Quale distro giusta per un Firewall software?

[Fradetti]

Originally posted by "ziobystek"



mi riferivo al mondo opensource in generale cmq....ke NON è gratis ma a donazione...purtroppo in Italia questa usanza non c'è.

Il fatto è che non ho la carta di credito... cmq appena posso mi iscrivo alla Free Software Fundation

[FiorDiLatte]

I problemi non riguardano una subnet diversa, ma una classe diversa di ip, cioe' vorrei sistemare un'aula corsi con i canonici 192.168.1.xxx e la parte amministrativa con i 10.1.1.xxx, non e' esclusa anche in futuro l'ausilio di un'altra classe o sottorete. Il problema maggiore e' configurare il FW Linux per far funzionare a modino il pc con Windows 2000 Server ed Sql Server 2000, infatti questo pc non e' attivo su internet, serve solo a fare delle prove di funzionamento dei siti web che poi pubblicheremo su altri server esterni (aruba, consultiweb, ecc.).

Il pc con Linux dovrebbe essere un Pentium a 233 mhz con 64 mega di ram e HDD da 2 Gbyte, potrebbe andar bene come pc?

Altra cosa che vorrei sapere, e' se il pc in questione, in futuro si guastasse, basterebbe sostituirlo con un altro diverso, solamente spostando l'hardisk a quest'ultimo, o dovrei riconfigurare i driver per il nuovo pc, per farlo funzionare al 100%, non so, se mi sono spiegato!?



byezzz

[ilsensine]

Originally posted by "FiorDiLatte"

I problemi non riguardano una subnet diversa, ma una classe diversa di ip

...che è la stessa cosa. Però visto che puoi assegnare a una scheda di rete più IP alias (ad es. 192.168.1.254/24, 10.1.1.200/24) non dovresti avere problemi.

Il problema maggiore e' configurare il FW Linux per far funzionare a modino il pc con Windows 2000 Server ed Sql Server 2000, infatti questo pc non e' attivo su internet, serve solo a fare delle prove di funzionamento dei siti web che poi pubblicheremo su altri server esterni (aruba, consultiweb, ecc.).

Basta che blocchi tutto il traffico da e verso quelle macchine

Il pc con Linux dovrebbe essere un Pentium a 233 mhz con 64 mega di ram e HDD da 2 Gbyte, potrebbe andar bene come pc?

Dipende dal numero di regole per il firewall di cui hai bisogno. A naso direi di sì.

Altra cosa che vorrei sapere, e' se il pc in questione, in futuro si guastasse, basterebbe sostituirlo con un altro diverso, solamente spostando l'hardisk a quest'ultimo, o dovrei riconfigurare i driver per il nuovo pc, per farlo funzionare al 100%, non so, se mi sono spiegato!?

Basta che "sposti" l'HD mantenendo il kernel di default della distribuzione. Al più dovrai riconfigurare l'interfaccia grafica (se la usi), a causa della diversa scheda video, ed eventualmente indicare i nuovi driver per le schede di rete (se diverse). Linux non si accorgerà minimamente della transizione, penserà a tutto il kernel.

[ziobystek]

Originally posted by "FiorDiLatte"

Il pc con Linux dovrebbe essere un Pentium a 233 mhz con 64 mega di ram e HDD da 2 Gbyte, potrebbe andar bene come pc?

Altra cosa che vorrei sapere, e' se il pc in questione, in futuro si guastasse, basterebbe sostituirlo con un altro diverso, solamente spostando l'hardisk a quest'ultimo, o dovrei riconfigurare i driver per il nuovo pc, per farlo funzionare al 100%, non so, se mi sono spiegato!?

byezzz

dovrbbe bastarti un hardware del genere.

per la transizione non dovresti avere problemi....distro come red hat e mandrake hanno tool grafici abbastanza semplici per la gestione del nuovo hardware e non danno particolari problemi.

[FiorDiLatte]

Originally posted by "ilsensine"


...che è la stessa cosa. Però visto che puoi assegnare a una scheda di rete più IP alias (ad es. 192.168.1.254/24, 10.1.1.200/24) non dovresti avere problemi.


Basta che blocchi tutto il traffico da e verso quelle macchine


Dipende dal numero di regole per il firewall di cui hai bisogno. A naso direi di sì.


Basta che "sposti" l'HD mantenendo il kernel di default della distribuzione. Al più dovrai riconfigurare l'interfaccia grafica (se la usi), a causa della diversa scheda video, ed eventualmente indicare i nuovi driver per le schede di rete (se diverse). Linux non si accorgerà minimamente della transizione, penserà a tutto il kernel.

