Newsgroup: it.comp.reti.cisco
Titolo: ACL non fuzionano

Ho problemi con questa ACL
in pratica... non funziona:
ho messo ip access-group 100 in
tutte le ACL 100 immagino siano per l'access-group 100 in
i miei obiettivi:
1) acl anti-spoof
2) bloccare tutti pacchetti frammentati
3) bloccare i traceroute
4) permettere solo protocollo tcp/udp/ipv6
rislutato:
anche con access-list 100 deny icmp any any
io da fuori pingo benissimo il router, faccio i trace etc.
io se da fuori pingo un host della mia subnet (che č up) non pinga
esempio
ping 62.110.131.42 l'host č up perchč lo so ma non pinga...
da qualuqnue di quegli ip verso fuori vanno tutti icmp e traceroute etc
da fuori io faccio un trace verso il mio router e lo traccobene...
dove č che sbaglio?
4) ipv6 va in timeout dopo una mezzora che lo uso... non so come fare...
prima avevo permesso solo il protocollo 41, ma ora ci ho messo anche quelli
da RFC 1883.
la riga ultima access-group 100 deny ip any any blocca ogni protocollo fuori
quelli che ho permesso?
mi sa che a me le ACL non vadano x niente... any helps?
------------------
access-list 100 permit tcp any any
access-list 100 permit udp any any
access-list 100 permit 41 any any
access-list 100 permit 58 any any
access-list 100 permit 59 any any
access-list 100 permit 60 any any
access-list 100 deny   ip any any
-----------------
io con queste rige qua volevo dire:
blocco tutta la roba sopra di loro , poi apparte quella bloccata
permetto ogni cosa, tcp e udp, poi protocollo 41 58 59 60 li permetto
e tutti gli altri protocolli li sego via..
risultato: non funzia e tutto va lo stesso..
help!!!!
Gateway#show config
Using 2760 out of 131072 bytes
!
version 12.2
no service pad
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
hostname Gateway
!
!
username xxxxxxxxxxxxxxxxx privilege xxxxxx censurato :P
clock timezone CET 1
ip subnet-zero
no ip source-route
ip name-server 212.131.30.42
ip name-server 212.131.30.43
!
ip audit notify log
ip audit po max-events 100
!
!
!
!
interface Ethernet0
 bandwidth 10000
 ip address 192.168.0.254 255.255.255.0 secondary
 ip address 62.110.131.41 255.255.255.248
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip nat inside
 ip access-group 100 in
 no ip mroute-cache
 no cdp enable
 hold-queue 100 out
!
interface ATM0
 no ip address
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 atm vc-per-vp 64
 atm ilmi-keepalive
 dsl operating-mode auto
 dsl power-cutback 0
 hold-queue 224 in
!
interface ATM0.35 point-to-point
 ip address 80.23.68.238 255.255.255.252
 ip nat outside
 pvc 8/35
  encapsulation aal5snap
 !
!
ip nat inside source list 102 interface Ethernet0 overload
ip classless
ip route 0.0.0.0 0.0.0.0 80.23.68.237
no ip http server
!
!
access-list 100 deny tcp any any fragments
access-list 100 deny udp any any fragments
access-list 100 deny icmp any any fragments
access-list 100 deny icmp any any
access-list 100 deny ip 127.0.0.0 0.255.255.255 any
access-list 100 deny ip 10.0.0.0 0.255.255.255 any
access-list 100 deny ip 0.0.0.0 0.255.255.255 any
access-list 100 deny ip 172.16.0.0 0.15.255.255 any
access-list 100 deny ip 192.0.2.0 0.0.0.255 any
access-list 100 deny ip 224.0.0.0 15.255.255.255 any
access-list 100 deny ip host 255.255.255.255 any
access-list 100 deny ip host 62.110.131.40 host 62.110.131.40
access-list 100 deny ip host 62.110.131.41 host 62.110.131.41
access-list 100 deny ip host 62.110.131.42 host 62.110.131.42
access-list 100 deny ip host 62.110.131.43 host 62.110.131.43
access-list 100 deny ip host 62.110.131.44 host 62.110.131.44
access-list 100 deny ip host 62.110.131.45 host 62.110.131.45
access-list 100 deny ip host 62.110.131.46 host 62.110.131.46
access-list 100 deny ip host 62.110.131.47 host 62.110.131.47
access-list 100 deny ip any host 62.110.131.40
access-list 100 deny ip any host 62.110.131.47
access-list 100 permit tcp any any
access-list 100 permit udp any any
access-list 100 permit 41 any any
access-list 100 permit 58 any any
access-list 100 permit 59 any any
access-list 100 permit 60 any any
access-list 100 deny   ip any any
access-list 102 permit ip 192.168.0.0 0.0.0.255 any
no cdp run
!
line con 0
 exec-timeout 120 0
 no modem enable
 stopbits 1
line aux 0
 stopbits 1
line vty 0 4
 access-class 102 in
 exec-timeout 120 0
 login local
!
scheduler max-task-time 5000
end

