Newsgroup: it.comp.reti.ip-admin
Titolo: server http

Sto cercando di configurare un piccolo web server domestico. Tramite un
servizio di dns dinamico ho collegato al nome del mio sito l'IP del mio
router, il quale gira alla porta 80 del mio server http le richieste che gli
giungono sulla sua porta 80. Ora vorrei mettere sul server un secondo sito
web...e qui naascono i problemi. Innanzi tutto:
1) come può una macchina con un solo ip  pubblico a mnostrare diversi siti
quando riceve una richesta ben precisa?
2) ossia il mio miniserver, come fa a restituire la pagina web esatta quando
in fondo tutte le URL sono  legate al medesimo ip?
3) ho pensato di includere nella url il nome della cartella di ciascun
utente/sito, ad esempio:
miopc.homeost.it
 è il nome del mio server
miopc.homeost.it/utente1
 è l'url del sito 1 e così via.
E' giusto questo ragionamento?
ma se è giusto, allora le cose come si mettono con i server che offrono
domini primari???
www.andrea.it
 e 
www.giovanni.it
 possono essere due siti che risiedono sul
medesimo server (stesso ip): il dns quindi dovrebbe associare alle due url
il medesimo ip: come fa il server a rispondere con le pagine esatte?
Grazie a chi vorrà chiarirmi le idee

 il medesimo ip: come fa il server a rispondere con le pagine esatte?
yes, nel dns inserisci in CNAME per l l'host virtuale che punta allo
stesso ip e configuri i server web per risposndere ai virtual host.
Cmq non hai detto che server web usi, se usi apache e' molto semplice,
vai sul sito del progetto apache e cerchi documentazione sui virtualhost
CYA
Banana

 vai sul sito del progetto apache e cerchi documentazione sui virtualhost
Sě, ho apache, ma non riesco a far andare il virtualhost. Ho configurato la
sezione "2" prima: ServerAdmin, DocumentRoot, ServerName (=
www.sito1.it
)
ecc. Poi ho configurato la sezione "3" sui virtual host come segue:
<VirtualHost  ipdellamacchina:80>
    ServerAdmin myemail
    DocumentRoot c:/apache g.../../sito2
    ServerName 
www.sito2.it
    ErrorLog logs/www.sito2.it-error_log
    CustomLog logs/www.sito2.it-access_log common
</VirtualHost>
Tuutavia sia richiamando la URL 
www.sito1.it
 che la URL 
www.sito2.it
, mi
viene restituito sempre la pagina index del 
www.sito2.it
 (quello configurato
come host virtuale)
Come posso risolvere il problema?
Grazie

 Come posso risolvere il problema?
# If you want to use name-based virtual hosts you need to define at
# least one IP address (and port number) for them.
#
#NameVirtualHost 
12.34.56.78:80
#NameVirtualHost 12.34.56.78
Non e' che ti sei dimenticato di NameVirtualHost??
Cmq, io metterei tutti e due i siti come virtual host, se non altro per
avere un po' di ordine. Cmq io non sono un "drago" di apache (pero' il
mio funziona :-P)
CYA
Banana

> come host virtuale)
Pardon, mi correggo, se tutte le richieste vengono "girate" al sito2 che
e' in virtualhost, significa che il virtual host funziona. Avevo letto
male, pensavo che tutte le richieste fossero dirottate al sito che NON
e' in virtual host.
IMHO, metti anche l'altro sito il virtual host e sistemi tutto.
Ma come ti ho dett oprima non sono un drago di apache.
/me che si autocorregge
CYA
Banana

 IMHO, metti anche l'altro sito il virtual host e sistemi tutto.
Ok, funziona.
Un'ultima cosa: io ho su una macchina il server http, il server ftp ed il
server telnet. Questa macchina ed altre due (non server) attraverso un hub
sono collegate ad un router/modem adsl.
Io zono alle prime armi e vorrei saperne di più sulle reti e sulla
sicurezza. Una domanda: dove dovrei mettere il firewall?  Su quale macchina?
E il firewall del router è utile?
Grazie

 sicurezza. Una domanda: dove dovrei mettere il firewall?  Su quale macchina?
La cosa migliore sarebbe metterlo tra il router adsl e l'hub, magari
mettendo il server in dmz. Io ti consiglierei una macchina dedicata,
magari con linux o con openbsd; oppure ti prendi un firewall di quelli
gia' fatti tipo i symantec ecc.
Altrimenti puoi configurare un firewall su ogni macchina, se sono linux 
ti puoi fare uno script per iptables, se sono windows esistono molti 
software commerciali atti a tale scopo.
Cmq il firewall "fatto in casa" puo' fare piu' danni che benefici, se
non hai le competenze per farlo.
Ed in piu' se un server che sta su internet e' configurato bene ed e'
costantemente aggiornato con i security update potresti fare anche a
meno del firewall (bhe' se si tratta di windows mi fiderei poco[1]).
Il firewall e' utile anche per i log; mentre i songoli serventi loggano
a livello "applicativo" il firewall logga a livello "pacchetto", quindi
ottieni delle informazioni in piu'; pero' se e' configurato male
potresti ottenere un mare di log che non ti servono e rendono poco
visibili i log piu' "interessanti", o il contrario, pochi log che non
servono ad un tuben!
[1] Soprattutto perche' non mi fido della velocita' di rilascio delle
patch di sicurezza e della loro affidabilita'
CYA
Banana

