Newsgroup: it.comp.reti.ip-admin
Titolo: Traffico HDSL

Salve a tutti,
nella mia azienda ho questa situazione:
FIREWALL <-- ROUTER <-- WEB HDSL
Se il firewall respinge i vari tentavi di attacco/intrusione viene 
comunque generato traffico sull'HDSL?
Nel caso la risposta alla domanda precedente è si, se configurassi sul 
router alla perfezione il firewall interno cambierebbe qualcosa??....Grazie

 router alla perfezione il firewall interno cambierebbe qualcosa??....Grazie
Certamente si'. Pero' c'e' da dire che i firewall incorporati nei router
non hanno in genere le capacita' di un vero firewall dedicato, e quindi
qualche limite probabilmente lo trovi.
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam letto al contrario, e cambia nazione.
"E' assolutamente evidente che l'arte del cinema si ispira
alla vita, mentre la vita si ispira alla TV" - Woody Allen

qualche limite probabilmente lo trovi.
credo lui intenda dal punto di vista del traffico (hdsl a traffico
???) e quindi non cambia nulla, in quanto ormai il traffico è stato
fatto.
che l'attacco venga respinto/ignorato dal router o dal firewall, non
cambia nulla (dal punto di vista del traffico).
ciao

 qualche limite probabilmente lo trovi.
Intendevo dire cambierebbe qualcosa nel generare traffico?
Cioè comunque verrebbe generato traffico, giusto?

 Cioè comunque verrebbe generato traffico, giusto?
Si': quel che volevo dire e' che bisogna evitare nei limiti del
possibile che si generi *ulteriore* traffico in risposta al
traffico mondezza che viene ricevuto (che comunque passa, e si
paga...).


 cambia nulla (dal punto di vista del traffico).
Non pensi che un DROP del pacchetto ricevuto sia un po' differente
da un REJECT (che genera ulteriore traffico icmp o tcp oltre a quanto
ricevuto)? :-)


ricevuto)? :-)
ovvio che cambia, ma che sia il firewall, o il router a bloccare (che
sono in succesione) non credo cambi una virgola, o sbaglio???

 sono in succesione) non credo cambi una virgola, o sbaglio???
Dipende dal firewall implementato nel router.
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam al contrario, e cambia nazione


Desmond ha scritto:
Non me ne volere, ma sarebbe meglio che non postassi lo stesso
quesito per mezza gerarchia it.*. Si chiama multiposting, e su
usenet e' assai poco gradito. Meglio un crosspost su *pochi* gruppi,
a patto che siano *pertinenti*, e a patto che il post sia dotato di
follow-up verso il gruppo piu' pertinente, in modo che il thread si
svolga su un'unico newsgroup.
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam al contrario, e cambia nazione


Dipende dal firewall implementato nel router.
spiega, spiega

 router alla perfezione il firewall interno cambierebbe qualcosa??....Grazie
Secondo me il problema non lo risolvi con alcun tipo di firewall presso 
te, in quanto il conteggio del traffico generato viene fatto sulla 
Punto-Punto fra il tuo router e il gateway Telecom, quindi il firewall 
andrebbe messo dal lato Telecom per evitare che i pacchetti arrivino al 
tuo router.
IMHO le HDSL a consumo sono una gran fregatura...fino a 10 anni fa 
potevano anche andar bene, in quanto non c'erano tutti questi problemi 
di intrusioni informatiche, tutti i comuni mortali avevano il modem a 
56k, quindi anche in caso di worm che fanno scan sulla rete ip, il 
traffico generato per forza di cose era ridotto, ora con le ADSL, siamo 
continuamente bombardati a velocità assurde e con spreco di traffico e 
kb con dei port scanning...

 spiega, spiega
L'ho gia' spiegato. Forse non si e' capito che e' ovvio che il
traffico "offensivo" "entrante" e' comunque inevitabilmente pagato,
dico solo che bisogna evitare il piu' possibile di generarne altro "per
reazione" (traffico altrettanto pagato). Se anche cosi' non si capisce,
non so veramente che altro fare...


non so veramente che altro fare...
Ciao scusa, ma mi sa che ci siamo persi.
riepilogo...
il problema era :
ho un'hdsl collegata a un router, collegato al firewall.
problema 1)
se il firewall respinge attacchi, ecc pago comuqnue il traffico fatto?
e qui siamo daccordo che comunque il traffico è stato generato, e
quindi lo si paga.
problema 2)
se abilito/configuro il firewall del router, cambia qualcosa?? 
io intendo: se abilito il firewall del router, faccio lo stesso
traffico ??
secondo me la risposta è si.
in quanto il router modifica solo l'intestazione del pacchetto dati e
lo invia al firewall che lo trattera in modo opportuno.
quindi che il pacchetto dati venga bloccato dal firewall dopo il
router, o dal router/firewall_tuttoinuno, secondo me non cambia nulla.
do per scontato che i firewall sono equivalenti, altrimenti la cosa si
complica e non poco.
sbaglio qualcosa ??
ciao, grazie.

