Newsgroup: it.comp.sicurezza.windows
Titolo: sicurezza di un router che fa nat

Ciao a tutti,
ho una curiosita'... leggendo qua e la nel ng ho capito che un router isdn
(ad esempio) che natta una rete (192.168.0.x ad esempio) senza
accorgimenti quali firewall o filtri particolari non e' sicuro...
Cioe' la rete connessa non e' sicura...
Ma se faccio NAT che problemi posso avere ?
La mia lan locale non e' "pubblica" su internet.
I miei server interni non sono esposti...
Conosco la tecnologia del NAT, ho cercato di capire bene il suo
funzionamento.
Forse potrei violare un router che fa nat costruendo un pacchetto e
conoscendo i diversi sequence number per far apparire un pacchetto
"sporco" come un pacchetto che in effetti ci si aspettava... 
Vabbe'... forse ho fatto un po' di casino... ma qualcuno ha voglia di
raccontarmi in breve che insicurezze puo' avere una rete mascherata da un
nat ?
Grazie a todos...
ruxian
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 funzionamento.
Provo a spiegarti cos'ho capito io, dopo aver letto il famoso post
"NAT e' protezione?" (e sicuramente non ci avro' capito na cicca, eh) :
Dunque, nel momento in cui il mio provider mi da un accesso ad internet
e mi dice di passare attraverso quel router con indirizzo IP 192.168.0.1 (ad
es),
cio' significa che posso dare ai miei pc indirizzi tipo 192.168.0.2 , 3, 4,
5 e cosi'
via...
pero', se chi mi programma il router permette l'accesso di qualsiasi
protocollo
attraverso qualsiasi porta, e' a tutti gli effetti come se il mio indirizzo
192.168.0.1
fosse un indirizzo pubblico, perche' tutti coloro che proveranno ad inviar
pacchetti
al vero indirizzo pubblico (es. 123.123.123.123) se li vedrebbero
automaticamente
rediretti all' IP 192.168.0.1 e conseguentemente anche al 2, 3, 4, 5
In questo modo (ma ripeto, potrei dire delle gran castronerie) se uno
volesse ad
esempio mettere un web server in ascolto su un pc avente indirizzo IP
192.168.0.2
lo potrebbe fare, dato che le richieste a 
www.miodominio.it
 , a cui verrebbe
associato
il mio IP pubblico statico 123.123.123.123 , verrebbero automaticamente
reindirizzate
al mio IP privato.
Ora, ragionando di logica, penso che, se passano i pacchetti http diretti
alla porta 80
del mio server avente IP 192.168.0.2 possan pure passarci anche altri
pacchetti verso
altre porte... o no ... ?
Certo, se cosi' funziona, ci sara' anche il modo di programmarsi il router
in modo
da fargli instradare verso gli ip privati solo i pacchetti che si desidera,
ed attraverso
le porte prestabilite... ma questo potrebbe anche essere una limitazione...
Insomma, io ho buone ragioni di ritenere che, NAT o non NAT, al di qua del
router
un firewall ci voglia sempre... cmq, aspettiamo gli interventi dei Signori
Esperti :-)
Danny

 "sporco" come un pacchetto che in effetti ci si aspettava... 
E' una possibilita', se gli ISN sono deboli, ma AFAIK non riguarda il 
router, che lavora a livello piu' basso del protocollo ip (trasporto) 
bensi' i client (a meno che tu non abbia un router molto evoluto, i cisco 
- che non son router, ma vabbe' - sicuramente sono in grado di riscrivere 
l'isn.....)
Certo se il router ha vulnerabilita' note o meno note (0day) e' 
ugualmente compromissibile, e questa e' un altra possibilita'. Ma mi pare 
che tu sia scoperto su altri fronti (source routing, appunto)
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM1050 <<<
              YAGF Member Group >>> 
www.google.com
 <<<
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

 wrote in message
news:aqonos$bv3a0$1...@ID-166894.news.dfncis.de...
a proposito di source routing, ho trovato questo che puo' parzialmente
chiarir le cose:
http://www.iss.net/security_center/advice/Underground/Hacking/Methods/Techni
cal/Source_Routing/default.htm
(da copiare ed incollare "tutto attaccato")
anche se veramente mi piacerebbe tanto sapere se un firewall il source
routing lo blocca oppure lo lascia passare, di default...
Danny

 Esperti :-)
Non so se rientro nella qualifica, comunque correzioni e aggiunte sono
come sempre ben accette (invece i flames -> /dev/null :P).
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 144WU/7995hrs on a P166MMX :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 Il router che fa NAT, al primo pacchetto che riceve da te borbotta:
Cio' che dici e' giusto, nel caso in cui il router faccia NAT solo in un
senso, dall'interno verso l'esterno.
Ma chi vuole pubblicare qualcosa in rete, si fa configurare il router in
modo che: 
1- I pacchetti indirizzati agli indirizzi pubblici, escludendo quello
del router stesso, vengano forwardati all'interno senza nessuna
modifica; in questo caso, all'interno ci sara' una macchina con
indirizzo di rete 123.123.123.123 che si prende carico del traffico a
lei indirizzato.
2- I pacchetti indirizzati a 123.123.123.123 vengono nattati verso il pc
con interfaccia 192.168.1.123, in questo caso, lo scenario e' quello che
ha detto Danny.
3- un misto dei due, con selezione delle porte da nattare.
-- 
          |Save our planet!
   Ciao   |Save wildlife!
  roberto |For your E-MAIL use ONLY recycled Bytes  !!
          |roberto poggi   
rpo...@softhome.net

 3- un misto dei due, con selezione delle porte da nattare.
Tipo, 
123.123.123.123:80
 -> 
192.168.1.123:5987
?


 --
eh si, una roba del genere. Addirittura penso una cosa del tipo
123.123.123.123:*.* -> 192.168.1.123:*.*

 Tipo, 
123.123.123.123:80
 -> 
192.168.1.123:5987
?
Si', tipo quello, nel senso che natti tutte le porte sulle
corrispondenti porte dell'indirizzo privato, o solo alcune porte sulle
stesse porte dell'indirizzo privato, o come dici tu, alcune porte su
ALTRE porte dell'indirizzo privato.
