Newsgroup: it.comp.macintosh
Titolo: FAQ ipfw

Ho seguito la faq sulla configurazione del firewall e mi pare che manchi
/System/ davanti a ogni comando mi sbaglio? A me il terminale non parte
da /System/ dunque all'inizio non capivo perchè non accettasse i
comandi. Cmq per riallacciarmi a fastweb ho tolto # solo a dhcp, ma cosa
devo attivare per potermi connettere al pc collegato all'hag?
Saluti
-- 
_akeyo
"The Internet is a terrific way to waste time 
that would otherwise be difficult to waste" - C. Stoll

 devo attivare per potermi connettere al pc collegato all'hag?
Allora, in realtà per collegarti al PC non dovresti aver bisogno di
aprire alcuna porta specifica sul Mac, perché il traffico in uscita non
è filtrato. Dovresti riuscirci premendo mela+k nel Finder e poi
inserendo smb://IP_del_PC (guarda sempre su faqintosh, c'è una faq
proprio sulla sintassi corretta da usare per samba). Se invece vuoi
anche che il PC ti compaia tra le risorse di rete, devi aprire le porte
cui i PC indirizzano i pacchetti con cui annunciano i propri servizi.
-- 
Ve lo meritate Gil Amelio!

 cui i PC indirizzano i pacchetti con cui annunciano i propri servizi.
Ancora meglio: fai prima ad autorizzare tutto il traffico proveniente
dalla tua rete casalinga, così sistemi in un colpo il DHCP e la
condivisione. Considera che FastWeb (almeno nel mio caso con la DSL, ho
letto che per chi ha la fibra è un po' diverso) ti riserva 4 IP: uno è
usato dall'HAG (che è anche il server DHCP), gli altri tre li puoi usare
sui computer che hai a casa. Ti fai una regola che permette qualsiasi
traffico da applicare a questi 4 IP.
Ti posto come esempio la mia situazione.
Nel mio caso
x.y.z.96 è l'HAG
x.y.z.97 è la VideoStation
x.y.z.98 è l'iBook
x.y.z.99 è l'iMac
Con questa regola
allow ip from x.y.z.96/30 to any in
i 4 dispositivi si possono scambiare qualsiasi pacchetto senza problemi.


 cui i PC indirizzano i pacchetti con cui annunciano i propri servizi.
Io questo l'ho sempre fatto, ma da quando ho impostato il firewall non
ci riesco più
copincollo ipfw.conf è esattamente quello che stà sulle FAQ non l'ho
toccato eccetto per il dhcp:
# Permettere il traffico locale
add 900 allow ip from any to any via lo*
#Vietare il traffico non locale che cerca di sfruttare il localhost
add 901 deny log ip from 
127.0.0.0/8
 to any
add 902 deny log ip from any to 
127.0.0.0/8
#Vietare il traffico in uscita verso un indirizzo specifico
#add 950 deny log ip from any to 10.0.0.1 out
## Permettere il traffico in uscita
add 1001 allow ip from any to any out
# Permettere il traffico di risposta a connessioni iniziate da noi
add 1002 allow tcp from any to any established
add 1003 allow ip from any to any frag
# Permettere il traffico ICMP
add 1004 allow icmp from any to any icmptypes 0,3,8,11,12,14,16,18 in
# Permettere la sincronizzazione Network Time
#add 3001 allow udp from any 123 to any 1024-65535 in
# Permettere il DNS
add 3003 allow udp from any 53 to any 1024-65535 in
# Permettere il DNS multicast
#add 3002 allow udp from any 5353 to 
224.0.0.0/24
 5353 in
# Permettere il DHCP
add 3000 allow udp from any 67 to any 68 in
# Se sul vostro computer e' attivo il server WEB
#add 3999 allow tcp from any to any 80 in
# Se sul vostro computer e' attivo il server FTP...
#add 4000 allow tcp from any to any 21 in
#...e se volete che possa ricevere connessioni in modalità passive
#add 4001 allow tcp from any to any 49152-65535 in
# Se attiva la Condivisione Documenti
#add 4002 allow tcp from any to any 427,548 in
# Se è attiva la Condivisione Documenti Windows
#add 4003 allow tcp from any to any 139 in
# Se è attivo il login remoto
#add 4004 allow tcp from any to any 22 in
# Se è attiva la Condivisione Stampante
#add 4005 allow tcp from any to any 631 in
# Se sono attivi gli Apple Event remoti
##add 4006 allow tcp from any to any 3031 in
# Per connettersi ad un server FTP in modalità active
#add 4010 allow tcp from any 20 to any 1024-65535 in
# Permettere connessioni OpenNap in entrata
#add 5010 allow tcp from any to any 6699 in
# Permettere connessioni Gnutella in entrata
#add 5011 allow tcp from any to any 6346 in
## Vietare tutto il resto
add 53005 deny log ip from any to any
Grazie ancora e complimenti per la celerità! :)


 add 3000 allow udp from any 67 to any 68 in
Se hai la ADSL di FastWeb sostituiscila con
# Permettere il traffico casalingo
add 3000 allow ip from TUO_IP/30 to any in
e dovresti stare a posto. Occhio che /30 è la maschera di sottorete, non
il numero di porta, e va scritto attaccato all'IP, senza spazi.


