Newsgroup: it.comp.reti.locali
Titolo: Filtro Prestige 642R per bloccare ICMP echo replay

Ciao!
Ho verificato tramite il test su 
grc.com
 che il mio router Zyxel Prestige
642R risponde ai ping e pertanto vorrei filtrare l'echo replay impostando
una regola.
In rete ho trovato solo questo documento,
http://www.zyxel.com/support/knowledgebase1.php?indexFlagvalue=1021685150&level=3&upFlag=1021681713
,
ma pare che non funzioni in quanto ripetendo il test ottengo sempre lo
stesso risultato:
Ping Reply: RECEIVED (FAILED) - Your system REPLIED to our Ping (ICMP Echo)
requests, making it visible on the Internet. Most personal firewalls can be
configured to block, drop, and ignore such ping requests in order to better
hide systems from hackers. This is highly recommended since "Ping" is among
the oldest and most common methods used to locate systems prior to further
exploitation.
C'č qualcuno che č riuscito a risolvere il problema senza ricorrere a
soluzioni firewall esterne (dietro al router ho solo la mia LAN domestica,
nessun server e l'account ha a disposizione un singolo indirizzo IP
dinamico)?
Grazie.
Alex
-- 
...dipende...
Il dipolo sul tetto del vicino č sempre piů potente


Ti ringrazio, però sembra non funzionare lo stesso. Facendo il test da
grc.com
 (aprendo sempre una finestra diversa del browser per ogni tentativo)
continua a segnalarmi che il router risponde al ping.
Per curiosità, se effettui il test adesso a te indica che viene superato?
Domanda di teoria: sarei curioso di sapere perché nel documento viene
indicato di inserire l'indirizzo dell'interfaccia privata del router, dato
che quella che risponde ai ping provenienti da Internet è l'interfaccia
pubblica: nel mio caso, essendo l'indirizzo dinamico, penso che sarei dunque
costretto a indicare nel destination address l'indirizzo 0.0.0.0 (qualsiasi
indirizzo). Sbaglio?
Ciao e grazie.
Alex

 l'indirizzo 0.0.0.0 (qualsiasi indirizzo). Sbaglio?
Se indicassi 0.0.0.0 sia come source che come destination otterresti
certamente il blocco dei ping dall'esterno sull'interfaccia WAN -> cio'
comporterebbe pero' anche il blocco di tutti i pacchetti ICMP in
ingresso sulla tua interfaccia WAN... e quindi 
p.es
. niente ping in
uscita dalla tua LAN.
La regola indicata da ZyXel serve per bloccare tutti i pacchetti ICMP
verso l'interfaccia LAN del router che siano provenienti lato WAN, ed
IMHO e' sufficiente per evitare problemi di sicurezza sul router.
Eventualmente puoi impostare 3 regole da applicare sull'interfaccia WAN
nell'ordine :
==
1. ICMP Source subnetLAN/Destination 0.0.0.0  -> Y:Forward / N:Next Rule
2  ICMP Source 
0.0.0.0/Destination
 IPLANADSL  -> Y:Drop    / N:Next Rule
3. ICMP Source 
0.0.0.0/Destination
 subnetLAN  -> Y:Forward / N:Next Rule
4. ICMP Source 
0.0.0.0/Destination
 0.0.0.0    -> Y:Drop / N:[*]
[*] Next Rule se poi vi sono altre regole/filtri, oppure Forward qualora
    sia l'ultima regola dei tuoi filtri.
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> 
http://planynet.hypermart.net/fastweb
 <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> * FAQ 1.5 ITGF it.tlc.gestori.fastweb <|
|_|  |_/_/ \_\___|___/-<|> * SITO: 
http://planynet.hypermart.net
 <|
|>Togli/Remove .INVALID<|> * SITO: 
http://plany.fasthosting.it
 __<|

