Newsgroup: it.comp.reti.ip-admin
Titolo: feed BGP contro gli spammers

le...@windmill.ibn.it
 wrote:
 >Ho la sensazione che non ci sia molta altra gente oltre a quella elencata
 >li che usa BGP, dico che la maggior parte dei provider che arrivano
Lo so, ma non importa, per ricevere degli annunci di routing via BGP non
devi mica ricevere anche una vista defaultless dall'uplink.
I dettagli tecnici della configurazione del cisco non li conosco, ma
non dovrebbe essere nulla di speciale.
 >magari un grosso provider non puo permettersi di tagliare via completamente
 >la connettivita' a certi siti solo perche sono mail spammer.
No? Tu hai problemi a non ricevere piu` posta dai server di earthlink
non sicuri?
 >E poi siamo sicuri che serve? Ci vuole (molto) poco a cambiare host...
Ci vuole anche molto poco a mandare un nuovo annuncio...
 >Personalmente penso che intervenire sul trasporto della posta sia
 >enormemente piu' semplice e pratico. Comunque, hai gia visto questo famoso
 >feed? Come e' fatto?
Sono annunci di routing BPP4 uguali a tutti gli altri, solo che invece che
indicare il routing corretto ne indicano uno che manda nel cesso tutti i
pacchetti. Non l'ho visto, intanto perche` non ho un router dove usarlo,
e poi perche` devi firmare un documento dove ti impegni a non passare ad
altri il feed.
Se non si puo` toccare il router sarebbe interessante vedere cosa si puo`
fare con gated, anche se sospetto che usandolo per un solo host ci sia
il problema del cannone e del m

 il problema del cannone e del m
Che e' successo?? :)
Stavo pensando... si potrebbe ricevere si una lista di annunci di IP di
spammer (non importa se BGP o qualche altro formato) e usarlo, anziche per
modificare il routing, per implementare una lista di accesso (come
suggerisci tu in un altro messaggio con ipfwadm per esempio).
In questo caso potresti implementare la stessa cosa ma a livello locale
anche di un solo "dipartimento" o di un solo host, cosa che mi crea meno
problemi che bloccare quelle reti su tutto l'AS.
Se fosse arrivata la fine della tua frase ci sarebbe, immagino, gia un
obiezione, che pero' senza il tuo aiuto non mi viene...
Comunque ci ho pensato. Si puo senz'altro fare anche sui cisco, quando non
si utilizzi gia il BGP, in questo caso la mia conoscenza (o ignoranza)
delle cose non arriva pero' a sapere come si configura un feed bgp da un
peer che non condivide un subnet con il tuo router.
Tutto sta ad avere una buona lista, e un buon sistema per discriminare i
siti che collaborano con gli spammer, da quelli che sono a loro volta
vittima...
Saluti
Lele

 wrote:
 >> Se non si puo` toccare il router sarebbe interessante vedere cosa si puo`
 >> fare con gated, anche se sospetto che usandolo per un solo host ci sia
 >> il problema del cannone e del m
 >Che e' successo?? :)
Ho l'abitudine di ritoccare gli articoli direttamente nello spool...
Il problema e` quello del cannone e del moscerino. Con gated si puo`
usare BGP su una singola macchina, ma non so se alla fine ne vale la pena,
anche considerando che questa dovrebbe essere il tuo MX.
 >Stavo pensando... si potrebbe ricevere si una lista di annunci di IP di
 >spammer (non importa se BGP o qualche altro formato) e usarlo, anziche per
 >modificare il routing, per implementare una lista di accesso (come
 >suggerisci tu in un altro messaggio con ipfwadm per esempio).
Il risultato finale e` lo stesso. Con gated lo si potrebbe fare direttamente.
Ho visto che e` un po' un casino da configurare, e quindi lascio a un altro
il piacere di scoprire come fare...
 >In questo caso potresti implementare la stessa cosa ma a livello locale
 >anche di un solo "dipartimento" o di un solo host, cosa che mi crea meno
 >problemi che bloccare quelle reti su tutto l'AS.
Non e' necessario agire sull'intero AS, potrebbe anche essere un router
interno.
 >Comunque ci ho pensato. Si puo senz'altro fare anche sui cisco, quando non
 >si utilizzi gia il BGP, in questo caso la mia conoscenza (o ignoranza)
 >delle cose non arriva pero' a sapere come si configura un feed bgp da un
 >peer che non condivide un subnet con il tuo router.
Qualcuno degli altri lettori puo` dare qualche consiglio?
 >Tutto sta ad avere una buona lista, e un buon sistema per discriminare i
 >siti che collaborano con gli spammer, da quelli che sono a loro volta
 >vittima...
La lista a cui mi riferisco io e` ottima.
-- 
ciao,			[To reply remove "+nospam" from my address.        ]
Marco			[Per rispondere togli "+nospam" dal mio indirizzo. ]
              * The Internet is full. Go away.  -- Joel Furr *

