Guida alla messa in sicurezza router FASTGate

Crystal La DMZ (De-militarized Zone) non la devi toccare se non sai a che serve e da qui sappiamo che non ne hai bisogno...come da significato "Zona Demilitarizzata" serve ad isolare in una determinata sottorete un dispositivo/più dispositivi e aprire tutte le porte senza andare manualmente a farlo ma non serve solo a quello...comunque non ti serve se già non la conosci...

Sei un po' come me ti piace spulciare un po' tutti i setting e cercare di trovare la configurazione migliore, ma se non sai dove mettere le mani hai fatto bene a scrivere qui...

Non conosco il fastgate ma a rigor di logica come un po' tutte le reti con i Technicolor gli viene pushato dal server FW quindi ad ogni boot verrà verificata la versione e se disponibile una nuova verrà aggiornato in automatico e in base ai led di stato dovresti accorgertene (credo che escludendo il nexxt e forse anche gli extender non stiano più rilasciando aggiornamenti sostanziali)

Solitamente il firewall interno è di default impostato su medio come per tutti i Technicolor e quella genericamente è la configurazione più appropriata per tutti gli utenti medi...

Io invece di preoccuparmi di un attacco diretto alla tua rete mi preoccuperei di proteggermi con una VPN sui dispositivi o se proprio vuoi esagerare prendi un router VPN e ci installi un servizio VPN che cripta tutto il traffico da e verso la tua rete, proteggendo la tua privacy (chiaramente deve essere un servizio affidabile e possibilmente a pagamento)

Se non hai necessità di avere l'IPv6 spegni tutto sia per l'accesso Wan Fastweb che per la rete LAN interna

Ma in conclusione rilassati, stai sereno sei di per sé al sicuro, tutto sta nel saper capire dove navigare e dove forse è meglio di no

Crystal Per il momento gli unici cambiamenti che ho effettuato per rendere il router più sicuro sono stati

E vanno bene.

Crystal Adesso arriva la parte più complicata, ossia quella del Firewall e DMZ (quest'ultimo proprio non so nemmeno cosa sia, mai sentito nominare).

Sui router consumer la "DMZ" sarebbe da chiamare più propriamente "default host". Qui puoi indicare un IP della LAN al quale viene inviato tutto il traffico in ingresso che non è già gestito dal NAT (perché un altro IP della LAN ha fatto traffico in uscita e quello è il traffico di ritorno) o da una regola esplicita di port forwarding. L'effetto è che quell'IP ha (quasi) tutte le porte aperte ed è direttamente raggiungibile da Internet. Ovviamente se non c'è un firewall a gestire il traffico verso questo IP il rischio è maggiore. Può essere comodo quando si mette un router in cascata, ad esempio.

Una vera "DMZ" sarebbe in realtà una o più reti che si trovano fra due firewall (da qui il nome "zona demilitarizzata", che si trova fra due frontiere), uno esterno (su Internet) e uno interno (davanti alla LAN), ed è una tecnica tipicamente usata per chi deve pubblicare servizi su Internet (es. web, posta elettronica) - così che se una di quelle macchine viene compromessa non è direttamente sulla LAN ma c'è ancora un firewall da superare. Questo non vale per il default host, se quella macchina è compromessa è già sulla LAN.

Crystal Sia a livello medio che a livello alto ho grossi problemi nella navigazione, soprattutto per quanto riguarda l'On Demand e lo streaming. Ma anche siti normalissimi in https, niente quindi di pericoloso.

Bisognerebbe capire che regole applica. Strano che a livello medio ci siano già problemi. Nella UI non c'è scritto nulla di cosa passa per ogni livello? Si può creare un livello personalizzato? Magari, posta qualche schermata che vediamo cosa si può fare. Comunque avere un firewall decente è uno dei principali motivi per NON usare il router fornito dall'operatore.

Crystal Scorrendo più in basso c'è l'opzione "IPV6 su LAN": per adesso è attivo, lo lascio così?

Questo probabilmente significa che assegna indirizzi IPv6 alle macchine in LAN. Se devi disattivare il firewall, disattiva anche questo. IPv6 non usa NAT e quindi non c'è nemmeno quella poca protezione che offre il NAT, senza un firewall. È vero che può non essere facile individuare un IP fra i miliardi disponibili, ma se lo si conosce e no c'è firewall, lo si può contattare.

