Newsgroup: it.comp.reti.cisco
Titolo: Sistema Firewall o IOS Secure Integrated Software?

Saluti a tutta la lista.
Non sono esperto di networking e, dovendo decidere della connessione della
LAN aziendale ad Internet (tramite il servizio "Business Full Company" della
Telecom), mi chiedo se, e fino a che punto, il modulo IOS "Secure Integrated
Software" (ex IOS Firewall Feature Set) possa sostituire un sistema Firewall
vero e proprio (tipo il Cisco PIX).
Potete darmi qualche chiarimento?
Grazie anticipato a chiunque vorrà rispondere.
Emidio

 vero e proprio (tipo il Cisco PIX).
non puo' sostituirlo!
quella feature e' di complemento ad un firewall ma non puo' sostituirlo. il
concetto con cui funziona e' errato infatti: devi dire tu cosa controllare,
mentre un firewall controlla tutto tranne quel che tu specifichi da non
controllare.
un mayhem pixato
--
cosa bisogna scrivere in questo riquadro?

 controllare.
Ho l'impressione che tu non sappia di cosa stai parlando.
-- 
 Daniele
-------------------------------------------------------------------------------
 Daniele Orlandi - Utility Line Italia - 
http://www.orlandi.com
 Via Mezzera 29/A - 20030 - Seveso (MI) - Italy
-------------------------------------------------------------------------------

 Ho l'impressione che tu non sappia di cosa stai parlando.
della feature Ip firewalling dell'IOS dei router cisco.
ma se credi che io sbagli per cortesia dammi un link o un riferimento su
dove trovare docs per correggere questa mia errata convinzione.
un mayhem che rileggendo sembro sarcastico invece vorrei davvero correggere
una mia errata informazione se cosi' fosse


 controllare.
E' errato, perche' di norma controlla tutto il traffico tcp e udp.
Quello che abiliti nella configurazione e' solo il trattamento di
protocolli particolari che altrimenti non funzionerebbero.
Ciao.


 protocolli particolari che altrimenti non funzionerebbero.
quindi quando io stabilisco per esempio il NAT, abilito la ricezione della
posta con le access list e dico ad esempio: "ip inspect name Internet smtp"
ho un firewall ben configurato e ne sono conscio; ma se io abilito tutte le
*risposte* provenienti da Internet alla LAN, quelle che non appartengono ai
servizi definiti, rientrano in tcp ed udp e vengono controllate comunque...
hum, posso concordare, ma controllate con che criterio? non ho mai provato,
ma se io abilito l'inspect ftp e metto un server smtp sulla 21 che accade?
(oltre a non ricevere posta :) ) che tipo di controlli svolge inspect
tcp/udp sui protocolli non definiti? a che ca**o pensava quel simpatico CCIE
che mi ha spiegato ste cose quando le ho chieste a lui? se dopo aver
distrutto le mie false convinzioni (grazie) ne ricostrusci un po' ti sarei
grato ;P
un mayhem che il direwall continua a metterlo fuori dal border router :)


 ma se io abilito l'inspect ftp e metto un server smtp sulla 21 che accade?
Che non funziona, visto che agisce nel senso opposto.



approfitto dell'occasione per chiederti alcune cose
io ho un as5200 con una sola eth
la telecom mi ha assegnato 16 ip pubblici, io li uso con il nat per fare
uscire sulla ser0 i miei pc della rete interna
secondo te cosa devo impostare nell'access-list per essere tranquillo che
nessuno mi entri in casa?
quando un mio pc viene nattato con un ip pubblico, diventa accessibile
dall'esterno o mi sbaglio?
insomma, devo assegnare un acl inbound sulla seriale e negare ogni accesso,
e con ip inspect apro al traffico di ritorno?
grazie per i consigli
kay

 la telecom
     ^^^^^^^
Chiedi a loro, no ? :))))


 wrote in message
news:39BE39AE...@orlandi.com...


 grazie ... molto gentile ....
Si, in effetti mi sono trattenuto :)
-- 
 Daniele
-------------------------------------------------------------------------------


 Chiedi a loro, no ? :))))
ma allora sei proprio bastardo dentro! ;PPPPPPPPPPPPPPPPPPPPPP
un mayhem che vi ho gia' detto della signorine e del numero di nua vero?


 e con ip inspect apro al traffico di ritorno?
dipende... da che depende? :)
che nat fai? se sei in overload sulla ser0 sei quasi tranquillo, se hai
messo in nat il pool di indirizzi o peggio li hai mappati staticamente ti
servono delle belle access list con le 00 :)
per partire basta vietare syn e pacchetti a porte inferiori alla 1024
un mayhem che ipchains mi viene piu' naturale delle access-list di cisco...
si puo' mica dire a quelli che abitano sotto il golden-gate di prendere il
src di ipchains e sostituirlo nell'ios alle access list?
:))))))))))))))))))))))))))))))))))))


 > ma se io abilito l'inspect ftp e metto un server smtp sulla 21 che
accade?
ma se io abilito l'inspect ftp per la dmz e metto un server smtp sulla 21
del server che ho definito come server ftp in dmz che accade? (piu' chiaro
no?)
un mayhem confuso ma non tanto felice


 src di ipchains e sostituirlo nell'ios alle access list?
Perche' non fai andare Linux sul Cisco ?


 no?)
No, lo stai usando al contrario. ip inspect serve al tu server per poter
fare da ftp-client, se fa da server, ti basta aprire l'access-list.



ok ti ringrazio molto ...
solo più una cosa, se invece di nattare con in pool di indirizzi (come avevo
fatto io), uso serial0 overload, con che indirizzi escono i pc della mia
rete??
grazie ancora
kay

 rete??
tutti con l'ip della seria0
un mayhem che a volte il mio cervello fa nat atrraverso la seerial0 di uno
scemo
