Newsgroup: it.comp.reti.locali
Titolo: Protezione rete

Secondo voi è sufficiente IPCop + adsl per garantire la sicurezza in una
rete locale.
Non ho bisogno di servizi particolari... i pc della lan devono essere in
grado di accedere a comuni siti web ed alla posta elettronica. Inoltre
devono poter contattare periodicamente i siti di aggiornamento degli
antivirus e windowsupdate per mantenere le macchine aggiornate.
IPCop di default è tutto aperto o tutto chiuso ?

 IPCop di default è tutto aperto o tutto chiuso ?
Di default non ha nessun blocco da LAN a DMZ/WAN, per cui puoi 
tranquillamente uscire con tutto cio' che ti serve. Semmai, potresti 
abilitare il transparent proxy, in modo da usare le ACL di squid.conf 
per filtrare le chiamate all'esterno, oltre che velocizzarle grazie alla 
cache.
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Security, Networking, Windows NT/2000/XP
http://mvp.support.microsoft.com
IDRCI Italia - 
http://www.idrci.it
 - 
http://forum.idrci.it
CHX-I, CHX-I NAT Stateful Packet Filter

 cache.
Ok per l'uscita... ma per l'entrata ?  Visto che si tratta di adsl 
tin.it
 e
vedo che generalmente dalla rete interbusiness arriva "di tutto"...
(ovviamente non incolpo 
tin.it
, ma l'utenza diciamo "distratta") ...gli
attacchi dall'esterno sono una reale minaccia per la rete aziendale.
Inizialmente mi accontento di avere l'uscita aperta e l'entrata
completamente chiusa... poi più in la mi potrebbe far comodo aprire la porta
a connessioni VNC... anche se la sicurezza cadrebbe verso il basso.
Ho notato che per quanto lunga sia la password scelta... VNC esamina solo i
primi otto caratteri.. un po pochini. Per questo fino a quando non sarà
indispensabile eviterò.
Eventualmente PCAnywhere è più sicuro ?
Pensavo di acquistare una licenza del pc anywhere per l'accesso alla prima
macchina della lan via internet.. poi internamente VNC per raggiungere le
altre... è una buona soluzione ?
Grazie !!

 altre... č una buona soluzione ?
E' un concatenamento che non e' che mi piaccia molto ;-)
Varrebbe la pena dedicare una serie di porte sullo stesso IP WAN ad 
altrettante macchine, settando i TightVNC server di conseguenza.


 Luca
Grazie mille per tutti i consigli... che seguirņ sicuramente !!
Ciaoooo

 altrettante macchine, settando i TightVNC server di conseguenza.
Beh .. a parte considerazioni su VPN o SSH-tunnelling, un'alternativa
potrebbe essere quella di utilizzare un programma di tunnelling tipo
ZeBeDee 
http://www.winton.org.uk/zebedee/
 l'idea è quella di installare
il programma in modalità "server" su una macchina, poi pubblicare la
porta di ZeBeDee (ZBD nel seguito) attraverso IPCop, a questo punto
la macchina ZBD che fa da gateway avrà una config che permette di
raggiungere le porte 5800/5900 (e/o quant'altro) delle varie macchine
sulla LAN.. il tutto attraverso l'UNICA porta esposta per ZBD, a questo
punto per rendere il tutto anche più "bloccato" si potrebbe attivare in
ZBD la gestione del keyring, in questo modo soltanto il/i client che
abbiano una key inserita nel keyring del server potranno connettersi
ed utilizzare il tunnel ... non so se sono stato chiaro .. spero di si
Ciao
* ObiWan

 ed utilizzare il tunnel ... non so se sono stato chiaro .. spero di si
Chiaro lo sei stato... ora però mi chiedo: che prestazioni deve avere questa
macchina, e ZBD è freeware o ha dei costi per la licenza ?
Come va posizionata nella rete ?
WAN---IPCop---ZBD----LAN Switch---Macchine
Oppure WAN---IPCop---LAN Switch---Macchine (tra cui ZBD)
Grazie

 Come va posizionata nella rete ?
Beh, evitando di installare ZBD su IPCop (anche se è possibile)
direi che una config del genere potrebbe andare bene
Internet
|
Router
|
IPCop
|
switch -- ZeBeDee
|
LAN
in pratica lo piazzi su una macchina della LAN, a questo punto
potresti "mappare" ZBD per "qualsiasi IP" ed utilizzare l'idea
del "keyring" e/o mappare ZBD solo per determinati IP esterni
tutto dipende dal tipo di accesso che ti serve, considera che ho
provato ZBD mandando in tunnel diversi s/w incluso SQLserver
ed altro e fino ad ora non ho _mai_ avuto problemi
Ciao

 ed altro e fino ad ora non ho _mai_ avuto problemi
Perfetto !! Non conoscendolo bene farň prima un po di esperimenti, ma
sicuramente prima o poi lo adotterň... č molto interessante !!!
Grazie x avermene messo a conoscenza !!
Ciaooo

 ma sicuramente prima o poi lo adotterò... è molto interessante !!!
Si, non sarà FreeS/Wan o SSH, ma funziona piuttosto bene, oltretutto
una SINGOLA istanza di ZBD permette il tunnelling su porte/macchine
multiple senza bisogno di lanciare più istanze come per (es.) STunnel
detto questo, un'idea di config potrebbe essere..
* Configura ZBD sulla macchina gateway cambiando la porta "tunnel"
   dal default 11965 ed usando (es.) la porta 9 o la 13 o qualsiasi altra
   porta in modo che non sia immediata l'identificazione del servizio
* Installa ZBD sui vari clients che dovranno accedere dall'esterno al
  gateway, genera le keys e configura i keyrings, assicurati che anche
  i clients puntino alla porta scelta sul gateway per ZBD (es. 9)
* Configura il mapping su IPCop dalla RED all'IP del gateway ZBD, se
   possibile apri tale mapping solo per gli IP statici ammessi, in caso
   contario avrai comunque il discorso "keyring"
A questo punto, per poter accedere/utilizzare il gateway un qualsiasi
client esterno dovrà rispondere ai seguenti requisiti
* Conoscere la porta sulla quale il gateway ZBD è in ascolto
* Avere una key inserita nel keyring del gateway
* Conoscere almeno uno dei mapping interni verso indirizzo/porte
* Avere le eventuali credenziali di accesso al servizio mappato
  ad esempio nel caso di VNC, conoscere la password
* Avere le eventuali credenziali di accesso al sistema mappato
   sempre nel caso di VNC+Windows.. la userid e password
* Opzionalmente (nel caso di filtraggio IP sul f/w) avere un'indirizzo
   IP tra quelli configurati in IPCop
come vedi, anche se la sicurezza assoluta non esiste, quanto sopra
ti garantisce un livello di sicurezza che definirei ... decente :-)
Ciao

 ti garantisce un livello di sicurezza che definirei ... decente :-)
Più che decente direi....  penso di poter fare sonni tranquilli in questo
modo !!!
Grazie ancora.
Nel corso della prossima settimana inizierò a lavorarci e ti farò sapere...
per ora con una connessione ISDN... sto aspettando l'attivazione dell'ADSL
Attualmente usciamo in internet tramite IPCop + ISDN
Ciaoooooo