Firewall Hardware Howto

[tutmosi3]

Originariamente inviato da tutmosi3

...Comunque ritorno sulle domande che ti hanno posto Stev-O, Overdrive e BTS: che te ne fai di un firewall del genere (che è pur sempre buono) quando hai il router?
Ciao

Questa domanda potrebbe avere dato il LA ai discorsi dui firewall.
Quindi preciso che ciò che intendevo dire è che un router è una protezione sufficiente se uno non ha esigenze particolari.
Perciò quoto in pienbo il grande wgator.
Ciao

[Lupin The 3rd]

quindi se io voglio proteggere la lan del mio netgear, collego due cavi ethernet al mio ipcop (1 per internet e uno per la lan) e il gioco è fatto? se il wi-fi è integrato sul router non ho bisogno di una rete supplementare giusto?



P.S. Ho ridato un occhiata al mio pc che ho da poco restaurato: IBM pc330, mobo Intel/IBM extended, 80mb ram, 3,5gb hdd, cd-rom, 256kb cache esterna, pentium 133@166mhz MMX, 2x 3com 10/100...va bene vero?

[as10640]

No! Il tuo IPcop deve essere FISICAMENTE tra internet ed i PC, quindi le schede di rete devono essere collegate una al router ed una ad uno switch... ed ovviamente il wireless NON è protetto...

[Lupin The 3rd]

quindi essendo il netgear dg834gt un router + switch non posso farlo giusto? o almeno dovrei connettere da solo l'ip cop al netgear e poi collegare tutta la lan su un'altro switch...in pratica le due schede servono che una (RED) si collega direttamente a internet, e poi la GREEN rimanda il segnale filtrato per esempio in uno switch dove sono connessi tutti i pc giusto?

[Ilpastore]

piccola precisazione visto che l'argomento era, è e rimarrà caldo a quanto vedo...

metto in ordine di equal importanza due fattori, ripeto, STESSA IMPORTANZA:

1)il budget a nostra disposizione

2)che cosa dobbiamo proteggere


prima ho sentito dire qualcosa del tipo: protezione sufficiente ecc....

allora intanto ricordo che: LA SICUREZZA TOTALE NON ESISTE... quindi con questo anche la protezione sufficiente! è inutile che Piero Pippetta si compra un Nokia (firewall ovv... ah per chi non lo sapesse Nokia, Checkpoint e Cisco questi sono i milgiori fw hw secondo me in ordine come li ho elencati), lo accende e lo lascia così.....

io dico questo per esperienza nel lavoro di tutti i giorni di persone e aziende piccole medie grandi o chi che sia che viene pianbgendo da me perchè ha perso i dati!!!! la cosa + brutta è che succede quasi tutti i giorni!

quindi concludo col dire che, è un luogo comune stupido dire: -io ho il computer a casa che ca... ci faccio con un gruppo di continuità?- o ancora: che diavolo ci faccio con l'antivirus?- -il firewall?? ma sei pazzo!-

dopo vengono piangendo perchè stava lavorando sulla tesi e 0 copie backup o se ne va luce e si brucia l'hd.....

eh caro sano lavoro di tutti i giorni!!!

[tutmosi3]

Originariamente inviato da Ilpastore

piccola precisazione visto che l'argomento era, è e rimarrà caldo a quanto vedo...

metto in ordine di equal importanza due fattori, ripeto, STESSA IMPORTANZA:

1)il budget a nostra disposizione

2)che cosa dobbiamo proteggere


prima ho sentito dire qualcosa del tipo: protezione sufficiente ecc....

allora intanto ricordo che: LA SICUREZZA TOTALE NON ESISTE... quindi con questo anche la protezione sufficiente! è inutile che Piero Pippetta si compra un Nokia (firewall ovv... ah per chi non lo sapesse Nokia, Checkpoint e Cisco questi sono i milgiori fw hw secondo me in ordine come li ho elencati), lo accende e lo lascia così.....

io dico questo per esperienza nel lavoro di tutti i giorni di persone e aziende piccole medie grandi o chi che sia che viene pianbgendo da me perchè ha perso i dati!!!! la cosa + brutta è che succede quasi tutti i giorni!

quindi concludo col dire che, è un luogo comune stupido dire: -io ho il computer a casa che ca... ci faccio con un gruppo di continuità?- o ancora: che diavolo ci faccio con l'antivirus?- -il firewall?? ma sei pazzo!-

dopo vengono piangendo perchè stava lavorando sulla tesi e 0 copie backup o se ne va luce e si brucia l'hd.....

eh caro sano lavoro di tutti i giorni!!!

Quello della "protezione sufficiente" sono io.

