Newsgroup: it.comp.sicurezza.windows
Titolo: disinstallo i fw ora che ho il router?

Hello, All!
ho appena installato un router che fa il nat e firewall (netgear 834)
posso con tranquillità (settato bene il router) rimuovere firewall xp e 
altro fw software?
di per sè il nat dovrebbe farmi dormire tranquillo....
With best regards, stratoboom.  E-mail: 
strat...@people.it
 

"> di per sè il nat dovrebbe farmi dormire tranquillo....
il NAT ti protegge dalle connessioni indesiderate che hanno origine dall' 
esterno ma non da programmi tipo trojan che iniziano la connessione dall' 
interno 

Per niente affatto.. il NAT non protegge proprio niente.
Il NAT può tranquillamente sostituire il fw di XP.
-- 
Alessandro Borille
Microsoft MVP - Windows Server
http://www.almait.it

 Il NAT può tranquillamente sostituire il fw di XP.
Solo se il netgear non veicola  source routing.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

Solo se il netgear non veicola  source routing.
Chiaro. Ma questo non se lo inventa autonomamente un router, di
solito.


 solito.
Beh, il solito e' piuttosto opinabile.
Ne ho visti alcuni, di router settati di default per onorare il source
routing, ma non conosco le impostazioni di default di quello specifico
per tranquillizzare l'amico.


per tranquillizzare l'amico.
Scusa, un dubbio. Ma non volevi riferirti al DNAT?
SNAT bene o male lo fanno tutti i router, quanto meno per far uscire
su internet i client con IP privato.


su internet i client con IP privato.
Lascia perdere. Ho sonno.
Ho mescolato source nat e source routing.


non averlo nemmeno, sai che ridere!
Bah... sono 2 anni che navigo senza firewall. Solo con il NAT del
router. E di questi attacchi usando il source routing non ne ho
proprio vista l'ombra.


 Ho mescolato source nat e source routing.
Con una scorzetta di limone, una spruzzatina di acqua tonica, due
dita di prosecco e una lacrima di angostura, servilo con ghiaccio
in un bicchiere alto con ombrellino e guarnitura di frutta esotica.
Ah, non eravamo su it.comp.sicurezza.cocktails?  scusate. ;-P


Hello, Arthur!
You wrote  on Mon, 09 May 2005 20:40:31 GMT:
 essendo un newbie mi ritrovo un pò scombussolato dai vostri discorsi
; )
nessuno mi aiuta?
sto tranquillo o no?
neanche il fw del mio netgear mi da tranquillità?
grazie


neanche il fw del mio netgear mi da tranquillità?
Non vorrei sbagliarmi, ma il firewall del tuo Netgear dovrebbe
bloccare tutte le connessioni in entrata, mentre quelle in uscita sono
tutte consentite.
Saluti
Alessandro

 [1] Ad es. 
http://www.s0ftpj.org/bfi/dev/BFi13-dev-17
Acc...anticipato di un millisecondo. :-P

 wrote:
 >> neanche il fw del mio netgear mi da tranquillità?
 A> Non vorrei sbagliarmi, ma il firewall del tuo Netgear dovrebbe
 A> bloccare tutte le connessioni in entrata, mentre quelle in uscita
 A> sono tutte consentite.
 A> Saluti
 A> Alessandro
e pre controllare acnhe quelle in uscita che mi consigli?
firewalld i xp?? ; )


[1] Ad es. 
http://www.s0ftpj.org/bfi/dev/BFi13-dev-17
da cui:
[...]
L'esempio si basa su un attacco portato utilizzando del semplice
routing statico da parte dell'attacker, grazie alla non corretta
configurazione del gateway della vittima.
[...]
Grazie ar ca... :-)


 Grazie ar ca... :-)
Perche' non ci hai messo anche la frase successiva?
[...]
Purtroppo questa non corretta configurazione e' diffusissima su
Internet, anche per macchine con funzionalita' avanzate, ad esempio i 
router Cisco[1].
[...]
E il cerchio si chiude.
E il router si apre.
A il NAT si spezza. :-P


diffusa, quindi... :-)
Lo giuro, non l'ho fatto apposta. Il mio occhio se era fermato lì.
Ok per i Cisco, anche se spero che nei recenti IOS l'ip-source-routing
sia disabled per default. Ma credi che uno zyxel un netgear lo
supporti il source routing?