 uscita dalla tua LAN.
Dunque, seguendo le orme di S. Tommaso ho appena provato: nonostante abbia
indicato 0.0.0.0 sia come SA che DA e, ovviamente, aver impostato la regola
nel menu 11.5 (input filters set -> protocols filters), pingo l'esterno che
è un piacere! Mah...............aaaaaaaaaaaahhhhhhhhhhh!!!!
Dunque, ho scoperto una cosa alquanto strana: nel menu 11.5 Remote Node
Filter -> Input filter Sets: -> protocol filters ho impostato 6, 7
dove 6 è un set di filtri personalizzato e 7 sarebbe il filtro di prova
(quello per bloccare il ping, per intenderci).
Per non sapere né leggere né scrivere, ho momentaneamente lasciato perdere
il discorso dei ping e ho creato una regola che chiude la porta 443 (HTTPS).
Torno su 
grc.com
 e... sorpresa! La porta è Closed e non Stealth. Allora
inverto la sequenza: 7, 6. Riprovo: la porta 443 è Stealth mentre quelle
protette dalla regola 6 (tra cui la 21, per esempio) sono Closed o APERTE!!!
Vuol dire che non riesce a prendere più di un set alla volta, nonostante il
manuale dica che se ne possono impostare fino a 4.
Per la cronaca, il mio router è arrivato direttamente con il firmware
2.50(A.J9), ma per sicurezza l'ho appena ricaricato via ftp e non è cambiato
nulla!
Ho trovato un caso analogo:
http://www.sidin.it/phorum/read.php?f=15&i=119&t=119
Qualcun'altro si è accorto del problema?
Ciao e grazie!
Alex

 Qualcun'altro si č accorto del problema?
Non e' un baco, ma solo una questione di configurazione delle regole ;).



Intanto grazie per la risposta, comunque queste sono la penultima e l'ultima
regole che ho impostato:
                        Menu 21.6 - Filter Rules Summary
 # A Type                       Filter Rules                              M
m n
 - - ---- --------------------------------------------------------------- - 
- -
 1 Y IP   Pr=6, SA=0.0.0.0, DA=0.0.0.0, DP=21                             N
D N
 2 Y IP   Pr=6, SA=0.0.0.0, DA=0.0.0.0, DP=23                             N
D N
 3 Y IP   Pr=6, SA=0.0.0.0, DA=0.0.0.0, DP=80                             N
D N
 4 Y IP   Pr=17, SA=0.0.0.0, DA=0.0.0.0, DP=69                            N
D N
 5 Y IP   Pr=17, SA=0.0.0.0, DA=0.0.0.0, DP=161                           N
D N
 6 Y IP   Pr=17, SA=0.0.0.0, DA=0.0.0.0, DP=162                           N
D N
                        Menu 21.7 - Filter Rules Summary
 # A Type                       Filter Rules                              M
m n
 - - ---- --------------------------------------------------------------- - 
- -
 1 Y IP   Pr=6, SA=0.0.0.0, SP=0, DA=0.0.0.0, DP=443                      N
D F
 2 N
 3 N
 4 N
 5 N
 6 N
Come vedi, mi sembra che avessi già fatto come dici. Ciò nonostante continuo
ad avere lo stesso problema. Ecco, infatti, il risultato ottenuto con il
port scan di grc (non si legge benissimo, ma questo offre la ditta! ;-) ):
Port
Service
Status Security Implications
0
<nil>
Stealth There is NO EVIDENCE WHATSOEVER that a port (or even any computer)
exists at this IP address!
21
FTP
Stealth There is NO EVIDENCE WHATSOEVER that a port (or even any computer)
exists at this IP address!
22
SSH
Closed Your computer has responded that this port exists but is currently
closed to connections.
23
Telnet
Stealth There is NO EVIDENCE WHATSOEVER that a port (or even any computer)
exists at this IP address!
25
SMTP
Stealth There is NO EVIDENCE WHATSOEVER that a port (or even any computer)
exists at this IP address!
79
Finger
Closed Your computer has responded that this port exists but is currently
closed to connections.
80
HTTP
Stealth There is NO EVIDENCE WHATSOEVER that a port (or even any computer)
exists at this IP address!
110
POP3
Stealth There is NO EVIDENCE WHATSOEVER that a port (or even any computer)
exists at this IP address!
113
IDENT
Closed Your computer has responded that this port exists but is currently
closed to connections.
119
NNTP
Closed Your computer has responded that this port exists but is currently
closed to connections.
135
RPC
Stealth There is NO EVIDENCE WHATSOEVER that a port (or even any computer)
exists at this IP address!
139
Net
BIOS
Stealth There is NO EVIDENCE WHATSOEVER that a port (or even any computer)
exists at this IP address!
143
IMAP
Stealth There is NO EVIDENCE WHATSOEVER that a port (or even any computer)
exists at this IP address!
389
LDAP
Closed Your computer has responded that this port exists but is currently
closed to connections.
443
HTTPS
Closed Your computer has responded that this port exists but is currently
closed to connections.
445
MSFT
DS
Stealth There is NO EVIDENCE WHATSOEVER that a port (or even any computer)
exists at this IP address!
1002
ms-ils
Closed Your computer has responded that this port exists but is currently
closed to connections.
1024
DCOM
Closed Your computer has responded that this port exists but is currently
closed to connections.
1025
Host
Closed Your computer has responded that this port exists but is currently
closed to connections.
1026
Host
Closed Your computer has responded that this port exists but is currently
closed to connections.
1027
Host
Closed Your computer has responded that this port exists but is currently
closed to connections.
1028
Host
Closed Your computer has responded that this port exists but is currently
closed to connections.
1029
Host
Closed Your computer has responded that this port exists but is currently
closed to connections.
1030
Host
Closed Your computer has responded that this port exists but is currently
closed to connections.
1720
H.323
Closed Your computer has responded that this port exists but is currently
closed to connections.
5000
UPnP
Closed Your computer has responded that this port exists but is currently
closed to connections.
Come vedi, la porta 443 è CLOSED; secondo me, invece, doveva essere STEALTH.
Altri suggerimenti sono ben accetti: magari è una qualche altra banalità e
mi sta scappando!
Ciao e grazie!
Alex

