Newsgroup: it.comp.reti.locali
Titolo: Distribuzione Firewall

Intanto buon anno a tutti.
 
Sto cercando una distribuzione linux per implementare una appliance.
Mi sto guardando in giro, ma sono abbastanza indeciso.
 
Ho tre esigenze da soddisfare:
 
La prima non si tratta neppure di una appliance vera e propria perchï¿œ va 
implementata a protezione di machine virtuali attivate come servizi dei 
provider tipo Aruba e simili.
L'offerta normalmente non prevede alcun tipo di protezione periferica 
che devo perciï¿œ attivare io con i servizi essenziali perchï¿œ non abbiamo 
a che fare con una LAN e degli utenti essendo server Web pubblici dove 
al massimo ci sono servizi "privati" attivi su login.
 
All'inizio il server ï¿œ uno solo e, considerato che le macchine virtuali 
non te le regalano, non sarei intenzionato a metterne su una solo per il 
firewall a protezione dell'unico server.
Ma anche prevedendo piï¿œ server, mi sembra di capire che non vengono 
assegnati indirizzi interni (o comunque non ho ancora approfondito la 
cosa per verificare se sia possibile).
Quindi mi domando come e cosa mettere a protezione dei server e 
garantire al piï¿œ le VPN per la loro gestione remota.
 
La seconda esigenza ï¿œ invece un firewall da attivare in una piccola azienda.
Non trattandosi di un ente pubblico o di una grossa corporate, piï¿œ che 
l'attacco di un hacker o di qualche imbecillle, la preoccupazione ï¿œ 
quella di una protezione classica piï¿œ il solito Proxy per minimizzare 
l'accesso web, la VPN per gli agenti ed i tecnici, il QoS per il VoIP, ecc.
Quella che ï¿œ invece l'esigenza maggiore ï¿œ la gestione interna 
dell'accesso ad Internet per evitare che se ne abusi alla grande come 
sta accadendo ora.
Quindi un controllo granulare dei contenuti, attraverso white/black list 
di servizi e categorie web oltre che dei singoli domini/pagine.
(Stile Dansguardian per intenderci)
Il controllo deve avvenire a livello di utenti e gruppi di utenti cosï¿œ 
che si possa differenziarne l'utilizzo.
Inoltre deve essere temporizzato per evitare che taluni servizi possano 
essere utilizzabili in determinati orari da parte di determinati gruppi 
di utenti.
Infine ci deve essere una statistica di utilizzo delle risorse (banda, 
carico, ecc.) a livello di gruppi/utenti con possibilitï¿œ di inviare 
degli alert al raggiungimento delle diverse soglie.
 
La terza esigenza ï¿œ di fatto similare alla seconda, solo che essendo 
orientata ad un piccolo ufficio di poche persone non c'ï¿œ l'esigenza di 
questo controllo granulare e quindi basta un controllo dei contenuti 
valido per tutti e poi al massimo dei profili "liberi tutti".
 
In questi giorni mi sono guardato intorno documentandomi sui vari IpCop, 
PFSense, ecc. ma pur con i vari addon nessuno mi ï¿œ sembrato facesse 
almeno benino un po' di tutto.
Magari mi sbaglio perï¿œ.
 
Avete qualche suggerimento in proposito?
 
Nota a margine, non si tratta di recuperare un vecchio PC, ma andremo ad 
implementare una macchina nuova in un mini case con una nuova MB 
probabilmente con processore Atom ed un disco di 320GB (il piï¿œ piccolo 
che si riesce a trovare in giro). RAM quanta ne serve.
 
Grazie e ciao.
 
---
Questa e-mail ï¿œ priva di virus e malware perchï¿œ ï¿œ attiva la protezione avast! Antivirus.
http://www.avast.com
 
 

 solo per il firewall a protezione dell'unico server.
 
il che significa che, se a causa di un bug nel "sito" (o anche una vuln
java/php o un buco di un qualche framework) ti bucano uno dei siti e
magari riescono anche a fare privilege escalation, il firewall va a
farsi benedire :P
 

 tutti e poi al massimo dei profili "liberi tutti".
 
Questo puoi farlo tranquillamente con pfSense e il package 
dansguardian.
 