E quello che intendo dire è che se uno ha una LAN casalinga (è solo un esempio) utile per Emule ed acoltare musica, scrivere 2 lettere all'anno e stamparle; forse un firewall hardware della Cisco è un po' troppo. A quei livelli in buon Netgear è sufficiente.
E' ovvio che la protezione totale non esiste, tuttavia se uno naviga senza antivirus (oppure non aggiornato), senza firewall e con XP non aggiornato è logico che incappi in ogni forma di malware disponibile sulla rete.

UPS?
Io lavoro in una ditta di impianti elettrici, ne vedo a decine.
Senza UPS non accendo niente.

Backup?
Ho un PC in rete appositamente dedicato al backup delle risorse. E' praticamente un NAS.
Ho provato decine di software per i backup prima di trovare quello che volevo.
Sono utilissimi.

Ciao

[Ilpastore]

é proprio quello che volevo dire...

anch'io ho Giga e Giga di mp3 a casa..... e se la perdo??? AHAHAHAHAHAH!!!!!

[tutmosi3]

Non vorrai mica dirmi che non hai backup?
Il PC che uso come NAS è un AMD K6 475 mhz ... Insomma è un osso sempre spento. Lo accendo un'oretta al giorno per i backup.
Ciao

[Lupin The 3rd]

anch'io utilizzo un ups x la corrente...per il backup ho harddisk a cassetto su ogni pc...passo in rassegna con uno da 200gb o 120gb o 80gbx2 dove salvo tutti i documenti...volevo avere un firewall più serio perché ho molti pc constantemente connessi a internet e volevo proteggerli al meglio che posso. Ho sentito di questa soluzione, sono andato in cantina e ho visto un ibm e allora mi sono detto:"perché non provare??". Ho 4pc fissi più un portatile...non stampo qualche lettera all'anno ma guide intere (stampante laser b/n), home banking, acquisti on line, video rendering, gioco, contabilità, emule ha 20gb e più in download ecc. ecc. ecc..........da quando sono nato ho computer in casa quindi sono 12 anni che ci smanetto...volevo solo realizzare un progetto che mi sembrava interessante...è come uno che si compra una ferrari...secondo te per andare circolare in strada con il limite dei 50 servono 800cavalli e 6300 di cilindrata in una macchina che costa mezzo miliardo di vecchie lire?

[wgator]

Ciao,

per quanto riguarda UPS, uso solo portatili, problema risolto!
Però un UPS ce l'ho, da 500 V.A. alimenta solo il router e il NAS di back-up dati che funzionano ancora per oltre 1 ora in caso di mancanza di corrente

[BTS]

Raga, da me non s'è mai perso nulla.
L'utimo virus che ho visto era un "format" quando avevo il 286 e fra l'altro era pure uno dei più facili da rimuovere.

ilPa, la gente che viene "a piagere" da te... gli spilli qualcosa o sei magnanimo?

[hmetal]

ciao a tutti. Come potevo mancare e non andare in ot ! Ma neanche tanto.

Mi riprometto di fare su un po di materiale e fare un bel post riepilogativo riguardo a questo che sto per scrivere e al discorso del subnetting, che mi pare ultimamente sia un argomento ricorrente, visto che sempre piu utenti "business" postano domande su questo forum che vanno al di la del normale e "standard" utilizzo casalingo.


L'utilizzo del firewall (hardware, quelli software tipo zone alarm non sono dei veri e propri firewall) ha senso quando il traffico proveniente da internet viene forwardato indiscriminatamente verso l'interno di un lan (cioe quando siamo in dmz) o quando c'è un numero considerevole di applicazioni, tipo web server, che fanno parte di una porzione dmz e che sono critici o comunque da internet si ha libero e diretto accesso.

Qui ha senso utilizzare un firewall. I maggiori tipi di attacchi sono essenzialmente 2:

- dos (denial of service): l'attaccante riesce in qualche maniera a bloccare il servizio ad altri utenti, tipo un web server, magari facendo molte richieste da molte sorgenti diverse. E' un po quello che è accaduto (in maniera non voluta) quando ad esempio l'11 settembre 2001 mezzo mondo cercava di collegarsi ai siti delle testate giornalistiche ma non ci riusciva perche il web server erano bloccati da troppe richieste. Questo è essenzilamente un dos diciamo "non voluto".

- deface: l'attaccante riesce a collegarsi alla root dir di un web server e cambia la pagina iniziale.

L'utilizzo dei firewall presenti sui router, nel caso di server o di macchine direttamente raggiungibili dalla rete pubblica è già abbastanza sovradimensionato.
Difficilmente un attaccante cercherà di collegarsi sul vostro pc solo per prendervi i vostri mp3...ci sono sistemi molto piu semplici e altrettando illegali per farlo. Di certo uno non si sbatte ad entrare in una lan per prendere 4 mp3.