manuale dica che se ne possono impostare fino a 4.
Te lo ha indicato anche MACS nel post precedente.
Nell'ultimo filtro del primo set che usi ci devi mettere "check nest
rule" al posto di forward se vuoi che proceda con l'analisi delle
regole del secondo set.
Ciao
Francesco
-- 
Francesco

 altra banalità e mi sta scappando!
Cancella e ricrea la regola come ti ho indicato, e verifica che non
compaia l'indicazione della SP nell'elenco regole del set (come infatti
puoi constatare nell'elenco regole del set precedente).
-- 
|¯ \/¯ | /¯\ /¯__/¯__|-<|> 
http://planynet.hypermart.net/fastweb
 <|
|¯|\/|¯|/¯_¯\|(__\__ \-<|> * FAQ 1.5 ITGF it.tlc.gestori.fastweb <|


                                  Port # Comp= None
                                                         ^^^^^^^
Qualcuno ha visto un palo della luce? Vado a nascondermici dietro!!! Ahhhh,
sto rimbecillendo!
Mi era rimasto impostato Equal al posto di None perché nelle prove, per
errore, avevo invertito i campi Source e Destination della regola.
Be', che dire? Grazie infinite, anche e soprattutto per la pazienza!
Ciao!
Alex

 Be', che dire? Grazie infinite, anche e soprattutto per la pazienza!
Prego ;) = mi fa piacere che tu abbia risolto per il meglio -> qualora
cercassi ulteriori info sui filtri (e su altre applicazioni) del 642R
potresti consultare le Support/Application Notes che trovi all'indirizzo
http://www.zyxel.com/support/supportnote/p642/index_f.php
 .
 
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> 
http://planynet.hypermart.net/fastweb
 <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> * FAQ 1.5 ITGF it.tlc.gestori.fastweb <|
