eolo e amule

[Rama]

non uso l'UPnP ma il port mapping: apro nel router le porte che ho assegnato ad amule, diverse da quelle standard;
non faccio altro, solo che col router fastweb nel sito https://grc.com/x/ne.dll?bh0bkyd2 tutte le porte erano verdi, cioè invisibili, mentre ora sono quasi tutte blu, cioè chiuse, quelle che ho assegnato ad amule appaiono rosse, cioè aperte;
dato che le porte 22, 53 e 443 sono verdi presumo che potendo metter mano alle vere impostazioni del firewall del router eolo potrei ottenere lo stesso risultato del router fastweb;
quello che vorrei sapere è se vale la pena sbattersi per rendere tutte le porte invisibili o, come sospetto, è solo una mia paranoia e va bene la situazione attuale;

EDIT
qui ho trovato qualcosa sulla questione porte closed o stealth:
https://turbolab.it/reti-1448/come-test ... ds-up-1010

[joe]

Se spegni il client aMule e ripeti il test, le sue porte dovrebbero apparirti blu.

Ho provato a testare una porta per la quale sul router è impostato ed attivo l'inoltro al mio PC.
1. se sul PC ho il firewall che blocca quella porta, il responso è verde - porta "nascosta"
2. se sul PC apro quella porta, o se disattivo il firewall iptables, il responso è blu - porta "chiusa"
3. se sul PC la porta è aperta, oppure il firewall è spento, e su quella porta avvio un servizio in ascolto (può essere il mulo, un server http, un server mail, un netcat lanciato in listen mode) ecco che il responso del test è "rosso" - porta aperta con servizio in ascolto

Per quanto riguarda il mulo, per avere ID alto, il test sulle le porte impostate nel client, deve risultare "rosso". È chiaro che sul PC per ottenere quel risultato deve esserci il servizio che gira, quindi aMule deve essere avviato quando esegui il test.


Per quanto riguarda il tuo dubbio: è realmente necessario avere porte in stato "nascosto" piuttosto che in stato "chiuso"?

Probabilmente non è così stringente. Ma c'è qualche problemino col port forwarding secondo me.
Infatti, nel mio caso se disabilito l'inoltro della porta che prima mi risultava blu, ecco che torna verde. Ed è corretto che sia così, perché il router deve respingere la richiesta che arriva dal test, non avendo più attiva la regola di inoltro verso il PC.
Nota che per quella porta sul PC ho il firewall aperto in ingresso. E nota che sul router ho il firewall disabilitato.

In sintesi nel tuo caso, no, le porte devono essere verdi.
Se ne hai alcune blu, controlla il port mapping e assicurati che quelle siano porte effettivamente impostate da te per essere redirette al tuo PC.
In altre parole se hai impostato il portmapping solo per le porte di aMule, allora solo quelle devono risultare blu. Poi se il mulo acceso saranno rosse, mentre se hai un firewall sul PC che le blocca da lì saranno verdi. Se vi sono altre porte blu di cui ignori l'impostazione, avrei qualche sospetto.

[Rama]

lascio perdere per il momento, dato che leggo:

Stealth: La porta è chiusa e nascosta. Questa è la modalità più sicura, in quanto in un eventuale tentativo di “intrusione” nel nostro computer non risulterà in alcun modo contattabile, come se non esistesse. Purtroppo nella maggior parte dei casi, questa deve essere “offuscata” dal proprio provider, poichè non è possibile offuscarla in locale.

[joe]

Non so quali porte tu abbia testato da quel sito che hai linkato, comunque fossi in te proverei a disabilitare temporaneamente tutte le regole di port mapping sul router. Poi eseguirei di nuovo il test, sia sulle porte di uso comune, tipo quelle di servizi standard, mi pare che il sito preveda quel test specifico già pronto. E poi le porte che usi per i servizi attivati da te tipo quelle amule.
A questo punto se il tuo router funziona circa come il mio, le tue porte dovrebbero risultare verdi.

Se non lo fossero potresti fare una seconda prova, ovvero attivare il firewall del router e testare nuovamente tutte le porte indicate sopra. Verificare che sia tutto verde.
A quel punto attiva nuovamente il port-mapping delle sole porte che ti servono in ingresso, tipo il mulo. Avvia il programma, e verifica nuovamente, sta volta è sufficiente testare solo quelle che usa amule. E dovranno essere rosse.
Se non lo fossero, hai tre vie:
1. disattivi il firewall del router e buona notte (ci sono rischi? così a naso mi vengono in mente tentativi connessione da vari bot in modalità brute force, non credo possano compromettere le prestazioni della connessione, ma ti consiglio di approfondire la faccenda con una ricerca in merito).
2. disattivi il firewall del router e lo attivi sul sistema operativo aprendo solo le porte del mulo, magari aprendole solo quando lo usi (ti fai uno script coi comandi iptables, è abbastanza semplice se ti prendi un esempio, eventualmente posso fornirti quello che uso io)
3. disattivi il firewall del router solo quando utilizzi amule, un po' scomodo, ma se non lo usi spesso ci può stare

[Rama]

ho fatto tutte le prove possibili;
vedo che il router Fritz ha la Modalità Stealth del firewall magari ce l'ha anche il router Eolo, solo che è bloccato: solo on/off;

EDIT
ho aperto un ticket: le porte 22 e 443 sono stealth, quindi è possibile renderle tutte tali, o facendolo loro da remoto o sbloccandomi il router;

[Rama]

niente da fare;
corro molti pericoli se le porte non sono stealth?
è il caso di spendere un 200 euro o più per comprare un router che supporti la modalità?

