Newsgroup: it.comp.macintosh
Titolo: A proposito di firewall...

Esiste un firewall da GUI (share/freeware) che fornisca qualche opzione
in piu' di quello integrato in Panther?
Nello specifico mi interessa poter bloccare delle connessioni a
specifici indirizzi IP e di impedire il passaggio di certi dati
sensibili (da me preventivamente definiti).
In sostanza e' quello che faceva il NetBarrier per OS9...
TIA
-- 
http://www.dorelli.com
When she's walking by the river and the railway line
She can still hear him whisper
Let's go down to the waterline

 In sostanza e' quello che faceva il NetBarrier per OS9...
Mi sa che se vuoi il controllo sui dati devi prenderti il NetBarrier per
OS10... ;-)
-- 
Ve lo meritate Gil Amelio!

 OS10... ;-)
Gosh! ;)


 in piu' di quello integrato in Panther?
BrickHouse mi sembra che permetta di intervenire su parecchie opzioni
dell'ipfw.
N.B. lavora secondo la logica delle "catene", mi sembra: occorrerebbe
prima documentarsi sui firewall e poi metterci mano.

 dell'ipfw.
BrickHouse è fermo dal 10.1, non so se si può usare su Jaguar/Panther.
C'è Firewalk X, che però usa un firewall suo, non quello di sistema.



Comunque, grazie per la dritta.


 relativo sito: è fermo a quella del 7 ottobre 2001!
In effetti è una beta...

 In effetti è una beta...
Anche quella lo era... ;-) Comunque ho dato un'occhiata alla
configurazione che genera e sinceramente non mi piace molto. Ci sono a
mio avviso diverse incongruenze.


 mio avviso diverse incongruenze.
Tipo?
io mi ci trovo assai bene, soprattutto perché permette una integrazione
"a mano" delle regole
-- 
"Vanità delle vanità, tutto è vanità." 
                                                    [Qo 1,3]
"Hai fatto l'upgrade?"
                                                    [Pp 3,14]

 Tipo?
Prima fra tutte, non capisco a cosa servano le regole dinamiche quando
poi accetti tutto il traffico in ingresso "established". O adotti le
prime se vuoi una configurazione più paranoica (sapendo però che possono
appesantire il lavoro del firewall), oppure opti per una configurazione
più rilassata e allora accetti il traffico "established". Le due cose
insieme però mi sembrano un non senso...
Poi anche la regola riguardo il traffico FTP non era molto razionale:
non ha senso accettare il traffico in ingresso dalla porta 21. La porta
21 è quella del server cui il client si collega per la sessione di
controllo dell'FTP, quindi la regola che accetta il traffico
"established" (e in più mettici la regola dinamica generata quando il
client inizia la connessione) basta e avanza, perché appunto è il client
ad iniziare la connessione verso la porta 21 e il traffico di risposta
del server sarà fatto passare in quanto "established". Accettare il
traffico dalla porta 20 invece ha senso quando il server FTP trasmette i
dati in modalità attiva, cosa che però è piuttosto rara, quindi anche
quest'altra porta aperta io me la sarei risparmiata.
Queste sono le prime cose che mi sono saltate agli occhi.


 configurazione totale di ipfw
questo e` *BENE*
-- 
Debugging is twice as hard as writing the code in the first place.
Therefore, if you write the code as cleverly as possible, you are,
by definition, not smart enough to debug it.
    - Brian W. Kernighan

 Queste sono le prime cose che mi sono saltate agli occhi.
 Su questo hai "quasi" ragione, nel senso che nel caso di "passive" mode
è il client a iniziare la connessione e il tuo discorso fila; nel caso
di "active" invece è il server, contattato sulla 20, a iniziare la
connessione che verrebbe perciò rifiutata dalla sola presenza delle
altre regole....
ricapitolando nel caso di client e passive mode non serve la regola ftp,
nel caso di server o active mode è invece necessaria (sia sulla 20 che
sulla 21), comunque la regola è commentata come "Allow FTP-Data port" in
generale e perciò non mente (ma avrebbe fatto meglio a chiamarla "Allow
FTP server & client active mode", o qualcosa di simile). 
Ne segue che pare proprio un'ottimo software.


 Ne segue che pare proprio un'ottimo software.
Ne segue che sia tu che lui avete le idee un po' confuse... ;-)


 established lascia passare
Tra l'altro, i pacchetti established sono quelli in cui l'ACK bit è
uguale a 1, non i "pacchetti senza SYN".
Aho, n'avessi beccata una... :-)


 Aho, n'avessi beccata una... :-)
chiedo venia, non hai capito tutto ciò che intendevo (sta cosa del SYN
soprattutto, ma non mi sono spiegato bene e perciò la chiudo qui) come
io non ho in realtà capito tutto il tuo primo post.
in questa landa desolata di incomprensione ho finalmente estrapolato le
ragioni che sottolinei ripetutamente e le reputo valide.
grazie
comunque ricordati che sei quasi completamente calvo (faccina) e che se
ti scaldi perdi i restanti (3) capelli


 ti scaldi perdi i restanti (3) capelli
Più che altro si appannano gli occhiali... ;-)


.
Staremo a vedere.
