Newsgroup: it.comp.sicurezza.windows
Titolo: CHI PAcket Filter

Oggetto molto generico, domanda molto precisa...almeno spero!
Ho una piccola lan, server con win2kServer che fa da router e repository.
Ho installato il programma in oggetto perchè vorrei lasciare attive le porte
strettamente necessarie alla navigazione e allo scarico di posta e news.
I miei primi tentativi sono falliti, allora chiedo consiglio su come
lasicare abilitate le sole porte 25,80,110 e 119 per tutti i protocolli.
Inoltre dove posso trovare un elenco completo dei protocolli con relativi
codici da inserire sempre nello stesso prg?
Grazie a tutti in anticipo
ciao ciao
--
_________________________________
Penso tutto ciò che dico,
ma non sempre dico tutto ciò che penso !!

 codici da inserire sempre nello stesso prg?
Chiedo e ti so dire.
Ciao
Luca


Nel frattempo ho continuato a cercare di capire dove sbaglio, ti spiego
meglio cosa ho fatto.
Al momento mi sono limitato al TCP e a qualcosa di UDP, ovvero ho creato un
filtro sul "server" (che ahimè non ha niente di più di una connessione
analogica a 56 k a richiesta) che permette l'instradamento all'interno della
rete solo dei pacchetti tcp su le porte 25,80,110 e 119, ovvero:
Action type :deny
priority: normal
pkt direction: incoming
interface: any (ho provato anche connessione alla rete lan con gli stessi
risultati)
Protocol: tcp
pkt source: any
source port: any
pkt destination: range ip (ho indicato quello abilitato al dhcp interno
della rete, ip del server incluso)
destination port: not (defined port list)
any flags: checked
il risultato è che all'interno della rete effettivamente il server
distribuisce servizi solo sulle porte indicate, e con lo sniffer mi sono
cercato le porte e i protocolli da abilitare per le query dns (UDP porta
137) e dhcp UDP 67 e 68).
Tutto sembra funzionare, ma correggimi se sbaglio, io così ho parato il popò
solo ai pc interni, ma il server è ancora esposto, no?
Ho cercato di creare allora un regola simile che però agisca dai pacchetti
che provengono da internet, ma il primo problema è indicargli la connessione
giusta, non sempre il pc è collegato, ma anche quando lo è se chiedo di
accettare i dati solo sulle porte prestabilite le regole vanno in conflitto,
ovvero rete interna bloccata e server che una volta connesso non "naviga".
Suggerimenti in merito al mio operato?