[joe]

Rileggiti meglio il mio post più sopra, punti 1 2 e 3 dove ho fatto la prova.
Se ti imposti iptables chiudendo (provvisoriamente) tutte le porte a livello di sistema operativo, il responso dovrebbe essere "verde" ovvero "stealth".

In particolare:
- rimuovi le eventuali custom chain
- esegui il flush di tutte le chian
- imposta a DROP tutte le chain di default (della tabella filter) INPUT, OUTPUT, FORWARD.

Così hai chiuso tutto, solo che non funzionerà più niente. Allora procedi poi aprendo lo stretto necessario.
- imposta su ACCEPT le connessioni da e verso l'interfaccia di loopback
- imposta su ACCEPT le connessioni in uscita
- imposta su ACCEPT le connessioni in entrata relative a collegamenti già stabiliti (esempio la risposta di un server a cui ti stai collegando, tipo anche il web per capirci)

A questo punto collegati al sito e rifai la prova. Dovrebbe risultare tutto verde in stealth.
Fatta la prova riapri solo quelle che servono. Costo zero, e poca fatica.

Se hai bisogno di indicazioni più dettagliate con i comandi iptables fammi pure sapere che ti dico.

[Rama]

segno e quando avrò tempo cercherò di farlo;
ricordati che vengo dal classico e i pochi esami universitari che ho fatto erano in campo umanistico;
rinnovo la domanda: corro veri rischi se le porte risultano chiuse e non stealth?
se il rischio è di poco superiore non sto a sbattermi;

[joe]

Ah non preoccuparti, si tratta di buttar giù uno script bash con i pochi comandi di iptables, tipo 5 o 6 comandi.
Anzi se mai te li metto qui direttamente io poi te fai copia e incolla. Niente di ché, non servono qualifiche accademiche, basta la documentazione di iptables e una guida semplice. Ai tempi ve n'era una anche qui nel "fu wiki slacky", io l'avevo scopiazzata da lì.

Per quanto riguarda stare online senza firewall, con le porte chiuse ma non nascoste, non ti so dire tanto.
A naso ti direi che non dovrebbero esserci problemi perché tu sei nattato, cioè sei dietro il router per cui se non c'è qualche regola di inoltro che indirizza il potenziale attacco all'IP locale di LAN dle tuo PC, per attacchi "frontali" tipo brute force verso server sshd, direi che sei apposto comunque.

Le regole iptables erano giusto per provare a vedere se facendo il test cambia qualcosa, e un minimo di firewall in ogni caso male non fa. Lo sbattimento è minimo dopo tutto.

[joe]

Ecco lo script iptables per
- chiudere tutto ed aprire solo loopback, connessioni in uscita, connessioni in ingresso solo se in risposta a richieste instaurate dal sistema verso l'esterno.

Puoi anche salvarlo in:

/etc/rc.d/rc.firewall

e dandogli i permessi di esecuzione viene eseguito all'avvio di Slackware. Questo perché

/etc/rc.d/rc.inet2,

che viene eseguito all'avvio contiene:

Codice: Seleziona tutto

# If there is a firewall script, run it before enabling packet forwarding.
# See the HOWTOs on http://www.netfilter.org/ for documentation on
# setting up a firewall or NAT on Linux. In some cases this might need to
# be moved past the section below dealing with IP packet forwarding.
if [ -x /etc/rc.d/rc.firewall ]; then
  /etc/rc.d/rc.firewall start
fi

Codice: Seleziona tutto

#!/bin/sh

IPTAB=/usr/sbin/iptables
text="-m comment --comment"

flush_chain(){
### FLUSHING CHAINS ###
$IPTAB -F
$IPTAB -X
$IPTAB -Z
}

set_policy(){
### CATENA DI DEFAULT ###
$IPTAB -P INPUT   $1
$IPTAB -P FORWARD $1
$IPTAB -P OUTPUT  $1
}

set_loop(){
 $IPTAB -$1 INPUT  $text 'Accetta connessione di LOOPBACK' -i lo -j ACCEPT
 $IPTAB -$1 OUTPUT $text 'Accetta connessione di LOOPBACK' -o lo -j ACCEPT
}

set_global(){
 $IPTAB -$1 INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
 $IPTAB -$1 OUTPUT -j ACCEPT
}

set_firewall(){
 flush_chain
 set_policy   DROP
 set_loop     A
 set_global   A
}

unset_firewall(){
 flush_chain
 set_policy   ACCEPT
}


# MAIN
case "$1" in
  start)
     echo "Attiva Firewall..."
     set_firewall
     ;;
  stop)
     echo "Disattiva Firewall..."
     unset_firewall
     ;;
  restart)
     echo "Riattiva Firewall..."
     set_firewall
     ;;
  status)
     ${IPTAB} -L -v
     ;;
  block)
     echo "Blocca tutte le Connessioni..."
     flush_chain
     set_policy   DROP
     set_loop     A
     ;;
*)
     echo "Utilizzo: $0 {start|stop|restart|status|block}"
     exit
     ;;
esac
exit 0

Puoi anche usarlo a mano come root tipo:

Codice: Seleziona tutto

# /etc/rc.d/rc.firewall stop

Così fermi il firewall e in pratica hai di nuovo tutto aperto.
Col comando status vedi le regole in essere. Prova a darlo prima e dopo aver attivato/disattivato il firewall e vedrai come cambia.

Occhio che se attivi il firewall così e poi fai partire il mulo, questo non funzionerà perché gli servono le opportune porte in ingresso aperte.
OK, va be' poi se ne avrai bisogno vedremo, per il momento puoi usarlo giusto per fare una prova di offuscamento porte.

[Rama]

ok, appena ho tempo proverò;

EDIT
sia con start che con stop le porte risultano tutte chiuse tranne le tre che in Mint risultavano stealth e ora appaiono open;
...
ora succede lo stesso in Mint;