 sbaglio qualcosa ??
Nulla.
Evidentemente mi sono spiegato male io, oppure c'e' stata nella
mia esposizione qualche ambiguita' che ha causato un fraintendimento.
Nella mia prima risposta a Desmond e' comunque evidente che la mia
prima frase e': "Si' comunque." (cioe' che i pacchetti vengono comunque
ricevuti e "contabilizzati" nel traffico, firewall o non firewall).
L'unica cosa che ho aggiunto, riguardo la seconda domanda (a cui
rispondo in sostanza con un "ni'") e' che ci sono adeguate politiche per
far si' che la "reazione" dell'apparato, (che sia il router con il suo
firewall, oppure un firewall dedicato) non generi, nei limiti del
possibile (perche' dipende da molti fattori), _ulteriore_ (e sottolineo,
*ulteriore*, perche' la monnezza che arriva sono *in ogni caso* gia'
soldi persi, lo ripeto per l'ennesima volta) traffico in uscita oltre a
quello ricevuto.
Se il firewall, invece di ignorare semplicemente il pacchetto "monnezza"
(drop), risponde ad esempio con un "icmp port-unreachable", oppure con
un tcp-reset (reject), immagina gli effetti ancor piu' deleteri di un
flood...
Ancora, metti il caso di un server in dmz in cui c'e' il problema di
ricezione frequente di DoS: un firewall sofisticato consente di limitare
la frequenza di nuove connessioni (ovvero dei pacchetti SYN entranti
diretti su quella precisa destinazione e servizio).
Qualche altra volta un reject esplicito puo' invece essere utile, per
esempio le richieste entranti o uscenti su un servizio ident non
esistente, che causano dei ritardi in attesa del timeout di altri
servizi locali o remoti che ne richiedono l'uso.


 esistente, che causano dei ritardi in attesa del timeout di altri
Sostituire "di altri" con "ad altri".


 arrivino al tuo router.
Pero', non so adesso e non so in tutte le hdsl, il traffico lo
misuravano interrogando (mrtg?) il router in comodato. So per certo (ho
visto le fatture) che su hdsl a traffico (usate e abusate...), in cui
il router in comodato era stato dal principio sostituito con un altro,
arrivavano fatture con il solo canone fisso...


 
Boh a sto punto non saprei, io ti posso solo dire che nel lontano anno 
2000 in ditta avevamo una HDSL a consumo, mantenuta attiva fino al 2006 
poi sostituita con una ADSL per via dei costi e del traffico.
Avendo avuto dei problemi con il CISCO 2600 in quanto la Telecom aveva 
dei tempi biblici a impostare delle route statiche, avevo deciso di 
resettarlo con la procedura di password recovery e riprogrammarmelo a 
mio piacimento, e gestirmi le varie route statiche quando volevo senza 
dover interpellare tutte le volte il call center.
Fatto sta che poi ho bloccato l'amministrazione remota del router e 
cambiato password, così telecom non poteva leggere il valore di mrtg, 
per quei mesi di intenso traffico che abbiamo superato i 2gb da 
contratto è sempre arrivato da pagare il traffico in esubero, quindi da 
cio deduco che la misura venga fatta direttamente sulla punto-punto.

servizi locali o remoti che ne richiedono l'uso.
si, ma in genere, in questo caso si tratta di errate configurazioni.
il problema è distinguere tra i vari casi. 
ciao

arrivavano fatture con il solo canone fisso...
ni
un mio (ex purtroppo) cliente aveva fatto un contratto hdsl nel 98 e
nel 99 ha sostituito i router con altri per collegare anche le linee
telefoniche, allarmi, ecc, per qualche mese le fatture sono arrivate
parziali, poi č arrivato il conguaglio e poi le fatture sono tornate
normali, comprensive del traffico.
ciao

 il problema è distinguere tra i vari casi. 
Ok, ma non si possono configurare identd propri o altrui, specie se...
assenti. ;-) Inoltre, cosa ti fa pensare che io voglia far sapere al
resto del mondo dei miei processi e relativi proprietari? :-)


 normali, comprensive del traffico.
Mi riferivo anch'io a vecchie HDSL di 7/8 e piu' anni fa. Credo sia
possibile che la misurazione del traffico fosse fino a un certo
periodo effettuata via mrtg, e poi sia stata gradatamante spostata "a
monte" per tutte le HDSL. Quien Sabe? :-)


monte" per tutte le HDSL
mi sa di si...
ricordo che all'epoca, un tecnico telecom usci per verificare i
router, e quando vide che non erano più quelli loro in comodato,
s'incavolo non poco, secondo lui doveva essere ripristinato il loro
router. 
poi visto l'ambiente (25 dolci fanciulle, ma toste) si arrese e se ne
ando.
parlando poi con il tecnico che aveva fatto l'installazione degli
altri apparati, mi disse che era prassi telecom, che succedeva
puntualmente da tutti i loro clienti ...
ciao

resto del mondo dei miei processi e relativi proprietari? :-)
bohh, magari vuoi essere gentile ;)) non si puo mica sempre sbattere
la porta in faccia a tutti ;))
ciao

 normali, comprensive del traffico.
Non ho capito cosa intendi mi potete dare una risposta chiara per favore 
al mio post originale?


wrote:

le risposte ti sono state date, sia in formato diretto (vedi la mia in
it.comp.reti.locali), sia spiegando anche le motivazioni (vedi questo
thread).
comunque ripeto:
SI, il traffico anche se rifiutato, bloccato, o altro, lo paghi lo
stesso.
NO, non cambia nulla se configuri il fw del router.

 al mio post originale?
Lascia perdere le nostre eventuali elucubrazioni: in sintesi, il
traffico t'arriva comunque e lo paghi, firewall o non firewall.
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam letto al contrario, e cambia nazione.


 ok, ora sei stato molto chiaro, o almeno ora l'ho capito ;)
Oppure, "lack of features", ovvero un firewall che non e' degno
del suo nome.
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
Per rispondere, togli nospam letto al contrario, e cambia nazione.


 traffico t'arriva comunque e lo paghi, firewall o non firewall.
Grazie