 mettendo il server in dmz.
Scusa, ma non ho ben capito. DMZ significa esporre il server senza
protezione, ma se il firewall lo metto tra il router e l'hub automaticamnete
proteggo anche il server.
ciao

 magari con linux o con openbsd; oppure ti prendi un firewall di quelli
Innanzi tutto grazie per le preziose indicazioni che mi stai dando :-) !
La mia situazione attuale è precaria, ma non so quanto....lo chiedo quindi a
te!
Il router è configurato per girare le richieste ricevute sulla porta 80 alla
porta 80 del server web e le richieste ricevute sulla 21, sulla 21 del FTP
server.
Il firewall del router/modem è ativato:
Attack Protection: enable
DOS Protection: enable
Max Half open TCP Conn.: 25 (default)
Max ICMP Conn.:  25 (default)
Max Single Host Conn.:  75 (default)
Log Destination: email e trace
IP flter : nessuna regola
Il server (apache su winXP) è protetto dal firewall "Sygate personal
frewall" (autorizzatwe solo le applicazioni necessarie al funzionamentod el
server). Sempre sul server vi è Norton Antivirus. Il firewall logga tutto e
tramite linea seriale i logs vengono inviati ad una macchina/archivio
I due host sono anch'essi protetti ciascuno dal medesimo sistema di firewall
del server.
Mi rendo conto che non sia il massimo della sicurezza, ma quanto insicura è
questa situazione?
Quali rischi  posso correre?
Grazie

 Quali rischi  posso correre?
Dipende da:
- cosa fai girare e come e' configurato 
- quanto attento e tempestivo sei nell'applicare le patch
- se fai girare anche servizi pericolosi e/o inutili.
In linea di massima, non avere iss e' gia' un bene :-)
Cmq se hai dei siti che, per esempio, fanno girare dei cgi, realizzati 
con i piedi e semplicemente exploitabili, non c'e' firewall o antivirus
che tenga. Se lasci in ascolto su internet le porte 445 135 ecc, e non
installi le patch contro alcune famose vulnerabilita', allora la tua
macchina puo' essere ailmente bucata.
E' buona norma:
- Installare solo i servizi che *realmente* servono e non quelli che
  *potrebbero* servire.
- Mantenere il sistema aggiornato.
- Se usi appllicazioni fatte in casa, assicurarti che siano fatte
  secondo l'ottica della sicurezza.
Non si puo' dire o meno se la tua configurazione sia sicura, se non si
conosce a fondo il `design` della tua struttura.
Un consiglio che posso darti (oltre a quelli riportati sopra) e' di
studiare i vari _tipi_ di attacchi[1], per capire la logica che ci sta 
alle spalle, e per capire come proteggerti.
[1] non intendo studiarsi tutti gli attacchi fatti fino ad ora, ma
capire le 'famiglie' di attacchi, per esempio un dos o un shell_exploit.
Quando capisci la dinamica generale di come funzioano capisci anche 
*dove* possono esserci piu' vulnerabilita' e segli come comportarti.
CYA
Banana

 - se fai girare anche servizi pericolosi e/o inutili.
secondo te è utile far eseguire un test dall'esterno? Ho trovato questo
servizio gratuito: 
http://www.houril.com/mailing.htm
 : che ne pensi?

 servizio gratuito: 
http://www.houril.com/mailing.htm
 : che ne pensi?
Non ho mai fatto quel test, e non ho la minima intenzione di farlo.
Cmq di sucuro a qualcosa serve, almeno dovrebbe fornirti l'indicazione
di quali porte sono aperte. Pero' sono cose da prendere sempre un po'
con le pinze. Non so chi sia questa ditta, ma io (che sono cattivo e
perfido) penso sempre che un test fatto da chi *vende* sicurezza, possa
essere di parte (non dico che lo sia, ma non mi fido).
Bisognerebbe avere delle informazioni in piu' su *come* eseguono quel
test.
CMQ non esistono "pacchetti" gia' pronti che rendono il tuo sistema
protetto ed invincibile. Devi ottimizzare il tutto in funzione alle tue
esigenze. Ergo o sai quello che fai e lo fai bene, o provi e speri che
ti vada d culo.
Ti consiglio di partire la san google e, armato di tanta pazienza,
leggere il piu' possibile.
Chiuderei qui il thread perche stiamo sfiorando l'OT cosmico :-)
Banana