 supporti il source routing?
Certo.
Per curiosita' ho buttato netgear e source routing in google.
il primo link:
http://old.btstraining.com/netgear/html/?page=Course%20Outline&courseNumber=27&webtitle=Bridges,%20Routers%20&%20Switches
Te lo insegnano anche ai corsi. :-)
Se ci pensi,un router puo' far parte di reti molto eterogenee, dove non
e' detto che sia la provenienza *fisica* a decidere come instradare un
pacchetto.


 supporti il source routing?
Ehiehi... attenzione (e due :-)): i problemi sollevati da mayhem in quel
pezzo estratto da bfi _non_ riguardano il source routing. 
Per il resto, un router e' un router (o, meglio, dovrebbe essere tale) e
in 
http://www.faqs.org/rfcs/rfc1812.html
 si legge:
<< 5.3.13.4 Source Route Options
   A router MUST implement support for source route options in forwarded
   packets.  A router MAY implement a configuration option that, when
   enabled, causes all source-routed packets to be discarded.  However,
   such an option MUST NOT be enabled by default. >>
Fabio

 Grazie ar ca... :-)
Ehiehi... attento al significato complessivo: la configurazione e'
corretta per quello che riguarda il NAT. Il discorso e' che il NAT
da solo non basta, e qui si torna a quanto gia' detto da whiplash,
thorin e roberto. Quindi, e' una configurazione "non corretta" nel
senso di impedire questo attacco, ma sarebbe correttissima, di per
se, se lo scopo fosse solo quello di... NATtare.
Nondimeno in molti casi (es: ADSL) c'e' un forte fattore mitigante
(vedi 
http://www.sikurezza.org/ml/08_04/msg00106.html
) che occorre
tenere presente per una valutazione corretta del rischio.
Fabio

Te lo insegnano anche ai corsi. :-)
Eh vala` furbino. Quello è un corso. :-)


                    IP Protocol= 6     IP Source Route= Yes
Per curiosità sono andato a vedermi la configurazione di uno zyxel di
un mio amico. Effettivamente l'opzione esiste.
Però guarda caso tutti i filtri hanno di default il source routing
disabilitato. Oggi ho scoperto che gli zyxel sono più sicuri dei
cisco...


 bene?
Forse ho quotato male.
Il problema esposto da mayhem e discusso in passato anche su icsv (parmi
di ricordare) non ha a che vedere con il source routing, ma con semplici
problematiche di routing, coem ricordavo ad alessandro. L'altro mio post
in questo thread era per dire che 'ste semplici problematiche di routing
sono spesso inapplicabili, maggior ragione in caso di ADSL. 
Lo stralcio della rfc 1218 era, invece, relativo al seguente commento di
alessandro:
| Ok per i Cisco, anche se spero che nei recenti IOS l'ip-source-routing
| sia disabled per default. Ma credi che uno zyxel un netgear lo
| supporti il source routing?
Un router per essere tale deve supportare il source routing, sia che sia
un aggeggio da 100 euro, sia che costi come un auto di media cilindrata.
Piuttosto, potrebbe anche essere che un router economico, contrariamente
a quanto esposto da alessandro, possa instradare pacchetti source routed
ma non abbia (se economico = poche feature) l'opzione per disabilitarlo.
Il mio pensiero di tipo IMHO condensato per punti dovrebbe essere piu' o
meno:
1) un router che non supporti il source routing e' difettoso;
2) un router che non lo abiliti per default non e' rfc compliant;
3) un router che non abbia l'opzione di disabilitarlo e' idiota;
4) un sysadmin che lasci passare dei pacchetti source routed e' come il
   router del punto 3);
5) non tutti gli utenti di router sono sysadmin.
Morale, mi aspetto che un router, benche' economico, supporti il source
routing, ma che potrebbe essere considerato opportuno che quei prodotti
destinati al mercato SOHO l'abbiano disabilitato per default.
E poi c'e' il mondo reale... :-)
Fabio

 cisco...
No, gli zyxel violano una RFC, se vai a rileggerti lo stralcio
della 1812 riportato da bio.



