Newsgroup: it.comp.sicurezza.windows
Titolo: Un Pc per internet e LAN contemporaneamente

Situazione: lan da 50 Pc, e cinque macchine esterne che vanno in
internet tramite adsl e router Telecom.
La necessità è quella di dotare cinque Pc della LAN ad uscire in
Internet.
Per questo pensavo di adottare due schede di rete per ogni Pc preposti a
questo scopo.
La cosa che mi preoccupa è la sicurezza: i Pc sono Windows NT, 2000 e
XP, può bastare un firewall free, tipo ZoneAlarm o Sygate a garantire
un'alta sicurezza? Vorrei evitare che dall'esterno si possa accedere
alla rete interna, attraverso proprio uno di questi cinque Pc.
Altre soluzioni o accorgimenti?
Grazie mille!
-- 
Gregor







Internet.
Scusa, non mi e' chiara una cosa: le cinque macchine che vanno in Internet
sono le stesse cinque di cui parli subito dopo?
Se si', l'unica necessita' e' quella di navigare (posta, ecc.), non devono
offrire servizi ad utenti esterni?
Se si' anche questa, la configurazione che gia' hai va bene (e' per questo
che penso di non aver capito), e la seconda scheda di rete (con, immagino,
IP pubblico) sarebbe solo un rischio in piu'.
Ti rimane da sistemare, piu' che il firewall, un antivirus tosto, cosi' da
essere sicuro che su quei PC non arrivi (su richiesta inconsapevole di uno
degli utenti) qualcosa in grado poi di aggirarsi per la rete. Il firewall,
dietro un NAT, ti serve relativamente: giusto per renderti conto se avessi
traffico strano uscente. Ma non dovresti averlo, perche' gli "originatori"
sono le vittime designate dell'antivirus.
Un'altra idea che potresti considerare, in aggiunta, e' un proxy dotato di
capacita' di filtro e logging, su una macchina dedicata. Questo impedisce,
unitamente ad una configurazione opportuna del router, che si possano fare
connessioni strane dall'interno; o almeno, limita il rischio.
Poi molto dipende anche da chi usera' quei PC e per farci che cosa.
Leonardo
-- 
In nessun caso Microsoft, o i suoi fornitori, saranno responsabili per
[...] omissione di rispetto di obblighi, incluso quello di comportarsi
in buona fede o ragionevole diligenza
                                     -- Contratto di Licenza Microsoft

 IP pubblico.
Quindi userei uno solo dei 5 ip pubblici forniti da Telecom?
Grazie.
--
--
Gregor
Inviato da 
www.mynewsgate.net

 Per favore, non mandare n copie dello stesso articolo, abbiamo capito!
Ovviamente la cosa non è stata volontaria :(
Sarà stato un problema di connessione!
Sorry per l'accaduto!


 Leonardo
Grazie per le dritte!


 Quindi userei uno solo dei 5 ip pubblici forniti da Telecom?
Si'.
O meglio, puoi scegliere tu.
Ma l'uso di enne indirizzi pubblici ha senso solo se DEVI offrire
servizi all'esterno, e in quel caso, el macchine che offrono dei
servizi NON devono stare in LAN, ma in un ramo di rete con diritti
limitati chiamato DMZ.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Solo navigazione e al massimo posta elettronica tramite client (o via web).
Allora NON hai bisogno di indirizzi esterni, devi solo istruire il
router (se ne e' in grado) a lasciar passare SOLO quelle cinque
macchine.
Se il router non lo puo' fare, si inserisce tra il router e la rete
un firewall, che fara' il lavoro sporco.


 limitati chiamato DMZ.
Chiaro!
Grazie!


 un firewall, che fara' il lavoro sporco.
Ok.
Tnx!


Non sono un commerciale...
Buon per te :-) -- Roberto si riferiva al fatto che spesso ti vendono dei
pacchetti di IP pubblici, di cui non avresti bisogno; e, per farti vedere
che dopotutto ne avevi bisogno, li usano dove non servono, e magari fanno
danni.
A questo punto, gia' che ci sei darei un'occhio al router, tante volte lo
avessero lasciato configurato con le password di default (succede).
Leonardo
-- 
Microsoft divulghera' le tue informazioni personali senza previa notifica,
se richiesto per legge o nella ferma convinzione che tale azione sia
necessaria per [...] proteggere e difendere i diritti [...] di Microsoft.
                             Accordo di Licenza di Microsoft Messenger 6.1

 avessero lasciato configurato con le password di default (succede).
Ok.


 macchina perché deve offrire dei servizi
No no, nulla di tutto ciò.
P.S: ti faccio un regalo: 
http://barzellette.supereva.it/
 mi sembri troppo
serio :-P


Ma pare che non sia stato previsto :(
Con quello che gira ormai su Internet, mi stupisco abbastanza che quei PC
non si sian farciti di un po' di tutto. Gli antivirus non possono fermare
exploit come RPC/DCOM, al massimo inchiodano il verme dopo che e' entrato
e si e' fatto riconoscere (se il verme non inchioda loro, come succede in
alcuni casi).
Sei personalmente sicuro dello stato di salute di quei PC, si'?


 Sei personalmente sicuro dello stato di salute di quei PC, si'?
Indagherò.
Grazie delle info!


 Vabbč dai, spera di non sbagliare a digitare, sennň mi piomberň sul tuo
Vabbe', ma allora te le cerchi: :-)
Piombare su qualcosa.
Buttarsi su qualcosa.
Non TI piombi su, ti butti su, o piombi su.
Oh, scherzo, eh?


 con l'IP pubblico (uno di quei cinque...)?
Esatto.
Oppure potrebbe anche avere un ip privato, se non deve offrire
servizi all'esterno, basta il nat del router.


> ramo di rete con diritti limitati chiamato DMZ.
Esatto, quindi se pensi di dover pubblicare ora
o in futuro dei servizi su internet come ad esempio
un mailserver, un webserver o quant'altro sarà
opportuno configurare già dall'inizio IPCop in
modo da gestire una "screened network" (DMZ
se preferisci) per fare ciò avrai bisogno di
un'ulteriore scheda di rete per cui il "diagramma"
di cui sopra diverrà
Internet
|
router adsl
|
nic#1
IPCop-nic#3---switch--DMZ
nic#2
|
switch
|
LAN
ed a questo punto la DMZ ospiterà tutte le macchine
che dovranno offrire servizi sia verso la LAN sia verso
internet (mailserver, DNS, webserver, ftp ...)
Ciao

 Oh, scherzo, eh?
:-P
Mi "piomberò" anche "su" di te allora :)


 Si, esatto; una cosa del tipo ...
Grazie ObiWan, molto preciso!
