Newsgroup: it.comp.reti.ip-admin
Titolo: Aprire porte firewall su richiesta

Ciao a tutti! Avrei bisogno di un consiglio per gestire la seguetne  
situazione: alcuni client (con IP dinamico) devono collegasi a un server  
interno tramite telnet (l'ho sò, non e' per niente sicuro ma il protocollo  
ssh ci dà qualche problema con l'applicativo) utilizzando un'applicativo  
via web.
Praticamente l'utente deve accedere a un sito web, autenticarsi e dopo gli  
si apre una pagina web dalla quale si collega al server.
Volevo implementare un sistema di "sicurezza" che funzionasse + o meno  
così:
Quando l'utente si e' autenticato nella pagina web prima di farlo  
collegare lancio un script (perl, php, cgi) che "prende" il suo ip, si  
collega su una porta del firewall e "passa" l'indirizzo ip in modo che il  
fw natta la porta "telnet" verso il server interno solo all'ip del  
portatile.
Naturalmente il firewall rimarrà in ascolto sulla porta da dove si collega  
il web server solo per l'ip del web server.
Ho guardato un pò in giro e al momento ho trovato solo questo portknocking  
ma purtoppo non fà al caso mio perchè:
1) Non voglio installare ulteriori programmi sui client o dover far  
lanciare agli utenti altri programmi
2) Voglio nattare la porta solo agli indirizzi ip degli utenti che si  
loggano sul sito web
Spero di essere stato chiaro nella spiegazione.
Grazie e Saluti.

 loggano sul sito web
ok
http://www.sshtools.com/showSslExplorer.do
se non vuoi spendere prendi la versione opensource
http://sourceforge.net/projects/sslexplorer/
ciao

> se non vuoi spendere prendi la versione opensource
per la precisione
http://www.sshtools.com/showSslExplorerCommunity.do
ciao

  
ha scritto:

Si, forse ci siamo, ma non e' propio quello che volevo io.
Io cercavo un prg daemon da installare sul fw che rimane in ascolto su una  
determinata porta, e una parte client da installare sul web server (script  
in php se possibile). La parte client "cattura" l'ip dell'utente, si  
collega al demone sul fw il quale lancia dei comandi sul fw.

 sul fw.
troppo complicato, facile avere dei bugs o delle vulnerabilitŕ; con
SSLX invece ti basta pubblicare il server (es. in una DMZ) a questo
punto i tuoi utenti remoti si connetteranno tramite browser al server
SSLX, si autenticheranno e se tutto ok, una volta autenticati avranno
un tunnel "attivo" a questo punto gestire il resto diventa un giochino
da ragazzi
tra l'altro.. tu parlavi di port knocking ecc.. ecc.. mi sembra che tu sia
a caccia di fantasmi; che senso ha usare tutte queste complicazioni
per un protocollo (telnet) che viaggia in CHIARO ? Meglio allora
usare SSLX in questo modo otterrai anche un canale protetto e
criptato; considera che ho usato SSLX per permettere ad una serie
di clients la connessione remota ad un AS/400 senza dover installare
nulla sui clients ed il tutto ha funzionato alla grande
ciao


Ciao.
-- 
Creato con il rivoluzionario client e-mail di Opera:  
http://www.opera.com/mail/

 sue estensioni forse mi risolverebbe il problema.
non hai bisogno di "lanciare" nulla; ti basta impostare SSLX
in modo che una volta che il logon viene completato con
successo attivi una sessione proxy verso il sito che ospita
il tuo applicativo; è più semplice farlo che spiegarlo; credo
che ti convenga provare a mettere in piedi SSLX su di una
macchina di test e valutarlo da solo; del resto la versione
"open" non ti costerà nulla per cui... perchè no :) ?

> Se con SSLX riuscissi a lanciare un applicativo diverso dalle

Il problema e' che la connessione verso il server avviene tra il portatile  
e il server direttamente.
Praticamente l'utente dalla pagine web scarica la configurazione  
dell'applicativo il quale si collega dal portatile al server (interno, non  
web).
Non sò se mi sono spiegato.

 Non sò se mi sono spiegato.
si .. beh.. la cosa è anche più semplice ed è già prevista
da SSLX ripeto; procurati un "muletto" e fai qualche prova ;-)
ed in ogni caso, se apri il sito
http://www.sshtools.com/showSslExplorerCommunity.do
sulla sinistra troverai delle "live demo" in flash; prova a
dare un'occhiata ad alcune demo e.. capirai da solo :-D

  
ha scritto:

Ok, proverò e ti saprò dire.


> Ok, proverò e ti saprò dire.
ok.. mi trovi qui
ciao