P.S.: scusa la citazione monomarca, ma ï¿œ un brand che vendiamo da anni 
e che usiamo anche internamente, e fa effettivamente tutto quello che 
dichiara.
 
Ciao
Luca
 
 


 
hai ragione da vendere, nulla da ridire.
 
---
Questa e-mail è priva di virus e malware perché è attiva la protezione avast! Antivirus.
http://www.avast.com
 
 

 Questo puoi farlo tranquillamente con pfSense e il package dansguardian.
 
Provo a dare una occhiata meglio, non mi sembrava fosse possibile.
Grazie
 
 
---
Questa e-mail è priva di virus e malware perché è attiva la protezione avast! Antivirus.
http://www.avast.com
 
 


 
Perï¿½, perï¿½...
Se hanno bucato il framework del sito vuol dire che il firewall ï¿½ giï¿½ 
superato e sono giï¿½ sul server.
Siccome in questo caso stiamo parlando di un solo server web, ha senso 
spendere minimo 20ï¿½ al mese solo per implementare un fw che, appunto, 
puï¿½ essere bypassato per un buco sul server?
 
Altro discorso se i server sono almeno 2 perchï¿½ avrei comunque un solo 
punto di protezione a monte.
 
 
---
Questa e-mail ï¿½ priva di virus e malware perchï¿½ ï¿½ attiva la protezione avast! Antivirus.
http://www.avast.com
 
 

 essere bypassato per un buco sul server?
 
A cosa ti riferisci con i 20 euro? Se ï¿œ una VM per il firewall, credo 
li valga tutti.
 
Ciao
Luca
 
 


20ï¿œ ï¿œ il costo mensile che ho calcolato al volo per una VM su Aruba.
magari si puï¿œ spendere anche un po' di meno da qualche altra parte.
Dopo di che il Fw te lo devi installare e configurare tu.
 
ï¿œ proprio questo il punto.
Se prendo uno spazio in hosting da qualsiasi parte, ho giï¿œ nel prezzo 
una protezione perimetrale essenziale (DDOS), poi ovviamente devo 
preoccuparmi io di non installare un server web bacato.
Al massimo aggiungo l'antivirus per le caselle email che a volte ï¿œ 
compreso nel prezzo a volte costa pochi Euro l'anno.
 
Se prendo una VM non mi danno niente, quindi devo prevedere tutto, 
compresa la protezione perimetrale.
 
Se ho 3 server, su quello della posta ci monterï¿œ l'AV con l'antispam, 
sul server Win ci monterï¿œ un buon AV e sul server web Linux non ci 
monterei nulla.
Poi mi installo a monte di tutto una VM con un buon Fw anche se la VM me 
la danno con 10GB di disco e a me ne bastano 500MB ad esagerare.
 
Ma se ho solo il server web, ha senso spendere ANCHE per una seconda VM 
dove installare una protezione DDOS e la gestione delle VPN e poi 
scoprire che mi sono entrati dall'ennesimo baco in Joomla?
 
In ogni caso, la domanda era/ï¿œ: su questa VM che ci monto? IPCop? PFSense?
  Con che servizi? DDOS, VPN, Reverse proxy, ... ?
 
---
Questa e-mail ï¿œ priva di virus e malware perchï¿œ ï¿œ attiva la protezione avast! Antivirus.
http://www.avast.com
 
 

 In ogni caso, la domanda era/ï¿œ: su questa VM che ci monto? IPCop? PFSense?
 
Se non vuoi spendere nulla, metti pfSense con qualche package di 
sicurezza. Tieni comunque presente che pfSense ï¿œ layer3, per cui se 
qualcuno si inventa un nuovo attacco sulla porta 80, il firewall non fa 
una piega.
 
Altrimenti spendi quei 40 euro/mese per un firewall virtuale layer7, 
con antivirus e rilevamento aggiornato dei tentativi di intrusione e 
dormi tranquillo, perchï¿œ quando viene identificato un nuovo attacco o 
malware, lo impara anche il firewall e interviene prima che tu metta 
mano al sito.
 
Ciao
Luca
 
 

 superato e sono già sul server.
 