Non ricordo le corrispondenze tra protocolli e numeri, ma in questo modo con
i primi 2 permit permetti tutto tranne l'icmp. Quindi per forza funzia
tutto.
Ciao

 help!!!!

ehm io di solito le access-list le applico alla sottointerfaccia ATM non a
quella Ethernet...
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 quella Ethernet...
Ciao .
mi suggerisci di applicarle alla ATM0 o alla ATM0.35 ?
non alla eth0 dove sono assegnati gli ip pubblici?
in pratica alla eth0 non messo nessun access-group in
niente di niente.
metto access-group 100 in sulla ATM0.35 ?
posso ancheprovare ma prima di provare vorrei avere certezza
fammi sapere.
ciao grazie

 quella Ethernet...
fico!
le ho appicate alla atm0.35 e non vanno piu i ping :)
yes
però di rimbalzo mi è aumentato il tempo di latenza
prima con un sito di prova 
www.racine.ra.it
 avevo 60ms (si ho detto 60
:))) ) e ora ne ho 100-150
come mai ?
sulla ATM0.35 ho aggiunto anche queste righe:
no ip redirects
no ip unreachables
no ip proxy-arp
due domande:
1) ora mettendo la ACL 100 sulla ATM0.35 le ho effettivamente applicate a
tutta la roba che mi arriva dall'esterno.
permettendo le echo-reply in entrata posso pingare fuori e ottenere risposta
ma non essere pingato. fino a qui bene.
se volessi da dietro al mio cisco fare dei traceroute, che pacchetti devo
permettere in entrtara?
mi ricordo "time exceeded for datagram" ma non son sicuro.
se permetto i pacchetti per permettere a me di tracciare fuori, rimango pure
vulnerabile ad essere tracciato da fuori?
2) se all'inizio della ACL 100 scrivessi:
"access-list 100 deny ip any any fragments"
non riassumo in pratica le righe:
access-list 100 deny   tcp any any fragments
access-list 100 deny   udp any any fragments
access-list 100 deny   icmp any any fragments
visto che alla fine io nego tutti i protocolli IP tranne quelli da me
esplicitamente permessi?
a me i frammenti se li levo non mi levo solo del potenziale DoS ?
grazie atutti
-------------------------------------------------------
riposto lamia configurazione per sicurezza
Building configuration...
Current configuration : 2844 bytes
!
version 12.2
no service pad
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
hostname Gateway
!
!
username maggiore privilege 15 password 7 101E5048544F43
clock timezone CET 1
ip subnet-zero
no ip source-route
ip name-server 212.131.30.42
ip name-server 212.131.30.43
!
ip audit notify log
ip audit po max-events 100
!
!
!
!
interface Ethernet0
 bandwidth 10000
 ip address 192.168.0.254 255.255.255.0 secondary
 ip address 62.110.131.41 255.255.255.248
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip nat inside
 no ip mroute-cache
 no cdp enable
 hold-queue 100 out
!
interface ATM0
 no ip address
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 atm vc-per-vp 64
 atm ilmi-keepalive
 dsl operating-mode auto
 dsl power-cutback 0
 hold-queue 224 in
!
interface ATM0.35 point-to-point
 ip address 80.23.68.238 255.255.255.252
 ip access-group 100 in
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip nat outside
 pvc 8/35
  encapsulation aal5snap
 !
!
ip nat inside source list 102 interface Ethernet0 overload
ip classless
ip route 0.0.0.0 0.0.0.0 80.23.68.237
no ip http server
!
!
access-list 100 deny   tcp any any fragments
access-list 100 deny   udp any any fragments
access-list 100 deny   icmp any any fragments
access-list 100 permit icmp any any echo-reply


 le ho appicate alla atm0.35 e non vanno piu i ping :)
al di la dell'interfaccia corretta credo che ti risulterebbe
tutto MOLTO piu' chiaro se tu dedicassi 5 minuti a capire
il significato di IN e OUT applicato all'interfaccia...
capito questo tutto diventera' chiarissimo e non avrai
piu' dubbi dove e come applicare le ACL ..sara' "istintivo" :-)
ciao, arx

 ciao grazie
ma mi spieghi perchč usi la ethernet0 per far uscire il traffico? e perchč
gli hai applicato un ip pubblico? proprio non riesco a capire...