 Qualcuno degli altri lettori puo` dare qualche consiglio?
Eh? C'e' qualcuno???
Saluti
Lele
 

 scusate se la mia risposta va fuori argomento. 
Si parlava del fatto che Paul Vixie fornisca su richiesta un feed BGP che
consente di elimninare automaticamente la connettivita' con quelle reti che
sono riconosciute come spammer abituali.
Io non ho visto come viene effettuata realmente da Vixie la cosa per cui
esponevo solo i mei dubbi che riguardano l'eventuale ricevente di questo
feed.
Sostanzialmente la situazione tipica e' di chi ha una propria rete:
- Si hanno uno o piu' router di confine che scambiano informazioni BGP con
i propri peer attraverso una rete comune.
- Si hanno uno o piu' router interni che si scambiano informazioni mediante
un IGP (o nei casi piu semplici, nemmeno quello) ma non c'e' nessun EGP
verso l'esterno ma solo una route statica di default.
In queste due situazioni la mia curiosita' era quella di sapere come si
poteva applicare il  feed di Vixie (o piu genericamente se si puo'
utilizzare un feed BGP proveniente da una macchina posta chissa' dove... 
A occhio non vedo problemi per cui la tua soluzione non debba essere
applicabile anche se al posto della PtP tra i due router c'e' un path piu'
complesso, giusto?
(o in caso arebbe sufficiente, non so se necessario comunque, fare un
tunnel tra le due macchine per riportarci in un caso molto simile a questo)
Bello.. ci vorrebbe solo una prova... :)
Resto del parere che usare le informazioni sugli spammer per fare una ACL
e' piu' semplice e (secondo me!) piu' affidabile.
Comunque grazie mille.
Ciao
Lele
 
---


 Di niente, e' sempre un piacere discutere di argomenti interessanti.
Lo sapevo che questo ng dopo mesi di silenzio sarebbe prima o poi partito.
:))
Ciao
Lele

val...@interbusiness.it
 wrote:
 >Non so chi sia Vixie, ma mi chiedo come faccia a farlo
Scusa la domanda, ma negli ultimi 15 anni hai vissuto su marte? :-)
 >"automaticamente". Forse utilizza le community, ma anche in questo caso,
 >penso che tu debba avere da qualche parte un database comune su cui
 >aggiornare (a mano) le reti che vanno filtrate.
No, tu ricevi un feed BGP 4 contenente dei routing per gli host incriminati.
I loro dati in transito sul router in questo modo finiscono nell'equivalente
IP di /dev/null.
 >In ogni caso (probabilmente mi sfugge qualcosa), come considerazione
 >generale,  penso che utilizzare dei filtraggi BGP contro gli spammers
 >sia estremamente controproducente ed in gran parte anche inutile. In
Io invece sono convinto del contrario: ottengo una lista di spammer da
una persona conosciuta e di ho fiducia, non devo perdere tempo a inserire
a mano gli aggiornamenti e questi mi arrivano praticamente in tempo reale.
 >ottica CIDR, le singole reti non dovrebbero piu' essere conosciute in
 >modo specifico, ma come parti di aggregati piu' grandi. Non credo che
 >qualcuno voglia rendere irraggiungibili grosse parti di Internet per
 >colpa di alcuni spammers nascosti al suo interno, o no? 
Infatti vengono mascherati solo i singoli host o reti. Il vantaggio e`
che si puo` fare in tempo reale, in questo modo si riusciva a stare
dietro ad AGIS che muoveva gli host di cyberpromo proprio per evitare
i blocchi.
Il discorso del CIDR e` valido a livello generale, ma qui si tratta di
distribuire a dei singoli router dei routing piu` specifici (che quindi
hanno la precedenza).
 >raggiungimento della tua rete arrivino a questi "indesiderati" e che
 >sarebbero quindi in grado di mandarti traffico IP (almeno UDP o ICMP) 
Il problema non e` evitare un flood, ma evitare di ricevere della posta,
che per forza di cose deve passare su TCP.
 >Di niente, e' sempre un piacere discutere di argomenti interessanti.
E` anche un piacere vedere un tecnico di ibs scrivere in pubblico,
pensavo che li tenessero chiusi chissa` dove... :-)