Il Windows 2000 Server, ci serve per vedere da internet come funziona il sito da noi creato, infatti nel nostro abbonamento ad internet abbiamo degli ip statici pubblici, da cui (tramite il NAT del router) si possono vedere i nostri siti web presenti sul Win2k Server, siti con indirizzo: www.pincopallino.it:8081 - :8082 - :8083 - ecc. . Tramite l'ip statico sara' possibile visionare i siti presenti sul win2k server.

Uno dei problemi maggiori e' qui, ora che non abbiamo il firewall via linux, il router e' configurato in una certa maniera, ma se dovessimo metterlo, dovremmo stravolgere pure la configurazione del router per farlo funzionare col linux o no?

Nel pc dove verra' installato il Linux, quante schede di rete ci vorranno?

Una per ogni subnet + una per il router, o e' consigliabile usare gli ip alias?

Forse la prima soluzione e' piu' performante o sbaglio?

Ma riguardo al cambio di computer eventuale, il linux riconoscera' da solo il chipset della MoBo, o dovro' installare dei driver specifici?

Mi hanno imprestato la Mandrake 9.1 su 4 cd, me la consigliate per iniziare, cosa devo eliminare durante l'installazione, per farne un uso di "firewalling"?


Grazie per l'aiuto!!!


byezzz

[FiorDiLatte]

Ne approfitto anche per farvi un'ulteriore domanda, visto che i kernel che escono sono standard, cioe' possono essere compilati (adattati) ad una qualsiasi distribuzione di linux (da quello che ho letto e capito), cos'hanno di differenti le varie distro, forse il software a corredo, o proprio il kernel, o entrambi?



ribyezzz

[ilsensine]

Originally posted by "FiorDiLatte"


Uno dei problemi maggiori e' qui, ora che non abbiamo il firewall via linux, il router e' configurato in una certa maniera, ma se dovessimo metterlo, dovremmo stravolgere pure la configurazione del router per farlo funzionare col linux o no?

Forse devi cambiare qualcosa. Ad esempio puoi lasciare a linux il compito di fare la NAT. Il problema va studiato, ma le soluzioni ci sono.

Nel pc dove verra' installato il Linux, quante schede di rete ci vorranno?
Una per ogni subnet + una per il router, o e' consigliabile usare gli ip alias?

Una per ogni subnet sarebbe preferibile. Potresti in tal caso usare lo stesso fw linux come "ponte" tra le due subnet, se ti serve.

Ma riguardo al cambio di computer eventuale, il linux riconoscera' da solo il chipset della MoBo, o dovro' installare dei driver specifici?

Pensa a tutto il kernel, non ti devi preoccupare.

Mi hanno imprestato la Mandrake 9.1 su 4 cd, me la consigliate per iniziare, cosa devo eliminare durante l'installazione, per farne un uso di "firewalling"?

Va bene. Non devi eliminare nulla in particolare, abbi solo cura di installare iptables. Puoi maneggiare i pacchetti anche dopo l'installazione, con pochi click.
La "cassazione" dei servizi inutili o pericolosi puoi farla anche dopo, ma tieni conto che il tuo fw dovrai blindarlo, ovvero non dovrà poter comunicare con l'esterno (per ovvi motivi di sicurezza).

[ziobystek]

Originally posted by "FiorDiLatte"



Il Windows 2000 Server, ci serve per vedere da internet come funziona il sito da noi creato, infatti nel nostro abbonamento ad internet abbiamo degli ip statici pubblici, da cui (tramite il NAT del router) si possono vedere i nostri siti web presenti sul Win2k Server, siti con indirizzo: www.pincopallino.it:8081 - :8082 - :8083 - ecc. . Tramite l'ip statico sara' possibile visionare i siti presenti sul win2k server.

ma il server web è accessibile dall' esterno???
se è cosi devi creare una DMZ.

[FiorDiLatte]

Originally posted by "ziobystek"




ma il server web è accessibile dall' esterno???
se è cosi devi creare una DMZ.

Si'!! E' accessibile dall'esterno, solo pero' per testare i siti web che facciamo.
Ma ora non abbiamo una DMZ (cos'e' ed a cosa serve?) quindi e' obbligatorio crearla questa zona demilitarizzata ?


byezzz

[ilsensine]

Originally posted by "ziobystek"


ma il server web è accessibile dall' esterno???
se è cosi devi creare una DMZ.