 ma mi spieghi perchè usi la ethernet0 per far uscire il traffico? e perchè


Ho messo queste ACL alla ATM0.35
ora  è tutto blindatissimo ma ho un problema.
le connessioni uscenti sono LENTISSIME
e spesso vanno in timeout.
esempio: un client su irc joina poi va in timeout subito
come se certi pacchetti keep-alive non passassero
idem se telnetto fuori... la connessione arriva alla
destinazione dopo numerosi secondi (ping di 80ms)...
poi casca li a metà timeout...
queste sono le ACL:
access-list 100 deny   ip 0.0.0.0 0.255.255.255 any
access-list 100 deny   ip 10.0.0.0 0.255.255.255 any
access-list 100 deny   ip 127.0.0.0 0.255.255.255 any
access-list 100 deny   ip 169.254.0.0 0.0.255.255 any
access-list 100 deny   ip 172.16.0.0 0.15.255.255 any
access-list 100 deny   ip 192.0.2.0 0.0.0.255 any
access-list 100 deny   ip 192.168.0.0 0.0.255.255 any
access-list 100 deny   ip 224.0.0.0 15.255.255.255 any
access-list 100 deny   ip host 255.255.255.255 any
access-list 100 deny   ip host 62.110.131.40 host 62.110.131.40
access-list 100 deny   ip host 62.110.131.41 host 62.110.131.41
access-list 100 deny   ip host 62.110.131.42 host 62.110.131.42
access-list 100 deny   ip host 62.110.131.43 host 62.110.131.43
access-list 100 deny   ip host 62.110.131.44 host 62.110.131.44
access-list 100 deny   ip host 62.110.131.45 host 62.110.131.45
access-list 100 deny   ip host 62.110.131.46 host 62.110.131.46
access-list 100 deny   ip host 62.110.131.47 host 62.110.131.47
access-list 100 deny   ip any host 62.110.131.40
access-list 100 deny   ip any host 62.110.131.47
access-list 100 deny   ip any any fragments
access-list 100 permit igmp any any
aaaaaaaaccess-list 100 permit icmp any any echo
access-list 100 permit icmp any any
access-list 100 deny   udp any any range 33400 34400
access-list 100 permit tcp any host 62.110.131.41 eq 22
access-list 100 permit tcp any host 62.110.131.41 eq 23
access-list 100 permit   0 any host 62.110.131.41
access-list 100 permit  41 any host 62.110.131.41
access-list 100 permit  58 any host 62.110.131.41
access-list 100 permit  59 any host 62.110.131.41
access-list 100 permit  60 any host 62.110.131.41
access-list 100 deny    ip any host 62.110.131.41
access-list 100 permit tcp any host 62.110.131.42 eq 20
access-list 100 permit tcp any host 62.110.131.42 eq 21
access-list 100 permit tcp any host 62.110.131.42 eq 53
access-list 100 permit udp any host 62.110.131.42 eq 53
access-list 100 permit tcp any host 62.110.131.42 eq 1214
access-list 100 permit tcp any host 62.110.131.42 eq 2000
access-list 100 permit tcp any host 62.110.131.42 range 2010 2020
access-list 100 permit tcp any host 62.110.131.42 eq 3389
access-list 100 permit tcp any host 62.110.131.42 eq 4662
access-list 100 permit udp any host 62.110.131.42 eq 4672
access-list 100 permit tcp any host 62.110.131.42 eq 4899
access-list 100 permit udp any host 62.110.131.42 eq 6257
access-list 100 permit tcp any host 62.110.131.42 eq 6699
access-list 100 permit tcp any host 62.110.131.42 eq 6667
access-list 100 permit tcp any host 62.110.131.42 eq 7100
access-list 100 permit   0 any host 62.110.131.42
access-list 100 permit  41 any host 62.110.131.42
access-list 100 permit  58 any host 62.110.131.42
access-list 100 permit  59 any host 62.110.131.42
access-list 100 permit  60 any host 62.110.131.42
access-list 100 deny    ip any host 62.110.131.42
access-list 100 permit tcp any host 62.110.131.43 eq 20
access-list 100 permit tcp any host 62.110.131.43 eq 21
access-list 100 permit tcp any host 62.110.131.43 eq 25
access-list 100 permit tcp any host 62.110.131.43 eq 80
access-list 100 permit tcp any host 62.110.131.43 eq 81
access-list 100 permit tcp any host 62.110.131.43 eq 90
