Marco's Informatik Blog » IPCop http://www.ciacci.biz Version : 0.79 Build 2904 Thu, 22 Jul 2010 13:57:29 +0000 http://wordpress.org/?v=2.8.6 en hourly 1 pfSense….il migliore! http://www.ciacci.biz/2008/02/21/pfsenseil-migliore/ http://www.ciacci.biz/2008/02/21/pfsenseil-migliore/#comments Wed, 20 Feb 2008 22:25:42 +0000 marco http://www.ciacci.biz/2008/02/21/pfsenseil-migliore/ Avrò da fare per lavoro almeno un paio di firewall, di solito ho sempre usato IPCop, che con un pò di addons diventa decisamente potente ed usabile, però allo stato attuale, la versione 1.4.18 è ancora priva di features fondamentali, come il load balancing tra WAN multiple e il failover, fatto grave.
Quindi girellando su internet ho trovato la risposta, pfSense un potentissimo prodotto che ha veramente tutto e di più (anche per usi veramente avanzati) che però…..è basato su FreeBSD!!
A malincuore abbandonerò Linux per questi lavori, ma pfSense è troppo avanti rispetto ad IPCop e poi ho voglia di addentrarmi nel magico mondo di *BSD.
Tra le features interessanti, multi WAN (1,2,3,4,5….), Captive Portal, vpn IPSec, OpenVPN e PPTP di serie, firewall *SERIO* e molto altro..
Tra qualche giorno posterò i primi esempi di uso che ne avrò fatto! :-)
Ah, è basato su m0n0wall , ma è avanti anni luce rispetto al suo genitore!!

]]> http://www.ciacci.biz/2008/02/21/pfsenseil-migliore/feed/ 0 Sono ancora vivo!! http://www.ciacci.biz/2007/09/12/sono-ancora-vivo/ http://www.ciacci.biz/2007/09/12/sono-ancora-vivo/#comments Wed, 12 Sep 2007 08:58:46 +0000 marco http://www.ciacci.biz/2007/09/12/sono-ancora-vivo/ Sono diversi giorni che non scrivo più nel blog, ma si sa, l’estate non è ancora finita e sono da poco tornato dalle ferie :-)
Nei prossimi giorni prevedo di postare qualcosa rigardo a Trixbox e all’implementazione di un firewall avanzato con IPCop 1.4.16 (QoS, Layer 7 Filter, p2p Blocker, BOT etcc..)
A presto!

]]> http://www.ciacci.biz/2007/09/12/sono-ancora-vivo/feed/ 0 IPCop+OpenVPN+BOT http://www.ciacci.biz/2007/04/16/ipcopopenvpnbot/ http://www.ciacci.biz/2007/04/16/ipcopopenvpnbot/#comments Mon, 16 Apr 2007 14:25:40 +0000 marco http://www.ciacci.biz/2007/04/16/ipcopopenvpnbot/ Una possibiilità molto interessante per creare un server OpenVPN è quello di utilizzare IPCop con l’addon Zerina.
Anche se però un firewall che si rispetti deve avere la possibilità di filtrare anche le connessioni in uscita e tra varie interfacce del firewall (DMZ e/o Wifi), cosa di cui si occupa il modulo BOT.
Vi risparmio l’installazione dei vari moduli che comunque è ben descritta sui rispettivi siti, ma vediamo come configurarli per poter interagire.
Una volta creato il server OpenVPN e creato i vari utenti, certificati ed altro, configureremo BOT per l’accesso remoto al server e per permettere ai roadrunner di raggiungere alcuni server in LAN, o tutta la LAN.

Andiamo a crearci un servizio in ADVANCED BOT Config, la porta usata dal nostro server ed il protocollo (non dimentichiamoci che OpenVPN funziona sia su tcp che udp)

Adesso sarà necessario ovviamente permettere l’accesso dall’esterno a questa porta, nell’apposita sezione External Access del firewall.

Adesso sarà necessario “creare un interfaccia” in modo che BOT gestisca la tun/tap.

