Newsgroup: it.comp.reti.cisco
Titolo: DHCP off e porta 67/udp

Ciao a tutti ho un problema dal quale non riesco ad uscirne dassolo
e chiedo un aiuto a tutti Voi.
Nella configurazione del mio router 1720 avevo lasciato per comodita
il servizio DHCP attivo.
Dopo aver letto sia sul newsgroup, sia una serie articoli che lo
sconsigliano ho deciso di togliere dalla conf tale servizio.
Quindi, dopo aver eliminato le righe opportune nella conf ed aver
riavviato il router, effettivamente lo stesso non fornisce più nessun
servizio DHCP.
Ma, quando vado ad eseguire un portscanning dall'esterno
(
www.speedguide.net
 ) mi avvisa che ho aperto la porta 67/udp
(servizio DHCP) nonostante abbia tolto completamente tale servizio?
In seguito ho cercato invano di mascherare sta benedetta porta
dall'esterno senza risultato.
Come diavolo faccio a mascherare tale servizio dall'esterno ?
Su cosa devo agire per sanare il mio problemino ?
Un grosso salutone a tutti.
Bye Vcam (Fabio)
Vi allego la configurazione attuale:
___________________________________
version 12.2
no service pad
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
hostname 
CAMOMILLA.NET
!
enable secret PASWWORD
!
username USERNAME password PASSWORD
memory-size iomem 25
ip subnet-zero
!
!
ip domain-name 
tin.it
ip name-server 212.216.112.112
ip name-server 212.216.172.62
!
!
!
!
interface ATM0
 no ip address
 no ip mroute-cache
 atm vc-per-vp 256
 no atm ilmi-keepalive
 pvc 8/35
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
 dsl operating-mode auto
 no fair-queue
 hold-queue 224 in
!
interface FastEthernet0
 ip address 10.10.10.xxx 255.255.255.0
 ip nat inside
 no ip mroute-cache
 speed auto
 no cdp enable
 hold-queue 4096 in
 hold-queue 4096 out
!
interface Dialer0
 ip address negotiated
 ip nat outside
 encapsulation ppp
 dialer pool 1
 dialer-group 1
 no cdp enable
 ppp authentication chap pap callin
 ppp chap hostname USERNAME
 ppp chap password PASSWORD
 ppp pap sent-username USERNAME password PASSWORD
 hold-queue 4096 in
 hold-queue 4096 out
!
ip nat inside source list 1 interface Dialer0 overload
ip nat inside source static udp 10.10.10.xxx 6257 interface Dialer0 6257
ip nat inside source static tcp 10.10.10.xxx 6699 interface Dialer0 6699
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer0
no ip http server
ip pim bidir-enable
!
access-list 1 permit 10.10.10.xxx 0.0.0.255
access-list 1 deny   any log
access-list 90 permit 10.10.10.xxx
access-list 90 deny   any log
no cdp run
!
!
line con 0
 exec-timeout 0 0
line aux 0
line vty 0 4
 access-class 90 in
 login local
!
end

  ip address negotiated
Non ti dice niente ? 
Secondo te l'interfaccia Atm come fa ad ottenere l'indirizzo IP ?
Tramite quale porta ?
Bye
Herman
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 Herman
Grazie Herman della risposta.
Devo essere sincero, è stata una doccia fredda!.
Ho cercato in tutti i punti tralasciando il principale (il contatto
con l'esterno lo effettua il Dialer0 e non l'ATM o chicchessia).
Quindi, essendo il mio contratto con IP dinamico, non posso
che lasciarlo cosi, sigh!.
Grazie ancora Herman e un saluto a tutti.
Bye Vcam (Fabio)

 che lasciarlo cosi, sigh!.
Ciao,
non vorrei dire stupidaggini ma:
1) l'IP alla dialer 0 viene fornito durante la negoziziazione via LCP (link
control protocol) che e' parte integrante di PPP prima che il data link layer
vada su
2) basta una piccola access list come segue:
access-list 101 deny udp any any eq 67
access-list 101 permit ip any any
e poi la si applica in interface configuration mode per l'interfaccia dialer 0
ip access-group 101 in
Dovrebbe diventare stealth. Facci poi sapere se funziona.
-- 
   __|__  Fabio Sardone|  
____(0)_____           | 
http://www.geocities.com/f_sardone/pictures.html
  O  o  O              | Change dot in . and remove .invalid

 vada su
se la struttura e' simile a quella dell'isdn (LCP-Auth-NCP), l'indirizzo 
viene assegnato dopo l'NCP
ciao
-- 
..se una cosa del genere la fa un singolo cittadino va dritto di filato
in questura con l'accusa di interruzione di pubblico servizio, se lo fa
un gruppo di "disobbedienti", "pacifisti", "anarchici" allora sembra più
politically correct...

Ok confermo che quanto suggerito da Fabio Sardone
funziona perfettamente; infatti, dopo aver applicato
l'access-list proposta, la porta 67 č vista come "filtered".
Una sola perplessita:
L'ios quando gli ho copiato nella conf:
    access-list 101 deny   udp any any eq 67 log
l'ha trasformato in:
    access-list 101 deny   udp any any eq bootps log.
Come ringraziarvi? studiando di piů?
Un vero grazie a tutti.
Bye Vcam (Fabio)

     access-list 101 deny   udp any any eq bootps log.
porta 67 bootps
porta 23 telnet
porta 80 http
etc...
http://www.iana.org/assignments/port-numbers
