Newsgroup: it.comp.sicurezza.windows
Titolo: Firewall per Rete (NT, o W2K al limite)

Ciao a tutti,
sul NG ho letto parecchio su firewall "personal".
A me però serve un firewall che faccia anche da proxy server, e che quindi
sia gestibile da rete (cioè solo sulla macchina host, con una ventina di pc
collegati in rete).
Mi potete aiutare? Cosa deve gaurdare in giro? Quali prodotti?
Grazie per l'attenzione
Ciao

 ha scritto nel messaggio
news:_4H_6.5969$z11.4...@news.infostrada.it...


 ha scritto nel
messaggio news:9hfj46$d7l15$1...@ID-94246.news.dfncis.de...


 ha scritto nel messaggio
news:bYU_6.10612$z11.6...@news.infostrada.it...


 > Ok, ma il norton e tanti altri così blasonati, non sono per mono-utente?


collegati in rete).
IMHO, un buon livello di sicurezza lo raggiungi collegando la rete ad
Internet con un router che faccia NAT (Zyxel, D-Link, se puoi spendere anche
un piccolo Cisco), rendendo cosi' invisibile la tua rete interna.
Se poi ti serve anche il proxy, lo puoi mettere su una macchina interna e
usare come default gateway della stessa il router.
Se il proxy ti serve per controllare che gli utenti non abusino di Internet,
ad esempio informandosi sulle abitudini sociali degli ornitorinchi, devi
impedire ai furbastri che sanno smanettare un po' di bypassare le
impostazioni di rete: il modo piu' semplice e' configurare il router per
rifiutare *tutte* le richieste che non provengano dalla macchina che fa da
proxy.
-- 
BlueRaven
Prima di parlare, ricorda:
mount -t auto /dev/brain /mnt/mouth

 ha scritto nel messaggio
news:XQe%6.3923$F85.1...@news.infostrada.it...


Sono il sistemista. Ma spiegami: se installo un proxy sul server, il
firewall deve ovviamente essere installato su questa macchina. Quindi questo
firewall servirebbe tutta la rete? Cioč NON esiste un firewall personale ed
uno per reti, vero? Perché se tutti devono accedere alla Rete (tramite
proxy) dal server, ovvio che il firewall (nel caso, ZoneLab) proteggerebbe
le entrare e quindi tutti, vero?
Sono sulla buona strada o sto dicendo cavolate?
Grazie mille a tutti per le risposte.
ciao
tony
"SR" <stefano...@KILLSPAMeffecta.it> ha scritto nel messaggio
news:BhW%6.115354$Uo3.2...@news6.giganews.com...


 >sia gestibile da rete (cioè solo sulla macchina host, con una ventina di


 tony
Caro Tony, potrei rispondere alle tue domande ma leggo che hai un router e
qui le mie poche competenze si fermano. Forse BlueRaven ti può aiutare
meglio. Ciao.

Nooooooo, non abbandonarmi così sul più bello!
Che figuraccia ci faccio con l'azienda se non so operare?!?
Dai dai continua nelle spiegazioni e prova a rispondermi dai. Magari
qualcuno interviene, si crea dialogo e notizia sull'argomento.
Ok, sto vaneggiando. Dopo una giornata di prove con shareware vari di
firewall e proxy server...............mi sto chiudendo porte in faccia da
solo!
Ciao a domani
tony
"SR" <stefano...@KILLSPAMeffecta.it> ha scritto nel messaggio
news:lkj07.2061$rh.7...@news6.giganews.com...


 che significa "che faccia NAT" ?
All'esterno si vede solo il router e il suo indirizzo ip pubblico. Le
macchine della tua rete hanno tutte indirizzi non routabili (10.x.y.z,
192.168.x.y e un'altra classe che non ricordo mai) ed e' il router che
tiene traccia delle connessioni avviate o ricevute da queste, smistando
i pacchetti in entrata al vero destinatario e scrivendo il proprio
indirizzo ip nel campo "mittente" dei pacchetti in uscita (e segnandosi
in qualche modo il vero mittente).
Esempio: tu telefoni a un albergo, un'ente pubblico o una grossa
azienda. L'unico numero che conosci e' quello del centralino, ed e' il
centralinista a passarti l'interno richiesto, che ha un numero che ha
senso solo all'interno della struttura. Se invece sei tu a ricevere la
chiamata, sul display del tuo telefono apparira' il numero del
centralino.
Nel caso di Linux per sfruttare queste carattteristiche bisogna avere
incluso il supporto per il firewalling e il NATting al momento
dell'installazione (o dell'aggiornamento) del kernel. Oppure ricompilare
il kernel rispondendo si' alle relative richieste.
-- 
Abrogato l'art. 21 della Costituzione Italiana:
 