Ancora in ADVANCED BOT Config, creeremo stavolta una interfaccia custom, che sarà o tun0 o tap0

Finita la parte difficile :-)
Adesso dovremmo solo decidere cosa e dove i road-warrior potranno andare, mettiamo come esempio che dovranno accedere ad un server Dominio nella lan e solo a quello.
Quindi semplicemente imposteremo una regola DROP che avrà come sorgente l’interfaccia custom appena creata, e come destinazione l’interfaccia green e la green network.
Poi un altra regola ACCEPT che avrà come destinazione l’interfaccia green e come host l’ip del server Dominio.
IMPORTANTE : L’ordine delle regole è fondamentale, quindi la regola ACCEPT dovrà precedere la regola DROP. (questo è necessario solo se la politica predefinita è ACCEPT, mentre se è DROP, quest’ultima regola non è necessaria impostarla.)
E questo è tutto!!!

]]> http://www.ciacci.biz/2007/04/16/ipcopopenvpnbot/feed/ 0 Gruppi Dansguardian http://www.ciacci.biz/2007/02/16/gruppi-dansguardian/ http://www.ciacci.biz/2007/02/16/gruppi-dansguardian/#comments Thu, 15 Feb 2007 23:11:35 +0000 marco http://www.ciacci.biz/2007/02/16/gruppi-dansguardian/ In un sistema content-filter, può essere necessario permettere a determinati utenti di visitare certi siti, ed impedire ad altri di visitare gli stessi oppure scaricare file eseguibili o altro..
Per fare ciò è possibile creare diversi gruppi, ognuno con determinate caratteristiche.
Prima di tutto editate il file dansguardian.conf ed alla voce filtergroups = 1 mettete il numero di gruppi che alla fine utilizzerete e salvate il file.
A questo punto copiate il file dansguardianf1.conf in dansguardianf2.conf e così via, dansguardianf(X).conf
A questo punto editate questi file settando al loro interno le liste opportune, per esempio possono avere gli stessi file come riferimento e differire solo nella voce bannedsitelist.
L’uso tipico è quello che alcune utenti possono navigare tranquillamente, mentre altri andare solo nei siti presenti in exceptionsitelist, in quanto in bannedsitelist avremo tolto il commento davanti ad una linea composta dai soli caratteri ** ed un altra dai caratteri **ip.
Questi impediranno la navigazione totale verso qualsiasi sito e ip.
A questo punto nel file filtergrouplist setteremo a quale utente o ip applicare un determinato filtro; il filtro 1 è quello di default.
Ad esempio specifichiamo pippo=filter2 oppure 192.168.0.32=filter2, dove filter2 impedisce la totale navigazione tramite una bannedsitelist apposista, configurata in dansguardianf2.conf
Ovviamente più gruppi avremo, più la nostra macchina dovrà essere prestazionale.
Questa metodologia è tranquillamente applicabile in IPCop con l’addon COP+

]]> http://www.ciacci.biz/2007/02/16/gruppi-dansguardian/feed/ 1 COP+ bug http://www.ciacci.biz/2007/02/11/cop-bug/ http://www.ciacci.biz/2007/02/11/cop-bug/#comments Sun, 11 Feb 2007 22:01:43 +0000 marco http://www.ciacci.biz/2007/02/11/cop-bug/ C’è un piccolo bug nell’addon COP+ per IPCop.
Infatti inserendo ip ed user in bannediplist e banneduserlist, salvando e poi premendo il tasto restart…bhe non succede nulla!
Ma c’è un piccolo workaround per risolvere il problema, basta premere il tasto salva nel campo Naughtyness e poi di nuovo restart.
Adesso impedirete la navigazione a questi ip e user!

ps.

Ho scoperto che poi questo problema era noto e trovate questa soluzione qui.