access-list 100 permit tcp any host 62.110.131.43 eq 110
access-list 100 permit tcp any host 62.110.131.43 eq 113
access-list 100 permit tcp any host 62.110.131.43 eq 1433
access-list 100 permit tcp any host 62.110.131.43 eq 2000
access-list 100 permit tcp any host 62.110.131.43 range 2010 2020
access-list 100 permit tcp any host 62.110.131.43 eq 4899
access-list 100 permit tcp any host 62.110.131.43 eq 63000
access-list 100 permit tcp any host 62.110.131.43 eq 63050
access-list 100 permit tcp any host 62.110.131.43 eq 63150
access-list 100 permit   0 any host 62.110.131.43
access-list 100 permit  41 any host 62.110.131.43
access-list 100 permit  58 any host 62.110.131.43
access-list 100 permit  59 any host 62.110.131.43
access-list 100 permit  60 any host 62.110.131.43
access-list 100 deny    ip any host 62.110.131.43
access-list 100 deny    ip any any fragments
access-list 100 deny    ip any any
access-list 101 permit ip 192.168.0.0 0.0.255.255 any
access-list 101 permit ip 80.21.107.2 0.0.0.252 any
access-list 101 deny   ip any any
access-list 102 permit ip 192.168.0.0 0.0.0.255 any
i protocolli 0 41 58 59 60 sono tutti relativi ad ipv6. RFC1883
la aaaaaaaa è per commentare temporaneamente la riga
ho provato a permettere gli IGMP in entrata
ho provato a settare in entrata tutti gli ICMP (prima avevo messo icmp ping
solo sul router e echo-reply su tutti) ma niente di niente
any help?
che protocolli devo abilitare?
ho messo questa ACL pesante per far fare al cisco da firewall harwdare.
ho messo i miei ip pubblici sulla eth0 perchè ho bisogno di avere gli ip
pubblici assegnati direttamente alle eth dei server... non posso fare nat o
pat o dmz...
sotto posto la mia config completa:
Gateway(config)#show
Building configuration...
Current configuration : 3138 bytes
!
version 12.2
no service pad
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
hostname Gateway
!
!
username maggiore privilege 15 password 7 06340A354D4C0E49
clock timezone CET 1
ip subnet-zero
no ip source-route
no ip domain lookup
ip domain name 
spadhausen.it
!
ip audit notify log
ip audit po max-events 100
!
!
!
!
interface Ethernet0
 bandwidth 10000
 ip address 192.168.0.254 255.255.255.0 secondary
 ip address 62.110.131.41 255.255.255.248
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip nat inside
 no ip mroute-cache
 no cdp enable
 hold-queue 100 out
!
interface ATM0
 no ip address
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 atm vc-per-vp 64
 atm ilmi-keepalive
 dsl operating-mode auto
 dsl power-cutback 0
 hold-queue 224 in
!
interface ATM0.35 point-to-point
 ip address 80.23.68.238 255.255.255.252
 ip access-group 100 in
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip nat outside
 pvc 8/35
  encapsulation aal5snap
 !
!
ip nat inside source list 102 interface Ethernet0 overload
ip classless
ip route 0.0.0.0 0.0.0.0 80.23.68.237
no ip http server
!
!
access-list 100 deny   ip 0.0.0.0 0.255.255.255 any
access-list 100 deny   ip 10.0.0.0 0.255.255.255 any
access-list 100 deny   ip 127.0.0.0 0.255.255.255 any
access-list 100 deny   ip 169.254.0.0 0.0.255.255 any
access-list 100 deny   ip 172.16.0.0 0.15.255.255 any
access-list 100 deny   ip 192.0.2.0 0.0.0.255 any
access-list 100 deny   ip 192.168.0.0 0.0.255.255 any
access-list 100 deny   ip 224.0.0.0 15.255.255.255 any
access-list 100 deny   ip host 255.255.255.255 any
access-list 100 deny   ip host 62.110.131.40 host 62.110.131.40
access-list 100 deny   ip host 62.110.131.41 host 62.110.131.41
access-list 100 deny   ip host 62.110.131.42 host 62.110.131.42
access-list 100 deny   ip host 62.110.131.43 host 62.110.131.43
access-list 100 deny   ip host 62.110.131.44 host 62.110.131.44