Se il firewall gira sul server stesso ed ha una regola "allow" sulla
80/tcp non c'è bisogno di bucare nulla, *PENSACI* 
 


 
Ok, convinto.
Non ho capito perï¿œ di che firewall virtuale layer7 parli.
Il provider non ti da nulla, neppure il firewall virtuale.
Devo installare una macchina (Debian? CentOS?) e poi su questa 
installare che cosa?
O hai in mente una "distro" particolare?


 O hai in mente una "distro" particolare?
 
Facendo una ricerca veloce - veloce ho trovato zeroshell 
(
http://www.zeroshell.net/
) e IPFire (
http://www.ipfire.org/
).
Qualcuno li conosce?


 Non ho capito perï¿œ di che firewall virtuale layer7 parli.
 
Mi riferisco al NetASQ V50, che viene fornito giï¿œ come file .ova.
http://www.netasq.com/products/netasq-virtual-appliances/
 
 
Ha 6 interfacce virtuali, che puoi configurare liberamente sia in 
bridge che in routing/NAT e puï¿œ gestire sia il routing per protocollo, 
sia connessioni WAN multiple con failover.
 
Ha un costo iniziale di 585 euro, e ogni anno va applicata la 
maintenance da 410 euro, che permette al firewall di scaricare gli 
aggiornamenti degli attacchi dai siti del produttore.
 
Ci sono sicuramente altri prodotti analoghi: io ti indico questo perchï¿œ 
lo usiamo e lo vendiamo e so che quel che deve fare lo fa.
 
Ciao
Luca
 
 

 Facendo una ricerca veloce - veloce ho trovato zeroshell 
 
Zeroshell l'ho usato per qualche tempo; ï¿œ un progetto interessante, ma 
il supporto layer7 ï¿œ 
http://l7-filter.sourceforge.net
, con pochi 
aggiornamenti.
 
Quello che a mio avviso ï¿œ importante ï¿œ che il firewall sia in grado di 
intercettare tentativi di intrusione conosciuti, cosa per la quale 
servono librerie aggiornate di firme di attacchi, e questi 
nell'opensource non li ho (ancora) visti.
 
Di IPFire non so niente, mi spiace.
 
Ciao
Luca
 
 


 
585ï¿œ non sono uno scherzo, ma se come dici tu non ci sono poi le firme 
per i prodotti Open Source, capisco che questo o un altro di lï¿œ non si 
scappa.
Ne parlo con chi decide anche se presumo che se si fa, si aspetterï¿œ di 
aver pronto tutto il resto.
 
In ogni caso ï¿œ importante che si possa installare nell'ambiente virtuale 
di un provider.
In casa non avrei problema, ma non ho mai verificato cosa serva e costi 
farlo presso un provider; mica che poi debba aggiungere ancora un costo 
tale da rendere la cosa improponibile.
 
Intanto ti ringrazio


 un provider.
 
Puoi prendere un host con full root access, fare installare VMware ESXi 
dal provider e importare su questo il file del VM50; dopodichï¿œ fai 
un'immagine ISO del DVD di Windows, lo carichi nel datastore di VMware 
e crei una nuova macchina virtuale usando l'ISO come disco di avvio, 
quindi installi la macchina esattamente come faresti su un server 
fisico.
 
Ciao
Luca
 
 

 Di IPFire non so niente, mi spiace.
 
Sembra l'ennesimo clone riscaldato di IPCop
 

 Sembra l'ennesimo clone riscaldato di IPCop
 
che se, fino ad un certo punto, va bene per le reti domestiche; fa
ca'are i cani morti se uno si azzarda ad installarlo su una rete di
una certa dimenZione; mica per altro eh, ma pretendere che una distro
del genere faccia tutto (incluso il client P2P, il caffè e magari
anche qualche "servizietto") è, come minimo, da depravati... vabbè :P
 
Oh e poi, ci mancherebbe, il tutto con uno scatolo con CPU "VIA" o, se
va grassa, con un Atom di prima generazione :P se proprio serve un fw
con NAT, transparent-proxy, CARP e tutto il resto, e non si vuole
o può andare su qualcosa di "precotto", meglio rivolgersi a questo
 
http://www.pfsense.org/index.php@option=com_content&task=view&id=40&Itemid=43.html
 
 
non che faccia miracoli, per carità, ma rispetto ad IPcop ed ai vari
cloni ...