 che provengono da internet, ma il primo problema č indicargli la connessione
Prova a specificare 0.0.0.0 nel binding del filtro con la sola 
connessione dialup.
Qui di seguito gli IP proto numbers:
Decimal    Keyword     Protocol                         References
-------    -------     --------                         ----------
      0     HOPOPT      IPv6 Hop-by-Hop Option            [RFC1883]
      1     ICMP        Internet Control Message           [RFC792]
      2     IGMP        Internet Group Management         [RFC1112]
      3     GGP         Gateway-to-Gateway                 [RFC823]
      4     IP          IP in IP (encapsulation)          [RFC2003]
      5     ST          Stream                    [RFC1190,RFC1819]
      6     TCP         Transmission Control               [RFC793]
      7     CBT         CBT                             [Ballardie]
      8     EGP         Exterior Gateway Protocol     [RFC888,DLM1]
      9     IGP         any private interior gateway         [IANA]
                        (used by Cisco for their IGRP)
     10     BBN-RCC-MON BBN RCC Monitoring                    [SGC]
     11     NVP-II      Network Voice Protocol         [RFC741,SC3]
     12     PUP         PUP                             [PUP,XEROX]
     13     ARGUS       ARGUS                                [RWS4]
     14     EMCON       EMCON                                 [BN7]
     15     XNET        Cross Net Debugger            [IEN158,JFH2]
     16     CHAOS       Chaos                                 [NC3]
     17     UDP         User Datagram                  [RFC768,JBP]
     18     MUX         Multiplexing                    [IEN90,JBP]
     19     DCN-MEAS    DCN Measurement Subsystems           [DLM1]
     20     HMP         Host Monitoring                [RFC869,RH6]
     21     PRM         Packet Radio Measurement              [ZSU]
     22     XNS-IDP     XEROX NS IDP               [ETHERNET,XEROX]
     23     TRUNK-1     Trunk-1                              [BWB6]
     24     TRUNK-2     Trunk-2                              [BWB6]
     25     LEAF-1      Leaf-1                               [BWB6]
     26     LEAF-2      Leaf-2                               [BWB6]
     27     RDP         Reliable Data Protocol         [RFC908,RH6]
     28     IRTP        Internet Reliable Transaction  [RFC938,TXM]
     29     ISO-TP4     ISO Transport Protocol Class 4 [RFC905,RC77]
     30     NETBLT      Bulk Data Transfer Protocol    [RFC969,DDC1]
     31     MFE-NSP     MFE Network Services Protocol  [MFENET,BCH2]
     32     MERIT-INP   MERIT Internodal Protocol             [HWB]
     33     SEP         Sequential Exchange Protocol        [JC120]
     34     3PC         Third Party Connect Protocol         [SAF3]
     35     IDPR        Inter-Domain Policy Routing Protocol [MXS1]
     36     XTP         XTP                                   [GXC]
     37     DDP         Datagram Delivery Protocol            [WXC]
     38     IDPR-CMTP   IDPR Control Message Transport Proto [MXS1]
     39     TP++        TP++ Transport Protocol               [DXF]
     40     IL          IL Transport Protocol            [Presotto]
     41     IPv6        Ipv6                              [Deering]
     42     SDRP        Source Demand Routing Protocol       [DXE1]
     43     IPv6-Route  Routing Header for IPv6           [Deering]
     44     IPv6-Frag   Fragment Header for IPv6          [Deering]
     45     IDRP        Inter-Domain Routing Protocol   [Sue Hares]
     46     RSVP        Reservation Protocol           [Bob Braden]
     47     GRE         General Routing Encapsulation     [Tony Li]
     48     MHRP        Mobile Host Routing Protocol[David Johnson]
     49     BNA         BNA                          [Gary Salamon]
     50     ESP         Encap Security Payload for IPv6   [RFC2406]
     51     AH          Authentication Header for IPv6    [RFC2402]
     52     I-NLSP      Integrated Net Layer Security  TUBA [GLENN]
     53     SWIPE       IP with Encryption                    [JI6]
     54     NARP        NBMA Address Resolution Protocol  [RFC1735]
     55     MOBILE      IP Mobility                       [Perkins]
     56     TLSP        Transport Layer Security Protocol   [Oberg]
                        using Kryptonet key management
     57     SKIP        SKIP                              [Markson]
     58     IPv6-ICMP   ICMP for IPv6                     [RFC1883]
     59     IPv6-NoNxt  No Next Header for IPv6           [RFC1883]
     60     IPv6-Opts   Destination Options for IPv6      [RFC1883]
     61                 any host internal protocol           [IANA]
     62     CFTP        CFTP                            [CFTP,HCF2]
     63                 any local network                    [IANA]