 il numero di porta, e va scritto attaccato all'IP, senza spazi.
L'ho fatto e tutto č tornato apposto. In questo modo sono comunque
protetto rispetto a prima? Cioč, effettivamente, cosa avrei chiuso che
prima era aperto?
Ti ringrazio per l'aiuto mi hai risolto tutto in un attimo, ma come si
capiscono stč cose? Io ho provato a leggere il man di ipfw ma non ci
capisco molto... sono scemo? :P


 capisco molto... sono scemo? :P
Spero per te di no... :-)
Diciamo che l'aver studiato le access list dei router Cisco aiuta.


 Diciamo che l'aver studiato le access list dei router Cisco aiuta.
Ed è possibile dilettarcisi, o è roba da gente che ci lavora su e basta?
Mi piacerebbe riuscire a capirne di più, a luglio finisco la sessione di
esami e mi butto a capofitto nei testi consigliati sul ng. E speriamo
bene... per ora penso alla scienza politica e alla comunicazione
pubblica, che è meglio :)


Non avevo considerato un'altra cosettina.. ora che torno a casa mia, con
Alice, devo aggiungere qualche stringa in ipfw.config? Grazie ancora per
l'aiuto e scusa l'ignoranza ;P


 pubblica, che č meglio :)
In bocca al lupo!


 nelle access list le regole non sono numerate
Ho scoperto ora che, dalla versione 12.2(14)S dell'IOS, non č piů cosě.


 Alice, devo aggiungere qualche stringa in ipfw.config?
Mah, innanzitutto puoi eliminare (mettendoci # davanti, non
cancellandola proprio) la regola per permettere il traffico della rete
domestica FastWeb. Poi non credo che con Alice l'IP ti venga dato col
DHCP, quindi non dovresti fare nulla. Comunque, qualsiasi problema
avessi, dai una guardata al log e vedi se c'č qualche pacchetto che č
stato filtrato, cosě puoi capire se hai bisogno di aprire qualche porta.


 domestica FastWeb. 
e devo compiere l'operazione manualmente ogni volta?


 In bocca al lupo!
Crepi!!! (...il lupo)


 e devo compiere l'operazione manualmente ogni volta?
In alternativa puoi crearti due file di configurazione. Quello che vuoi
sia attivo deve avere il nome ipfw.conf, quello che in quel momento non
vuoi usare lo rinomini in qualche modo, magari ipfw.conf2. Poi quando
vuoi passare all'altra configurazione rinomini prima ipfw.conf (ad
esempio in ipfw.conf1) e poi cambi ipfw.conf2 in ipfw.conf. Comunque
sempre a mano lo devi fare.


 Con la password dell'amministratore win?
Con ID e password di un utente del sistema.


 invece è l'HAG.
si, in effetti è così, solo che in preferenze-condivisione sotto router
c'è *.*.*.1 , ma il router nel caso non è l'hag?


 il router nel caso non è l'hag?
No, sono due cose diverse. Tra l'altro al tuo stesso router c'è
attaccata molta altra gente.


 attaccata molta altra gente.
ah, ok. Quindi non è il router, nel senso dell'aggeggino che "dispensa"
indirizzi che uno ha a casa? Mi ricordo, per esempio, che quando
configurai la condivisione della connessione del pc di casa (col manta
usb, sigh!) mi fecero settare (mi sa che anche allora fosti tu a darmi
la dritta) come router l'indirizzo ip del pc. In quel caso è il modem
che "fa da router" virtualmente? Non ho mai ben capito quella cosa...
Eh, mi sa che st'estate faccio una full-immersion nelle tecnlogie di
rete, sto un tantino confuso (ma felice, btw...)
saluti


 che "fa da router" virtualmente?
Anche qui ti confonde il fatto che spesso i router incorporano un modem
nel loro stesso scatolotto, ma router e modem sono due cose
completamente diverse e nessuno dei due può sostituire l'altro.
Nel tuo caso era il PC che faceva da router nei confronti del Mac.