]]> http://www.ciacci.biz/2007/02/11/cop-bug/feed/ 0 IPCop, come ti fermo i pacchetti cattivi! http://www.ciacci.biz/2007/02/02/ipcop-come-ti-fermo-i-pacchetti-cattivi/ http://www.ciacci.biz/2007/02/02/ipcop-come-ti-fermo-i-pacchetti-cattivi/#comments Fri, 02 Feb 2007 22:29:42 +0000 marco http://www.ciacci.biz/2007/02/02/ipcop-come-ti-fermo-i-pacchetti-cattivi/ The bad packets stop here, come recita il sito ufficiale.
IPCop è una delle prime e meglio riuscite distruzioni linux dedicate al firewalling.
Piccola, veloce ed immediata, è l’ideale per creare firewall con semplicità, ma può essere dotata di decine e decine di addons, quali content filtering (SquidGuard o Dansguardian), antivirus, monitoraggio reti, server OpenVPN e così via.
Inoltre da svariati test effettuati è molto più performante, sia in termini di ritardo di rete che di semplice reboot rispetto al suo fork italiano, Endian.
Personalemente ho usato entrambi, ma tropo IPCop meno “legata” e molto più customizzabile, specialemente per quanto riguarda il Content Filtering e controllo sulle connessioni in uscita.
A dire il vero questi sono moduli di IPCop, chiamati BOT e COP+.
Infatti per fare un firewall completo consiglio di installare oltre ai componenti sopracitati anche Net-Traffic, un comodo “riepilogo” del traffico, giornaliero, settimanale, mensile etc..etc..
Il sito maggiore per gli addons è http://firewalladdons.sourceforge.net oltre a http://www.ipcop.org/modules.php?op=modload&name=phpWiki&file=index&pagename=IPCopAddons .
Ah ovviamente IPCop supporta l’IDS Snort, utilissimo anche per individuare attività come la replicazione dei worms.
Tempo permettendo posterò via via configurazioni e “trucchetti” su vari moduli :-)
Per finire, cosa molto interessante, dal road map della distribuzione è previsto il passaggio al kernel 2.6 nella versione 1.5 e all’utilizzo di Shorewall per la creazione delle regole dalla versione 1.6  

]]> http://www.ciacci.biz/2007/02/02/ipcop-come-ti-fermo-i-pacchetti-cattivi/feed/ 0 Endian Firewall 2.1 CE http://www.ciacci.biz/2007/01/04/endian-firewall/ http://www.ciacci.biz/2007/01/04/endian-firewall/#comments Thu, 04 Jan 2007 19:07:55 +0000 marco http://www.ciacci.biz/2007/01/04/endian-firewall-21-ce/ Eccomi qua dopo svariati giorni di assenza!! (ma non posso fare le ferie io??! :-P )
Tornato al lavoro ho deciso di scaricare e provare (a casa) Endian Firewall 2.1 Community Edition, ovvero una buonissima distribuzione italiana dedicata al funzionamento di firewall, content filter, svariati tipi di proxy e molto altro ancora!
Inizialmente questa distribuzione è nata come un fork di IPCop, ma IMHO questa Endian Firewall è assolutamente superiore, sia nella cura (dall’installazione, alla configurazione tramite GUI, sia per i servizi che offre).
Inoltre se rileva 2 dischi in fase di installazione può essere impostato in modo automatico un RAID 1.
Altra cosa molto interessante, tutte le interfacce ethernet rilevate inzialmente vengono configurate in bridge, questo magari per un utente normale non ha interesse, ma lo è se ad esempio vogliamo facilmente creare un mini switch lato lan!
Anche la parte firewall è notevolemente curata, ma ciò che mi piace molto è la sezione proxy (HTTP,POP3,SMTP,SIP,FTP,DNS), inoltre mai visto un interfaccia grafica decente come questa per Dansguardian.
Ho aperto una categoria apposita per questa distribuzione e da oggi via via posterò sui pregi e sui difetti che troverò nell’uso quotidiano di questo “firewall”, ma ad occhio credo che adotterò questa distro al posto di Trustix per questi compiti!!(su Trustix devo fare tutto a mano, in certi casi il tempo è denarooooo!!!)
In ogni caso è possibile fare modifiche al livello di files conf tramite la console ssh (da attivare che non lo è di default), inoltre il sistema può essere accessibile via console tramite porta seriale ;-)
Che dire, bravi italiani!!!

]]> http://www.ciacci.biz/2007/01/04/endian-firewall/feed/ 0