Newsgroup: it.comp.sicurezza.windows
Titolo: Sicurezza

Qualcuno puň darmi una mano su quali porte chiudere su un server che espone
verso l'esterno i servizi FTP-PCAnywhere-Web ma che verso l'interno deve
essere accessibile dalla rete da tutti e per qualsiasi servizio? Ho
installato At Guard 3.22 e il sistema gira sotto 2000 Server.
Ho trovato una lista di porte sul sito Microzoz ma il firewall ragiona con
un sistema di Inbound/outbound e non c'č scritto se la porta X deve essere
aperta in inbound verso qualsiasi porta remota o meno. Ho disabilitato
intanto l'Echo request, il redirect e il timestamp in inbound ICMP e il
sistema adesso sembra non essere piů rilevabile al classico ping, devo
disabilitare qualcosaltro?
Aiuto per piacere... So che c'č qualcuno con le palle che mi puň dare una
mano...

 wrote in message
news:aq7vdm$lih$1...@newsreader.mailgate.org...

1) che firewall usi... ?
2) questo server e' esposto su internet direttamente con IP pubblico statico
?
3) puoi fare un netstat -a ed un netstat -an e postarlo, per favore ?
Danny

 3) puoi fare un netstat -a ed un netstat -an e postarlo, per favore ?
 
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 3) puoi fare un netstat -a ed un netstat -an e postarlo, per favore ?
 



Il quoting, questo sconosciuto, EH " :-)
Cmq, a quanto ho capito, sul tuo server non vuoi che vi siano
servizi raggiungibili dall'esterno, bensi' dall'interno della tua lan...
giusto ?
Se e' cosi, eccoti qualche dritta senza entrar troppo nei dettagli tecnici:
Tu sul server (ad es. Windows 2000) installi due schede di rete :
una la colleghi al router, ci metti il tuo IP pubblico statico,  ci metti
come gateway l'indirizzo IP pubblico statico del router, disabiliti client
per reti microsoft e condivisione files e stampanti, poi vai nelle
proprieta'
avanzate del protocollo TCP / IP, disabiliti il NetBios e togli la spunta da
enable LMHOST lookup.
nell'altra scheda ci metti un IP statico di una classe privata di indirizzi
tipo 192.168.1.1
Ai client "interni" dai indirizzi tipo 192.168.1.2, 3, ecc ecc.
Configuri il firewall in modo che chiuda tutte le porte sull' ip della
scheda collegata al router.
In questo modo credo che nessuno possa accedere ai servizi in esecuzione sul
server (es. IIS)
che saranno raggiungibili invece dai client all'interno della tua lan.
Poi, dato che avrai il server formattato con NTFS, potrai sempre impostare i
diritti di
accesso alle cartelle, evitando di consentire l'accesso anonimo.
Se cerchi su google "hardening Windows 2000 server" troverai degli articoli
che ti
spiegano come fare.
Danny che ribadisce l'utilita' di un consulente esterno, quando si voglion
far le cose per bene.

 giusto ?
Esatto, pertanto posso creare una rule per gli interni e una per le
comunicazioni che arrivano dal router (192.168.1.1)  ma non posso
collegarlo direttamente, perchè il router è collegato allo switch che da
accesso alla rete (si lo so che non va e ci vorrebbe un firewall di
mezzo, ma no ai dinero). E la domanda infatti era su quali porte
chiudere:
io suppongo da e verso il router tutte quelle di netbios, ICMP di
request e le porte di amministrazione di 2000... ma non trovo niente di
dettagliato. Cmq grazie



E perche' in mezzo non ci metti il server con le due schede di rete,
sul quale fai girare il software firewall e magari un software proxy che
permetta ai
client di andar su internet usando il server stesso come gateway... ?
Per quel (poco) che ne so io, una configurazione del genere dovrebbe
esser migliore di quella che hai attualmente...
Danny

 client di andar su internet usando il server stesso come gateway... ?



Lo vedi che quoti al contrario...? :-)
Cerca su 
www.google.it
 , cerca proxy server, firewall e
compagnia bella.
Danny che prima di pensare ai prodotti free bisognerebbe
valutare il rapporto costi/benefici/tempo

dettagliato.
Prova ad aprire con il blocco note questo file sul server:
C:\WINNT\system32\drivers\etc\services
ciao
---------------
    beep beep Roby
PS: togliere Le XXX per rispondere via mail.
PS: delete XXX to mail reply

> C:\WINNT\system32\drivers\etc\services
Curioso non pensavo ci fosse anche sotto Winzoz, ma lo usa?


 aperta in inbound verso qualsiasi porta remota o meno.
Se usi atguard, come dici, non e' affatto vero.

> Se usi atguard, come dici, non e' affatto vero.
Forse non hai capito quello che intendevo. Intedevo dire che io non so
se la 80 in local service va aperta a any port verso il remote.



Se tu apri la 80 ad any port verso il remote, permetti a chiunque di
visitare il tuo sito web pubblicato sulla porta 80 del to server
(ammesso che tu ne abbia uno, li, di sito).
Quindi, la porta 80 la devi chiudere.
Danny

 Curioso non pensavo ci fosse anche sotto Winzoz, ma lo usa?
Lo usa per le traduzioni del numero porta in nome servizio... credo...
prova netstat -na o netstat -a
Saluti
Ruxian
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

se la 80 in local service va aperta a any port verso il remote.
non so se ho capito bene, ma.
configurazione decente 
1- pc su rete privata in Nat o Pat (spero tu abbia almeno un router
:-)
2 - server con 2 schede una pubblica e una privata
3 - Procurati un firewall "state full" meglio hardware
4 - apri tutto in uscita sulla classe privata
5 - chiudi tutto in ingresso tranne i servizi che pubblici che ospiti:
se non sopiti nessun servizio chiudi tutto
ciao
ftp = 20-21
web == 80
telnet == 23
pop == 110
smtp == 25
Questi sono i soliti
per gli altri documentati


 smtp == 25
Chiusi
Ora il mio problema è capire come vanno aperte quelle di PCAnywhere
5631-5632 in tutti e due i sensi come local service e verso any per i
remoti?
Non è che sapete come fare uscire una connessione nntp da una rete che
hai il firewall che blocca quella porta? Vale lo stesso discorso del
FPipe solo che al contrario? Ciao


remoti?
Butta PC anywehere, apri la porta 3389 e usi terminal server..