wrote:

Infatti è disabled by default, come da rfc, negli zyxel. Dove violano
la rfc gli zyxel? non ho capito.


 la rfc gli zyxel? non ho capito.
Non e' tanto che gli zyxel violano qualche rfc, e' che tu non leggi i
post degli altri ;-) Se ti interessa, anche windows e' piu' sicuro di
un cisco. Ma dovresti gia' saperlo, visto come ti firmi :-P
Fabio



Cerchiamo di fare un discorso logico?
Nel prcedente post scrivi:
"No, gli zyxel violano una RFC"
Nell'ultimo:
"Non e' tanto che gli zyxel violano qualche rfc"
Contraddizione?
Inoltre citi una rfc:
"However, such an option MUST NOT be enabled by default."
E io ti dico:
"infatti negli zyxel such an option è disabled by default".
Non mi interessa fare la classifica dei firewall. Ho solamente chiesto
dove gli zyxel violano la rfc. Non mi pare che violino la parte che
hai citato.


 hai citato.
Intanto router <> firewall. Anche se, a volte, un router incorpora un
firewall e un firewall, per fare il suo lavoro, instrada pacchetti da
un'interfaccia ad un'altra. Ma questo e' solamente per fare un po' di
inutile pignoleria.
Il concetto e' che continui a non leggere ne i post altrui, ne le rfc
(che non ci sarebbe nulla di male se poi tu non volessi discutere dei
post altrui e delle rfc :-P). Ti riporto nuovamente per intero quanto
cita la rfc 1812 in merito al problema in questione:
---------------------------------------------------------------------
5.3.13.4 Source Route Options
A router MUST implement support for source route options in forwarded
packets.  A router MAY implement a configuration option that, when
enabled, causes all source-routed packets to be discarded.  However,
such an option MUST NOT be enabled by default.
---------------------------------------------------------------------
Ti riassumo: quella che dovrebbe esser disabilitata per default e' la
opzione che blocca il traffico sr. Cioe', per default, il traffico sr
DEVE passare. Zyxel per default non lo fa passare, da cui...
Fabio

DEVE passare. Zyxel per default non lo fa passare, da cui...
Da cui sono estremamente felice del fatto che gli zyxel non rispettino
la rfc.


firewalld i xp?? ; )
Il tuo sorrisetto indica che anche il Windows Firewall blocca solo le
connessioni in ingresso??? Vedo che sei informato!!!
Personalmente uso Outpost, mentre prima usavo Zone Alarm
Ciao
Alessandro

supporti il source routing?
Gli zyxel di sicuro si, tanto e' vero che la prima cosa da fare e'
mettere un filtro per bloccarli.
Netgear, quelli vecchi, anche dato che erano zyxel rimarchiati, quelli
nuovi non so.
Ciao
-- 
Francesco

la rfc.
Mi sa che state facendo un po' di confusione.
Sui _router_ zyxel il source routing _e'_ abilitato di default.
Quel filtro che ha postato due di nano serve proprio per bloccarlo e
di default non esiste, l'ha inserito lui nella configurazione del suo
router adsl.
Il fatto che nei filtri di default ci sia l'opzione source routing=no
significa solo che questo non viene preso in considerazione
dall'attivita' del filtro non che non sia attivo.
Ciao
 
-- 
Francesco

Però nessuno più sta rispondendo alla domanda originaria, che interesserbbe 
anche me.
Per la mia (in)esperienza, da quando ho un router, il firewall software non 
mi ha più segnalato nulla, quindi oserei dire che si potrebbe pure levarlo; 
però è comodo vedere di volta in volta quali programmi chiedono accesso alla 
rete.
Fabio 



Allora, io ho un router e non ho fw software sulla macchina, pero' uso
sempre un utente non aministratore e tengo la macchina "pulita".
Il firewall sul router evita che dall'esterno ci siano attacchi al tuo
pc ma certo non puo' evitare (*) che uno spyware installato sul tuo pc
non mandi fuori informazioni.
* In realta' si puo' fare molto per evitare per evitare pure questo,
ma dipende dalle capicita' del firewall e dalla configurazione usata.
In definitiva usa la testa..
Ciao
-- 
Francesco