Security

Oltre il firewall: come gestire le comunicazioni

Redazione | 3 Dicembre 2014

Reti Sicurezza

Se il compito principale del firewall è quello di bloccare gli accessi non autorizzati dall’esterno verso la rete locale, è […]

Se il compito principale del firewall è quello di bloccare gli accessi non autorizzati dall’esterno verso la rete locale, è indispensabile che il router offra meccanismi adeguati per aprire le comunicazioni lecite in ingresso. Si pensi ad esempio a un server locale che debba offrire uno o più servizi pubblici o a una particolare applicazione che necessiti di una comunicazione bidirezionale evoluta con l’esterno.

Abbiamo già  parlato della possibilità  di istituire una zona demilitarizzata, che però è uno strumento spesso troppo rischioso e, soprattutto, scarsamente personalizzabile. Un’alternativa certamente più efficace è costituita dai servizi di port forwarding e virtual server. Sebbene queste due funzioni non siano tecnicamente identiche, possono essere utilizzate con il medesimo scopo.

Le regole di port forwarding o virtual server permettono di abilitare richieste lecite provenienti dall'esterno verso server locali.

Le regole di port forwarding o virtual server permettono di abilitare richieste lecite provenienti dall’esterno verso server locali.

Alla base del loro funzionamento vi è il sistema di trasmissione adottato dai protocolli Tcp/IP. I servizi di comunicazione sono infatti identificati dalla porta sulla quale il server attende le comunicazioni in ingresso. La porta, insieme all’indirizzo IP del server, identifica quindi il servizio attivo. Con una buona analogia si può pensare alla porta come al numero interno di un condominio: per identificare un appartamento si deve conoscere l’indirizzo civico dell’edificio (indirizzo IP del dispositivo informatico) e il suo interno (numero di porta del servizio attivo).

Il sistema delle porte di comunicazione può essere utilizzato dalle funzioni virtual server e port forwarding per consentire a più dispositivi della Lan di offrire i propri servizi all’esterno. Essenzialmente l’amministratore del router può definire una serie di regole che fanno corrispondere alle richieste esterne indirizzate a una determinata porta un indirizzo IP e una porta interna della Lan. Ipotizziamo ad esempio che l’amministratore di una rete con indirizzo IP pubblico 80.76.128.36 voglia installare un server Ftp su un computer con indirizzo locale 192.168.3.5. Il protocollo Ftp è generalmente impostato per ascoltare sulla porta 21. L’amministratore non dovrà  far altro che creare una regola di inoltro che indirizzi tutte le richieste esterne alla porta 21 verso l’indirizzo 192.168.3.5. Per accedere dall’esterno al server sarà  sufficiente indicare sul client l’indirizzo 80.76.128.36 e la porta 21.

Molti router offrono un set di regole precompilate per alcuni servizi o giochi online noti.

Molti router offrono un set di regole precompilate per alcuni servizi o giochi online noti.

In un secondo tempo sulla rete viene installato un server Web in ascolto sulla porta 80 del personal computer locale 192.168.3.7. Per abilitare questa comunicazione basterà  creare una nuova regola di inoltro da 80.76.128.36:80 a 129.168.3.7:80. Non è necessario che le porte esterna e interna corrispondano (in questo modo si possono ad esempio installare due server Ftp distinti in ascolto su porte differenti).

Una versione evoluta del port forwarding è il port triggering: in questo caso il router inoltra dinamicamente il traffico in ingresso su determinate porte verso i computer della Lan che stanno utilizzando specifiche applicazioni. Se ad esempio un computer sta eseguendo un gioco online operante in uscita sulla porta 123 e che deve ricevere comunicazioni sulla 456, il router inoltrerà  le richieste alla porta 456 verso tale computer (solo quando il suddetto software è in esecuzione).

Alcuni portali online consentono  di verificare la robustezza del protocollo Upnp implementato dal router.

