Newsgroup: it.comp.reti.ip-admin
Titolo: Nat e Sicurezza

Ciao, mi interessa un vostro parere:
Un router in configurazione nat, con un solo indirizzo pubblico
sull'interfaccia wan e la lan interna con indirizzamento privato che ha
accesso ad internet tramite nat può essere considerata una configurazione
sicura ?
Come un firewall ?
In generale comunque l'accesso ad internet con il nat e quindi il router che
fa da tramite, dal punto di vista della sicurezza dovrebbe essere un'ottima
garanzia, vero?
In fin dei conti si espongono ad internet i servizi che noi vogliamo siano
esposti, e le vulnerabilità non sono quelle delle macchine interne (per
esempio con windows...), ma quelle (eventuali e conosciute) del router.
Ciao

 esempio con windows...), ma quelle (eventuali e conosciute) del router.
ancora NO, come fai a pensare cio' ?
Poniti questo caso : web server su IIS5 non patchato dietro al NAT.
Tu apri la tua bella porta 80 o quel che e' sul firewall e con port mapping
redirigi il tutto sul tuo ip privato del web server.
L'attacker si prende il suo bel kit per disfare IIS5, lo applica e ti disfa
il webserver (che c'entra il tipo di firewall in questo caso? lui manda
comandi per crashare IIS e il fw li inoltra bellamente) e si appropria di
una bella shell CMD sul tuo web server. A questo punto l'hacker e'
felicissimo di essere direttamente all'interno della LAN : non ha nemmeno
fatto la fatica di cercar di muoversi da una DMZ..... :-)
Se poi l'accesso al tuo webserver e' https magari con scambio di
certificati, sul firewall c'e' una ACL che apre l'80 solo ai tuoi friends,
IIS e' patchato e scotchato a dovere :-) ...vabbe'...

 esempio con windows...), ma quelle (eventuali e conosciute) del router.
Ma se non abilito il port forwarding su nessuna delle macchine e lascio che
il router apra in maniera dinamica le porte per ottenere il traffico in
risposta alle richieste della rete interna, come sicurezza non dovrebbe
essere niente male, seppur limitata dall'interno verso l'esterno ed
escludendo eventuali troian.
Per quanto riguarda i servizi consentiti, per esempio il webserver IIS come
dici tu, no c'è scampo neppure sul firewall, se la porta 80 è aperta ed il
server è Unicode bacato...

 l'esterno ed escludendo eventuali troian.
rimane l'aspetto rete contigua e quello source routing. Il router non
"apre le porte" a niente, mantiene solo una tabella di nat, il cui scopo
è far funzionare le macchine nattate, non provvedere alla loro sicurezza.
Cerca nell'archivio di icsv, se ne era già discusso.
Cmq, se non fai filtraggio sul traffico in uscita il divario è scarso, ma
non farlo è suicida, imho...
Ricordiamo, cmq, che al di là dell'accezione comune firewall non è
sinonimo di packet filter...
Byez...
-- 
Emanuele Balla aka Skull
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)

 escludendo eventuali troian.
Si e' discusso nel passato recente delle problematiche di sicurezza in una rete
in cui il router effettua unicamente source nat per "mascherare" la lan e
consentire l'accesso della lan all'internet con uno o piu' ip pubblici a
disposizione. E se ne son viste delle belle... Uno degli esempi e' il source
routing, valido se il punto da cui proviene l'attacco dista pochi hop (e se il
router accetta e "forwarda" pacchetti source route, ovviamente). In poche parole
(poco precisamente, potrei tranquillamente dire fessate), se si conoscono gli
indirizzi privati usati dalla lan, e' possibilissimo specificare la destinazione
finale (l'ip privato) ed i routers che il pacchetto deve attraversare...
bye G.L.
--
La logica non attiene alla verosimiglianza delle ipotesi,
ma alla coerenza delle tesi con le ipotesi.

 ha scritto nel messaggio
news:3E6CCCD8...@tiscalinet.it...

daccordo su tutto, in particolare sul source routing, vorrei pero' fare una
precisazione, secondo me, e ripeto secondo me (IMHO) oggi giorno i pericoli
maggiori derivano dall'interno
(ovvero programmini spyware/troian o altre schifezze del genere visto che in
linea di massima si tende a scaricare e installare un sacco di roba)

 linea di massima si tende a scaricare e installare un sacco di roba)
Concordo...   :-(


 router accetta e "forwarda" pacchetti source route, ovviamente)
viene sempre tirato fuori ma qualcuno si e` preso il disturbo di
testare ad es. qualcuno dei router adsl commerciali + diffusi?

frick wrote:

Gia', e' vero. Implicito che, se usi linux (e suppongo anche gli *nix), devi dirgli
di non accettare pacchetti source-route. In linea generale, e' comunque meglio stare
attenti a questo e altri trucchi...


testare ad es. qualcuno dei router adsl commerciali + diffusi?
Gli zyxel di defaul non filtrano i source route.
Pero' si puo' creare un filtro per bloccarli.
Ciao
-- 
Francesco

 Pero' si puo' creare un filtro per bloccarli.
certo, hanno una voce ip source route=yes|no nel menu` di creazione
dei filtri; avendo a che fare con modelli soho di svariate case, mi
piacerebbe raccogliere dati vista anche la percentuale crescente di
quelli configurabili dall'utente via web o autoconfiguranti, volevo
sapere di eventuali confronti in ottica sicurezza gia` effettuati