Newsgroup: it.comp.reti.cisco
Titolo: funzionalita' Cut-Thorugh Proxy

Mi servirebbe capire se esiste una funzionalita' dei firewall PIX tale che
dato un pacchetto tcp o udp  qualsiasi diretto verso una rete interna
protetta dal firewall lo intercetti, in qualche modo chieda una login ed
una password a chi ha spedito il pacchetto, verifichi tali credenziali
magari confrontandole con quelle di un qualche database di autenticazione
centrale, e solo se tali login e password sono corrette, "forwardi" il
pacchetto iniziale verso il server della rete interna al quale il
pacchetto era inizialmente destinato e permetta la connessione.
Un'autenticazione quindi non basata sull'ip ma su username e password. Mi
par di capire che tale funzionalita' sia prevista dalla voce "cut-through
proxy" dei Cisco PIX, ma e' proprio cosi'? Perche' mi pare d'aver capito
che in effetti funzioni solo per http, ftp, e telnet, ma non per un
generico pacchetto tcp (a me in particolare interessano le connessioni
ssh). Inoltre, dalla poca documentazione che ho trovato sul "cut-through
proxy" sembrerebbe che non fosse richiesta alcuna specifica configurazione
sul lato client, ma allora non capisco come funzioni la cosa dal lato
client: supponendo che io voglia aprire una connessione verso un generico
server ssh di una rete protetta da firewall con "cut-through proxy" mi si
apre una finestra di "pop up" che mi richiede login e password, oppure,
come temo accada, la cosa e' piu' complessa e richiede una
riconfigurazione, ovviamente dipendente anche dal sistema operativo che
uso, del mio computer "client"?
(E per centiania di client del tutto generici cio' potrebbe essere un bel
problemino)
Spero di essere stato abbastanza chiaro, 
grazie per l'attenzione,
b.

Cut-Thorugh Proxy permette di far si che il pix intercetti una richiesta di
connessione e richieda un'autenticazione prima di passare la richiesta al
vero destinatario.
Per esempio su una sessione http il pix richiede un'autenticazione prima di
passare la richiesta al webserver. Questo fa si che il browser dell'utente
faccia comparire un popup in cui chiede un utenza.
E' da notare che se, per esempio, ho 10 utenti in una lan mascherati su
internet con un solo ip, e questi utenti si collegano ad un server dietro un
pix da un'altra parte, verrà chiesta solo al primo l'autenticazione. Una
volta autenticato il pix aprirà l'accesso a quel ip in modo trasparente.
Se hai bisogno di autenticare protocolli non preconfigurati nel pix puoi
farlo, ma non in maniera trasparente come per http. Questo perchè non tutti
i protocolli supportano la doppia autenticazione, e quindi non è possibile
per il pix gestire questa cosa in maniera trasparente.
La funzione si chiama virtual telnet. In pratica se hai bisogno di entrare
su un server dietro il pix (per esempio in ssh) devi prima andare via telnet
sul ip del server. Ti risponderà il pix che ti chiederà un'autenticazione.
Una volta autenticato, il pix aprirà al tuo ip la porta per fare ssh.
Ciao
Gotta

 Una volta autenticato, il pix aprirà al tuo ip la porta per fare ssh.
Perfetto.
Un'ultima domanda, pensi sia possibile realizzare questa
funzione di "virtual telnet" tramite l'http?
Ovvero effettuare (invece che un telnet) una connessione http sul pix, che
quindi autentichi tramite login e password, registri l'ip, e poi permetta
il collegamento via diverso portocollo, tipo per l'appunto ssh?
Perche' te lo chiedo? Perche' il telnet ha una brutta fama (viaggia tutto
in chiaro), e certi utenti Mac non sanno neanche dove andarselo a
prendere.
Tu dirai anche l'http fa viaggiare tutto in chiaro, verissimo, ma, che vuoi che
ti dica, per qualche motivo che ignoro la gente lo manda giu' molto piu'
facilmente.
E dici che sarebbe possibile, *magari*,  fare l' autenticazione sul PIX
via https?
Grazie mille per la precisa risposta,
Grazie mille
b.

 b.
ciao
Gotta