Newsgroup: it.comp.sicurezza.windows
Titolo: Sicurezza rete scuola

Salve a tutti è la prima volta che scrivi su questo ng e spero che 
qualcuno mi possa aiutare.
La nostra rete scolastica fino a qualche settimana fa funzionava alla 
perfezione: tutti i pc in rete con dominio (dhcp), rete wireless, 
autentificazione utenti con win server 2008 (e ubuntu server), 
virtualizzazione... da un anno e mezzo mai chiamato l'amministratore di 
rete (se non per gli aggiornamenti vitali e snapshot), insomma perfetta.
Appunto qualche settimana fala nostra amministrazione ha deciso di 
cambiare la ditta che gestiva così bene la scuola e sono cominciati i 
prb: il giorno dopo che il nuovi tecnico ha messo le mani sul server il 
pc della segreteria ha cominciato a fare le bizze, la nostra aula pc con 
15 pc in rete per la fase di identificazione (cronometro alla mano) 
tempo 27 minuti contro i 30 secondi scarsi di prima (per non parlare 
della sincronizzazione finale altri 30 minuti...) e questi tempi stanno 
peggiorando di giorno in giorno. Temo che chi abbia "riconfigurato" (ma 
perché lo ha fatto)??? il server abbia fatto qualche grosso guaio con il 
dhcp (prima dinamico, ora???).
Oggi ho fatto una prova: porto una distro live di liunx (una semplice 
puppy), l'avvio da un pc qualsiasi e senza fare niente (senza 
autentificazione da parte del server) mi trovo a navigare, guardare la 
nostra rete interna e, volendo, posso anche cancellare quel che mi pare.
A me la cosa sembra abbastanza grave dal punto di vista della sicurezza. 
Che ne dite? E' possibile far rimettere tutto come prima (ammesso che ne 
siano capaci)?
Grazie e scusate la lunghezza

 tempo 27 minuti contro i 30 secondi scarsi di prima (per non parlare 
probabilmente l'imbec... ehm il tecnico ha modificato le impostazioni
di rete facendo puntare i PC a DNS *esterni* invece di farli puntare al
DNS locale (server win) il che di norma causa dei rallentamenti molto
pronunciati in fase di logon al dominio, errori di logon ed altre cosette
del genere; prova un "ipconfig /all" da un PC e controlla a quali DNS
il PC stesso stia puntando, se punta all'esterno, prova a modificare
le impostazioni di rete (a scopo test) facendo puntare il DNS all'IP
del server windows, riavvia e verifica

 il PC stesso stia puntando, se punta all'esterno, prova a modificare
Se così fosse, rivolgiti al "capo" del "tecnico" (sic) che ha configurato
la rete e/o comunque fai in modo che il tizio non si ripresenti più :P

...
ti ringrazio, domani provo (se riesco) e vi saprò dire.


ma non riesco a capire perché una distro live funziona (naviga e 
veloce), anche se nn č in dominio: non dovrebbe essere cosě. Il router 
non dovrebbe rifiutare la chiamata e rimandare indietro tutto? A meno 
che il grande tecnico abbia abbassato tutte le difese (firewall 
compreso) per cui siamo allo sbando totale... sigh!

 e rimandare indietro tutto?
il router non rimanda indietro nulla, semmai un eventuale proxy o firewall
ammesso che questo effettui tale tipo di controllo 

veloce), anche se nn č in dominio: non dovrebbe essere cosě.
Se il problema č quello sospettato da Obiwan, la distribuzione live
funziona perché deve semplicemente navigare. Se il server DNS
assegnato dal DHCP č un server esterno (o il router stesso che fa da
proxy DNS) il client linux naviga. Cosě come navigano quelli Windows.
E' quando un PC va a fare logon sul dominio con i DNS sbagliati che
avviene il rallentamento. La distribuzione live non fa alcun logon .
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 compreso) per cui siamo allo sbando totale... sigh!
Dipende da come è fatta la rete. Se vuoi che un computer non autorizzato
non possa accedere ad Internet, allora devi installare un proxy (ad es.
Squid) con un sistema di autenticazione.
Un'altra cosa che si può fare è configurare lo switch in uso
- ammesso che sia del tipo gestibile - in modo che accetti solo
i computer che superano una fase di autenticazione - gestita dallo
stesso switch e da un server RADIUS (ad es. FreeRADIUS).
Insomma, bisogna contattare un tecnico che sappia il fatto suo.

 Squid) con un sistema di autenticazione.
Non basta, devi anche configurare il firewall in modo da filtrare le
richieste HTTP/HTTPS (ma anche altre, dipende...) altrimenti
qualcuno potrebbe bypassare il proxy ed "uscire" senza alcuna
autenticazione; personalmente credo che in un ambiente di questo
tipo, un approccio basato su "captive portal" potrebbe rappresentare
una buona soluzione 


Guarda che io mi riferivo proprio ad un sistema captive portal.
Inoltre, se il proxy è a monte non è possibile scavalcarlo.
Si tratterebbe di un transparent proxy.

 Si tratterebbe di un transparent proxy.
Non lo avevi specificato ed ho ritenuto opportuno chiarire;
per quanto riguarda il discorso proxy "a monte", dipende
dalla configurazione della rete, se, come spesso accade
c'è un unico box che funge da NAT e Firewall, piazzare il
proxy "all'esterno" significa che il proxy non sarà in grado
di vedere l'IP dal quale proviene una data richiesta dato
che in questo caso l'IP verrà mascherato dal NAT; per
quanto mi riguarda preferisco tenere il proxy "dietro" al
NAT e filtrare poi il traffico permettendolo soltanto dall'IP
del proxy o da hosts autorizzati a bypassare lo stesso


Io uso una macchina che fa da transparent proxy e firewall.
In ogni caso, già utilizzando l'autenticazione tramile RADIUS
e lo switch, solo i PC autorizzati potranno fisicamente
connettersi alla rete LAN. Mi sembra una soluzione ottima.

 Mi sembra una soluzione ottima.
Non dico di no, ma ... non sappiamo quale sia il "setup"
della "rete scolastica" della quale stiamo parlando ed
in mancanza di informazioni, credo dovremmo aspettare
che "Alberto" ci illumini in proposito :)
Per il resto... premettendo che tutto dipende dal budget
e da quello che si vuole ottenere, preferisco tenere le
varie funzioni separate, ossia il proxy su un "box" (o
VM che sia), il firewall su un altro eccetera; non per altro
ma una configurazione del genere, sebbene possa
comportare una ulteriore complessit�, ha dei vantaggi
sia in termini di flessibilit� che di scalabilit�
Nulla da dire sul discorso RADIUS e CaptivePortal,
ci mancherebbe, aggiungerei solo (specie considerando
che si tratta di una sQola :D) un IDS/IPS onde evitare di
trovarsi nelle peste perch� magari qualche alunno ha
combinato ... qualcosa :)

 combinato ... qualcosa :)
A tal proposito converebbe di acquistare un sistema
UTM, come quelli prodotti da Sonicwall o da Smoothwall.
Sappiamo bene che per un sistema IDS ci vogliono
le firme aggiornate dei tipi di attacchi, quindi
è meglio affidarsi al supporto commerciale di aziende specializzate.
I prezzi non sono così elevati, dipende da quale sistema
di acquista.
Ovviamente ci vuole un responsabile IT in grado di gestire tale
soluzione.