Newsgroup: it.comp.os.win.windows10
Titolo: Meglio Hosts su Windows o la Blacklist sul Router?

Ho fatto delle prove al riguardo e ho un risultato poco soddisfacente.
 
In pratica ho alternato la seguente situazione:
 
1-Host attivo e Blacklist disabilitata
2-Il contrario (host disabilitato e Blacklist attiva)
 
Considero "
secure.flashtalking.com
"
 
Nella situazione 1 (host attivo) il ping mi dice sito irraggiungibile.
 
Nella situazione 2 (blacklist attiva) il ping raggiunge il server (nel 
caso specifico di 
secure.flashtalking.com
 risponde con 
e2236.g.akamaiedge.net
 [95.100.48.191]).
 
Forse la blacklist nel router blocca solo http mentre hosts blocca 
tutto?
 
Ho provato anche con altri siti e il comportamento è identico.
 
Sbaglio qualcosa io?
 
 

 Ho provato anche con altri siti e il comportamento è identico.
 
Il fetente router di mamma telecom si limita ad un "url filtering", 
quindi limitato al browser. Vedi il manuale del tuo router cosa dice :-)
 
-- 
Fri(END), Boyfri(END), Girlfri(END), Bestfri(END). Everything has an END 
except...Fam(ILY)! It Has 3 Letters that say I LOVE YOU

 2-Il contrario (host disabilitato e Blacklist attiva)
...snip...
 
Una terza possibilità potrebbe essere usare (anche) le regole di un 
firewall.
 

 limitato al browser. Vedi il manuale del tuo router cosa dice :-)
 
Temo che sia così anche sul mio. La blacklist (ho letto ora) fa url 
filtering anche se non lo dice esplicitamnte, e non accetta 
indirizzamenti IP, il che significa che abilitare una blacklist 
bloccherebbe 
p.es
. gli aggiornamenti degli antivirus...(grande 
cazzata).
 
Al momento dunque Hosts batte Blacklist 1 a zero.
 
 

Rispondo qui sotto a edevils

Al momento temo che la blacklist del mio router faccia url filtering. 
Ora vado a vedere sul firewall del router.
Invece devo dire che salvo backdoor il firewall di windows funziona 
bene.
 
 

 Invece devo dire che salvo backdoor il firewall di windows funziona bene.
 
No, il firewall del mio Fritz non è di fatto configurabile (blocca 
tutto il non richiesto in ingresso, e se ne frega in uscita).
 
Almeno io ho capito così..
Tutte le info che ho trovato parlano delle cose in ingresso e del port 
forwarding, ma non dicono nulla in uscita.
 
Qualcuno che abbia un fritz mi può illuminare?
 
 

 forwarding, ma non dicono nulla in uscita.
 
la cosa ha pure senso, se chiudi l'ingresso per logica non serve 
proteggere l'uscita :-) Forse è anche un limite dello scarso hardware 
dei routers in genere. Altrimenti ti devi rivolgere ad un vero firewall.


 Altrimenti ti devi rivolgere ad un vero firewall.
 
Già ma avere 2 pc in cascata uno dei quali da usare come firewall (con 
iptables) lo trovo scomodo.
 
In ogni caso, al momento, direi che il firewall di windows lavori 
ancora in modo sufficientemente onesto.
 
 


 
 
 
 
Non credo
Credo occorra un buon router/firewall per queste cose
Anche per non inserire a manina uno per uno tutte le regole di filtro.
 
 

 Anche per non inserire a manina uno per uno tutte le regole di filtro.
 
Per fortuna accetta il copia/incolla
 
 

 in modo sufficientemente onesto.
 
sicuramente, ma resta il dubbio che MS possa avere delle corsie 
"preferenziali" per quello che riguarda i propri servizi.


