[Guida] NAT, PAT, DMZ, DHCP, Firewalling, Public servers: explained!

[Sholn]

Originariamente inviato da hmetal

[i][Revision Log]
La metafora
Immagina di essere in macchina nella tua citta (nella tua LAN). Tu sei il bel pacchetto che se ne va in giro tranquillo per la città in macchine e va a trovare tutti i suoi amici hosts. Che tu sai dove abitano perche abitano nella tua città.
A sto punto pero devi andare da uno che non conosci e che abita in un punto che non sai ma di cui conosci il nome. L'unica uscita dalla tua città è l'autostrada e tu sai dov'è (che è il gateway, cioè il router), perche è sempre nella tua citta (lan). Prendi l'autostrada.
Mentre viaggi nell'autostrada vedi i cartelli (la tabella di rounting che ti dice che per andare in un certo posto devi prendere una certa via). Segui i cartelli (in realtà sono i cartelli a livello di routing che portano te ma è per fare un esempio) fino che trovi l'uscita che ti porta o su un altra autostrada, ma sempre piu vicino alla destinazione, oppure direttamente nella paese (lan) dove abita il tuo amico che non conosci. Questo è il routing.
Come si formino le tabelle di routing è un altra storia, ma è per dare l'idea.

Come metafora è molto simpatica e anche fruibile però da una visione leggermente distorta della realtà, il personaggio del pacchetto-macchina secondo me fuorvia. Dato che non è il pacchetto che va da un posto all'altro, il pacchetto viene spostato di volta in volta secondo il percorso giusto.
Magari potresti fare un esempio più calzante cambiando la macchina con una lettera inviata.


Il pacco viene imbucato, il postino lo porta al centro di smistamento e se il destinatario appartiene al comune del centro di smistamento viene portato dal postino al destinatario. Se il Cap non corrisponde allora la lettera viene passata al centro di smistamento più vicino e via dicendo finchè non raggiunge il centro di smistamento con il cap del destinatario.
Potrebbe tornare no? (magari riscritto un po' meglio...)

[beppegrillo]

Come si chiama la funzionalità che al contrario del nat+pat, dinamicamente apre determinate porte agli ip dei client?
grazie

[beppegrillo]

Originariamente inviato da beppegrillo

Come si chiama la funzionalità che al contrario del nat+pat, dinamicamente apre determinate porte agli ip dei client?
grazie

nessuno sa niente o nessuno visita questo thread?

[wgator]

Ciao,

forse ti riferisci a UPnP? (Universal Plug aNd Play?

[Guidooo]

volevo complimentarmi con l'autore del 3d per la formidabile chiarezza esplicativa... temo di aver capito persino io!

E dire che oggi ho consigliato un utente di "integrare" il firewall del router con un firewall software
Il fatto è che ho sempre creduto che il firewall sw, potendo creare regole sui programmi avesse quello che "manca" al firewall di un router.

[wgator]

Originariamente inviato da Guidooo

...Il fatto è che ho sempre creduto che il firewall sw, potendo creare regole sui programmi avesse quello che "manca" al firewall di un router.

Ciao,

in effetti, in un certo modo è così, come dici tu: i firewall software agiscono a livello applicazione ma non è sempre necessario installarli, dipende dall'utilizzo che si fa del PC. Per me, per il mio impiego, basta e avanza il nat del router

[Guidooo]

Originariamente inviato da wgator

Ciao,

in effetti, in un certo modo è così, come dici tu: i firewall software agiscono a livello applicazione ma non è sempre necessario installarli, dipende dall'utilizzo che si fa del PC. Per me, per il mio impiego, basta e avanza il nat del router

grazie mille, adesso mi sento un pò meno cretino.

Ad ogni modo, sotto con l'esempio chiarificatore: se voglio impedire che un programma esca in seguito ad una effettuata richiesta, magari automatica come potrebbe essere un aggiornamento automatico, l'unico modo che ho di bloccarlo è con una firewall sw. Si certo, posso disinstallarlo 'sto programma, cercarmene un'altro ecc.
Mi rendo comunque conto del fatto che firewall sw in combinazione con firewall hw sia una cosa per fanatici.

[wgator]

Originariamente inviato da Guidooo

...Mi rendo comunque conto del fatto che firewall sw in combinazione con firewall hw sia una cosa per fanatici.

Ciao,

mah... io ho le mie idee che in buona parte sono basate sull'esperienza e non uso firewall software...
Come ha ben spiegato l'autore della guida, un computer "nascosto" dietro ad un router non può essere raggiunto da nulla del mondo esterno che non sia stato espressamente richiesto.
Ovviamente si comprenderà che se su quel computer si fosse installato un "virus" o comunque un "malware" che tentasse di contattare il solito sito schifoso .da.ru, il "firewall" del router se ne fregherebbe e farebbe passare tranquillamente, dato che la richiesta di collegamento in effetti proviene da quel pc.

