di macchine con il geode ;) 
ciao


La tua idea non è affatto sbagliata, anche se non l'ho mai provata. In
linea teorica la macchina con il firewall dovrebbe contenere solo
quest'ultimo e non altre cose. 
Per risparmiare si aggiungono al firewall cose che non dovrebbero mai
essere aggiunte, ma così si diminuisce la sicurezza del firewall in modo
esponenziale. 
Come diceva Henry Ford: "Le cose che non ci sono non si possono rompere".



Per IpCop si può usare il TK-63T della Eway, vedi:
http://articles.techrepublic.com.com/5100-1035-6157458.html
Facci sapere.
Ciao

 un ipcop, e sulla orange usi pfsense, o altro ...
Uhm .. ma a questo punto, tanto varrebbe usare m0n0wall come firewall
nat/router (e per il traffic shaping) ed aggiungere alla configurazione
altri
box che svolgano le altre funzioni (proxy, content filtering, mail
filtering) in
modo da distribuire il carico su varie macchine mantenendo però tutta
la gestione del traffico centralizzata ed evitando inutili complicazioni
Tra l'altro una configurazione del genere oltre a permettere una maggior
flessibilità evita anche i problemi relativi al voler fare tutto su un
solo box
e permette di aumentare le performances
ciao



Comununque IpCop non ha niente da invidiare a m0n0wall:
http://secunia.com/product/5028/?task=advisories
IpCop ha zero vulnerabilità, mentre M0n0wall non è riportato.

 IpCop ha zero vulnerabilità, mentre M0n0wall non è riportato.
poi magari, con calma, mi spieghi meglio cosa intendi dire :)
io non ho detto che IPCop sia "insicuro" ho detto che per
quanto mi riguarda preferisco evitare di avere un unico box
che funga sia da nat/firewall che anche da proxy/filtroweb/
antivirus/mailproxy/ecc... poi, ovviamente, ognuno è libero
di scegliere quello che vuole anzi, se proprio vogliamo un
altro prodottino niente male e che fa cose che nè IPCop
nè m0n0wall fanno è 
www.zeroshell.net

 di scegliere quello che vuole
Sono d'accordo anche su questo.

 nè m0n0wall fanno è 
www.zeroshell.net
Ecco... a vedere questi screenshot, mi viene in mente una domanda a cui 
purtroppo da troppo tempo nno trovo risposta: un bel L7 filter per IPCop, 
si trova?
Io avevo trovato p2pblock che poteva fare (anche) al mio caso, ma 
purtroppo non e' piu' supportato e non funziona con le ultime release