Se non ho capito male, la seconda subnet è in effetti una DMZ. Si può fare tutto con un unico firewall e 3 schede di rete.

x FiorDiLatte:
DMZ = zona "demilitarizzata". E' la sezione di una rete che contiene server accessibili dall'esterno.

[ziobystek]

Originally posted by "FiorDiLatte"



Si'!! E' accessibile dall'esterno, solo pero' per testare i siti web che facciamo.
Ma ora non abbiamo una DMZ (cos'e' ed a cosa serve?) quindi e' obbligatorio crearla questa zona demilitarizzata ?


byezzz

la DMZ (o zona demilitarizzata) è quella zone dove ci sono di solito i web server o makkine ke devono essere accessbili dall' esterno sulle varie porte, in sostanza sono i web server con ip pubblico.

ti allego un immaginina. non so come hai strutturata la rete al momento.

[ziobystek]

azz...l' immagine

[coglialvolo]

Ehm... scusami fiordilatte.

Esporresti in maniera chiara gli step del tuo lavoro in modo da renderlo patrimonio di tutto il chan?
Io vorrei mettere un firewall linux su lan windows xp (2 macchine) con switch e router adsl.

Per la distro avevo pensato a Mandrake 9.1.... come dice il saggio: " ci diamo una mano a vicende nella creazione: io parto adesso"....
Magari se tu hai usato una distro diversa la cambio anch'io così da rendere comuni i progressi....



Ciao.

[FiorDiLatte]

Originally posted by "coglialvolo"

Ehm... scusami fiordilatte.

Esporresti in maniera chiara gli step del tuo lavoro in modo da renderlo patrimonio di tutto il chan?
Io vorrei mettere un firewall linux su lan windows xp (2 macchine) con switch e router adsl.

Per la distro avevo pensato a Mandrake 9.1.... come dice il saggio: " ci diamo una mano a vicende nella creazione: io parto adesso"....
Magari se tu hai usato una distro diversa la cambio anch'io così da rendere comuni i progressi....



Ciao.

I quesiti che sto chiedendo io, sono solo logici, non pratici, prima di iniziare vorrei avere una visione completa e dettagliata di quello che dovro' fare, quindi in pratica iniziero' un po' piu' in la' ad installare il linux ed a configurare tutto il software necessario; anche perche' ora come ora sono impegnato in altre cose.

byezzz

[FiorDiLatte]

Originally posted by "ilsensine"


Se non ho capito male, la seconda subnet è in effetti una DMZ. Si può fare tutto con un unico firewall e 3 schede di rete.

x FiorDiLatte:
DMZ = zona "demilitarizzata". E' la sezione di una rete che contiene server accessibili dall'esterno.

No!!! Nella seconda subnet c'e' anche un web-server che usiamo per testare i nostri siti dall'esterno, ma ci sono anche altri pc che usiamo per lavorare.
Questa DMZ ha bisogno di una sua subnet specifica o puo' convivere con una delle due subnet che avrei preventivato di creare?

Il discorso si fa sempre piu' ampio, mi sa che faro' comprare un firewall hardware. Capire la logica del tcp/ip e' veramente una cosa amletica, vedro' che fare, soprattutto per il fatto che usare un pc con Win'98se per un utilizzo di firewalling mi sembra ridicolo, ma voi dovreste saperlo meglio di me, no?

byezzz

[ilsensine]

Originally posted by "FiorDiLatte"


No!!! Nella seconda subnet c'e' anche un web-server che usiamo per testare i nostri siti dall'esterno, ma ci sono anche altri pc che usiamo per lavorare.

Potresti spostarli sull'altra subnet

Questa DMZ ha bisogno di una sua subnet specifica o puo' convivere con una delle due subnet che avrei preventivato di creare?

Il problema è questo: un computer nella DMZ è a maggior rischio di compromissione. Se da quel computer puoi allegramente raggiungere tutti gli altri, ecco che bucato quel computer, bucati tutti. Quindi in genere la DMZ ha una subnet separata, ed è diviso da un firewall dalle altre zone "protette".

Il discorso si fa sempre piu' ampio, mi sa che faro' comprare un firewall hardware.

...per ottenere quali vantaggi? Il discorso sulla DMZ rimane tale e quale...

[FiorDiLatte]

Originally posted by "ilsensine"


Potresti spostarli sull'altra subnet

Il problema è questo: un computer nella DMZ è a maggior rischio di compromissione. Se da quel computer puoi allegramente raggiungere tutti gli altri, ecco che bucato quel computer, bucati tutti. Quindi in genere la DMZ ha una subnet separata, ed è diviso da un firewall dalle altre zone "protette".


