Newsgroup: it.comp.reti.locali
Titolo: dmz si o no?

Salve.
Scusate ma non sono tanto esperto di reti ciononostante un amico mi ha
chiesto di configurare un server mail da mettere in dmz.
Loro hanno una lan composta da tante subnet protetta da un firewall.
Tale firewall funge anche da gateway poiche' consente l'accesso ad internet.
A tale firewall e' connesso un proxy server, che e' un pc facente parte di
una delle subnet, che viene usato da tutti i client per uscire su internet.
Attualmente all'interno della lan hanno anche un mail server che si puo'
accedere anche dall'esterno poiche'.
Non conosco bene il meccanismo in base al quale e' possible questa cosa,
tuttavia so che sono stati asseganti dal provider una serie di ip pubblici
che possono essere utilizzati.
Credo che quindi al mail server interno gli sia stato assegnato uno di
questi ip publici e che possa essere raggiunto dall'esterno attraverso un
meccanismo di NAT che e' stato configurato nel firewall/gateway.
La domanda e':
E' opportuno mettere il nuovo mail server in DMZ oppure lasciandolo cosi'
com'e' ora all'interno della lan posso incorrere in seri problemi di
sicurezza?
Andrei incontro a tali problemi anche usando la DMZ?
Grazie.

 ha scritto nel messaggio
news:bbt837$cld0m$1...@ID-89846.news.dfncis.de...

Dopo avere letto la domanda, ti dico come farei io.
Imho metterei in DMZ il server mail. Ora, i problemi di sicurezza dipendono
da come sono configurate le regole.
Se le posti ci possiamo dare un'occhiata, ma io non terrei il server di
posta all'interno della mia rete locale: in caso di attacco, una volta
superata la barriera del FW l'attaccante si trova già "dentro" la tua lan.
Se il server è in DMZ al massimo subirai un attacco dalla DMZ alla tua lan.
Il tutto sta nel "monetizzare" il rischio, come in tutte le cose.
Ciao,
Pietro
** Free nntp server at 
www.x-privat.org
 **

 Andrei incontro a tali problemi anche usando la DMZ?
Mettere il mail server sulla DMZ non e' una bella cosa in quanto, il
server si ritrova ad essere espesto in toto
agli attacchi esterni.
Generalmente si tende a lasciare il server all'interno della Lan, senza
alcun tipo di
Nat verso l'esterno, ed inserire nella DMZ un SMTP relay ed
eventualmente i servizi
accessibili dall'esterno (es. Webmail, etc..).
In questo modo il server risulterebbe essere in una zona sicura (Lan
Interna) e verrebbo
pubblicati soltanto i servizi realmente necessari.
Bye
Herman
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 realmente necessari.
Concordo sul discorso di usare un mail relay anche se ... tutto dipende
da cosa si deve ottenere, la config con mail relay va bene se devi solo
gestire il traffico mail per una LAN ma non va nel caso in cui il server di
posta debba essere visibile anche a client esterni (POP/IMAP) a parte
questo ... continuo a non capire il "verrebbero pubblicati soltanto i
servizi
realmente necessari." nel caso di un server DMZ il firewall *continua* a
proteggere il server, DMZ non significa "all'esterno del firewall" ma solo
"all'esterno della LAN" in pratica
Internet
|
fw
firewall fw ---- DMZ
|
LAN
ossia la "schermatura" del firewall è attiva sia sulla NIC "sporca" (quella
connessa ad internet) sia sulla NIC DMZ per cui un server posto in DMZ
è comunque soggetto alle restrizioni impostate sul firewall ... e questo fa
si che solo i servizi pubblicati siano visibili dall'esterno
Ciao
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

[MEGA CUT]
...oggi non ho molta voglia di sicutere: fa un caldo boia, e' lunedi' e
vorrei essere
da un'altra parte ( e.s una bella spiaggia ventilata...).
I miei consigli volevano essere generici... chiaro e' che le
configurazioni devono essere commisurate
con l'effetive necessita' e l' Hardware/software che si ha a
disposizione.
Hai mai provato, ad esempio, a mettere Microsoft Exchange in DMZ ? 
Se si ti sarai accorto che non devi soltanto aprire la porta SMTP bensi'
molti e tanti altri servizi......
Alla fine, se vuoi che il tuo server funzioni correttamente, ti accorgi
che e' un calabrodo unico.....e che le tue
caselle e-mail sono esposte a centinaia di possibili attacchi....  
Potremmo stare a discuterne per giorni interi e tirare fuori 3 mila
scenari........
Ogni scenario ha i suoi pro, i suoi contro e le sue configurazioni
specifiche.
Lo scenario di questo thread e' molto generico, mi sono sentito di
rispondere in modo generico....


