[Case Study] Installare e Mettere in Sicurezza una Rete

[cagnaluia]

Vorrei installare e mettere in sicurezza una piccola rete (5 – 10 personal
computer) e accesso ADSL ad internet.

Cosa consigliate di fare?
Tenuto presente che la rete vorrebbe un server di dominio per le autenticazioni e altri eventuali servizi (es. server SQL)

Tenuto presente che servirebbe un antivirus centralizzato.

***Tenuto presente che si voglia la posta interna, ma non necessario***

Tenuta presente la necessità di un sistema di backup e rapido ripristino dello stesso.

Tenuto presente infine l’aspetto economico dell’ hardware e del software.

Lo so la questione potrebbe essere molto ampia. Ma genericamente, cosa proporresti di fare?

1000GRAZIE come sempre
:)

[CH1CC0]

Se non ho capito male ti va bene utilizzare macchine che fanno più cose insieme (tipo l'unico server che autentica gli accessi, gestisce il server di posta...)

-router/firewall ADSL (non un semplice modem ethernet)
-switch 10/100
-server (sul modello, lascio la parola a qualcuno pià esperto)

Sul server puoi implementare direttamente tutti i servizi:
-autenticazione degli utenti
-cartelle dati condivise
-server SQL (di cui so ben poco :( )
-server di posta

Sul router/firewall, imposti un NAT che rigira automaticamente le porte dei servizi sul server (ad esempio, quelle della posta).

Fai un bello studio di tutte le applicazioni che verranno utilizzate e crei delle access-lists per permettere le porte specifiche (bloccando tutto il resto).

Vedi se, come inizio, può andar bene e poi, magari, entriamo più nello specifico.

CiAO

[cagnaluia]

si!


Allora torniamo sul passo server.

Meglio un Windows2003Server (che a mio avviso ritengo facile e immediato)
Oppure un Linux sicuramente molto più economico ma non così immediato.


Altro:

Router & NAT.
Puoi darmi dei ragguagli.. delle info utili, del materiale per capire/studiare come si configura un router..?

[futurekiller]

Originariamente inviato da cagnaluia
si!


Allora torniamo sul passo server.

Meglio un Windows2003Server (che a mio avviso ritengo facile e immediato)
Oppure un Linux sicuramente molto più economico ma non così immediato.


Altro:

Router & NAT.
Puoi darmi dei ragguagli.. delle info utili, del materiale per capire/studiare come si configura un router..?

Come windows server ti consiglio la SBS visto che è veramente immediata e con poche utenze va benone.. integrato c'è anche il server di exchange e sql..
Linux lascialo stare.. conoscendoti è rischio che venga fuori un macello.. e poi al confronto tra SBS e linux in 3 ore hai il tuo bel SBS con tutti i pc e utenti configurati.. poi con l'installazione assegnata di applicazioni puoi aggiornare service pack e far installare il tuo bel AV centralizzato.. davvero molto comodo..
io al momento uso norton corporate server su server e client su client.. ogni mattina server si aggiorna e quando i client accedono al server ricevono in auto tutte le definizioni in auto.. con conseguente risparmio di banda..

poi per i router se ti guardi il suo bel manualetto vedrai che riesci a fare tutto .. anche via telnet.. e comuque tutti i router nuovi hanno http.. + comodo di quello..
Il NAT con è altro che una translazione di dati dalla porta del router al pc designato per l'applicazione che ti serve... ad esempio.. vuoi mettere un server web dietro il tuo router nella tua rete locale con 192.168.0.x? apri browser/telnet entri nel router e crei un nat tcp con origine 0.0.0.0 (tutti gli ip possibili) in ascolto sulla 80 e te lo reindirizzi sul 192.168.0.138 porta 80 .. così tutte le richieste fatte al tuo bell'ip del router fatte sulla 80 in automatico vengono indirizzate al 192.168.0.138.. fidati che è + difficile creare le access list del firewall..


così poi appunto ti fai il tuo bel serverino di posta con exchange e anche da casa ci puoi accedere.. veramente ottima la cosa non ti pare?

detto questo è detto tutto .. se hai bisogno di ulteriori chiarimenti scrivi :)


ciaociao

:rolleyes:

[cagnaluia]

la differenza tra la scelta di Windows2003 e Linux andava ad imputarsi sul discorso del DC.. Controller di Dominio. Visto che tutti i pc hanno WinXP mi chiedevo se era corretto installare un server Linux oppure tenerli a bada con Win2003srv, secondo me la strada migliore.

Oppure prendere 2 server uno che faccia solo da DC... e l'altro che mi filtri posta virus e servizi web com ftp.. http... etc...

Ma prendere 2 pc non lo vorrei.

