Nuovo Router ==> DMZ

da **Nokao** » gio mar 10, 2005 16:23

DMZ... ovvero, de-militarized zone. Proietta un ip della rete all´esterno, come se quel pc avesse un modem. Ho ovviamente scelto il mio server slackware, il che mi ha risolto molti problemi... ma come faccio per assicurarmi che non succedano casini? Non ho mai settato nulla sull´iptables... e questo e´ il risultato di un nmap: nmap -p 1-65535 localhost Starting nmap 3.75 ( <a href="http://www.insecure.org/nmap/" target="_blank" target="_new">http://www.insecure.org/nmap/</a> ) at 2005-03-10 15:20 CET Interesting ports on localhost (127.0.0.1): (The 65519 ports scanned but not shown below are in state: closed) PORT STATE SERVICE 22/tcp open ssh 37/tcp open time 80/tcp open http 113/tcp open auth 139/tcp open netbios-ssn 445/tcp open microsoft-ds 1213/tcp open unknown 3306/tcp open mysql 4002/tcp open unknown 4662/tcp open unknown 9181/tcp open unknown 14000/tcp open unknown 14001/tcp open unknown 14080/tcp open unknown 14534/tcp open unknown 51234/tcp open unknown Nmap run completed -- 1 IP address (1 host up) scanned in 12.262 seconds Attendo consigli

Non conosco la natura di 5 di queste porte aperte, come posso approfondire il problema? P.S. Vorrei anche eliminare uno a uno gli utenti di default che la slack crea dopo l´installazione, o per lo meno eliminare loro la possibilita´ di loggarsi via ssh. Come posso fare? [ Questo Messaggio è stato Modificato da: Nokao il 10-03-2005 15:25 ]

da **manny** » gio mar 10, 2005 17:45

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE> 10-03-2005 alle ore 15:23, Nokao : P.S. Vorrei anche eliminare uno a uno gli utenti di default che la slack crea dopo l´installazione, o per lo meno eliminare loro la possibilita´ di loggarsi via ssh. Come posso fare?[ Questo Messaggio è stato Modificato da: Nokao il 10-03-2005 15:25 ] </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Devi modificare 2 righe nel file di config di ssh: pico /etc/ssh/sshd_config PermitRootLogin no #di serie dovrebbe essere yes AllowUsers nome_utente_che_vuoi Salvi e riavvii ssh (cioè: /etc/rc.d/rc.sshd restart) Ciao, Manny

da **Nokao** » ven mar 11, 2005 1:10

PermitRootLogin no #di serie dovrebbe essere yes Io lo voglio yes... altrimenti senza root cosa combino... AllowUsers nome_utente_che_vuoi Non ho nemmeno una riga che comincia con AllowUsers, e´ normale? Vuol dire che devo semplicemente inserirle io? Devo mettere una riga per ogni utente o ci sono dei separatori da rispettare per mettere tutto su una riga?

da **useless** » ven mar 11, 2005 1:45

puoi vivere con permitrootlogin no, loggandoti come utente e poi facendo "su". questo rende + difficile entrare nel sistema xké non si sa a priori un nome utente valido, e bisogna pure indovinare 2 password. quanto agli utenti di default, è meglio non eliminarli, se ci sono è xké hanno uno scopo. inoltre è comunque impossibile loggarsi con questi, dato che non hanno una shell o password valida.

da **Nokao** » ven mar 11, 2005 1:49

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE> quanto agli utenti di default, è meglio non eliminarli, se ci sono è xké hanno uno scopo. inoltre è comunque impossibile loggarsi con questi, dato che non hanno una shell o password valida. </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Esatto, volevo proprio sapere questo. Come rendo non valida la password o shell di un utente senza eliminarlo? Grazie per l´idea del SU, tentero´ di abituarmi a farlo. E´ la volta buona che inizio a limitare l´uso del root all´interno del mio server... (uso SEMPRE root e a volte non servirebbe)

da **Nokao** » ven mar 11, 2005 1:55

Posso crearmi un utente fantoccio che possa solo loggare e non fare nient´altro? Cosi´ da poterci solo fare "su" ? O qualsiasi utente creo (anche con i minimi privilegi) potra´ navigare sempre e comunque per l´hd laddove i file sono in read per "all" ?

da **Nokao** » ven mar 11, 2005 2:00

Che poi per fare la stessa cosa con piu´ stile basta cambiare nome all´utente root.. in teoria su tutti i file dell´hd fa testo l´id di root.. cioe´ 0... non la parola che rappresenta il nome... In teoria rinominando root in pippo sul passwd pippo diventa il nuovo acc con privilegio di root... giusto?

da **manny** » ven mar 11, 2005 9:18

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE> 11-03-2005 alle ore 00:10, Nokao : PermitRootLogin no #di serie dovrebbe essere yes Io lo voglio yes... altrimenti senza root cosa combino... </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Ti ha già risposto (perfettamente) useless... <TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE> AllowUsers nome_utente_che_vuoi Non ho nemmeno una riga che comincia con AllowUsers, e´ normale? Vuol dire che devo semplicemente inserirle io? </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Si , inserisci pure, se vuoi dare la possibilità a + utenti di loggarsi via ssh, li inserisci sulla stessa riga separati da uno spazio Ciao, Manny

da **useless** » ven mar 11, 2005 11:51

x non fare loggare un utente basta dargli una shell fittizia, tipo /bin/false o proprio non dargliela. non farti poi troppo seghe mentale: disabilita il login da root e usa un utente x fare ssh e su quando ti serve.

da **Nokao** » ven mar 11, 2005 12:30

Come non detto. [ Questo Messaggio è stato Modificato da: Nokao il 11-03-2005 11:45 ]

da **Nokao** » ven mar 11, 2005 12:32

Vorrei rinominare l´utente root...

da **useless** » ven mar 11, 2005 12:42

forse non hai restartato ssh dopo la modifica. rinominare l´utente root non è detto che sia una cosa del tutto indolore.

da **Splink** » mer feb 07, 2007 15:31

salve a tutti io ho un modem wirless digicom michelangelo wave;
quello che volevo kiedervi è se conviene o no attivare la funzione DMZ (de-militarized-zone)?
il sistema diventa più sicuro attivando questo DMZ

e poi un'altra domanda a che serve sul router il virtual server e l'ip filter :?:

grazie in anticipo

da **bloodlust** » mer feb 07, 2007 18:32

Splink ha scritto:conviene o no attivare la funzione DMZ (de-militarized-zone)?

mi sa che non hai ben chiaro cosa sia e a cosa serva una dmz.
ti serve per non tenere servizi esposti all'esterno sulla rete privata quindi per una normale rete casalinga non ti serve a nulla anzi aggiunge complessità e quindi aumenta la possibilità di falle di sicurezza (stai sicuro che se ti compromettono un sistema in dmz un bel mitm non te lo toglie nessuno :lol:

)

il sistema diventa più sicuro attivando questo DMZ

non serve per mettere in sicurezza il sistema dal quale navighi (almeno non direttamente).

e poi un'altra domanda a che serve sul router il virtual server e l'ip filter

premetto che non conosco il router che dici di possedere.

virtual server ti serve per mappare porte (o intervalli di porte) esterne ad indirizzi/porte interni. ti serve per esempio se devi reggere un server http o ftp pubblici sulla rete privata.

IP filter ti permette di filtrare per ip address l'accesso alla rete (o solamente a internet, questo dipende dal software del tuo router).
Piuttosto che usare IP filtering (se il tuo router lo permette ovviamente) usa un filtro sui MAC address, sicuramente meno semplice da eludere (ma non per questo sicuro).

ciao

Chi c’è in linea