Alcuni portali online consentono di verificare la robustezza del protocollo Upnp implementato dal router.

Un meccanismo ancor più automatizzato di apertura delle porte è l’Upnp (Universal Plug&Play): se abilitato sul router, permette a determinate applicazioni locali di aprire di propria iniziativa delle porte di comunicazione. L’Upnp è potenziale fonte di vulnerabilità : prima di abilitarlo sul vostro router, verificate la robustezza dell’implementazione su siti come https://upnp-check.rapid7.com.
Simone Zanardi
[box type=”shadow” ]

Speciale sicurezza

➜ Come proteggere il router per una rete sicura

➜ Come configurare il firewall contro gli attacchi

➜ Come gestire le comunicazioni: oltre il firewall

➜ Come controllare gli accessi Internet dalla Lan

➜ Come evitare gli accessi Wi-Fi non autorizzati alla rete

[/box]

Wireshark

Software

Download del giorno: Wireshark 3.4.1

Alfonso Maruccia | 10 Dicembre 2020

Download del giorno Reti Sicurezza

Nuova release stabile per Wireshark, popolare tool per l’analisi dei pacchetti di rete che corregge diversi bug e aggiorna il supporto per i protocolli di rete.

Wireshark è un software per l’analisi dei pacchetti di rete che ha acquisito una notevole popolarità in diversi scenari di utilizzo, un “packet sniffer” open source in grado di leggere, interpretare e anche decodificare diverse tipologie di comunicazioni telematiche a scopo di studio, manutenzione o hacking.

Grazie all’interfaccia e alle librerie di Wireshark, esperti e utenti comuni possono controllare una qualsiasi connessione di rete wireless o cablata per analizzare i dati scambiati tra client e router/server, raffinando poi l’analisi grazie al complesso sistema di regole e filtri applicabili dal tool.

Wireshark è in grado di effettuare una “deep inspection” di centinaia di protocolli diversi, di catturare il traffico in tempo reale o per l’analisi off-line, di analizzare il traffico VoIP, leggere/scrivere diversi formati di cattura, leggere il traffico da reti Ethernet, Bluetooth, USB, ATM, Wi-Fi e altre, di decifrare i protocolli criptati (IPsec, SSL/TLS, WEP, WPA/WPA2) e molto, molto altro ancora.

L’ultima versione di Wireshark distribuita in queste ore (Wireshark 3.4.1) non aggiunge nuovi protocolli a quelli già supportati in precedenza. In compenso, il programma risulta ora mondato da svariati bug, corregge quattro vulnerabilità di sicurezza classificate nel database CVE, migliora il supporto per i file di cattura in formato pcapng (PCAP Next Generation Dump File Format).

Pagina ufficiale del download di Wireshark 3.4.1 per Windows, Linux, macOS, …

Starlink

Networking

Starlink, la Internet satellitare di SpaceX entra in beta

Alfonso Maruccia | 29 Ottobre 2020

Reti SpaceX Spazio

I primi utenti hanno ricevuto l’invito a partecipare a un “giro di prova” di Starlink, il servizio di connettività satellitare con cui SpaceX intende fare una fortuna.

Il mercato per le connessioni Internet via satellite si fa sempre più affollato, sia sul fronte dei servizi cloud o professionali (Azure Space) che su quello della connettività dedicata espressamente agli utenti finali (Project Kuiper). SpaceX è a quanto pare in vantaggio rispetto alla concorrenza, visto che il suo progetto Starlink è già entrato in fase di beta ristretta negli Stati Uniti e in Canada.

La space company di Elon Musk non è certo priva di ambizioni, ma con Starlink l’obiettivo è se possibile ancora più temerario. SpaceX intende costruire una flotta di circa 12.000 piccoli satelliti posizionati nell’orbita terrestre bassa, offrendo quindi un servizio di Internet “spaziale” in grado di servire gli utenti non coperti dalle reti cablate o wireless di superficie. Un mercato dal valore potenziale di 1.000 miliardi di dollari.

