Newsgroup: it.comp.reti.cisco
Titolo: firewall

Cisco 827
Volevo mettere su un piccolo firewall.
Volevo iniziare cosě:
access-list 100 deny tcp any any
access-list 100 deny udp any any
access-list 100 deny icmp any any
Che ne pensate?
E' troppo un casino partire cosě e poi sbloccare le porte che non si 
vogliono bloccare?
Ad esempio aggiungendo:
access-list 100 permit tcp any any eq www
access-list 100 permit tcp any any eq 443
access-list 100 permit tcp any any eq smtp
access-list 100 permit tcp any any eq pop3
access-list 100 permit tcp any any eq domain
access-list 100 permit tcp any any eq ftp-data
access-list 100 permit tcp any any eq news
attendo commenti.
grazie

 access-list 100 deny icmp any any
ICMP fa parte di TCP/IP. Serve.
Quella linea e' troppo drastica e crea malfunzioni non 
rilevabili perche l'ICMP serve appunto ad inviare i messaggi
di controllo del funzionamento di TCP/IP.
Perche' bloccare tutto ICMP e non solo echo request/echo reply?
Oppure cio' che ti da fastidio?
-- 
   __|__  Fabio Sardone|  
____(0)_____           | 
http://www.geocities.com/f_sardone/pictures.html
  O  o  O              | Change dot in . and remove .invalid

 Oppure cio' che ti da fastidio?
a parte il discorso icmp il resto poteva andare (come idea?)
se io faccio così:
da internet verso rete locale:
-->chiudo tutte le porte tcp e udp
*blocco tutti gli indirizzi locali
*blocco tutte le comunicazioni che non sono risposte
*blocco tutti i frammenti
*apro solo le porte che mi interessano (web pop smtp dns ftp, eventuali nat 
per p2p e simili, ecc)
-->da locale  verso internet:
*blocco tutti gli ip
*blocco tutte le porte tcp udp
*blocco tutti i frammenti
*apro agli ip locali
*le porte che mi interessano (come sopra)
grazie per il consiglio

 grazie
Prego
Per iniziare ti consiglio vivamente di guardare anche:
http://www.nsa.gov/snac/routers/cisco_exec_sum.pdf
http://www.dslreports.com/faq/7766
-- 
Akira

 interrotta.
ma allora non potrei scriverle in modo tale da avere prima tutti i permit e 
alla fine come ultime righe i deny come sopra in modo tale che se un 
pacchetto non viene espressamente autorizzato a passare viene rifiutato 
automaticamente? 

 connessione č stata originata dall'interno della tua LAN.
ne deduco che mi consigli di mettere un server 'syslog'.
ancora grazie mille 

...
1- per far funzionare quello che mi hai scritto tu va bene come ios il 12.1?
2- come ram e come potenza del processore il mio 827 riesce a gestire una 
rete casalinga con apposito server con emule? Già ora mi pare che spesso e 
volentieri sia 'a tappo'.
ciao e grazie

 ciao e grazie
diminuisci il tempo di permanenza del nat dinamico
Matteo
-- 
Linux User #374427
Running Linux on a Hp Pavilion dv1000 Laptop with Debian Sarge
--
To find out my real email address copy and paste the following code on a 
console
echo 42123385348364182251069474678883075567184442298743080175893312522P | dc

 ancora grazie mille 
Prego
-- 
Akira

 volentieri sia 'a tappo'.
Cosa dice 'show processes cpu history'?
Il problema potrebbe essere l'eccessivo carico di lavoro dovuto a 
"log-input" (soprattutto se usi access-list 101 deny   ip any any 
log-input), se così fosse toglile (non avrai i log ma almeno non rischi 
di impallare il router).
E poi come ti diceva Matteo puoi diminuire il tempo di permanenza del 
NAT dinamico.
-- 
Akira

 NAT dinamico.
non l'ho ancora fatto perchč ho avuto dei problemi col router.
esiste un comando per riavviare il router via telnet?
ciao e grazie

 Direi di si.
non ho ancora scoperto come fare, ma chiederò al grande fratello google...
grazie, sicuramente avrò ancora bisogno, quindi mi rifarò vivo!!!

dimenticavo:
per utilizzare il voip quali precauzioni devo avere?
grazie

 
<hostname># Reload


 access-list 101 remark INBOUND CONNECTIONS
...
ho fatto come mi hai detto ma devo aver fatto casino perchè ora come ora non 
mi funziona più niente.

 (INBOUND) e una per il traffico in uscita (OUBOUND):
...
ho fatto come mi hai detto ho aggiunto il nat per il mulo ma purtroppo mi 
prende sempre un id basso.
sai da cosa potrebbe essere dovuto?
grazie 

 esiste un comando per riavviare il router via telnet?
Come ti hanno già detto 'reload'.
Se operi su un router in remoto, è interessante l'ulitizzo di 'reload in 
XXX' dove puoi indicare dopo quanto tempo riavviare il router (ergo se 
nella configurazione fai caga... e ti giochi l'accesso al router, puoi 
sempre contare sul fatto che dopo XXX minuti il router viene riavviato, 
se invece va tutto liscio basta salvare le modifiche nella 
'startup-config').
-- 
Akira

 non ho ancora scoperto come fare, ma chiederò al grande fratello google...
Se hai una macchina Linux è già disponibile di serie, altrimenti per 
Windows puoi usare:
ftp://ftp.3com.com/pub/utilbin/win32/3cdv2r10.zip
che fa contemporaneamente da Server Syslog, Server e Client TFTP, e 
Server FTP (facile da usare e funziona anche come servizio di sistema).
Poi aggiungi il comando:
logging <IP_Server_Syslog>
-- 
Akira

 per utilizzare il voip quali precauzioni devo avere?
Qui purtroppo è meglio se chiedi ad altri nel NG ;-)
-- 
Akira

Alex ha scritto:

Anzichè dare in pasto tutta l'ACL al router così come è, prova ad 
aggiungere una riga alla volta.
Dovresti riuscire a capire dove stà l'inghippo.
-- 
Akira

 logging <IP_Server_Syslog>
grazie mille, nel frattempo avevo già soluzionato.


per ora con il fw che mi hai dato tu il voip è l'unica cosa che funziona.

 nella 'startup-config').
questa è proprio interessante grazie mille.


francamente ho pure provato a rimuovere le acl ma senza risultati.
temo di aver modificato per sbaglio qualcosa.
ho postato la mia config in un altro post.
se proprio non hai nulla da fare e vuoi darci 1 occhio...
grazie anticipatamente.
Alex