...per ottenere quali vantaggi? Il discorso sulla DMZ rimane tale e quale...

Innanzitutto configurare un firewall hardware e' piu' semplice, cioe' non dovrei imparare un nuovo sistema operativo, anche se sinceramente il Linux un po' mi stuzzica la curiosita', e poi un firewall hardware e' migliore di uno software, ho sentito dire e previene i vari problemi di malfunzionamento di un pc comune.

Riguardo alla DMZ, anche questa e' protetta dal firewall linux, no? Quindi teoricamente non dovrebbero esserci problemi di intromissione, tu consigli di avere un'altra subnet (quindi un terzo Nic) apposita per la dmz?
Dico questo, perche' vorremmo suddividere i pc della sala corsi, da quelli dell'amministrazione, ci stati dei corsisti rompiballe che usavano emule e software simili senza il nostro permesso, come se fosse una cosa naturale installarli !!! Quindi se i corsisti scaricano dei virus non vorremmo che ci infettassero tutti i pc dell'azienda, da qui il bisogno di proteggerci dall'esterno (perche' abbiamo degli ip statici/pubblici) e dall'interno (ovvero da qualche corsista/stagista un po' troppo intraprendente, ossia un bastardone !! ) .


byezzz

[ilsensine]

...a maggior ragione hai bisogno di più subnet. Il problema qui è che alcune zone della rete interna sono da considerarsi "inaffidabili".
Un fw non può impedire che un idiota si prenda un virus, ma può impedire che il computer infettato mandi in crash gli altri (ad es. sfruttando gli innumerevoli bug del protocollo smb, ecc.) o li "infetti" in qualche altra maniera. Quindi io ti consiglierei:
- una subnet "principale" per i PC di lavoro comune
- una subnet dedicata alla DMZ, per i computer "pubblici" accessibili dall'esterno
- una subnet dedicata ai computer idiota-friendly, isolata dal fw dalla subnet principale (e possibilmente con log delle porte di emule, ecc. )

Se poi la tua azienda è "grande" e avete bisogno di altre subnet per altri reparti, sono solo varianti sul tema.

[coglialvolo]

Non capisco come possa basarti esclusivamente su una dissertazione teorica (quando poi su internet ne esistono quantità bibliche), rinunciando a qualsiasi esperienza pratica.....

Ovviamente il tuo livello di impiego è decisamente professionale, ma un test su due macchine potrebbe esserti d'aiuto a capire meglio il mondo linux visto che, come me, sei un profano.

Giacchè la domanda che sorge spontanea è
Come diamine farai ad amministrare una sicurezza LINUX oriented visto che non capisci un tubo di questo s.o., in una situazione critical ovvero lavorative

Cmq su Linux pratico ho letto qualcosa che credo faccia al caso tuo.

Allora, la situazione è:
come posso fare un testing di un portale di prova su una macchina con ip privato che si collega ad internet tramite gateway ed indirizzo ip (anche non) statico ?

La soluzione sta negli sviluppi del kernel e nel comando iptables.

Posto che 151.38.31.246 sia l'ip (anche non) statico assegnato per l'accesso ad internet
e che 192.168.50.10 sia l'ip proivato del server web da testare

la macchina remota che volesse accedere al serverweb oscurato dal gateway dovrebbe inserire questo comando:

# iptables -t nat -A PREROUTING -p tcp -d 151.38.31.246 --dport 80
-j DNAT --to-destination 192.168.50.10:80

ovvero basterà inserire nel browser la riga
http://151.38.31.246:80

per avere accesso diretto alla macchina serverweb oscurata dal gateway

Se vuoi scendo nei dettagli....

Ciao.

S.P.Q.S.: Sono Pazzi Questi Sistemisti

[ilsensine]

Originally posted by "coglialvolo"

Non capisco come possa basarti esclusivamente su una dissertazione teorica (quando poi su internet ne esistono quantità bibliche), rinunciando a qualsiasi esperienza pratica.....

Perché il suo è un compito:
1) complesso
2) delicato
3) Se sbaglia, il capo gli fa il c...

La "pratica" lì è un dettaglio, molto più importante la _certezza_ di prendere le decisioni giuste (qualunque sia il sistema che fa da fw).
Lo capisco perché anche noi abbiamo una rete mista, che fortunatamente non amministro io.