Newsgroup: it.comp.sicurezza.windows
Titolo: router e DMZ

ciao
ho un pc dietro un router
devo necessariamente configurare una dmz per questo pc?

 devo necessariamente configurare una dmz per questo pc?
no

 devo necessariamente configurare una dmz per questo pc?
sarei quasi tentato di rispondere si, giusto per fare due risate ;)
comunque no, non lo devi fare. per dirla in termini semplici, metterlo 
in dmz vorrebbe dire che gli vengono girate *tutte* le richieste che 
vengono da internet senza alcun filtro. trattandosi (come immagino) di 
una macchina windows praticamente lo mandi al massacro.

devo necessariamente configurare una dmz per questo pc?
Con questi dati, l'unica risposta e': "dipende". E te ne fai pochino.
Che cosa vuoi che faccia, il PC?
Per la normale navigazione, posta, tric e trac, basta il normale "NAT".
Per cose come P2P (SkyPE, eMule, ecc.) ti puoi accontentare di un "port
forwarding"... dici al router che la porta 54321 deve essere forwardata
all'IP interno del tuo PC sulla porta 54321, e l'eventuale programma su
quel PC che usa quella porta "credera'" di essere direttamente esposto,
mentre il resto delle applicazioni non lo sono.
"DMZ" significa fare port forwarding di TUTTO, per cui ti funzioneranno
TUTTI i programmi che richiedono esposizione diretta: eMule, exploit di
ogni tipo, virus, worm, bestie di Satana, ...
...a quel punto ti tocchera' mettere un firewall, che richiuda le porte
aperte dalla DMZ sul router. Non e' meglio non aprirle nemmeno?
Per altre cose ancora, si ritorna al "dipende". E' un po' come chiedere
se e' meglio benzina, gasolio o GPL dicendo solo che "hai un'auto".
Leonardo
-- 
 What do you make, so fair and bright;
 What do you build with sails for flight;
 What do you weave with wool so white?

 devo necessariamente configurare una dmz per questo pc?
Con *un* (1) solo pc dietro ad un firewall/router, non e' 
applicabile il concetto di DMZ :-)
Fabio

 applicabile il concetto di DMZ :-)
sbagliato! normalmente in nat tutti i servizi *in entrata* sono chiusi 
e bisogna fowardare le porte a manina (anche con un solo pc).
se metti il pc in dmz gli abiliti tutti i servizi possibili in entrata, 
scavalcando di fatto il firewall (non sono più necessarie regole per 
fowardare le porte).


La DMZ e' una questione di topologia di rete e di separazione di aree a 
diverso livello di rischio, non di porte forwardate o meno. 
Nella fattispecie servirebbe per separare una LAN dietro al firewall da
un'altra LAN dietro allo stesso firewall. Ma se il pc e' solo uno [1] a
maggior ragione la LAN sara' solo una. Chi e' che separi da chi? :-)
Fabio
[1]  ipotizzando che quel pc abbia un solo indirizzo ip e che non abbia 
     macchine virtuali a bordo.

 maggior ragione la LAN sara' solo una. Chi e' che separi da chi? :-)
ha ragione, ne ho sparata una grossa ;-)

morph3us ha scritto:

no, non l'hai sparata: molti router hanno la spunta a "dmz" ma intendono il 
forward di tutte le porte verso un ip privato specificato
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Real Users know your home telephone number.

forward di tutte le porte verso un ip privato specificato
Su qualcuno la funzione si chiama "exposed host".
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

bio ha scritto:

concettualmente è vero, ma praticamente si può fare. col risultato 
paradossale che nella rete protetta non c'è nulla, ma tant'è...

rootkit ha scritto:

Comunque un post iniziale supergenerico e nessun intervento successivo 
del poster... sento puzza di troll.

si ma ad una dmz non si da accesso pieno dal mondo come sostenete ma
si abilitano solo determinati servizi su determinati ip, il default
accessi dovrebbe essere sempre deny any any, poi qualche apparato
invece lascia aperto tutto.

 intendono il forward di tutte le porte verso un ip privato specificato
Esatto, in genere si tratta di router di categoria "economica" o
comunque adatti ad utilizzo "SoHo" (domestico, piccola rete..)
in questo caso la cosiddetta funzione DMZ non è altro che la
possibilità di esporre in toto una determinata macchina interna
su internet bypassando totalmente il firewall e forwardando tutto
il traffico verso la macchina in questione
Altra cosa è una vera DMZ; in questo caso il firewall ha sempre
e comunque il controllo sul traffico e lo scopo della DMZ è quello
di isolare le macchine pubblicate su internet da quelle poste nella
rete protetta (LAN) pur permettendo il flusso del traffico tra le
tre zone (LAN, DMZ, WAN) ma sempre in base a regole di filtraggio
e/o forwarding impostate sul firewall e mai "in toto"
Tra l'altro, parlare di DMZ nel caso di un singolo firewall è errato,
in questo caso bisognerebbe parlare di "screened network"; dato
che pur essendo concettualmente simili la DMZ e la SN sono
diverse nell'implementazione; per chiarire
questa è una DMZ
WAN
|
firewall ext
|
DMZ
|
firewall int
|
LAN
e questa è una screened network
WAN
|
firewall -- DMZ
|
LAN
in pratica nel primo caso si usano due firewalls distinti, uno
che filtra il traffico da/verso l'interfaccia WAN e che è connesso
direttamente alla DMZ ed un altro che filtra il traffico da/verso
l'interfaccia LAN, anche questo connesso alla DMZ; questa,
essendo posta tra i due firewall può essere raggiunta (sempre
sottostando alle regole di filtraggio) sia dalla WAN che dalla
LAN passando attraverso i rispettivi firewalls
Nel secondo caso invece è come se inglobassimo in un unico
apparato i due firewalls visti nella configurazione precedente
questo unico apparato dovrà quindi gestire tutto il traffico
relativo alle tre zone ed anche in questo caso le tre zone
dovranno sempre sottostare alle regole di filtraggio
ciao