Newsgroup: it.comp.sicurezza.windows
Titolo: Porte e router

Buon giorno a tutti.
Scusate l'oggetto un po' vago ma non ci capisco piu' nulla.
La mia configurazione e' la seguente:
WinXP e router USR 9105 configurato con virtual servers e port triggering
per quei 2 o tre servizi che mi servono e che sono
porta 21 per FTP, porta 80 per il web (la macchina fa da server web), porta
5xxx per VNC e porta 7xxx per P2P.
Ieri leggo su Pc Professionale un articolo sul Upnp dei router e, non
sapendo se il mio router e' compatibile con tale funzione, provo a far
andare MSN Messanger per avere conferma che non puo' funzionare visto che le
porta che userebbe non e' stata configurata (seguendo anche le indicazioni
dell'articolo avrei dovuto "vedere" il tentativo di utilizzo di una porta
non aperta)
E invece, come potete immaginare, funziona.
Controllando con ActivePorts MSN mi funzionava su una porta tipo 5184.
Allora mi e' crollato il mio castello di conoscenze ed eccomi da voi nel
tentativo di avere chiarezza sul perche' quell'applicativo funziona quando,
secondo me, non avrebbe dovuto funizonare.
Grazie per l'attenzione!!!
With best regards, Next.  E-mail: 
nospa...@gemel.it


La porta e' forse (e dico forse) chiusa dall'esterno per le nuove connessioni, ma
a quanto pare "dall'interno" si puo' uscire e attivare una connessione.
Prima di tutto prova ad andare su un sito tipo 
www.grc.com
 e prova a fare il
test "Shields up".
Dove ci sono i "Shields up services" trovi da cliccare: Common Ports, All service
ports ecc... (In ogni caso fai questi test che non fa mai male) e
User Specified Custom Port Probe.
Nel box in bianco puoi scrivere la porta che ti interessa testare.
Metti la 5184 (o quella che dovrebbe essere corretta per l'MSN)
Clicca su User Specified Custom Port Probe.
La risposta deve essere: Stealth
Se cosi' e' almeno la prima parte va bene.
Se invece ti dice che e' Closed non e' il massimo, perche' e' chiusa ma rilevabile,
mentre se e' Open e' un disastro, visto che dall'esterno possono avviare una
connessione al tuo pc.
A questo punto devi capire come bloccare l'uscita "dall'interno" per quella porta,
ma come fare con il tuo router non so, visto che non lo conosco.
Ricorda che c'e' una enorme differenza tra porte aperte dall'esterno per raggiungere
server interni, e servizi che funzionano dall'interno della rete verso l'esterno.

 funzionano dall'interno della rete verso l'esterno. 
 
Approfitto per chiedere qualche delucidazione:
Testando con 
grc.com
 mi risultano 4 porte nascoste e le altre chiuse.
Mi avverte che le porte chiuse sono pericolose e andrebbero nascoste.
Ora io di queste cose mastico il minimo indispensabile per cui mi sono 
fatto aiutare da un amico e adesso mi ritrovo con la seguente 
configurazione:
1 PC con Linux RH 9 collegato a un router zyxel 645R
lo stesso PC collegato a uno switch a cui sono collegati gli altri 4 pc 
di casa tre con win 2k e 1 con XP.
Antivirus AVg, AdAware, Spybot e Kerio (aggiornati ogni sempre) su 
tutti i PC Windows
Posso ritenermi sufficientemente protetto o devo impiegare qualche 
altro accorgimento?
Nel caso fosse necessario nascondere alcune porte, dove posso trovare 
un how-to?
Nel caso fosse necessario nascondere alcune porte quali sono le più 
delicate? Recherei problemi alla mia rete Lan?
Grazie a chi avrà la cortesia di rispondermi o di linkarmi.
-- 
*Gelo rigentem quidam, anguem in sinu fovit*


Data la configurazione della tua rete devi fare in modo che il router faccia
da firewall, visto che con la rete configurata in quel modo non hai un vero
e proprio firewall.
Non so se hai la possibilita' di intervenire sul router, nel caso potessi modificare
la configurazione il minimo indispensabile e' non rispondere ai tentativi di connessione
esterni, dicendo al router di non rispondere ai pacchetti tcp che vogliono aprire
una connessione.
Vai su 
google.it
 e scrivi Flag Syn in questo modo capirai bene cosa intendero' adesso.
Devi dire al router che:
"Se dall'esterno ricevi un pacchetto con il flag syn non devi rispondere"
Quando qualcuno tenta di connettersi a un altro pc (qualunque porta tcp).
Invia un pacchetto che ha attivo solo il flag syn.
Il flag syn da solo e' attivo solo in caso di una nuova connessione, se quando ricevi
un pacchetto di quel tipo, non rispondi, allora nessuno puo' avviare una connessione
con te.
Oltre a questo e' bene non rispondere al ping, cioe' ai pacchetti ICMP di tipo 8.
Se non ho capito male il pc con redhat ha due schede di rete, una verso il router
e l'altra verso la rete interna.
Se e' cosi', puoi configurare Iptables, il firewall di linux, per proteggere la tua rete.
Se cerchi con Google trovi un numero enorme di siti con tutorial e how to per Iptables
io non sono in grado di darti le istruzioni passo passo per aggiungere iptables al Kernel
e per configurarlo da zero.

 che non hai server interni pubblici).
 
