Realizzare un firewall di livello professionale: prima parte

Internet, si sa, e’ una risorsa piena di insidie. Dietro ad ogni angolo si puo’ nascondere, soprattutto per i non avvezzi ai problemi di sicurezza, uno “spyware“, un “dialer“, un qualsiasi tipo di programma maligno che tente di accedere a qualche risorsa del nostro computer.

In una rete aziendale, poi, dove i computer collegati ad Internet sono solitamente utilizzati da utenti inesperti, i rischi sono ancora maggiori, visto che all’interno della stessa rete sono presumibilmente presenti server su cui girano gestionali e web application di vario genere. Se la rete venisse violata, anche dal piu’ innoquo dei cosiddetti “malware“, la sicurezza di tutta la struttura informativa sarebbe compromessa, con conseguente pericolo per le informazioni che risiedono sui server.

Per questa ragione, la presenza di un firewall e’ altamente consigliata, sia in ambito aziendale che (se pure per ragioni meno “critiche” ma comunque importanti, vedi la protezione dai suddetti malware) casalingo.

Un firewall e’, sostanzialmente, un sistema in grado di separare fisicamente due o piu’ reti, impedendo l’accesso dall’esterno a meno che non vengano impostate regole mirate. In buona sostanza, si tratta di un dispositivo che blocca tutto il traffico in ingresso, e buona parte di quello in uscita, fino a quando l’utente non specifica esattamente quali servizi, porte o computer possono dialogare piu’ o meno liberamente con Internet.

Per realizzare il nostro firewall utilizzeremo IPCop, ottima distribuzione Linux pensata esclusivamente per questo scopo, dotata di una comodissima e completa interfaccia web per la sua amministrazione. Le richieste hardware sono minime, per cui potrà andar bene anche un vecchio Pentium 3, equipaggiato con almeno 256MB di RAM ed un numero sufficiente (fino a 4) di schede di rete, a seconda dell’utilizzo che se ne vorrà fare. IPCop, inoltre, mette a disposizione altri importanti servizi quali ad esempio: proxy server, DHCP, DNS, time server e VPN.

Il Sistema gestisce fino a quattro reti separate, identificate da quattro differenti colori: RED per quanto riguarda la WAN, GREEN per la LAN, BLUE per i dispositivi Wi-Fi e ORANGE per la DMZ. Chiaramente, ogni scheda dovrà avere sia una subnet che un indirizzo IP differente dalle altre. Uno schema indicativo di una configurazione con quattro schede di rete può essere il seguente:

Come vedete, ad ogni scheda è assegnato un IP ben differente dalle altre: 192.168.1.1 per la GREEN, 192.168.2.1 per la BLUE, 192.168.3.1 per la ORANGE e 192.168.8.1 per la RED. Le diverse interfacce verranno messe in comunicazone fra loro dalle regole iptables create dallo stesso IPCop.

Nella prossima pagina ipotizzeremo una configurazione molto semplice, con due sole schede di rete: la RED collegata a “Internet” tramite un modem ADSL Ethernet e la GREEN diretta verso la nostra LAN, messa in sicurezza proprio da IPCop.