SpaceX

L’ultima tornata di lanci orbitali risale all’inizio del mese, quando SpaceX ha annunciato la messa in orbita di altri 60 satelliti per un totale di 700 satelliti già operativi. In un primo “beta testing” estivo, Starlink ha permesso agli utenti partecipanti di raggiungere velocità massime comprese tra 60 Mbps in downstream e 18 Mbps in upstream con una latenza minima di 31 millisecondi.

Ora SpaceX ha invitato una selezione limitata dei 700.000 utenti che hanno espresso interesse verso il servizio a un nuovo programma di beta, con la promessa di fornire velocità da 50 a 150Mbps a 20-40ms di latenza. La connettività è intermittente, il costo dell’antenna e del router di $500 mentre l’abbonamento mensile richiede l’esborso di altri $100.

La Internet satellitare di Starlink è al momento affetta da temporanei periodi di interruzione del servizio, avverte la corporation, ma a quanto pare non sono previste le solite limitazioni al consumo di dati che da sempre piagano il mercato della connettività USA. SpaceX intende fornire un servizio Internet globale in grado di connettere gli utenti presenti in zone rurali o non serviti dalla connettività tradizionale; se tutto andrà secondo le previsioni, la versione commerciale di Starlink debutterà sul mercato globale entro il 2021.

Qnap QSW-1105-5T

Networking

Qnap QSW-1105-5T, reti a 2,5 Gbps per tutti

Pasquale Bruno | 8 Ottobre 2020

Nas Qnap Reti

Un piccolo switch di rete a 2,5 Gbps, totalmente plug&play, per superare i limiti delle comuni reti gigabit Ethernet.

Qnap è nota soprattutto per le sue soluzioni Nas (Network Attached Storage), in realtà da qualche tempo propone anche componenti per le reti. Tra questi, una nutrita serie di switch di rete con connettività variabile da 1 a 10 gigabit Ethernet. Uno di questi è il Qnap QSW-1105-5T, il primo di classe 2,5 GbE dell’azienda, che rappresenta una soluzione semplice e immediata per i piccoli uffici e l’ambito domestico per andare oltre i limiti delle comuni reti a 1 Gbps.

Qnap QSW-1105-5T

Si tratta di uno switch con cinque porte 2,5GbE/NBASE-T RJ45 particolarmente compatto, compatibile anche con le velocità di trasferimento di 1 Gbps e 100 Mbps. La compatibilità avviene tramite auto sensing e l’utente non deve preoccuparsi di nulla; sarà lo switch a negoziare la velocità adatta a seconda di quel che viene collegato.

Un aspetto importante è che le reti a 2,5 Gbps possono utilizzare i comuni cavi Cat.5e oppure Cat.6 presenti nelle consuete infrastrutture di rete gigabit Ethernet. Dunque per sfruttare la velocità di 2,5 gigabit al secondo non è necessario cambiare i cavi, un vantaggio enorme a tutti i livelli. Basta aggiungere il QSW-1105-5T, collegare i client e si è pronti all’uso. Essendo uno switch di tipo unmanaged, non c’è da configurare nulla.

Qnap QSW-1105-5T

Il Qnap QSW-1105-5T è in grado di rilevare un loop di rete (una sorta di “corto circuito” tra due porte Lan) e bloccare automaticamente le porte interessate, permettendo alle altre porte di continuare a operare normalmente. È anche uno switch silenzioso, dato che non ha ventole interne.

Per sfruttare la maggiore velocità, ovviamente anche i client devono avere interfacce di rete compatibili 2,5 GbE. Qnap ne propone alcune con interfaccia Pci Express adatte sia a PC desktop sia a Nas dotati di bus di espansione; per i notebook c’è un adattatore per porta Usb 3.2 Gen 1.

Aggiungi alla collezione

No Collections

Here you'll find all collections you've created before.