Grazie.


 ...cut... Oltre a questo e' bene non rispondere al ping, cioe' ai
pacchetti ICMP di tipo 8 ... cut ...
Ciao Blackpanther. Ho attivato il firewall di Xp e disabilitato diversi
servizi. Su 
grc.com
 ho effettuato il test delle porte e risultano tutte e
65.000 e passa "stealth".
Ora sto provando il ping sul mio IP e risponde. Sai se è possibile impostare
su "deny" la risposta con il FW di Xp?
Thk's

 ha scritto nel messaggio news:_VLnc.169886$hc5.7...@news3.tin.it...

Si', pero' blocca tutto il protocollo ICMP, non puoi bloccare solo il codice 8
(quello relativo ai ping).
Visto che hai chiuso dei servizi con il firewall di Xp, allora sai come funziona,
quindi non ti sto a spiegare troppo.
Per bloccare il ping quando aggiungi il nuovo filtro scegli "Traffico su tutti gli
ICMP".
Se ti colleghi a Internet con un modem, seleziona come tipo di connessione
Accesso Remoto, se ti connetti in rete da una Lan, seleziona come tipo di
connessione rete LAN.
Tra le operazioni da fare per questo filtro scegli di negare la risposta, (hai definito
a monte tra le risposte possibili anche Nega?) assegna il filtro e hai finito .
Se ti colleghi in LAN devi fare ancora una piccola cosa.
(Se ti colleghi con il modem quest'ultima parte devi ignorarla)
Quando hai aggiunto il filtro, devi modificarlo in modo che la tua macchina
non risponda ai ping solo dal gateway, visto che e' utile nella rete interna che
il tuo pc risponda ai ping.
Quindi seleziona il filtro (Traffico su tutti gli ICMP --> Modifica).
Doppio clic sul filtro e dove c'e' indirizzo di origine seleziona: Indirizzo Ip specifico
Metti l'ip del tuo gateway.


Tra l'altro potresti installare su ogni macchina Windows l'eccellente
firewall Chx-i.
Qui la documentazione:
http://www.idrci.net/packetfilter/html/index.html
oppure
http://www.alogica.it/idrci.htm
E' uno statefull inspection firewall.
Il chx ha un set di filtri preimpostati per una normale workstation che deve
collegarsi a internet, senza offrire servizi all'esterno.
Io ho modificato questi filtri per installare il chx su ogni server della mia Lan
aziendale (oltre al firewall principale che e' a monte).
Tu ti colleghi tramite il router che fa da gateway per la tua piccola Lan.
Se mi dici l'ip interno del tuo gateway, preparo i filtri in modo che tu li possa
caricare una volta installato il firewall e averli gia' funzionanti per la tua situazione.
Attenzione che in questo modo il sito 
grc.com
 fara' sempre riferimento al router
quando fai i test dal tuo pc, quindi installando solo il firewall su uno o piu' pc
windows, le porte rilevate saranno sempre closed, perche' a collegarsi e' il router,
ma hai comunque un buon grado di sicurezza per i pc interni, poiche' una volta
superato il router non ci si potrebbe collegare al tuo pc, poiche' i tentativi di
connessione non richiesti da parte del router alla tua macchina saranno bloccati.
Quindi se uno cercasse di collegarsi al tuo router e ci riuscisse, una volta entrato
non avrebbe accesso ai tuoi pc interni, protetti, uno per uno da Chx.

 (quello relativo ai ping) ... cut ...
Tutto OK per il traffico ICMP
Tutte le impostazioni sono su deny.
Ho fatto fare un ping sul mio IP da un amico. "Destinazione
irraggiungibile".
Cmq provo anche con qualcun altro perchè a dire il vero qualcuno degli amici
ha problemi ad aprire alcuni siti.
Ciao e grazie
P.S. non ti sembra che lavorare sui "fondamentali" sia redditizio? (almeno
ci provo)

 P.S. non ti sembra che lavorare sui "fondamentali" sia redditizio? (almeno
I fondamentali sono lo studio dei protocolli, come sono fatti e come funziona
una connessione.
Ad esempio capire come funziona l'avvio di una connessione da parte di un host
verso l'altro, fa capire come si puo' bloccare tutto il traffico tcp verso il nostro host
(semplicemente droppando i pacchetti con il flag syn).

 allora anche il Ping e' fallito ...cut...
Y!!! vado a fare una prova :D