Newsgroup: it.comp.sicurezza.windows
Titolo: Alcune domande su Conseal PC Firewall (per chi lo usa)

Salve a tutti,
Come da subject avrei alcune domande da farvi sul Conseal PC Firewall
che, credo, riguardino anche i firewall in generale.
Sara' che la mia conoscenza dell'inglese e' un po' approssimativa, ma
leggere l'help mi ha lasciato molte incertezze...
Usero' pero' le stesse parole che usa Conseal per non confondermi/vi.
Io lavoro in "automatic rule learning" = "checked".
(significa, se non sbaglio, che quando il firewall "sente" una
connessione per la quale non possiede una regola...cioe' una
connessione che non ha mai "sentito"...mi chiede "la vuoi bloccare
oppure la lascio passare ?") 
Supponiamo che io voglia bloccare i tentativi di comunicazione via
telnet al mio PC che provengono da un certo IP (supponiamo che sia
statico e appartenga ad una persona che mi sta antipatica).
E' necessario che io crei una "rule" oppure per default quel tipo di
connessione e' gia' bloccata ? Oppure quando il firewall la sente me
lo dice e mi chiede se la voglio accettare ?
Una risposta ce l'avrei, ma non sono sicuro: io credo che non sia
necessario aggiungere la "rule" a meno che io non voglia "loggare"
quel tipo di tentativi di accesso.
Adesso lasciamo da parte questo problema...supponiamo che io voglia
aggiungere questa benedetta "rule", cosa faccio ?
Schematicamente:
add rule
service=telnet
on match= block
direction= inbound
poi nella finestra degli indirizzi e delle porte
remote address= IP che mi sta antipatico
mask = 255.255.255.255
ports = 23
local address = 127.0.0.1
mask= 255.255.255.255 ???
ports= 1024 to 5000 ???
E' giusto ?
L'ultima domanda poi taccio:
Nel ruleset che ho adesso sono bloccate tutte le connessioni (inbound
e outbound) con protocollo ICMP tranne i ping (pacchetti ICMP tipo 8
???). 
Questo significa che il mio PC risponde ai ping ? Oppure solo che puo'
fare un ping...
E gli altri tipi di pacchetti ICMP ? Siamo sicuri che sia un bene
bloccarli ?
A presto...
===============================================
John Hopfield		   
Hopf...@freemail.it
"Some of these days
	You'll miss me honey"
===============================================

bloccarli ?
se usi irc, e' meglio di si: ci sono simpatici personaggi che li sfruttano
per sconnetterti dal server.
ciao
Buttha
-----------------------------------------------------------------------
* Per rispondere rimuovere i
* PGP Key: RSA & DH/DSS
* 
http://members.xoom.it/buttha/
-----------------------------------------------------------------------

se non rispondi cadi (autonuke:-\)
Pinga ma non manda Icmp.
Manda msg ping sulla connessione.. = ))))
[PING? PONG!]
Ma non so icmp :O 
Frankj
ICQ# 15068478 
e-mail:fra...@ircitalia.com
http://www.chez.com/pizzairc
news:alt.irc.mirc.scripts.pizza
*** WARNING: Backup not found:
[A]bort, [R]etry, [P]anic ? ***

Buttha
Grande Buttha !!


se non rispondi cadi (autonuke:-\)
no no: non usa icmp per "pingarti".
Non so come faccia, ma gli icmp dal server irc non li ho mai visti.


Grande Buttha !!
 :)


Salve a tutti.
Visto che si parla del ruleset di Conseal ne vorrei approfittare.
Oltre alle due regole indicate da Buttha (blocco di ogni ICMP in-out,
priorita' 200 e permesso di pingare, priorita' 100) io ho impostato una
regola per consentirmi di fare qualche traceroute: per il protocollo
ICMP, direzione inbound,  permetto (priorita' 100), tutti i remote
address (255.255.255.255 con mask 0.0.0.0)
e gli icmp di tipo 11, e come local address il mio (127.0.0.1 mask
255.255.255.255) e gli ICMP di tipo 11.
In questo modo non ho problemi ad effettuare il traceroute, ma vorrei
sapere se una regola del genere mi potrebbe procurare dei problemi: gli
ICMP 11 sono pericolosi (come ad es quelli di tipo 3)?
Un ultima cosa: ad ogni avvio di connessione il Conseal (non uso il
learning mode) mi segnala di aver bloccato un pacchetto ICMP tipo 10
destinato a 224.0.0.2 e due pacchetti dello stesso tipo provenienti
sempre da quell'IP. Non ho mai inserito una rule per consentire il
passaggio di tali ICMP e non ho mai avuto problemi di sorta: come mai
c'e' sempre questo tentativo di scambio di pacchetti (ho capito che sono
dei "Router Solicitation", ma in pratica a cosa servono)? Forse dovrei
consentirne il passaggio?
Grazie per le eventuali risposte.
Ciao.
Red Fab

