Newsgroup: it.comp.reti.locali
Titolo: Quale firewall mi consigliate

Ciao a tutti,
	avrei bisogno di un firewall che mi gestisca anche un vpn con openvpn: 
cosa mi consigliate? Uso domestico max 10 client connessi (con molta 
abbondanza...).
Ciao,
	Beppe.
-- 
La fatica fisica appaga lo spirito ed avvicina alla saggezza. Solo 
soffrendo acquisisci la forza morale che scaturisce dall'autodominio.

 abbondanza...).
 
Potresti preparare una macchinetta con una scheda Alix e pfSense: un 
centinaio di euri e sei con un ottimo prodotto.
 
http://www.wispmax.com/pc-engines-alix-2d2-board.html
 
a cui aggiungere la scatola, l'alimentatore e se vuoi una schedina 
wireless
 
Oppure prendi uno ZyXel USG-20, che trovi sui 140 euri.
 
Ciao
Luca
 
 

Come ferro quello che hai/vuoi come sw o pf/OpenBSD o *tables/GNU/Linux
in questo caso gestiti col molto comodo ferm (uno script per che legge
un file in stile pf.conf e lo traduce in comandi *tables).
 
Dalle schede Alix ai NUC (Intel) ai PC desktop poco importa, se non hai
una rete ed un numero di connessioni spaventoso la potenza di calcolo e
la ram che puoi trovare in giro sono più che sufficienti.
 
In generale di SCONSIGLIO VIVAMENTE soluzioni precotte closed del
produttore di turno, sono una garanzia di problemi ed incompatibilità
per il futuro.
 
-- 
| sed s/_//g on my mail to reach me :-)

      Beppe.
uno qualsiasi degli hardware elencati in dd-wrt o open wrt :)

      Beppe.
 
Ok grazie a tutti, anche io ero indirizzato verso l'utilizzo di pfSense 
come software. Mi serviva capire quale macchinetta prendere: vorrei 
qualcosa che consumasse poco (quasi a livello di un router) ma che fosse 
ben funzionante.
Sulle soluzioni closed source concordo pienamente con Kim, sono sempre 
fonte di casini, soprattutto in questo campo.


 fonte di casini, soprattutto in questo campo.
 
mah... non ho niente contro le soluzioni open, ma che le closed siano
sempre fonte di casini mi mancava... 
Di che casini stiamo parlando?
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo em@il non � da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.


 
Nel senso che sono poco configurabili e di solito molto rigide, 
soprattutto sui prodotti non high end.
In quelli consumer o poco sopra sembra si divertano a limitare alcune 
funzionalit�: cosa di cui ti accorgi poi solo nell'uso.
Ciao,
     Beppe.


 funzionalit�: cosa di cui ti accorgi poi solo nell'uso.
 
mah... non so di che firewall parli quando dici "consumer", ma ci sono
firewall di fascia anche soho che sono tutto fuorch� poco
configurabili o rigidi... Chiaro che non puoi pretendere di spendere
100eur per un firewall ed avere configurabilit� e funzioni al top.
Il problema (ma che poi diventa il vantaggio) dei prodotti brand � che
sono legati ad un canone annuale, che per� ti permette di avere
assistenza e sostituzione dei prodotti con problemi...
Il problema di configurazione tipico dei firewall brand sono le VPN
tra brand diversi, ma usando le opzioni standard ipsec solitamente si
mettono in piedi tranquillamente.
Io credo che siano prodotti diversi creati per mercati diversi, ma che
i closed siano tutti poco configurabili o rigidi direi che non �
assolutamente vero.



 
Ok, ma per alcune simpatiche limitazioni di gente che dovrebbe 
connettersi alla mia rete, mi serve un qualcosa che supporti openvpn. 
Tra quelli closed source di fascia non elevata (range 100-200 euro, come 
quelli reperibili sul pfsense store) non ho trovato alcun supporto: anzi 
leggendo le specifiche spesso avevano limitazioni anche importanti.


 (con molta abbondanza...).
 
Considerando l'uso domestico ed il limitato numero di clients, direi...
un qualsiasi scatolo che supporti DD-WRT; ti basta dare un'occhiata in
giro, vedere cosa trovi di disponibile, controllare qui
 
http://dd-wrt.com/site/support/router-database
 
 
immettendo le prime lettere della marca (es. "Asu" o "Tp-" o "netg") se
il router in questione è supportato e via; lo prendi installi DD-WRT e
poi configuri il tutto; per quanto riguarda openVPN
 
http://www.dd-wrt.com/wiki/index.php/OpenVPN
 
 
in alternativa, se proprio vuoi smanettare di più, potresti prenderti
una routerboard (microtik) o costruirti un router usando una delle
diverse schede disponibili ... ma sinceramente credo che nel tuo caso
la soluzione router commerciale e DD-WRT possa essere la più semplice
 
 
 


Nulla contro le soluzioni open, anzi, te la consiglio.
Per� una soluzione closed che ti potrebbe andare comunque bene � 
mikrotik, su una routerboard rb951.