le...@windmill.ibn.it
 wrote:
 >Ho gli stessi tuoi dubbi, sia sulla sicurezza, sia sulla disgregazione dei
 >blocchi CIDR che comporta implementare queste policy sul routing piuttosto
 >che su delle ACL.
Non c'e` nessuna disgregazione, le nuove entry alla tavola di routing
rimangono sul tuo router e di li non escono.
 >Oltrettutto la mia prima obiezione e' sul fatto che un filtro basato su ACL
 >e' tutto sommanto piu semplice da implementare a qualsiasi livello di una
Da implementare forse si, ma non certo da gestire nel tempo.
 >Fra l'altro non condivido il fatto che, nonostrante in certi casi si tratti
 >di uno spammer dichiarato, gli si debba negare completamente la
 >connettivita' IP. E' piu che sufficiente in caso di un mail spammer
Personalmente non ho alcun problema di coscienza in materia.
 >ma nulla impedisce allo spammer, magari inca%%ato con te perche' lo hai
 >tagliato via, di farti ad esempio un flood.
Penso che di fronte a un attacco di questo genere qualsiasi provider lo
sconnetterebbe.
 >Lo sapevo che questo ng dopo mesi di silenzio sarebbe prima o poi partito.
 >:))
Colpa mia, avevo scelto it.comp.reti.ip-admin per evitare che si
riempisse di utenti ma a quanto pare sono stato troppo bravo... :-)
Mi raccomando, fate pubblicita` tra i colleghi (anche per il nuovo gruppo
suoi router attualmente in votazione).


le...@windmill.ibn.it
 wrote:
 >Quali sono le obiezioni?
 >Parlo ovviamente di costruire la ACL in maniera automatica a partire da una
 >lista. 
Proprio il fatto che e` difficile trovare una buona lista e ancora piu`
difficile trovarne una che sia in un formato adatto per essere processata
e mandata al router o al MTA.


 
E questa tua sicurezza da dove ti viene? Dal mio indirizzo e-mail, o dal
whois di RIPE? 
O da che altro?
Comunque la "mia" (parlo ad esclusivo titolo personale) assenza dai
newsgroup e' solo dovuta a problemi di tempo... Quando ho cominciato a
lavorare nel mondo IP e Internet riuscivo a navigare e anche a
partecipare a qualche newsgroup di mio interesse (allora di it non c'era
pressoche' nulla); dopo un po', come vedo che accade con tutti in questo
ambiente, non ho piu' avuto tempo di far niente :-( 
A proposito, sono capitato per caso in questo newsgroup, perche' cercavo
delle notizie a  proposito di un gruppo che ho sentito si dovrebbe
formare su cisco. Tu mi sapresti dire  com'e' la stato dell'arte in
proposito e se e' possibile votare? Io sono favorevole alla formazione
di un gruppo che parli di Cisco.
Ciao
Marco


orl...@uli.it
 wrote:
 >propri IP. Questo e' molto facile da fare con sendmail, ma immagino sia
 >possibile farlo anche con altri MTA.
Molto piu` semplice con qmail, che non accetta di fare il relay di default,
gestisce i virtual domain con la massima semplicita` ed e` enormemente piu`
veloce.
Notate che non sono assolutamente un bigotto anti sendmail, l'ho usato con
massima soddisfazione per il backbone uucp di ILS (e comunque siamo sinceri,
sendmail.cf
 ha sempre il suo fascino :-) ), ma sono convinto che quando non
si ha necessita` di usare le regole di riscrittura l'uso di sendmail non
e` giustificato, e` molto meglio preferire qualcosa di piu` leggero
come qmail (no smail, grazie!).
C'e` anche da tenere presente che tra un po' dovrebbe essere pronto
VaporMail di Wietse Venema (anche qui, un nome una garanzia), che dai
benchmark preliminari sembra essere piu` veloce di qmail.
 >Sapete dove si puo' trovare qualche informazione sulle intezioni di
 >Vixie ?
Devi chiedere a lui.
 >P.S. Paul Vixie e' colui che ha scritto il Vixie-Cron, che pochi sanno
Ahem... Forse e` un po' piu` noto per essere il principale sviluppatore
di bind (oltre che per il suo lavoro fatto negli anni 80 presso DEC).