ED ORA LA PARTE FONDAMENTALE

Se una rete lan è dietro ad un router e non c'è l'esigenza di avere server all'interno della lan pubblici, il router non è che funzioni da firewall ma di fatto, I ROUTER GIRANO ALL'INTERNO DELLA LAN SOLO I PACCHETTI CHE SONO STATI RICHIESTI PRIMA DALL'INTERNO.

Questa non è una feature di sicurezza, ma il risultato dell'uso del nat. Il nat crea una tabella di associazione tra l'host interno e la relativa richiesta che sta facendo verso l'esterno: quando il pacchetto torna indietro il router forwarda il pacchetto solo se trova un entry di un host interno alla lan che l'ha prima richiesta. Se non esiste una corrispondenza il pacchetto viene droppato (Scartato).

Ricapitolando: se non avete necessita di avere dei server pubblici, il router non forwardera le richieste non create dalla lan interna, per cui non ha senso metterci un firewall in mezzo.


Esiste tuttavia un eccezzione: l'utilizzo di indirizzi ip pubblici statici. In questo caso il nat non viene fatto perche tutti gli host della lan hanno assegnato ip statici pubblici quindi direttamente raggiungibili dalla lan. Qui ha senso usare un firewall tipo ipcop o altro.

Se poi uno vuole giocare un po con ipcop è ovvio che è libero naturalmente di farlo, senza contare che è molto utile per capire diverse cose, tra cui il subnetting visto che ip cop necessita che le due reti siano separate logicamente.



Spero di essere stato chiaro e soprattutto utile.

ciao a tutti

[BTS]

hmetal... tu mi sbalordisci!

[Lupin The 3rd]

grazie mille hmetal...finalmente ho capito qualcosa a riguardo...

[hmetal]

ma io sta storia dei "..." (puntini) non mi torna....non capisco mai se la gente effetivamente mi comprende o mi asseconda dicendo di aver capito per non darmi corda e farmi continuare





ola



ciao!

[Lupin The 3rd]

Originariamente inviato da hmetal

ma io sta storia dei "..." (puntini) non mi torna....non capisco mai se la gente effetivamente mi comprende o mi asseconda dicendo di aver capito per non darmi corda e farmi continuare





ola



ciao!

è un mio modo di scrivere hmetal. ho capito e non te la smeno perché tu smetta, non preoccuparti!

[hmetal]

stavo ovviamente scherzando

ciao!!

[MrPeriwinkle]

riporto su questo messaggio


se metto a puntoun firewall hw, si possono ottimizzare anche le connessioni limtando e ampiando la banda?

cosa che il mio belkin non fa.

non ho ben capito il capitolo sul wifi

non è la stessa cosa che con una rete cablata ma cambia l interfacciamento fisico?

[Ilpastore]

Originariamente inviato da MrPeriwinkle

riporto su questo messaggio


se metto a puntoun firewall hw, si possono ottimizzare anche le connessioni limtando e ampiando la banda?

cosa che il mio belkin non fa.

non ho ben capito il capitolo sul wifi

non è la stessa cosa che con una rete cablata ma cambia l interfacciamento fisico?

e allora ti ririspondo io a distanza di tempo....

Lmitare banda e connesioni sono solo alcune caratteristische del firewall...

Non ho capito cosa vuoi sapere del wifi...

cmq ti faccio notare una cosa:

ROUTER WIRELESS---->FIREWALL---->PC CONNESSO IN WIRELESS --NON SICURO--

ROUTER WIRELESS(O NO)--->FIREWALL--->ACCESS POINT--->PC CONNESSO IN WIRELESS --SICURO--

OCCHIO, due precisazioni; nel primo caso e vero che non siamo sicuri, ma dobbiamo precisare DA e VERSO internet... mentre SI è PROTETTI dalla lan interna.
Nel secondo caso invece siamo protetti per internet ma non sulla lan interna...

QUesto per dire che i firewall, e i non esperti non sanno, li piazzi dove vuoi tu all'interno della tua lan.

Ricordate sempre questo: il FIREWALL protegge una zona SICURA da una zona INSICURA; decidete voi cosa rendere sicuro o insicuro.

[Solero]

Per la cronaca io fino a 6 mesi fa avevo in azienda un 486dx100 che mi gestiva con una vecchissima smoothwall una 2 megabit, ha funzionato per 4 anni initerrottamente senza nessun problema aveva pure delle vecchie schede a 10Mbit!
poi cambiando sede ho aggiornato il firewall a ipcop su un celeron 600 così posso mettere in piedi pure qualche VPN!

il processore nei firewall serve solo per cifrare i tunnel-vpn, altrimenti IMHO non fa mai un tubo!