 Al momento dunque Hosts batte Blacklist 1 a zero.
 
se fai un elenco di url e lo reindirizzi su 127.0.0.1 in cosa sarebbe 
diverso da una blacklist? Semmai una differenza puo' essere che un 
ipotetico malware che abbia un ip hard coded ignorerebbe semplicemente 
hosts e passerebbe tranquillamente (1 pari)
Inoltre, hosts risiede sulla stessa macchina che potrebbe essere 
infettata, e di conseguenza e' alla merce' del malware, lasciandoti 
solo con l'illusione di essere al sicuro. Gia' ci sono malware che, 
piu' in grande, ti aggiungono dei dns che "guidano" la tua navigazione.
Facciamo 1-2? ;-)

 "preferenziali" per quello che riguarda i propri servizi.
 
Appunto e a quel punto hosts serve a na pippa.

 Invece devo dire che salvo backdoor il firewall di windows funziona bene.
 
solo che essendo su una macchina vulnerabile, e' anche lui  
vulnerabile.
 
piu' sopra dicevi:
1-Host attivo e Blacklist disabilitata
2-Il contrario (host disabilitato e Blacklist attiva)
 
beh, perche' non usare entrambi? il loro campo di utilizzo non e' 
sovrapponibile al 100%
 
Pero' dovresti anche spiegare meglio cosa ti prefiggi di fare.

 Qualcuno che abbia un fritz mi può illuminare?
 
non so dirti per certo come funzioni "dietro" l'interfaccia web di 
configurazione.
Il fritz e' abbastanza completo, ma rimane un apparecchio domestico: 
per esempio hai la possibilita' di impostare un parental control per 
scegliere quando una determinata macchina puo' o meno raggiungere 
internet; anche le white list e black list credo siano da intendere in 
questo senso (e mi pare che la stessa AVM fornisca delle liste gia' 
confezionate...non so se a pagamento o meno), proprio con lo scopo di 
tutelare i minori filtrando determinati contenuti (porno ecc)
Oltre a questo hai la possibilita' di creare dei profili di accesso; 
sono gia' presenti quelli di default (sempre bloccato, sempre libero, 
ospite ecc) ma li puoi modificare\aggiungere
manca una vera e propria interfaccia di configurazione del firewall, ma 
cio' non significa che non ci sia. Il port forwarding, i filtri 
temporali o per black\white list non fanno altro che impostare 
determinate regole del firewall.
Ricordo (lo avevo fatto ai tempi del fritz 7140) che si poteva 
ricompilare il firmware aggiungendo parecchia roba, fra cui anche 
l'interfaccia "classica" per la configurazione del firewall.
Non ho piu' seguito l'argomento perche' per qualche motivo il sistema 
di compilazione non funzionava piu' con linux a 64bit e non avevo 
voglia di installare da qualche parte, anche virtualizzato, un *buntu a 
32 bit, ma credo si possa fare ancora su tutti i modelli
su 
http://www.vocesuip.com/
 dovresti trovare parecchie informazioni in 
merito

 se fai un elenco di url e lo reindirizzi su 127.0.0.1
...snip...
 
Per inciso, ho notato che il primo nome associato con 127.0.0.1 viene 
visto come DNS name per 127.0.0.1
Si può evitare premettendo una prima riga
127.0.0.1 127.0.0.1


Qualunque nome che piaccia va bene
Normalmente si mette:
127.0.0.1 localhost
 


 
Fortunato !!
 

 diverse)
 
Per carità, io non voglio bloccare proprio niente: il fatto è che non 
lo dico io, lo dice esplicitamente il manuale del mio fritz: se abiliti 
una blacklist automaticamente blocchi anche la navigazione verso 
indirizzi IP (probabilmente una cautela del parental control, cioè 
impedire al ragazzotto di aggirare l'url filtering inserendo l'IP del 
sito porno); avverte inoltre di mettere in eccezione alla blacklist 
quei pochi IP che ti interessano tra cui quello dell'antivirus (ma se 
l'antivirus ne usa 10 che faccio, non conioscendoli ne vado a caccia 
col lanternino?)
 
 

 "preferenziali" per quello che riguarda i propri servizi.
 