Per evitare questo ci sono due possibilità: si installa un ottimo antivirus, tipo, per esempio, KAV con "proactive defence" oppure si installa un qualsiasi antivirus e un firewall o anche una suite AV+FW.
Io ho scelto un semplice buon antivirus coadiuvato da un buon antispyware.

Perchè?

Un firewall "application level" (un FW software, insomma) necessita di essere istruito per funzionare correttamente, "spiegandogli" cosa bloccare e cosa no. Io personalmente non ne ho voglia ma un utente non smaliziato prima o poi finirebbe per "autorizzare" qualche schifezza

Morale: io lascerei l'uso dei firewall software solo a quelle persone che ritengono di averne la necessità, sia perchè sono molto a rischio, (porno da mane a sera, per esempio) e non hanno antivirus/antispy affidabilissimi, sia perchè si sentono in grado di gestirlo correttamente...

[FreeMan]

quoto ovviamente wgator.. io con il GT uso solo il KAV..prima usavo il modulo real time di SpyBot+altro antivirus

>bYeZ<

[Guidooo]

ne approfitterei per fare una domandina a questo punto.

Mi è chiaro di che si tratta quando si parla di "Port Forwarding", ma un pò meno quando si parla di Firewalling (per assurdo tra l'altro, visto che da sempre uso un firewall sw mentre solo da una settimana ho un router).

Con il P. fwding agisco a livello di NAT table chiedendo al router di far arrivare all'host tutto quello che passa per una determinata porta senza che vi sia una esplicita richiesta. Ma il firewalling allora? Potreste farmi un esempio?

Con il mio fidato firewall sw (outpost 1.0) le regole che creavo coinvolgevano:
+ l'eseguibile di un programma interessato alla connessione a internet
+ il protocollo utilizzato (TCP o UDP)
+ la porta / range di porte coinvolto nello scambio o eventualemente un indirizzo IP
+ la direzione dello scambio (in entrata / uscita)
+ il permesso o la negazione per la suddetta attività
Questo è firewalling?


G.

[REPERGOGIAN]

ci sono alcuni router che riportano
supporta fino a 1024 connessioni NAT
supporta fino a 1500 connessioni NAT

il valore di connessioni NAT è lo stesso valore di connessioni che si deve settare
nelle opzioni di emule?cioè sono la stessa cosa?

[REPERGOGIAN]

Originariamente inviato da hmetal

DMZ
Il fatto che esista una tabella di nat, fa si che tutti i pacchetti NON richiesti dalla lan (cioè pacchetti che non hanno corrispondenza nella nat table) vengano droppati (scartati) dal router e non inoltrati all'interno. Esiste pero un metodo di funzionamento, il DMZ (DemilitaredZone), che indica al router di forwardare (instradare) all'interno della lan, a tutti gli hosts, TUTTI i pacchetti in arrivo dalla rete pubblica. E' un sistema che viene di solito usato per i server pubblici, che hanno pero pool di indirizzi pubblici e comunque isolati dalle lan per ovvi motivi di sicurezza.
Ne sconsiglio vivamente l'utilizzo.

ciao
un conferma anche da voi
usare router con nat è sicuro come un pc in dmz sul quale gira un ottimo firewall software ?

avere un pc in dmz non è come usare un modem usb/ethernet?

[littlemau]

Originariamente inviato da REPERGOGIAN

ci sono alcuni router che riportano
supporta fino a 1024 connessioni NAT
supporta fino a 1500 connessioni NAT

il valore di connessioni NAT è lo stesso valore di connessioni che si deve settare
nelle opzioni di emule?cioè sono la stessa cosa?

Rispondo in base a quanto appreso qui dal primo post (e per cercare di capirci di più io stesso).
In teoria emule tratta "porte" : le sue connessioni multiple riguardano porte multiple. E qui parliamo perciò di PAT e non di NAT.
Quanto ai router non saprei dire...teoricamente non hanno limiti di n° di porte. Invece per quanto riguarda il NAT di solito è il tipo di rete stessa (prendendo esempio dal 192.168.0.0-192.168.0.256) che limita il numero di nat possibili.

ciao
un conferma anche da voi
usare router con nat è sicuro come un pc in dmz sul quale gira un ottimo firewall software ?

avere un pc in dmz non è come usare un modem usb/ethernet?

Ritengo di si per entrambi i quesiti. Ma attendo eventuali smentite.