access-list 100 deny   ip host 62.110.131.45 host 62.110.131.45
access-list 100 deny   ip host 62.110.131.46 host 62.110.131.46
access-list 100 deny   ip host 62.110.131.47 host 62.110.131.47
access-list 100 deny   ip any host 62.110.131.40
access-list 100 deny   ip any host 62.110.131.47
access-list 100 deny   ip any any fragments
access-list 100 permit igmp any any
aaaaaaaaccess-list 100 permit icmp any any echo
access-list 100 permit icmp any any
access-list 100 deny   udp any any range 33400 34400
access-list 100 permit tcp any host 62.110.131.41 eq 22
access-list 100 permit tcp any host 62.110.131.41 eq 23
access-list 100 permit   0 any host 62.110.131.41
access-list 100 permit  41 any host 62.110.131.41
access-list 100 permit  58 any host 62.110.131.41
access-list 100 permit  59 any host 62.110.131.41
access-list 100 permit  60 any host 62.110.131.41
access-list 100 deny    ip any host 62.110.131.41
access-list 100 permit tcp any host 62.110.131.42 eq 20
access-list 100 permit tcp any host 62.110.131.42 eq 21
access-list 100 permit tcp any host 62.110.131.42 eq 53
access-list 100 permit udp any host 62.110.131.42 eq 53
access-list 100 permit tcp any host 62.110.131.42 eq 1214
access-list 100 permit tcp any host 62.110.131.42 eq 2000
access-list 100 permit tcp any host 62.110.131.42 range 2010 2020
access-list 100 permit tcp any host 62.110.131.42 eq 3389
access-list 100 permit tcp any host 62.110.131.42 eq 4662
access-list 100 permit udp any host 62.110.131.42 eq 4672
access-list 100 permit tcp any host 62.110.131.42 eq 4899
access-list 100 permit udp any host 62.110.131.42 eq 6257
access-list 100 permit tcp any host 62.110.131.42 eq 6699
access-list 100 permit tcp any host 62.110.131.42 eq 6667
access-list 100 permit tcp any host 62.110.131.42 eq 7100
access-list 100 permit   0 any host 62.110.131.42
access-list 100 permit  41 any host 62.110.131.42
access-list 100 permit  58 any host 62.110.131.42
access-list 100 permit  59 any host 62.110.131.42
access-list 100 permit  60 any host 62.110.131.42
access-list 100 deny    ip any host 62.110.131.42
access-list 100 permit tcp any host 62.110.131.43 eq 20
access-list 100 permit tcp any host 62.110.131.43 eq 21
access-list 100 permit tcp any host 62.110.131.43 eq 25
access-list 100 permit tcp any host 62.110.131.43 eq 80
access-list 100 permit tcp any host 62.110.131.43 eq 81
access-list 100 permit tcp any host 62.110.131.43 eq 90
access-list 100 permit tcp any host 62.110.131.43 eq 110
access-list 100 permit tcp any host 62.110.131.43 eq 113
access-list 100 permit tcp any host 62.110.131.43 eq 1433
access-list 100 permit tcp any host 62.110.131.43 eq 2000
access-list 100 permit tcp any host 62.110.131.43 range 2010 2020
access-list 100 permit tcp any host 62.110.131.43 eq 4899
access-list 100 permit tcp any host 62.110.131.43 eq 63000
access-list 100 permit tcp any host 62.110.131.43 eq 63050
access-list 100 permit tcp any host 62.110.131.43 eq 63150
access-list 100 permit   0 any host 62.110.131.43
access-list 100 permit  41 any host 62.110.131.43
access-list 100 permit  58 any host 62.110.131.43
access-list 100 permit  59 any host 62.110.131.43
access-list 100 permit  60 any host 62.110.131.43
access-list 100 deny    ip any host 62.110.131.43
access-list 100 deny    ip any any fragments
access-list 100 deny    ip any any
access-list 101 permit ip 192.168.0.0 0.0.255.255 any
access-list 101 permit ip 80.21.107.2 0.0.0.252 any
access-list 101 deny   ip any any
access-list 102 permit ip 192.168.0.0 0.0.0.255 any
no cdp run
!
line con 0
 exec-timeout 120 0
 no modem enable
 stopbits 1
line aux 0
 stopbits 1
line vty 0 4
 access-class 101 in