Altro:

1. In genere cosa si deve dire al firewall perchè faccia il suo lavoro nella massima tranquillità?

2. Ipotesi.. io voglio che tutto il traffico internet passi per il server e dal server al router e dal router al web....
Basta che su tutti i pc indichi, via DHCP le impostazioni che GATEWAY e DNS sia il mio server.
Ma se un utente si portasse un portatile, lo collegasse alla rete e indicherebbe come GATEWAY non il server ma il router direttamente.. allora scapperebbe dal mio controllo.... sbaglio..
Perciò: esiste il modo per non ammettere altri indirizzi di uscita verso il router che non sia l'ip del SERVER? si fa così vero?

alla prox.;)

[futurekiller]

per tenere sotto controllo i dipendenti ti installi un bel server proxy come squid che con tutti i suoi log e le sue regole ti permette di vedere benissimo quello che fanno i client.. poi sul firewall metti che l'unico che può accedere ad internet è il tuo proxy cosicchè sono obbligati a metterlo se volessero navigare ( e ti eviti di mettere 2 schede di rete sul server una per internet e l'altra per la lan.. in + puoi settare da dhcp in automatico come gateway il router tanto per navogare devono passare tramite proxy). per i client che si autenticano con l'sbs poi nelle policy utente ce n'è una che ti permette di autoimpostare il proxy su internet explorer e disabilitarne la modifica.. poi l'sbs da solo ti fa da DC, filtro posta con i plugin x echange e anche server telnet + ftp..

vedi tu ora che può fare linux in una realtà così piccola dove perdere giorni a configurare un dc ad hoc potrebbe essere inutile..


ciao:rolleyes:

[cagnaluia]

squid è fuori discussione.. non ho LINUX... (abbiamo detto)

e nemmeno voglio impostare un proxy... ci sono altre vie?

ti dico: i client come vengono accesi e collegati alla rete devono poter usufruire di internet ( a patto che si siano autenticati sul dominio, si intente) ma senza aggiungere altri programmi!

[futurekiller]

ti metti un cesso di p2 333 con una bella fedora anche core 1 testuale.. quando entri fai /etc/init.d/squid start e il servizio è su.. non devi installare nessun programma.. e comuqnue se installi cgi-win che è sempre free sul tuo bel server lo puoi fare girare pure li.. poi con le policy appena autenticati navigano.. loro non devono fare niente e non si accorgono di niente.. poi se vanno in siti dove non possono si licenziano! meglio di così cosa vuoi? e sei anche protetto nel qual caso venga scaricato materiale pedo-pornografico.. o pirateria.. meglio dei log non esiste niente!


sveia!!!


W i NetWorK AdmiN


ciaociao:rolleyes:

[cagnaluia]

quanto casino per niente!

non dipende da me la scelta di Linux o la scelta di Microsoft...

Se in ufficio preferiscono che sia Linux... bene vada per linux.. ma allora serviranno 2 PC

Se in ufficio vogliono una sola macchina che si occupi di tutto e che sia Microsoft allora devo basarmi su programmi per windwos like.. e non fare metà di uno o metà dell'altro.. o peggio ancora emulare linux su windows.. dai non fare l'idiota.:D

[futurekiller]

non è questione di emulare.. è che fai anche un servizio in + che eventualmente ti salva il culo.. e non a te ... e nemmeno agli admin di rete.. al titolare! vedi tu

[cagnaluia]

boh... :rolleyes:

[futurekiller]

boh che! vuoi consigli? quanto ti costa una macchina linux che non devi nemmeno far interfacciare ne loggare su win 2003? 50 euro? considera che non ti serve ne monitor ne tastiera ne mouse... niente.. una scheda video per far partire il sistema e un sisco ata 33 da 3 Gb per installare linux (e avanzi ancora spazio).. da 10 se vuoi la cache così la navigazione è molto + veloce sugli oggetti archiviati in cache! poi una bella sk di rete 10Mb (tanto internet non ce l'hai di sicuro sopra ai 10Mbps) e un bel banco di memoria 100Mhz da 128Mb.. ma te ne bastano anche 64! e cos'hai risolto? una marea di eventuali grane sull'utilizzo di internet da parte degli utenti! senza fare NIENTE tu! fa tutto lui!! leggiti l'articolo su gazzettino di ieri! vedi cosa risolveva un proxy??? se poi vuoi prendere winproxy (25 euro a pc) o websense (+ di 1000 euro l'anno) che ti fanno la stessa cosa vedi tu! secondo me squid va a mnetttttta!


pensa

[futurekiller]

e con la testa non con il http://www.ngaclan.it/public/string.gif


ciaociao :rolleyes:

[cagnaluia]

Originariamente inviato da futurekiller
boh che! vuoi consigli? quanto ti costa una macchina linux che non devi nemmeno far interfacciare ne loggare su win 2003? 50 euro? considera che non ti serve ne monitor ne tastiera ne mouse... niente.. una scheda video per far partire il sistema e un sisco ata 33 da 3 Gb per installare linux (e avanzi ancora spazio).. da 10 se vuoi la cache così la navigazione è molto + veloce sugli oggetti archiviati in cache! poi una bella sk di rete 10Mb (tanto internet non ce l'hai di sicuro sopra ai 10Mbps) e un bel banco di memoria 100Mhz da 128Mb.. ma te ne bastano anche 64! e cos'hai risolto? una marea di eventuali grane sull'utilizzo di internet da parte degli utenti! senza fare NIENTE tu! fa tutto lui!! leggiti l'articolo su gazzettino di ieri! vedi cosa risolveva un proxy??? se poi vuoi prendere winproxy (25 euro a pc) o websense (+ di 1000 euro l'anno) che ti fanno la stessa cosa vedi tu! secondo me squid va a mnetttttta!


pensa


che cazzo dici.. c'è un discorso di sicurezza...non di costi tra S.O.
LA MACCHINA da 50euro che dici mi si spegne il giorno dopo.