     64     SAT-EXPAK   SATNET and Backroom EXPAK             [SHB]
     65     KRYPTOLAN   Kryptolan                            [PXL1]
     66     RVD         MIT Remote Virtual Disk Protocol      [MBG]
     67     IPPC        Internet Pluribus Packet Core         [SHB]
     68                 any distributed file system          [IANA]
     69     SAT-MON     SATNET Monitoring                     [SHB]
     70     VISA        VISA Protocol                        [GXT1]
     71     IPCV        Internet Packet Core Utility          [SHB]
     72     CPNX        Computer Protocol Network Executive  [DXM2]
     73     CPHB        Computer Protocol Heart Beat         [DXM2]
     74     WSN         Wang Span Network                     [VXD]
     75     PVP         Packet Video Protocol                 [SC3]
     76     BR-SAT-MON  Backroom SATNET Monitoring            [SHB]
     77     SUN-ND      SUN ND PROTOCOL-Temporary             [WM3]
     78     WB-MON      WIDEBAND Monitoring                   [SHB]
     79     WB-EXPAK    WIDEBAND EXPAK                        [SHB]
     80     ISO-IP      ISO Internet Protocol                 [MTR]
     81     VMTP        VMTP                                 [DRC3]
     82     SECURE-VMTP SECURE-VMTP                          [DRC3]
     83     VINES       VINES                                 [BXH]
     84     TTP         TTP                                   [JXS]
     85     NSFNET-IGP  NSFNET-IGP                            [HWB]
     86     DGP         Dissimilar Gateway Protocol     [DGP,ML109]
     87     TCF         TCF                                  [GAL5]
     88     EIGRP       EIGRP                           [CISCO,GXS]
     89     OSPFIGP     OSPFIGP                      [RFC1583,JTM4]
     90     Sprite-RPC  Sprite RPC Protocol            [SPRITE,BXW]
     91     LARP        Locus Address Resolution Protocol     [BXH]
     92     MTP         Multicast Transport Protocol          [SXA]
     93     AX.25       AX.25 Frames                         [BK29] 
     94     IPIP        IP-within-IP Encapsulation Protocol   [JI6]
     95     MICP        Mobile Internetworking Control Pro.   [JI6]
     96     SCC-SP      Semaphore Communications Sec. Pro.    [HXH]
     97     ETHERIP     Ethernet-within-IP Encapsulation  [RFC3378]
     98     ENCAP       Encapsulation Header         [RFC1241,RXB3]
     99                 any private encryption scheme        [IANA]
    100     GMTP        GMTP                                 [RXB5]
    101     IFMP        Ipsilon Flow Management Protocol   [Hinden]
    102     PNNI        PNNI over IP                       [Callon]
    103     PIM         Protocol Independent Multicast  [Farinacci]
    104     ARIS        ARIS                              [Feldman]
    105     SCPS	       SCPS				   [Durst]
    106 	   QNX	       QNX				  [Hunter]
    107	   A/N	       Active Networks                    [Braden]
    108	   IPComp      IP Payload Compression Protocol   [RFC2393]
    109	   SNP	       Sitara Networks Protocol          [Sridhar]
    110	   Compaq-Peer Compaq Peer Protocol                [Volpe]
    111	   IPX-in-IP   IPX in IP		  	     [Lee]
    112     VRRP	       Virtual Router Redundancy Protocol [Hinden]
    113     PGM         PGM Reliable Transport Protocol  [Speakman]
    114                 any 0-hop protocol                   [IANA]
    115	   L2TP        Layer Two Tunneling Protocol        [Aboba]
    116     DDX	       D-II Data Exchange (DDX)           [Worley]
    117	   IATP      Interactive Agent Transfer Protocol  [Murphy]
    118     STP         Schedule Transfer Protocol            [JMP]
    119     SRP	       SpectraLink Radio Protocol       [Hamilton]	
    120     UTI	       UTI				[Lothberg]	
    121     SMP	       Simple Message Protocol            [Ekblad]
    122	   SM		SM			       [Crowcroft]
    123	   PTP         Performance Transparency Protocol   [Welzl]
    124     ISIS over IPv4			      [Przygienda]
    125     FIRE					       [Partridge]
    126	   CRTP		Combat Radio Transport Protocol  [Sautter]
    127	   CRUDP	Combat Radio User Datagram	 [Sautter]
    128     SSCOPMCE					   [Waber]
    129     IPLT						[Hollbach]
    130     SPS         Secure Packet Shield             [McIntosh]
    131     PIPE   Private IP Encapsulation within IP       [Petri]
    132     SCTP   Stream Control Transmission Protocol   [Stewart]
    133     FC     Fibre Channel                        [Rajagopal]
    134     RSVP-E2E-IGNORE                               [RFC3175]
    135     Mobility Header 
[RFC-ietf-mobileip-ipv6-24.txt]
    136-254             Unassigned                           [IANA]
    255                 Reserved                             [IANA]
Ciao
Luca

