Newsgroup: it.comp.reti.locali
Titolo: [cross] Help IPCop: cosa mi sfugge?

Salve a tutti.
Dopo una certosina lettura di manuali, faq e msg qui sui nwsgrp, pur
con conoscenze minime (linux=nulla, reti=minima) sono riuscito senza
difficoltà ad installare una macchina con IPCop con relativi addons
sourceforge.net
.
Ora però ho 1 lacuna madornale e 1 problemino.
lacuna):  Dopo l'install, ho fatto i vari test Security Check: quando
ho provato a casa mia (router/firewall hardware > ipcop > cavo cross >
xp senza firewall software) mi dava tutte le porte murate, ma dopo
aver portato lo stesso pc_ipcop in azienda (router > nat > ipcop >
lan) , mi da un sacco di porte aperte (80, 21, 23, 135, etc..),
insomma un groviera.
Con anche il solo ipcop non dovrebbe riportarle tutte closed o al
massimo stealthed? Ho dimenticato di settare qualcosa oppure è normale
così?
probl): ho installato blockouttraffic per limitare le porte in uscita
a seconda della necessita. In particolare, ho 2 pc che necessitano
solo della porta 37 per sincronizzare l'ora con un prg in VB fatto da
me via 
npt1.ien.it
, ma a volte funziona e a volte no, ma se apro tutte
le porte funziona sempre.
Idee su cosa controllare?  Blockouttraffic crea delle "regole"
iptables? Se si, come faccio a controllare se le crea corrette?
Mi date qualche dritta?
Grazie
Z

Aggiungo le caratteristiche:
Adsl Smart 1
!
Router Pirelli Smartgate
Wan IP: Static
Lan IP: 10.0.0.1
Nat: 10.0.0.2 to 10.0.0.3
!
cavo rj45 dritto
!
PC IPCop
Red IP: 10.0.0.2
Red Gateway: 10.0.0.1
Green IP: 192.168.0.1
DNS impostati
!
cavo rj45 dritto
!
switch 8 porte + hub 8 porte in cascata
!
clients Win98SE, WinXp Home e WinXP Pro
IP: 192.168.0.x
Gateway: 192.168.0.1
DNS impostati
Su ipcop non ho abilitato ne proxy, ne portforwarding,  ne vpn, ne
dhcp, ma solo blockouttraffic, ssh e snort.
I dns sono impostati sui clients nelle impostazioni tcp/ip della
connessione alla rete locale (cosě chi ha il portatile quando lo porta
a casa non ha problemi se accede ad internet con altro gestore in
dialup).
Parallelamente in lan gira un fileserver novell 4.11, con ip e ipx,
niente tcp/ip, di cui non sono amministratore e non voglio nemmeno
toccare.

 Nat: 10.0.0.2 to 10.0.0.3
Ecco il tuo problema :-) il "router" :-P
fa da NAT ... riconfigura il router come
semplice bridge e vivi tranquillo
Ciao

... riconfigura il router come semplice bridge e vivi tranquillo
Avevo letto che era meglio configurare il router come bridge, ma sto
cesso ha solo queste opzioni:
- Lap IP Address & Subnet
- Abilita DHCP (senza poter impostare il range)
- Abilita NAT, con selezione range (Nat IP Iniziale & Nat IP Finale)
e basta!!!
Quindi mi sono detto: è impossibile che sia abbastanza evoluto da
poter funzionare anche come bridge, quindi ammetto di non aver neanche
provato.
Se tolgo il NAT, come Ip Red di IPCop devo mettere l'IP del router o
direttamente l'IP statico lato Wan (quello fornito dalla telecom) ?
Ma poi scusa, non capisco cosa c'entra col discorso delle porte
aperte. Il nat l'ho messo 10.0.0.x, i clients sono tutti 192.168.0.x,
quindi le porte dei clients passano per forza dal port forwarding di
ipcop, quindi da quel che ho capito non cambia nulla dal punto
sicurezza.
Nella mia ignoranza, la domanda era: su ipcop devo settare qualcosa
per bloccare queste porte o dovrebbero essere block, filtered o
stealthed automaticamente?
E se blocco, es la porta 80, poi si riesce a navigare lo stesso?
Grazie

 E se blocco, es la porta 80, poi si riesce a navigare lo stesso?
Stai facendo confusione tra porte pubblicate e porte "ammesse", se blocchi
la 80 (default in IPCop) navigherai lo stesso, il filtro in _ingresso_ non
inficia
la possibilità di uscire attraverso il NAT/router... ovvio che se devi
pubblicare
un webserver dovrai creare l'opportuna regola di port forwarding, ma questo
è un'altro discorso
Ciao

è un'altro discorso
Azzo, ecco la nozione basilare che mi mancava (daltronde i manuali che
sto leggendo sono tutti tecnici e prob danno per scontato le cose +
elementari). Io ero convinto che se chiudevo l'80 non navigavo + !!
Grazie tante veramente, ora mi si apre un mondo nuovo....
Ora vado a testare sul campo.
Ciao

 il port filtering (oltre a NAT e forwarding) pensaci su un momento :-)
Qui non capisco...
Cosa cambia nel fattore sicurezza?
Tanto il router rigira tutte le richieste al firewall che poi penserà in un
secondo momento a segare le connessioni non volute...
Dall'esterno vedi porte aperte perchè il router accetta tutto, ma poi tanto
nei PC dietro IPCop non dovrebbe passare nulla...
o no?

 in un secondo momento a segare le connessioni non volute...
<snippppp>
Beh ... se non ricordo male esistono alcuni exploit
relativi al pirelli che permettono di ottenere da remoto
la pass del router ed a quel punto di modificarne la
configurazione; ora .... quanto sopra è valido se il
router funge da NAT ossia se ha un IP pubblico, nel
caso in cui invece il router venga configurato come
bridge il problema non si pone
Ciao

>...e permettono di ottenere da remoto l pass del router..
A dire il vero il Pirelli Smartgate non ha la gestione dell'accesso,
quindi di password non se ne parla neanche.......
E quindi da remoto si può hackkare la config del router?
Azz, c'è da rimpiangere i tempi monopolistici, l'accoppiata
Telecom-Pirelli riesce addirittura a portarci indietro nel tempo.....
E il bello che non si riesce neanche a sostituirlo sto cacchio di
router: ho chiesto il cambio di config x poter usare un router
"normale" in IPoA (il pirelli usa un doppio PPPoE strano), ma dopo 3
mesi gli l'ho data su......

 bridge il problema non si pone
Ah, ok, ora mi č chiaro dov'č il buco di sicurezza ;-)
Non sapevo di questi exploit, in ogni caso io uso un netgear, non un
pirelli!