Newsgroup: it.comp.reti.ip-admin
Titolo: Lan aziendale e sicurezza di un router ADSL

Salve,
dovremmo collegare una decina di postazioni per gli impiegati (già in lan
tra di loro) ad una linea ADSL.
Anziché preparare un PC con linux per fare da NAT (e installare su di esso
il pppoe) avevamo pensato all'alternativa economica e veloce di acquistare
un router adsl zyxel prestige serie 600, che tra l'altro sto usando già
nella lan di casa ed è banale da configurare. Il router farebbe da NAT e
verrebbe impostato il SUA (il PAT, che la zyxel chiama SUA) su un indirizzo
ip della nostra rete che non appartiene ad alcun PC, esempio 192.168.1.200
in modo che tutte le richieste in entrata vengano dirottate su una macchina
che non esiste (questo perché se si disabilitasse il SUA, il router
risponderebbe ai telnet provenienti dall'esterno, aaaargh!). Inoltre
verrebbero impostate sullo stesso zyxel delle policy che impedirebbero
l'uscita di tutte le richieste effettuate verso porte diverse dalla
23,25,106,110,80 (scusate se mi sono dimenticato qualche servizio) per
evitare l'uso di programmi tipo irc, C6, winmx ecc (vabbeh, uno potrebbe
farli passere da una porta aperta, ma quelli che lavoreranno a tali
postazioni  non sono cosi' bravi)
Poi magari si installerà nella lan un server linux con solo il servizio di
sendmail ad uso server smtp per evitare che quando uno deve inviare un email
debba inviarla al server smtp del provider che ci da' l'adsl con notevoli
rallentamenti, ma questo è un altro paio di maniche.
Tornando al discorso adsl condivisa, mi domando quali rischi ci possano
essere per eventuali attacchi provenienti dall'esterno... voglio dire, il
router adsl risponde picche a tutte le richieste su tutte le porte perche'
le gira su un ip che non esiste. L'unico rischio sarebbe un trojan
installato su un pc di un impiegato che invia dati dall'interno verso
l'esterno, su una delle porte lasciate aperte per far funzionare i servizi.
Dico bene o no? Perche' dovrei mettere un firewall se già dico al router di
bloccare tutto quello che viene da fuori e inoltre sullo stesso posso
impostare dei filtri per le connessioni dall'interno verso l'esterno?
Grazie in anticipo per la risposta

 in lan tra di loro) ad una linea ADSL....
PLONKATI PER Cross Posting
-- 
Dmitry - Tesi e antitesi contro la globarizzazione informatica -
PGP FP: B61A F1FA 9B99 A3BD 5D2B 6D99 8D3A 5C92 3525 3509
______________________________________________________________________________
Posted Via Binaries.net = SPEED+RETENTION+COMPLETION = 
http://www.binaries.net

 PLONKATI PER Cross Posting
macché cross posting, il post lo ho fatto SEPARATAMENTE su 2 ng
non c'è alcun cross post

 
Vabè vi concedo ancora una possibilità :))
ciao


 l'esterno? Grazie in anticipo per la risposta
in linea di principio hai ragione, ma come sempre dipende dal livello di 
sicurezza che vuoi raggiungere: non mi risulta che il router Zyxel abbia 
rimedi contro il SYN-flood, per esempio.
Supporta l'ip spoofing?
Blocca l'ip e avverte in caso di port-scanning?
A livello di predizione dei pacchetti ip come siamo messi? quanto è 
randomico?
Come gestisci la black list degli ip da non rispondere?
Inoltre nelle versioni di Zyxel e relativo menù SUA che ho visto, ho notato 
che puoi avere un massimo di 6 regole di filtraggio: ti saranno sufficienti?
In effetti hai solo un pseudo-firewall di tipo ip-filtering, senza la 
gestione dello stato della connessione, senza la DMZ, senza un sistema di 
verifica di integrità del sistema.
Ti servirà comunque un syslogd server dietro per monitorare/registrare i 
tentativi di accesso.
In ogni caso le precauzioni dei settaggi che tu dici alzano ovviamente il 
livello di sicurezza rispetto a quello di default, purtroppo con solo il 
router non hai molti strumenti di diagnostica per capire se la rete è sotto 
attacco oppure è già stata bucata (chi ti bucasse non ti verrebbe certo ad 
avvertire, te ne accorgi solo quando sarà troppo tardi, quando il 
concorrente ha per esempio in anteprima il vostro listino prezzi ;)
E' solo una questione di rapporto budget/livello sicurezza
CIAO!
CYN