Per questo
 
 

Rispondo qui sotto a ArchiPit

Per questo usavo il termine "sufficientemente onesto", perchè ancora 
non ho la prova provata che faccia un trattamento di favore ai parenti 
stretti del patrigno nutella.
 
 

 su 
http://www.vocesuip.com/
 dovresti trovare parecchie informazioni in merito
 
Si, avevo già letto molto su quel sito e ogni tanto ci ritorno.
 
 

 Pero' dovresti anche spiegare meglio cosa ti prefiggi di fare.
 
Volevo cercare di mettere i siti microsoft da bloccare nel firewall del 
router, eliminando l'uso dell'hosts nel pc.
 
 

 Fortunato !!
 
:-)
 
 


 
 
Come chiunque con spirito critico dovrebbe avere.


 Facile aggiornare, molto difficile tornare indietro, impossibile moddare.
 
peccato...

 il programma. Devi sapere quali porte chiudere e verso quali ip.
 
Intendi dire che il port forwarding potrebbe funzionare anche in 
uscita?
 
Se cioè il programma xyz (che il router non può individuare) che vuole 
usare la porta 1234 verso l'IP 123.456.789.012 a me basterebbe dire 
"quello che ti viene sulla porta 1234 mandalo a un IP compatibile con 
la LAN magari inesistente?
 
Il problema è che non so affatto se il certo programma usa una porta 
sola e sempre quella.
 
Prendiamo il file Dashost.exe di Windows 8.1 che uso in questyo 
momento:
 
vedo con TcpView che ha 6 istanze, che usa 5 locla port diverse,
 
 

Rispondo qui sotto a ArchiPit
 
 

cacchio il mio mouse non funziona e fa partire i post casualmente...
Continuo:
 
vedo con TcpView che Dashost.exe ha istanze e che usa 5 porte locali 
diverse; ip e porte di destinazione non sono indicate.
 
Quindi non lo potrei bloccare.
 
Skype:
Vedo 8 istanze, di cui 4 con IP e porte di destinazione definiti ma 
tutti diversi. Non so se poi cambiano se chiudo skyupe e lo riapro 
(farò una prova).
 
 


Se un programma cambia spesso porta di destinazione (quella sorgente 
normalmente è sempre dinamica,,la assegna il kernel) l'unico modo per 
filtrare e' un patter recognition sul protocollo usato.
Ed esistono firewall che lo fanno.
 

 Ed esistono firewall che lo fanno.
 
Firewall seri, si, e magari almeno semiprofessionali.
 
Ma a me basta usare, magari a fondo, tutte le possibilità che un 
apparato casalingo può fornire.
Al peggio potrei usare il vecchio notebook con l'aggiunta di una 
seconda ethernet come firewall, ma come già detto considero la cosa 
molto scomoda e ingombrante.
 
 

 vedo con TcpView che ha 6 istanze, che usa 5 locla port diverse,
 
per questo temo che non si siano soluzioni semplici e certe.
La soluzione ideale credo comporti l'utilizzo di un firewall separato 
da tutto il resto oltre che la conoscenza dettagliata degli ip da 
bloccare.
Dato che il firewall di windows potrebbe anche ignorare certi ordini 
tuoi (per ubbidire a quelli di mamma microsoft), potresti anche provare 
ad installare un firewall di terzi (una volta c'era zone alarm, che poi 
e' diventato una specie di elefante; comodo firewall...e credo tanti 
altri; pero' per consigliartene uno devo passare la mano. Non ne uso da 
parecchi anni e non sono piu' aggiornato)

 con fw Amod che era una vera bomba.
 
Ma anche con l'ottimo AMOD, dovresti impostare ogni singolo IP a manina 
dall'interfaccia del firewall, e comunque non sapresti se hai davvero 
bloccato tutto quel che ti interessa, cioè tutte le connessioni che può 
aprire un'applicazione o il sistema operativo.
 
