Newsgroup: it.comp.macintosh
Titolo: Configurazione ottimale firewall

 in maniera standard (cioè
non modificando niente rispetto al caso riportato sulla faq). Ho
proceduto in seguito ad un controllo dando il comando su terminale <sudo
ipfw list> ed ho ottenuto questa riposta: <65535 allow ip from any to
any>. Volevo sapere se la riposta è esatta, insomma se ho fatto le cose
per bene. Inoltre mi piacerebbe sapere se ho necessità di variare questa
configurazione standard, ma di porte non capisco veramente nulla, ma non
devo condividere risorse, ho solo un pb con connesso ad internet con
airport express, senza stampanti o altro. Se volessi approfondire
l'argomento, sapreste indicarmi qualcosa?Le faq correlate le ho già
lette ma non ho capito un granchè. Ringrazio chi volesse darmi una mano.
-- 

 lette ma non ho capito un granchè. Ringrazio chi volesse darmi una mano.
Allora, per prima cosa il firewall in quella maniera è configurato per
filtrare solo le sessioni aperte dall'esterno; questo vuol dire che se
sei tu che ti connetti verso l'esterno (ad esempio quando vai su un sito
Web), i pacchetti viaggiano senza problemi. Questo in virtù delle
regole:
add 1001 allow ip from any to any out
(che fa passare qualsiasi pacchetto che va dalla tua macchina verso
l'esterno)
add 1002 allow tcp from any to any established
(che fa passare tutti i pacchetti TCP provenienti dall'esterno, ma su
sessioni aperte da te in precedenza: non quindi pacchetti provenienti
dall'esterno che cercano di aprire una nuova sessione verso la tua
macchina).
Se hai dei servizi che vuoi rendere accessibili all'esterno, devi
consentire il passaggio dei pacchetti verso la porta specifica. Per
farlo basta aggiungere la regola opportuna al file ipfw.conf. La
struttura è semplicissima, ad esempio:
add 4005 allow tcp from any to any 631 in
per permettere che altri accedano alle tue stampanti condivise. 
In particolare, 4005 è il numero progressivo della regola. La cosa
fondamentale da tenere a mente è che le regole vengono applicate da
quella a numero più basso a quella a numero più alto, tenendo conto però
che non appena il firewall trova una regola appropriata al pacchetto
analizzato, applica quella e si ferma. Ad esempio se tu avessi una
regola
add 4004 deny ip from any to any in
non riusciresti a condividere la stampante, perché la 4004 renderebbe
inefficace la 4005. 
tcp è il particolare protocollo che vuoi filtrare. Se non vuoi
specificare un protocollo specifico metti ip, altrimenti oltre a tcp
puoi specificare udp, icmp o uno qualsiasi di quelli che trovi dentro
/etc/protocols (nella regola puoi mettere anche il numero del
protocollo, anziché il nome: ad esempio 6 sta per TCP).
Dopo from metti l'IP di provenienza: puoi mettere un indirizzo singolo,
un intervallo di indirizzi (ma devi sapere come funzionano le subnet
mask) oppure any che sta per qualsiasi indirizzo.
Dopo l'indirizzo puoi mettere il numero di porta di provenienza (nella
regola per la condivisione stampante non c'è, perché non ci interessa
specificare una porta di provenienza).
Dopo to metti l'IP di destinazione (vale quanto detto sopra).
Dopo questo secondo IP puoi mettere la porta di destinazione (631
nell'esempio, perché è il numero della porta su cui il server della
condivisione stampante si aspetta di ricevere i pacchetti).
E poi all'ultimo puoi specificare se la regola vale solo per i pacchetti
in ingresso (metti in), oppure per quelli in uscita (out): se non metti
nulla vale per tutti e due.

 lette ma non ho capito un granchè. Ringrazio chi volesse darmi una mano.
Allora, per prima cosa il firewall in quella maniera è configurato per
filtrare solo le sessioni aperte dall'esterno; questo vuol dire che se
sei tu che ti connetti verso l'esterno (ad esempio quando vai su un sito
Web), i pacchetti viaggiano senza problemi. Questo in virtù delle
regole:
add 1001 allow ip from any to any out
(che fa passare qualsiasi pacchetto che va dalla tua macchina verso
l'esterno)
add 1002 allow tcp from any to any established
(che fa passare tutti i pacchetti TCP provenienti dall'esterno, ma su
sessioni aperte da te in precedenza: non quindi pacchetti provenienti
dall'esterno che cercano di aprire una sessaione verso la tua macchina).


 add 4004 deny ip from any to any in
Sei stato molto chiaro, ti ringrazio. Forse bisognerebbe integrare la
faq con queste spiegazioni.
--