 access-list 100 deny   icmp any any
Meditate gente.
-- 
   __|__  Fabio Sardone|  
____(0)_____           | 
http://www.geocities.com/f_sardone/pictures.html
  O  o  O              | Change dot in . and remove .invalid

 MTU discovery
Ciao Fabio
lo so, levare icmp è come levare in una strada, i segnali stradali.
devo dirti però che ora sto andando veramente da dio.
riguardo agli unreachables confermo, in un firewall software se non
permettevo gli
unreachables in uscita prima di entrare in una pagina passavano 20
secondi.
riguardo alle ultime 3 cose, mi suggerisci di abilitare quindi tutti gil
icmp?
solo verso il router o anche verso tutti gli ip pubblici che dispongo?
Nota che io ho assegnato sulla eth0 anche gli ip pubblici perchè ho
necessità di
mettere gli ip pubblici direttamente sulle macchine.
Io ho levato gli icmp fragments e tutti gli ip fragments per levarmi del
DoS.
dov potrei correggere l sitauzione?
negando gli ip fragments (quindi tutti i frammenti) ma permettendo tutti
icmp?
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

ho risolto
era una roba del dns
ora funzoina perfettamente


 ho messo questa ACL pesante per far fare al cisco da firewall harwdare.
"ho messo queste acl per fare il piu' possibile con le acl".
il firewall e' un'altra cosa.
un mayhem e le precisazioni
-- 
 Diplomazia: dire bravo cagnetto fino a che non trovi il bastone. 
 Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
 SPP  wpage: 
http://www.spippolatori.com
 Key on 
pgp.mit.edu
 ID C7393613

 un mayhem e le precisazioni
SI mayehm volevo fare come faccio con ip tables su linux
access list per bloccare traffico, OK?
bye

 access list per bloccare traffico, OK?
appunto. ti assicuro che la tecnologia che sta dietro ad iptables
(firewall stateful) non ha nulla a che vedere con le access-list cisco
(forse paragonabili ad ipchains, ma forse).
per fare quello che fai con linux avresti bisogno di un ip plus firewall.
il fatto di usare la parola firewall, ma ancor piu' il sentirsi protetti
da un firewall come quello di linux, non puo' che condurre su una strada
colma di brutte esperienze e spiacevoli incidenti.
un mayhem che preferisce pf ...


 un mayhem che preferisce pf ...
pf ancora non lo conosco bene come iptables, ma ho messo la open sul
serverino di casa appunto per prenderci la dovuta confidenza ;-)
Ciao
-- 
Sono un servitore del Fuoco Segreto, e reggo la fiamma di Anor.
A nulla ti servira' il fuoco oscuro, fiamma di Udun.
Torna nell'Ombra! Non puoi passare.

 serverino di casa appunto per prenderci la dovuta confidenza ;-)
una volta su quella strada difficilmente si torna indietro...
un mayhem che aspetta i log


 una volta su quella strada difficilmente si torna indietro...
Bene, e' quello che volevo sentirmi rispondere ;-)


 Ciao Fabio




Personalmente uso una filosofia un po' diversa. Primo natto sempre tutto anche
con IP pubblici (preferibilmente su un PIX). Poi lascio transitare ICMP finche'
non ci sono problemi. Se qualcuno fa lo stupido, chiudo cio' che serve (USA un
IDS con netranger che lo fa in automatico) e me la prendo con il provider del
tizio.
Non cercare di implementare tutta la tua sicurezza sul perimetro altrimenti una
volta superato il perimetro gli host sono indifesi. Assicurati che gli stack
TCP/I degli hosts siano aggiornati. Da quello che dici sempra che siano
vulnerabili (e tut ti preoccupi) di attacchi ben noti ed antichi ....
In una parola si, lascia transitare ICMP perch'e e' parte integrante del
TCP/IP. Blocca cio' che non vuoi e se non vuoi che il router mandi un
administratively prohibited quando lo fa usa pure il no unreachables.
Ciao