Ho bisogno di un server con alimentazione ridondante..
RAID sui dischi..
HotSWAP..
E un sistema di FAULT TOLLERANCE... per i nodi server router switch firewall..
Se per qualche motivo qualcuno perdesse i dati.... siano essi sotto LINUX siano essi sotto WINDOWS non gliene fregherebbe a loro.
E websense fa benissimo il suo lavoro.. meglio di SQUID!
ah.. è gratis..
io con websense faccio una telefonata e mi risponde il supporto tecnico...
con SQUID faccio una telefonata e forse mi risponde un aborigeno!
:)

[CH1CC0]

per l'esperienza che ho fatto, questo è il consiglio.

Vuoi mettere su un server Win2k o Win2k3 "figo"?

L'anno scorso, pezzo x pezzo, ho messo su questo server:
-Dual P3 833mhz
-1Gb di RAM
-Scsi Raid Adaptec 2100s
-2x HD 36.7Gb SCSI3

In più una bella scheda di rete 3com, una scheda video "del cavolo" ed il gioco era fatto, spendendo circa 600euro + 100 per il case (certo, se vuoi tutto nuovo e coi fiocchi, di euro ce ne vogliono di più, però...)

L'unica cosa che non aveva era l'alimentatore ridondato...

Poi metti su un bel Win2k server (ormai è a prova di bomba... e non costa una fortuna).

Per gestire 10 utenti ti basta un solo server (certo, averne 2 o più è meglio, ma si può fare a meno).

Per gestire il traffico internet, metti sul server 2 schede di rete, un programmino tipo WinGate ed hai risolto tutto (fa proxy, mail server... manca solo che faccia il caffé e poi è completo). L'unica cosa è che all'inizio è un pò ostico da configurare, ma una volta presa la mano, i servizi li configuri al volo :D

Attaccato alla seconda ethernet del server, metti il router/firewall su cui (certo, non sarà una passeggiata, ma quello di cui hai più bisogno sarà "un bel pò di tempo". E' un lavoro fatto di configura e prova... e se non funzia, ricominci daccapo :muro: ).

Piano piano si fa tutto, senza dover mettere su la NASA... poi, se tutto va bene, magari aggiungi macchine dedicate, tipo un server linux con squid, o un server solo per la posta..............

Per lavorare all'UCAS (Ufficio Complicazioni Affari Semplici) c'è sempre tempo, meglio partire dal piccolo per ingrandire (almeno gestisci un casino alla volta ;) )

P.S. alla fine queste sono solo considerazioni personali, quindi prendile con le "pinze" :cool:

[cagnaluia]

:D :D :D


mi faresti un disegnino della config? dettagliato:D

[CH1CC0]

Originariamente inviato da cagnaluia
:D :D :D


mi faresti un disegnino della config? dettagliato:D

la config di cosa? della rete? o del server?

[cagnaluia]

rete e server sulla rete....;)

[CH1CC0]

se riesco, oggi butto giù un'idea e la posto (magari una semplice jpeg)

[cagnaluia]

Originariamente inviato da CH1CC0
se riesco, oggi butto giù un'idea e la posto (magari una semplice jpeg)


bello! così poi te lo commento e ti dico dove stanno i miei punti oscuri..:)

[CH1CC0]

Stavo cominciando a fare un disegno con visio, ma poi mi sono accorto che è talmente semplice che lo faccio così:

INTERNET <--> Router/firewall ADSL <--> Switch 10/100Mbit <--> LAN

La config del router/firewall comprende il NAT sull'interfaccia ATM0.1 o Dialer0 (rispettando tutti i servizi che verranno offerti dal Server, tipo porte 25/110...).

Sul server, più che schema, ci vuole "olio di gomito" e giù a configurare.
Prima di tutto devi decidere su quale piattaforma piazzare il server (linux o windows)


Per le config. specifiche bisogna sapere le macchine (router/firewall e server)

[cagnaluia]

ok..

ma quello che mi chiedo io a questo punto è:

ho Win20003svr.

voglio che SOLO gli utenti autenticati navighino in internet! e usufruiscano di tutti i servizi web..

come faccio? un pc potrebbe indicare come gateway il router e uscire tranquillamente?
No! Devo dire da qualche parte che non tutti possano fare il bello e il cattivo tempo! Moh dove? Sul router? E come? hai un esempio di config ? per un specifico router.. non importa.:)

[CH1CC0]

ti basta dare a tutti una password di utente normale (non di amministratore), inoltre è possibile impostare che gli utenti non possano modificare le impostazioni del server proxy.

In ultimo, puoi configurare l'uscita in internet dal proxy con nome utente e pw.

[cagnaluia]

si ma se qualcuno si porta il pc portatile da casa?

stesso utente stessa pwd? e gateway router?