 rispondere in modo generico....
That's Ok  Ermanno, il mio post non era critico, solo un .. "fammi capire"
dato che sembrava che tu dessi per scontato che una macchina posta
in DMZ fosse completamente esposta su internet senza firewall


 Ciao
Ok, rileggendo il mio post dava anche a me quell'idea... 
Oggi non funzica l'aria condizionata in uffico :-(( Si schiatta !!
Bye
Hrman


 funzica l'aria condizionata in uffico :-(( Si schiatta !!
Idem da me :-/
-- 
Emanuele Balla  aka Skull -  Public Key #661E5CBF on 
www.keyserver.com
+----------------------------------------------------------------------+
"And 1.1.81 is officially BugFree(tm), so if you receive any bug-reports
on it, you know they are just evil lies." (By Linus Torvalds)

 Hai mai provato, ad esempio, a mettere Microsoft Exchange in DMZ ?
Ci ho provato proprio stamattina da un Cliente, dietro sua insistenza.
Non voglio fare commenti, che e' meglio. Pero' dipende sempre da quali porte
apri verso la DMZ; oltretutto, considerando che in genere puoi fare del nat
statico da wan a dmz, per cui la 25 finisce solo e unicamente sul mail
server e non su altre macchine, la trovo una condizione abbastanza sicura.
Se poi uno mette sendmail o un colabrodo qualsiasi come smtp server, e' un
altro problema ;-)
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Networking, Windows NT/2000/XP
http://support.microsoft.com/newsgroups/default.aspx

 altro problema ;-)
E' chiaro, come detto in precedenza, che bisognerebbe analizzare caso
per caso...
Io volevo solo mettere in evidenza il fatto che, IMHO,  e' comunque
meglio lasciare
le caselle di posta in una zona sicura, ed "esporre" soltanto i servizi
(smtp, http, dns.....)
E' chiaro che attraverso Nat statico e via discorrendo si puo' fare
quello che si vuole, bisogna
anche tener conto di quale firewall si sta utilizzando.....
Resta comunque un'opinione......


 servizi (smtp, http, dns.....)
Tranquillo, Ermanno, era solo per essere della partita :-)


Ermanno Boldi wrote:

Uhmmm, il punto e che nel momento che apri il servizio all esterno, quel
servizio che tu lo metta in lan o in dmz e comunque sempre esposto ad
attacchi esterni...
quindi meglio piuttosto firewallare in locale le porte in piu sul mail
server e metterlo in dmz, oppure andare di relay proxy, ma mettere il
server mail in lan e andare di nat sognifica aprire la lan come se fosse
una dmz o quesi...
Immaginate un mailserver con sendmail buggato, io mi rooto quella macchina
da bravo script kiddie con l ultimo 0day che ho recuperato tramite l amico
dell amico....et voila non mi trovo in una dmz sicura e blindata ma mi
trovo direttamente in lan interna... e cio non e bene. i servizi devono
stare in dmz, la dmz serve proprio a questo, altrimenti non avrebbe senso.
nextime aka Franco

 Oggi non funzica l'aria condizionata in uffico :-(( Si schiatta !!
beato te
io sono in giacca e cravatta ed a Genova si saranno 30gradi e 75
d'umidità rel., sembra milano :(
ma chi l'ha detto che il lino è fresco?

 ma chi l'ha detto che il lino è fresco?
I produttori di Lino :-((
Bye
Herman


Pietro wrote:

Purtroppo non gestisco io il firewall.
Abbiamo un netscreen 100.
Comunque se l'attaccante riesce a superare la barriera del firewall avra'
comunque accesso alla lan sia che il server si trovi all'interno sia che si
trovi nella DMZ.
O no?
Ciao.

 all'interno sia che si trovi nella DMZ.
Una DMZ si ottiene o con un firewall che la supporti, o con due firewall in
serie.
La situazione che indichi si verificherebbe solo nel caso in cui un cracker
"bucasse" entrambi i firewall; mi sembra un po' troppo, anche perche' e'
possibile che per bucare il primo (lato WAN) possa impiegare varie tecniche,
ma per bucare il secondo avra' comunque le limitazioni imposte dal primo
firewall (che sara' sempre li'), oltre al fatto che, in DMZ, il firewall
posto fra DMZ e LAN, di default, blocca qualsiasi pacchetto proveniente
dalla prima verso la seconda (eccezion fatta per i DMZ-pinholes), a
differenza quindi del firewall fra WAN e DMZ, che deve necessariamente avere
delle porte aperte.


 wrote in message
FGIHa.28839$Fr5.6...@tornado.fastwebnet.it...