 consentirne il passaggio?
si vede che il tuo ISP ha il supporto per il multi-casting: puoi
anche bloccarli
Bye
   Wiz
-- 
     __
__  ///  Finger:    
w...@vapor.com
\\\///  E-Mail:     
w...@pragmanet.it
 \X//  WWW:         
http://www.active-net.co.uk/products/stfax
Se tutto nell'universo si espande, com'e' che io sono sempre alto 1 e 63?

 Non so come faccia, ma gli icmp dal server irc non li ho mai visti.
veramente e' il contrario: e' il client IRC che, nei momenti in
cui non scrivi nulla, pinga il server per avvertirlo che sei
ancora vivo. Se il server non sente nulla per tot secondi
chiude la connessione.
Il tutto avviene all'interno della sessione TCP: il ping IRC e il
ping ICMP fanno parte di universi separati ;)
Bye
   Wiz
-- 
     __
__  ///  Finger:    
w...@vapor.com
\\\///  E-Mail:     
w...@pragmanet.it
 \X//  WWW:         
http://www.active-net.co.uk/products/stfax
Chi si accontenta gode, ma chi gode e' piu' contento.

essere un tcp sulla porta d'uscita verso il server...*credo*..
EHEH nessuna replica criptata il server IRC manda Messaggi al
client..(Ping 26745678426) ed il client Deve rispondere con il
messaggio (Pong 26745678426)
Nessuna connessione tcp... semplici messaggi.

chiude la connessione.
na na na prova ad IRCare con il telnet e ti accorgi che è il server
IRC a "PING"arti  :O

consentirne il passaggio?
mi sa che capita a tutti quelli che usano tin: io continuo a bloccarli.
Domanda: c'e' qualcuno che *non* usa tin e che riceve gli stessi icmp?
Avevo fatto una rule per permetterli, ma ho visto che non cambia nulla.


 Domanda: c'e' qualcuno che *non* usa tin e che riceve gli stessi icmp?
Io , come gia' detto da qualche mese a questa parte (la prima il
26.01.99, ma nessuno mi considerava...)
Se ho capito bene il multicasting servirebbe per la trasmissione a piu'
utenti dello stesso file, ad esempio per suoni e filmati, risparmiando
banda e aumentando la velocita'. Ma il mo provider (dadanet) a quanto mi
risulta non fa nulla di simile...
--
Ciao,
Francesco
Warning: Address changed!
Sopprimi Bindi per rispondermi in e-mail
---

-----------------------------------------------------------------------
===============================================


Avevo fatto una rule per permetterli, ma ho visto che non cambia nulla.
Continuo a non capire perche' li manda e soprattutto perche' proprio a
224.0.0.2  , ho letto da Francesco Tessari che sarebbero da collegare al
multicasting: purtroppo non ne so nulla e qualche suggerimento sarebbe
come manna dal cielo, sempre se qualcuno ne ha voglia, ovvio. :-)
Ho letto anche da Evil xx che sarebbero delle comunicazioni tra host e
router, ma il dubbio permane: perche? Cos'ha di speciale quel router?
Ora smetto, senno' mi metto a fare troppe richieste.
Ancora Ciao
Red Fab

come manna dal cielo, sempre se qualcuno ne ha voglia, ovvio. :-)
si, la classe e' proprio quella del multicasting, che e' un protocollo
alternativo al broadcast: invece di mandare i dati a tutta la rete, lo
mandi solo ad un gruppo multicast, cosi' risparmi.
Ad un indirizzo di quella classe corrisponde un gruppo di multicast, e un
host puo' decidere quando farne parte e quando no.
Non so, invece, perche', winzozz mandi questi pacchetti.


26.01.99, ma nessuno mi considerava...)
allora, visto che ci sono altri utenti, che non sono di tin, direi che il
problema e' di windows.


...router, ma il dubbio permane: perche? Cos'ha di speciale quel router?
E' Echelon !!!	;-)))


Non so, invece, perche', winzozz mandi questi pacchetti.
Forse l'ha scoperto John Hopfield   ;-)
Ciao
Red Fab