Newsgroup: it.comp.sicurezza.windows
Titolo: Come permettere l'accesso solo a due siti?

Ciao
Questo e' il problema.
Ho un PC con Windows 95 collegato ad un router ISDN e ad un modem analogico.
Il router ISDN si collega ad una rete privata per accedere ad un web server
privato.
Il modem analogico invece si collega ad Internet (solo per poter accedere
per pochi minuti alla volta ad un altro sito pubblico).
Quello che vorrei sapere e' se e come poter permettere l'accesso
esclusivamente a due siti: quello privato raggiungibile tramite il router e
quello pubblico raggiungibile via modem.
Grazie
Gio
-- 
-----------------------------------------------------
Protect yourself from spam, use 
http://sneakemail.com

 
con un firewall opportunamente configurato.

 con un firewall opportunamente configurato.
un firewall non impedirebbe di visualizzare tutti i siti hostati da quel
server.
visto che il sito e' uno solo tanto vale farne un mirror locale aggiornato
ogni x giorni: si spende di meno, e' piu' veloce e non ci sono buchi di
sorta.
-- 
per leggere e postare su free.it.*:
http://infofreeit.altervista.org/polacco.zip


se io sono l'amministratore del fw *dall'interno* decido chi accede, a
cosa, dove e quando... 


 cosa, dove e quando...
Con un packet filter semplice non saresti in grado di farlo.
Queste cose richiedono firewall che sanno leggere il protocollo HTTP
e discernere gli host header nane delle richieste GET e POST.
Saluti.

 cosa, dove e quando... 
ti chiarisco l'idea:
puoi dire al fw "ammetti da/verso 
ildp.pluto.linux.it
 porta web e droppa
il resto"; il fw risolve 
ildp.pluto.linux.it
 in 81.25.96.12 e la regola
diventa "ammetti tutto il traffico da/verso 
81.25.96.12:80
 e droppa il
resto". fin qui tutto bene..
peccato che su 81.25.96.12 siano hostati altri N siti che non desideriamo
e che a livello 4 il fw non capisca la differenza.


 router e quello pubblico raggiungibile via modem.
Servirebbe qualche dato in piu', e.g. quali sono i DNS usati o se il
sito pubblico sia un virtual host assieme ad altri sul medesimo IP, ed
anche se stai considerando un computer che deve poi comunicare con altri
pc in rete.
Un modo per procedere puo' essere (considerando il modem analogico
connesso al pc e l'assenza di comunicazione LAN con altri pc) :
==
1. Elimini la risoluzione DNS e imposti le associazioni nomi-host/IP 
   relative alle pagine dei 2 siti tramite file HOSTS.
==
2. Disabiliti l'uso del gateway predefinito nelle proprieta' TCP/IP di
   entrambe le connessioni e crei un batch (da mettere in esecuzione
   all'avvio) che, tramite il comando route, imponga gli instradamenti.
==
3. Tramite POLEDIT definisci le restrizioni d'uso, facendo attenzione a
   crearti cmq prima una copia di backup del registro, in modo che 
   l'utente locale predefinito (quello che si ha in fase di avvio) non
   possa modificare le impostazioni TCP/IP e il file HOSTS.
Se fornissi ulteriori dettagli potremmo peraltro indicare una soluzione
magari piu' adeguata al tuo caso.
-- 
|Ż \/Ż | /Ż\ /Ż__/Ż__|-<|> 
http://planynet.hypermart.net/fastweb
 <|
|Ż|\/|Ż|/Ż_Ż\|(__\__ \-<|> * FAQ 1.5 ITGF it.tlc.gestori.fastweb <|
|_|  |_/_/ \_\___|___/-<|> * SITO: 
http://planynet.hypermart.net
 <|
|>Togli/Remove .INVALID<|> * SITO: 
http://plany.fasthosting.it
 __<|

Ciao Macs
Ecco ulteriori dettagli:
- il PC non e' connesso in rete con altri PC
- Il PC ha una scheda di rete, collegata al router, e il protocollo TCP e'
configurato cosi'
IP 
172.17.1.210/255.255.255.240
GATEWAY 172.17.1.209
DNS: disattivato
- al sito web privato collegato via router ISDN si accede con
http://172.17.1.2
- il sito pubblico (l'unico a cui voglio permettere l'accesso) ha indirizzo
http://193.111.71.53
Pensi che potrei impedire la navigazione su altri siti disabilitando la
risoluzione DNS? Come faccio? Imposti come DNS un indirizzo IP che non
appartiene a un DNS server?
Tra l'altro visto che posso accedere ai due siti direttamente con il loro IP
non dovrei nemmeno impostare il file HOSTS.
Eventualmente mi spieghi come potrei applicare anche le tue soluzioni n° 2 e
3?
Grazie mille
Giovanni
-----------------------------------------------------
"Macs" <maxs...@despammed.com.INVALID> wrote in message
news:3FC550B6...@despammed.com.INVALID...