[Guidooo]

nessuno ha la risposta al mio dubbio 3 o 4 posts sopra? (n°50)

[littlemau]

In merito al firewalling ne so quanto te. Ritengo di si. La mia visione semplicistica vede il nat come un semplice controllore dell'instradamento dei pacchetti senza controllarne il contenuto. I firewall software (quello installato nel host singolo) si occupa degli applicativi e della loro accessibilità tramite le varie porte del PC alla connessione di rete. Poi ci sono i firewall hardware (quelli inseriti all'interno dei router o disposti ad hoc tra la rete e il gateway) che a seconda della complessità possono controllare più o meno approfonditamente il contenuto di tutto ciò che transita.
Questa è l'idea che mi sono fatto. Attendo sempre smentite.

[Guidooo]

intanto grazie littlemau, se non altro ora so di non aver travisato tutto.

[DDNS]

ho un problema, devo mettere su una cam da visaulizzare via web
la cam in questione è una Hamlet IPC30W, nel menu di configurazione metto i parametri
ip statico registrato su dyndns.org

la porta di default è la 80 , io ho messo su anche la 81

ho configurato la cam via cavo impostando un ip xxx.xxx.1.20
poi facendo un scansione scopro che via wireless la vedo sia su xxx.xxx.1.20 che su xxx.xxx.1.3 (ma io 1.3 non l'ho impostato da dove l'ha preso?)

sul router che è un dsl 604 , modificato ora con il firm 3 DarkWolf
pensavo fosse la mancanza della voce Dynamics DNS
ma anche con il ddns niente fare

ho aperto i due INDIRIZZI IP 1.20 e 1.3 le porte 80 e 81 (in port fowarding)

facendo il ping del dominio registrato http://iw1gbo.dyndns.org , mi dice non raggiungibilee mi rimanda su gateway 192.168.100.1

ma il mio gateway è 192.168.1.1

chi mi spiega o aiuta a risolvere questo cruccio?
sicuramente sbaglio in qualcosa ma non so dove..

grazie

[tafazio]

Salve, spero questo sia il posto giusto per chiedere aiuto circa un problema che mi sta angosciando da quando ho messo il router.
Ho da poco acquistato uno zyxel P-660H-D1 ed ho fatto tutti i settaggi del caso (disabilitazione del firewall, permissione any tcp/udp, port forwarding per tutto quello che mi interessava).
Ho poi provato ad utilizzare ultraVNC per il controllo da remoto e ho notato che, a differenza di prima che avevo un classico modem dsl, se emule e' chiuso allora si connette senza problemi, ma se emule e' aperto allora sono guai, si connette solo sporadicamente.
Ho anche ridotto al minimo la banda in upload di emule.
Smanettando sul router, ho visto che attivando e disattivando in continuazione il bandwidth MGNT qualche volta riesco ad entrare, ma solo sporadicamente intendiamoci.
E' chiaro che non so quello che sto facendo giacche' non mi intendo di router all'infuori dei settaggi classici che ho studiato prima di metterlo.
A questo punto ho cercato in giro qualche altro programmino di controllo remoto per verificare se fosse un problema di ultravnc o meno.
Sono incappato in Remote Administrator, ho abilitato le sue porte (ovviamente ho settato delle porte diverse da quelle di ultraVNC) ma ahime', il problema rimane tale e quale, pertanto non e' un problema di ultraVNC ma a questo punto del router.
In ogni caso, digitando il mio ip (o il mio dynamic dns address) riesco sempre ad entrare sul mio router, pertanto la connessione c'e' ed e' attiva.
Sto diventando pazzo, non so piu' dove chiedere questa cosa.
Qualcuno di voi puo' aiutarmi?
Grazie, tafazio

[towerlight2002]

Buongiorno forum,
ho un problema simile @ tafazio.
Zyxel P660H-D1, Adsl PPPoE, Firewall disabilitato, Port Forwarding impostato per servizio http e ftp al server casalingo, Ip dinamico.

Ogni tentativo di accedere dalla WAN verso la LAN è bloccato.
Mi sa tanto che bisogna impostare qlk regola a manina

Altri hanno riscontrato questo intoppo.???

P.S: il problema nn sussiste con il Linksys WAG354G raggiungibile da http://towerlight2002.no-ip.org

Saluti
towerlight2002

[filippide]

La guida è bella ma se si ampliasse sarebbe meglio!!!!Complimenti!
Io però ho una domanda:
se ho un gioco che viene eseguito su due PC in rete, come configuro il nat? Il mio router mi dice, se metto due ip diversi con la stessa porta, che non si può fare perchè c'è una duplicazione di porte! Come possono usare due ip diversi la stessa porta? C'è una soluzione alternativa? La rete ha un router adsl e due PC.
Grazie