http://punto-informatico.it/petizione.asp
SecurFaq             : 
http://members.nbci.com/gouldukat/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 [...]

uscita, log, etc, vero?
No, router e proxy sono due cose completamente diverse: il router opera sui
pacchetti, a livello di rete (IP); il proxy, invece, opera a livello di
protocolli applicativi (HTTP, FTP, SMTP e via dicendo).
Log e filtri ci sono, ma sono relativi ai pacchetti.
Volendo, come ti dicevo, potresti ulteriormente interporre una macchina che
faccia da proxy e da firewall tra la rete e il router, secondo questo
schema:
Internet <---> Router <---> Proxy/firewall <---> LAN
La macchina in questione avra' due schede di rete, una per il router e una
per l'hub aziendale, tra le quali fare forwarding (quindi ti serve Windows
NT o 2000).
Per quanto riguarda i prodotti specifici da usare per proxy e firewall,
onestamente, non so aiutarti.
Per questi compiti ho sempre impiegato macchine Linux.


 informazioni per un buon firewall ("per rete") ed un buon proxy server
Beh, a quel che ha detto BlueRaven posso solo aggiungere che Zone Alarm
non e' adatto per una rete (almeno la versione Free che uso io, della
Pro non so niente oltre che e' a pagamento e che permette il controllo
dei pacchetti e non solo delle applicazioni). Se non vuoi spendere una
cifra, recupera un vecchio PC dallo sgabuzzino aziendale (anche uno dei
primi Pentium vanno bene, e' piu' importante la quantita' di RAM che i
giga[hertz|byte]), e ci installi Linux includendo il supporto per il
NATting e il Firewalling, come ho gia' detto. La macchina andra'
interposta fra Internet e la LAN e sui client dovrai solo impostare
l'indirizzo ip privato del firewall come gateway nel Pannello di
controllo / Rete.
OVVIAMENTE devi tenere il router assolutamente aggiornato per quel che
riguarda il kernel e i pacchetti installati (che dovranno essere solo
quelli relativi alla gestione della rete, nient'altro). La maggior parte
di noi ti consiglierebbe una bella Debian, altri dicono che e' una
distro troppo difficile, tutta invidia 8-))) Per la gestione dei
pacchetti e' anzi la migliore.
Windows non te lo consiglio perche' e' troppo pesante, spendi milioni in
software e hardware ed e' anche insicuro.


 ha scritto nel messaggio
news:3B4D8425...@agora.it...


allora?
Qual e' l'IP di provenienza degli "attacchi"?
Se e' come penso, dipende solo dal fatto che non hai indicato la tua LAN
come facente parte della local zone.


 ha scritto nel messaggio
news:slrn9l442p.9...@avalon.my.lan...


 allora?
Ma di che tipo? Da fuori non ti si dovrebbe proprio vedere... Che porte
locali e remote di dice ZA? Potrebbe essere qualche pacchetto di
risposta che il router ti smista, tieni conto che quel che dice ZA non
e' oro colato nel senso che a volte si "formalizza" anche per dei
pacchetti perfettamente legittimi...


riesca ad entrare da client a server (io) ? Cioè ho capito che è giusto,
Beh, se stai tentando di aggiornare le definizioni, il tuo PC si collega al
server della Symantec e richiede delle informazioni.
Queste devono poi tornare indietro al tuo PC, a quel punto ZA ti segnala
l'attacco in quanto Norton non e' stato autorizzato a ricevere connessioni
dall'esterno.
Il miglior consiglio che ti posso dare e' di usare tanto buon senso e di non
allarmarti inutilmente: cerca di imparare a distinguere le connessioni
dovute ad azioni che tu compi da quelle potenzialmente dannose.