> temp1.bat
call temp1.bat
del temp1.bat
del temp2.bat
del temp.txt
del junk
del %temp%\winipcfg.out
route ADD 193.111.71.53 MASK 255.255.255.255 %IP%
************************************************************************
E' sufficiente che questo script sia lanciato subito dopo l'avvio della
connessione modem, in modo da aggiornare la routing table ad ogni
variazione dell'indirizzo IP dell'interfaccia WAN sulla connessione PPP.
Sta a te poi decidere se mantenerne manuale l'esecuzione o associarla al
lancio della connessione modem.
Per quanto riguarda POLEDIT e' sufficiente che tu lo ritrovi tra la
cartella dei Tools del tuo CD di Windows95 \admin\apptools\poledit. Puoi
sempre scaricarlo comunque dal sito Microsoft/sezione Downloads. Trovi
istruzioni per installarlo/usarlo su:
==
- 
http://www.windowsnetworking.com/j_helmig/polediti.htm


 n° 2 e 3?
Andando per ordine, nella connessione PPP tramite modem, disabiliti 






************************************************************************
@echo off





call temp1.bat





-- 


Macs wrote:
[snip di cose varie]
Winipcfg non esiste su NT, XP, 2000 e 2003.
E, francamente, con le policy di AD si puň fare molto di meglio.
Perchč sino a quando non impedisci (anche all'amministratore locale)
di spippettare con i parametri del TCP/IP tutto quell'ambaradan di script
non serve a nulla.
Ti ricordo che pure su "Mani di Fata" c'č la rubrica
"Tutti i segreti di Windows - TCP/IP per casalinghe".....
con dentro le istruzioni per taroccare le Policy d Win9X....
Ci vogliono soluzioni ben piů robustelle.
Saluti.

Ci vogliono soluzioni ben più robustelle.
Xchè non provi Kerio Personal Software 2.1.5, con Win95 dovrebbe
funzionare e dare risultati egregi. Non ti protegge da tutti i buchi
di S.O. e affini (Internet Explorer, OutLook Express etc.) , ma è un
buon inizio.
Xchè Win95?

 Ci vogliono soluzioni ben piů robustelle.
Tieniti queste battutine per altre persone ;) = pienamente d'accordo che
esistano strumenti decisamente migliori, sia su piattaforma Win32 che
Linux/Unix-like, ma la richiesta di Gio era chiara -> rispondergli
"Butta via Windows95 e metti Linux" era decisamente troppo scontato, sia
perche' l'avrebbe trovata anche ricercando tra i vecchi post sia perche'
non risolveva immediatamente la sua situazione.


 Ci vogliono soluzioni ben piů robustelle.
Correttissimo, ma prima ci vogliono soluzioni ed immediate = una volta
che Gio ha risolto la sua esigenza attuale (con lo script e poledit), ha
tutto il tempo per studiare/realizzare il passaggio a Win32 NT-based o
Linux/*Nix-like. Passaggio che deve tenere conto delle applicazioni che
girano su quella macchina = non sappiamo se il mantenimento di Windows95
come OS su tale macchina non sia e.g. dovuto all'esigenza di una
particolare applicazione DOS, che non digerisca la modalita' compatibile
di XP (n.d.r. questa e' una supposizione = solo Gio puo' chiarire).


Ciao
Su questo computer c'e' Windows 95 perche' e' un vecchio Pentium ~166MHz
Olivetti con 16 MB ram.
In effetti non ci girano altre applicazioni oltre ad Internet Explorer 5, il
computer serve solo per navigare sui due siti citati. Potrei valutare in
futuro di metterci Linux, quando ne sapro' qualcosa di piu'.
L'esigenza primaria della mia richiesta, siccome questo PC deve essere
utilizzato da varie persone solo per navigare su quei due siti, e' di
impedire che qualunque utente, sfruttando la connessione a Internet con
Tiscali,  possa navigare su altri siti.
Se poi potessi impedire addirittura la modifica o la creazione delle
connessioni di Accesso Remoto sarei a posto; lo posso fare sempre con
Poledit vero?
Macs, la tua soluzione con il batch da eseguire al momento della connessione
via modem, forse mi impedisce di navigare sul sito privato finche' non
eseguo la connessione ad Internet e quindi il batch stesso, visto che mi hai
detto di togliere il gateway. Volevo chiarire che il PC e' acceso 24h/24 e
collegato via browser al sito privato, mentre la connessione ad Internet
verra' effettuata solo per alcuni minuti durante l'arco della giornata per
collegarsi al sito pubblico.
E Kerio a cosa mi potrebbe servire? Non vorrei poi che, vista la poca RAM a
disposizione, il PC si rallentasse ulteriormente.
Grazie per le risposte!
Gio
-- 
-----------------------------------------------------
Protect yourself from spam, use 
http://sneakemail.com
"Macs" <maxs...@despammed.com.INVALID> wrote in message
news:3FC846CC...@despammed.com.INVALID...


 ti e' sfuggito).
Vero. Chiedo scusa.
Nel particolare caso non esistono altre soluzioni percorribili.
--
Saluti e salute a tutti.
________________
Gabriele Del Giovine [Microsoft MVP] - Windows 2000 - Windows NT 4.0
- Le informazioni fornite in questo messaggio sono fornite
  senza vincolo di garanzia e senza responsabilità alcuna

 RAM a disposizione, il PC si rallentasse ulteriormente.
Infatti non ti conviene = applica ora questa soluzione tampone, e valuta
poi eventualmente le 2 soluzioni che ti ho indicato sopra.