Se volessi fare quel che vuoi fare tu, credo che partirei da un firewall 
software di terze parti che mi segnala ogni connessione in ogni 
direzione. Partirei bloccando tutto e whitelistando i programmi 
conosciuti di cui mi fido o comunque necessari al funzionamento. Poi 
deciderei sulle nuove connessioni man mano che vengono segnalate, se 
whitelistare o bloccare. Comunque sarebbe un lavoraccio! :)
Però potrebbe essere interessante per provare a capire se e cosa combina 
Win10 anche dopo che sono state disattivate tutte le opzioni privacy.
 
 
p.s. Già che ci siamo, sai per caso come si resettano tutte le 
impostazioni del DGN3500 con AMOD? Il tastino reset su lato non pare 
avere effetto.

ArchiPit ha spiegato il 13/12/2015 :
 
vedo qui
http://www.fritzbox-forum.com/t5622p45-compilare-freetz-su-7490
 
che si puo' aggiungere iptables al fritz 7490
E' il tuo modello? Puo' andare come soluzione?

Rispondo qui sotto a Adriano
 
 

Sì, è il mio modello: grazie dell'informazione! ora vado a vedere.
 
Si tratterebbe di intervenire flashando un fw moddato, e la cosa non è 
semplice perchè il fritz è quasi un sistema chiuso.
Difficile si, ma non impossibile.
 
Grazie!
 
 

 avere effetto.
 
Come non detto. Ho risolto. Probabilmente sbagliavo qualcos'altro :)

 Grazie!
 
mhmmm....pare che Freetz non sia ancora sufficientemente a posto e con 
difficoltà di implementazione.
 
Mi viene voglia di scrivere a Avm e chiedere che Iptables venga 
inserito nel prossimo fw in modo nativo...
 
 

 Win10 anche dopo che sono state disattivate tutte le opzioni privacy.
 
Disattivarle tutte riduce di molto il traffico in uscita.
 
Comunque su win10 ci sono certi processi talmente insistenti che viene 
voglia di bruciare tutto con il lanciafiamme: salvo qualche caso 
particolare, ho bloccato quasi tutto il bloccabile e w10 sembra ora 
domato al 70%.
Ovviamente prima di bloccare in modo definitivo un processo, lo ho 
bloccato parecchie volte ognuna solo per qualche minuto per vedere se 
notavo malfunzionamenti.
 
Qualche settimana fa ho fatto anche un controllo sniffando con 
wireshark i pacchetti in uscita con o senza fw e hosts e ne ero uscito 
con un senso nel complesso positivo.
Senza firewall e hosts invece è un fuoco d'artificio....
 
 

 del DGN3500 con AMOD? Il tastino reset su lato non pare avere effetto.
 
eh?? Il mio dgn3500 il reset ce l'ha sul retro, non sul fianco...
 
Non ti posso aiutare perchè prima di mettere fuori linea il dgn3500 gli 
ho rimesso il fw originale, pur con tutte le rogne che ha.
 
 

 avere effetto.
 
in genere bisogna spegnere il router, premere il tastino di reset ed 
accendere, dopodichè si aspetta una 15ina di secondi e si rilascia.
 
-- 
Fri(END), Boyfri(END), Girlfri(END), Bestfri(END). Everything has an END 
except...Fam(ILY)! It Has 3 Letters that say I LOVE YOU

 prossimo fw in modo nativo...
 
a sapere che servirebbe ti darei supporto scrivendo anche io. Ma dubito 
che siano interessati ad ascoltare le richieste.

 siano interessati ad ascoltare le richieste.
 
Da quanto che ho letto, Avm mi sembra andare dritto per la sua strada e 
che chiuda sempre più ogni possibile modding.
Per dirne una il fritzOS 6.30 uscito a Luglio ha tolto anche il telnet.
 
Ok, per la sicurezza si fa tutto, ma vuoi mettere il divertimento a 
moddare tutto?
 
 

 tutto?
 
vero vero, ma se ci sono i sorgenti si possono compilare e caricare 
anche senza telnet, e grazie alla recovery di solito e' semplice anche 
tornare al firmware originale.

 firmware originale.
 
Proprio quello che vorrò fare quando avrò continuità di tempo e di 
voglia e se capirò di esserne capace.