 Di che casini stiamo parlando?
Di tutti i tipi, dal mancato (o notevolmente in ritardo) aggiornamento
dell'OS del "firewall" per i vari buchi che vengono scoperti nel tempo
alle varie backdoor che di quando in quando si scoprono, all'impossibilità
di far qualsiasi cosa che il vendor non abbia previsto, spesso anche
all'impossibilità di aggiornare l'OS per avere nuove funzionalità ecc.
 
La maggior parte dei fw commerciali sono appliance gestibili solo con una
webui (o peggio con applicazioni windows-only scritte coi piedi), spesso
malfatta, con una configurazione di default discutibile e tanti limiti su
ciò che supportano.
 
Del resto se ad ogni livello siamo arrivati da OpenWRT sui modem-router
minimacchine giocattolo domestiche all'Open hw di Google e Facebook una
ragione c'è. Le scatole chiuse sono comode, fan figo sugli scaffali, son
gradite ai manager di turno ma nonappena qualcosa va un pelo storta (cioè
praticamente sempre) si scopre che sono dei costosi fermacarte e se si
vuole realmente un servizio si scopre che i costi materiali sono ben
superiori a quelli di qualcuno competente con una soluzione open-platform.
 
C'è un recente articolo carino a tema, non proprio relativo ai fw ma in
generale a tutto quel ferro "embedded" commerciale su InfoWorld
http://goo.gl/J2C5Pt
 



 
Interessante...ho gia un wnr2200 della DLink che mi sembra sia 
supportato. Mi studio un po' la cosa e poi agisco.
Grazie per il consiglio!


 praticamente sempre) si scopre che sono dei costosi fermacarte e se si
 
bho... non concordo su niente (almeno se i fermacarte sono stati
acquistati con cognizione), ma sono modi diversi di vedere il mondo.
Io credo che sia l'open che il closed abbia i suoi vantaggi e
svantaggi, spetta poi a chi lo deve installare decidere quale sia il
migliore per lo specifico ambito.
Ovvio che in ambito casalingo, una soluzione open � quella sicuramente
pi� indicata, ma che sia la migliore in assoluto questo no.


 più indicata, ma che sia la migliore in assoluto questo no.
Bé ad esempio Facebook che non ha proprio un'infrastruttura casalinga
non la pensa così tant'è che ha iniziato dal 2011 l'Open Compute Project
http://www.opencompute.org
 
 
Scuste per la lunghezza ed il semi-OT, spero cmq di aver reso l'idea...



 
Ho un paio di domande su ddwrt visto che mi pari ferrato:
1 - Se lo installo sul mio router poi posso tornare indietro?
2 - L'utilizzo dei ddns funziona come sul router originale, che va a 
vedere il suo ip (nel mio caso � un ip privato su cui � girato un ip 
pubblico dinamico) oppure si connette online e vede qual'� l'indirizzo 
pubblico?
Grazie e buona serata.


In attesa di risposte più esperte per restare in tema open vs closed
poiché ddwrt è a tutti gli effetti una distro GNU/Linux sei tu che
puoi decidere come gestire il dyndns. Fai uno script o scegli uno dei
millemila client dyndns disponibili (in genere inadyn o qualche suo
fork, ma anche dyndns, ddclient, ez-ipupdate, ...) e lo configuri per
prendere l'ip tramite la connessione ad un servizio esterno oppore
tramite un'interfaccia di rete locale.
 