....[cut]
Ok, grazie per la lista, è quella che cercavo e in questo momeneto è in
stampa.
Per la connessione dial-up...questa mi compare solo dopo aver effettuato
realmente una "telefonata" al mio isp sotto il nome di wan ppp ecc.... e un
mac address molto piccolo.
Quindi la regola mi resta valida solo per la connessione corrente, e
soprattuto è definibile solo dopo la "telefonata"!!!
Sarà perchè la connessione avviene con il routing e accesso remoto di win2k
sp3?
Ci sono alternative più semplici per un principiante come me per poter
arrivare al mio scopo?
Di nuovo grazie.

 mac address molto piccolo.
Cioe' nella CHX-I Management Console non vedi l'interfaccia dialup? 
Dovrebbe essere mostrata insieme con quella/e di rete.
Sotto a Packet Filters (Global) cosa vedi?
Ciao
Luca

Scusa l'intromissione Luca ma se non ricordo male
dovrebbe bastare azzerare le regole e quindi immettere
solo le regole allow, questo significa che per default tutto
quello che non è in allow sarà in deny; il succo della cosa
è che se (ad esempio) creo una regola tipo...
allow: local anyport/LAN_IPs remote 25/tcp
le connessioni a servers SMTP remoti saranno permesse
ma tutte le altre bloccate ... sempre che la memoria non mi
inganni ... :-)


Prima di connettermi per la prima volta dall'accensione del server ci trovo
la scheda di rete, gli hidden filters e gli inactive filters.
Dopo la prima connessione ci trovo anche WAN(PPP/SLIP) Interface (MAC: 0 53
45 0 0 0)
che suppongo indichi il modem.
Inoltre ho riscontrato un problema con la regola che ti ho descritto nei
post precedenti, ovvero riesco a navigare solo sui i siti residenti sul
server, se punto al di fuori della lan ottengo un time-out.
Io che volevo una soluzione elegante e flessibile!! Mi sa che fino alla fine
sarò costretto a ripiegare sui classici firewall software che fanno tutto da
soli senza la possibilità di imparare niente di buono!

 è che se (ad esempio) creo una regola tipo...
Si, infati e' cosi'. Ma quello che risponde Iw7 (dopo il tuo post) e' 
che non vede l'interfaccia WAN nel CHX-I fino al primo utilizzo da parte 
del RRAS, per cui non riesce ad impostare regole sulla stessa.
Mi informo.
Ciao
Luca

Aspetto imapzientemente info inpropostio.....
Cmq grazie per l'attenzione!!

 mac address molto piccolo.
Se imposti la regola durante la connessione, dovrebbe rimanere anche per le
connessioni successive. Esattamente cosa succede?
Ciao
Luca


Succede che ho già provato a fare così, ma se ritrovo la regola impostata,
questa è settata o su "any" oppure sulla sk di rete del server.
In questi giorni sarò un po' occupato, ma appena mi libero ricomincio a
combattere, anche perchè devo installare l'SP4, e a dir la verità non so se
provare argosoft come server di posta, al momento uso Hamster.
Ti rigrazio per l'interessamento, magari se riesco a risolvere ti faccio
sapere come, ok?
Ciao ciao

> provare argosoft come server di posta, al momento uso Hamster.
Hmm prova questo ... 
http://www.mailenable.com/
 la versione
standard č free e funziona piuttosto bene ... in alternativa c'č
sempre Mercury/32 che va benone (anche questo free) e che
trovi su 
http://www.pmail.com/
Ciao


ok, vedo di scricarli subito.
Grazie e alla prossima