ciao a tutti
intervengo nella discussione per porvi una domanda visto che mi trovo in una
situazione simile.
La lan che mi trovo a dover gestire è composta da un firewall che separa una
zona dmz , una zona local e la zona net.
Il mail server è installato in una delle macchine delle rete local, questa
macchina non ha assegnato un IP pubblico.
Se ho capito bene il consiglio che veniva dato precedentemente mi
converrebbe spostare il mail server nella dmz e nelle policy bloccare
qualsiasi passaggio da dmz verso local.
Oppure il consiglio è valido solo nel caso si abbiano 2 firewall?
grazie dell'aiuto
ciao

 in serie.
Abbiamo un solo firewall con tre interfacce, la trusted, la untrusted e la
dmz.

 e la dmz.
Quindi e' un firewall con supporto dmz.
Qual e' il dubbio allora? ;-)


 Oppure il consiglio è valido solo nel caso si abbiano 2 firewall?
Probabilmente non mi sono spiegato: una dmz si puo' ottenere
- con due firewall in serie
OPPURE
- con un firewall con supporto dmz
Mettere due firewall in serie, uno dei quali con supporto dmz, mi sembra un
esercizio un po' vizioso ;-)


 Qual e' il dubbio allora? ;-)
Il dubbio e' come inserire nel contesto un server mail.
Tale server dovrebbe essere accessibile solo dagli utenti della nostra lan sia
dall'interno che dall'esterno attraverso internet.
Per server mail intendo sia smtp che pop3/imap con webmail.
Nella macchina non prevedo di configurare degli accounts virtuali per ogni
titolare di una casella di posta, usero' degli accounts virtuali e dedichero'
nel server solo lo spazio per le maildirs.
Come server smtp penso di utilizzare postfix e come pop3/impap Courier il tutto
su un sistema linux debian.
la gestione delle autorizzazioni e degli accounts virtuali avverra' attraverso
LDAP.
Quindi al server smtp e pop3/imap si affianchera' anche openLDAP.
Metto tutto su una macchina in dmz?
Grazie.

 Metto tutto su una macchina in dmz?
Se il server LDAP risiede in dmz, credo sia la soluzione migliore.
Dal punto di vista della sicurezza, comunque, una soluzione ancora migliore
sarebbe impiegare un mail server privato sulla LAN, in cui l'smtp invia
direttamente ai destinatari esterni mediante record MX, ed un mail server
pubblico in DMZ, dal quale il mail server LAN, mediante fetchmail, preleva
la posta a intervalli regolari.
In questo modo non viene aperto alcun pinhole fra DMZ e LAN, il server LDAP
risiede su LAN e la posta interna resta sempre in LAN. La macchina per la
DMZ potrebbe essere un computer decisamente piccolo ed economico, poiche'
non dovrebbe fare quasi nulla e non avrebbe storage per piu' di pochi
minuti.
Il server in DMZ avrebbe l'unico scopo di presentare gli account per la
ricezione di posta da internet, senza storage di posta e senza elenchi di
nomi; inoltre, in postfix si potrebbe tranquillamente bloccare qualsiasi
relay di posta, dato che in effetti non dovrebbe instradare assolutamente
nulla, non processando posta in uscita.
Per la webmail pero' sarebbe un problema, poiche' chi si collega da internet
dovrebbe raggiungere il mail server su LAN, oltre al server LDAP, e questo
non e' ammissibile. Al momento non mi viene in mente nessuna idea per
scavalcare il problema, a parte forse la replicazione della posta e del
database LDAP dal server LAN a quello in DMZ, ma e' macchinoso e potrebbe
subentrare qualche problema di accesso multiplo allo storage della posta in
DMZ.
Un tunnel SSL verso il mail server LAN? :-)


 della posta in DMZ.
Se devo replicare i servizi tantovale metterli tutti sulla stessa macchina
in dmz, o no?
Ho dimenticato che coem webmail pensavo di utilizzare horde2/imp3.
Tale client ncessita' di un database sul quale memorizzare le varie
sessioni.
Percio' oltre al servizio mail e oltre a LDAP avrei anche un database, in
questo caso mysql o postgres (l'installzione di imp pero' mi ha dato
problemi con postgres percio' usero' mysql).
Mettere su un mail server considerando i problemi relativi alla sicurezza
comincia a diventare complicato :-) 
Ciao.

 sicurezza comincia a diventare complicato :-)
Perche'?
Con Mandrake 9 basta digitare "urpmi mysql" :-)
Con Debian ci sara' "apt-get install mysql" o qualcosa del genere ...


 Con Debian ci sara' "apt-get install mysql" o qualcosa del genere ...
:-)
Ciao.

 eccetera :-)
Anche Horde ha varie features, comprese quelle che hai citato per
phpgroupware.