Se non puoi farlo dalla WebUI di DDWRT lo puoi fare dalla CLI, cron
c'è, un qualche init pure, una shell anche :-)


 Scuste per la lunghezza ed il semi-OT, spero cmq di aver reso l'idea...
 
l'idea l'avevi gi� resa e avevo gi� capito di parlare con un "open"
talmente open da risultare closed... 
Se parti cos� � ovvio che non c'� niente che tenga, io rimango
dell'idea che di ottime appliance in giro ce ne siano, come rimango
dell'idea che ci siano ottimi progetti open, con pro e contro in
entrambi i casi.
Discorso chiuso per me.


 talmente open da risultare closed...
Ha un fondo di verità, non sono "nato" così lo sono diventato stufo
di dover impazzire dietro a soluzioni spazzatura dalle webapp "enterprise"
che di enterprise han più che altro i famosi problemi dell'omonima navetta
di Star Trek agli smartphone ai switch. Piace anche a me la pappa pronta
ma ad oggi (e non da oggi) se devo fare cose che funzionino® la via più
semplice e sicura che ho è farmi una macchina dedicata. Nonostante gli
installer (di tutti gli OS open e closed) siano relitti degli anni '80,
nonostante i sistemi di pacchettizzazione siano a loro volta pensati
per un'altra era si riesce ad automatizzare molto meglio un'infrastruttura
open che non a fare equilibrismi tra Cisco, Juniper, Dell, HP, IBM, ...
con le loro soluzioni combinate hw+sw.


 Scuste per la lunghezza ed il semi-OT, spero cmq di aver reso l'idea...
Io invece spesso penso ad alcune funzionalità mai inserite nei sistemi 
open perché non c'è una comunità interessata.
Penso per esempio a vpls/mpls in linux, oppure ad una funzione di 
rollback della configurazione. O il "fail safe", come fatto nel mikrotik.
 
Conclusione: non c'è rosa senza spine.

 centinaio di euri e sei con un ottimo prodotto.
Quoto.
 
-- 
Per rispondere, togliere -NOSPAM- dall'indirizzo.


io non capisco perchï¿œ insistiate tanto con sto alix e pfsense... avete 
dato un'occhiata qui: 
http://tinyurl.com/3ar8tl
 ??


Eccolla li! Perfetto, se c'è una shell è già più che sufficiente. Anzi 
mi toglie un sacco di grane perchè una volta che sai dove mettere le 
mani ci metti un terzo che con una gui.
Grazie, ciao,
	Beppe.


 l'indirizzo pubblico?
 
Per quanto riguarda il "tornare indietro", normalmente SI; anzi in
diversi casi le istruzioni di installazione spiegano anche come fare
per reinstallare il firmware originale; per il resto, in generale,
direi di si; considera che hai comunque una shell, non solo la web GUI;
l'unica limitazione, nel caso, è data dalla capacità RAM/Flash del
router; alcuni routers hanno capacità limitate ed in quei casi si è
costretti ad usare delle versioni "ridotte" di WRT; in ogni caso, prima
di zompare su WRT a piè pari, leggiti per bene i vari documenti e le
info relative al router che vuoi usare; considera inoltre che esistono
dei routers con supporto ufficiale per DD-WRT; ad esempio
 
http://promos.asus.com/US/ASUS_DD-WRT/
 
 
http://www.buffalo-technology.com/technology/partnered-software/dd-wrt/
 
 
ed inoltre
 
http://www.myopenrouter.com/
 
 
ciao
 
 

 un'occhiata qui: 
http://tinyurl.com/3ar8tl
 ??
 
Perchï¿œ sono macchine molto ben costruite e a basso costo.
Credo ci sia una bella differenza rispetto all'affidabilitï¿œ di un 
routerino cinese ri-flashato con dd-wrt/openwrt.
 
Inoltre, pfSense nasce come fork di m0n0wall e "fa" il firewall, a 
differenza di openwrt che ï¿œ principalmente un router wireless.
 
In alternativa, anche Mikrotik vende macchine eccellenti low-cost, 
anche se girano con il loro (ottimo) RouterOS e nascono come router.
 
Con gli embedded cinesi ne ho giï¿œ avuto abbastanza :-)
 
Ciao
Luca
 
 

 dato un'occhiata qui: 
http://tinyurl.com/3ar8tl
 ??
Perch� � forse l'unico dispositivo che fa il suo lavoro, altamente
configurabile e non mi ha mai dato problemi, acceso 24/24 con uptime
medi di oltre un anno che interrompo solo per gli aggiornamenti (di cui
di solito non sento il bisogno ma ogni tanto penso sia utile farli).
Tra l'altro lo uso anche in modo improprio, connettendomi in ssh per
fargli download su una flash memory USB, avendo installato screen, curl,
e altri pacchetti bsd.
Insomma, non posso che consigliarlo, poi che ci sia altro di buono pu�
essere.
 
-- 
Per contattarmi, togliere -NOSPAM- dall'indirizzo.
To contact me, remove -NOSPAM- from address.

 avete dato un'occhiata qui: 
http://tinyurl.com/3ar8tl
 ??
 
per una serie di motivi; prima di tutto WRT per quanto buono ha bisogno
di hardware ed una scheda come ad esempio la "alix" è un'ottima scelta,
sia dal punto di vista del costo sia da quello di caratteristiche e di
affidabilità; in secondo luogo, WRT nasce con uno scopo ben preciso e
non può essere paragonato neanche lontanamente a pfSense; certo, che
c'entra, in un ambiente domestico WRT può andare benone ma se si sale
di livello o di requisiti... poi ok, mettici pure il fatto che pfSense
è basato su FreeBSD ed a me "Beastie" piace *parecchio* :D
 
 

 dato un'occhiata qui: 
http://tinyurl.com/3ar8tl
 ??
I ports ed i pkg di FreeBSD non sono certo da meno, anzi! OpenWRT come
già citato da altri è nato con uno scopo: rendere meno ingestibili i
vari modem-router-spazzatura domestici. Fa anche bene il suo lavoro ma
la piattaforma e l'obiettivo non sono quelli di una distro (pfsense si
può considerare come una distro di FreeBSD) nata per fare il firewall
magari usata su ferro pensato per lei e per questo uso specifico.
 
OpenWRT è ottimo se vuoi una soluzione tuttofare con tanti servizi,
magari ti fa da mini-printserver, mini-webserver, mini-fileserver,
... ed anche da fw. Se cerchi un fw comodo, flessibile e completo di
tutti i fronzoli puoi averlo con OpenWRT ma devi fartelo a mano, con
pfsense lo hai pronto e rodato da anni di esperienza e lavoro proprio
per questo scopo specifico. In sostanza l'accopiata pfsense+alix è
l'unione tra i vantaggi dell'opensource/platform e dell'hw dedicato
tipico delle soluzioni proprietarie.


 come fatto nel mikrotik.
Questo lo puoi implementare già da anni, non abbiamo (open come closed)
fs versionid à-la-multics/plan9&c ma snapshot, (d)cvs ecc ci sono da
molto tempo; se hai fatto bene "i compiti a casa" (strategia di deploy e
provisoning ecc) hai tutti i rollback e configurazioni possibili che
vuoi. Certo OpenSolaris ai tempi con lo zfs ed ips (i BE per capirci)
era un altro mondo, un mondo ucciso dal non essere completamente aperto
peraltro...


 vuoi. Certo OpenSolaris ai tempi con lo zfs ed ips (i BE per capirci)
Perché stai ragionando alla configurazione di server, io invece sto 
pensando ad apparati di rete, dove puoi rischiare di chiuderti fuori e, 
ciliegina sulla torta, bloccare una parte della stessa rete. E non 
sempre è comodo alzarsi e andare sul rack a fare l'undo.

 è comodo alzarsi e andare sul rack a fare l'undo.
Aspe, tu per rollback intendi qualcosa tipo "modifiche applicate, se entro
30" non confermi che va tutto bene torno indietro"? Nel caso le hai nel
sistema di deploy che usi, quando ti serve. Basta avere un task di rollback
ed un task di controllo: lanci con sleep 30" il task di rollback, fai la
modifica e una volta finita se tutto va bene killi il rollback. Non lo devi
fare a mano, ci pensa Ansible o chi per esso :-)


 fare a mano, ci pensa Ansible o chi per esso :-)
Mi sembra più scomodo di quello a cui sono abituato, però posso darci un 
occhio.
 
Già che ci sono, ti chiedo anche se è disponibile qualche progetto con 
le stesse funzionalità del MAC-telnet del mikrotik: praticamente avere 
una normalissima shell su un router, configurato senza alcun indirizzo 
IP. Mi dirai che è sufficiente attivare l'IPv6, ma su Ubiquiti non è 
presente :-)

 situazione perfetta come riesci ad averla te.
 
Io non dovrei intervenire perché so quasi nulla degli apparati e dei 
software di cui avete parlato.
Però, in generale, mi son fatto la mia ideuzza sulla diatriba open vs. 
closed, che esiste anche in altri campi, e cioè che sia sbagliato 
costruirci troppo una "filosofia" sopra. Alla fine della fiera, bisogna 
sempre analizzare i singoli prodotti disponibili in relazione alle 
proprie esigenze, alle proprie comòpetenze, al tempo disponibile, al 
budget, ecc. A volte la migliore soluzione sarà open, a volte sarà 
closed,  impossibile generalizzare. IMHO!

 Mi dirai che è sufficiente attivare l'IPv6, ma su Ubiquiti non è presente
A questo serve il suo SDK: basta rifarsi il fw con ipv6 abilitato :-)