Crystal In realtà ho già adocchiato il router RT-AX88U Pro

È solo router - non ricordo se sei in FTTC o FTTH, nel primo dovresti metterlo in cascata e sinceramente a quel punto punterei ad eliminare del tutto il Fastgate con un modem/router. In FTTH devono darti un ONT (che è l'equivalente del modem) al quale colleghi il router. Tutto è compatibile con Fastweb se chiedi l'opzione "modem libero", se invece tenti di "clonare" il FastGate senza quell'opzione hai bisogno di un dispositivo che permetta di clonare il MAC address e impostare una specifica opzione DHCP

Crystal se poi voi siete a conoscenza di router migliori

Quelli sono router che hanno un target specialmente di videogiocatori, però ha anche qualche funzione interessante. Non so come sia a livello di firewall, ma visto il target non credo permetta regole sofisticate. Comunque tutto dipende dalle tue esigenze e dal tuo budget.

_SCtefanOM4_ i preoccuperei di proteggermi con una VPN sui dispositivi

Perfettamente inutile, dal punto vista della protezione da un attacco dall'esterno. Una VPN serve a crittografare il traffico fra due dispositivi. Utilissima ad esempio per connettersi alla rete aziendale per lavorare così tutto il traffico è crittografato, anche quello che non lo sarebbe (anche se oggi la maggior parte del traffico è comunque crittografato), ma non protegge il alcun modo il dispositivo sulla quale funziona.

_SCtefanOM4_ se proprio vuoi esagerare prendi un router VPN e ci installi un servizio VPN che cripta tutto il traffico da e verso la tua rete,

Che quando esce dal nodo terminale della VPN se era in chiaro torna in chiaro. Ti proteggi dal tuo ISP e basta. Utile per bypassare un geoblocking, o se sei un Cina - altrimenti serve a poco.

Ti avevo risposto nell'altra discussione.

Brevemente, cosa ho fatto io con questo modem mediocre.

• Firewall disattivato
• DMZ attivata con IP che ho impostato come indirizzo della rete esterna (WAN) sul router in cascata: 192.168.x.z
• IPv6 su LAN attivo.
• Il router in cascata con IP su rete interna: 192.168.y.1
• IPv6 abilitato sul router in cascata.

x, y, z scegli i numeri che ti pare. Configuri il firewall sul router in cascata e, se il prodotto è di valore, supera anche la copertura WiFi mediocre del Fastgate.

[cancellato] Perfettamente inutile, dal punto vista della protezione da un attacco dall'esterno. Una VPN serve a crittografare il traffico fra due dispositivi. Utilissima ad esempio per connettersi alla rete aziendale per lavorare così tutto il traffico è crittografato, anche quello che non lo sarebbe (anche se oggi la maggior parte del traffico è comunque crittografato), ma non protegge il alcun modo il dispositivo sulla quale funziona.

Ho mai detto il contrario? No. Mi basavo su questo...

Crystal soprattutto per uno che come è abbastanza paranoico sotto l'aspetto della sicurezza e della privacy

Le VPN non sono Firewall per le reti, sono due cose ben diverse, e dato che è più probabile che l'utente possa andare incontro a problemi di privacy in rete e non di persone che gli vogliono entrare nella LAN di casa...questo ho consigliato

[cancellato] Che quando esce dal nodo terminale della VPN se era in chiaro torna in chiaro. Ti proteggi dal tuo ISP e basta. Utile per bypassare un geoblocking, o se sei un Cina - altrimenti serve a poco.

Non so se hai letto bene il mio messaggio ma la mia definizione è un'altra cosa, non che le VPN sono firewall. Poi dimmi una VPN tra quelle a pagamento che utilizza nodi di uscita in chiaro...

[cancellato]

Come hai assegnato x e y? Da che prefisso li ha presi?

Io non assegno nulla. È Fastweb che lo fa.

Fastweb fornisce un prefisso da 64 mentre il suffisso da 64 deve essere autogenerato.

Che io sappia i primi 32 bit sono fissi per tutti i clienti, i secondi 32 (x e y) cambiano da cliente a cliente, i restanti 64 se li generano automaticamente gli host con SLAAC.

celeste_lightblue

Vedo che non ci stiamo capendo... Ok, Fastweb via 6rd assegna un prefisso al FastGate. E che prefisso assegna al router in cascata? Non può essere lo stesso prefisso che usa la subnet gestita dal FastGate. Se è in modalità router avrà una subnet sulla WAN e una subnet diversa sulla LAN..Altrimenti un pacchetto in ingresso come sa dove andare?

Se è in modalità AP è un altro paio di maniche.

A meno che non stia facendo NAT 66 o NPt, o hai configurto 6rd sul router in cascata.

[cancellato]

No, le subnet diverse sono per l'IPv4. Per l'IPv6 non ce n'è bisogno. Il Fastgate prende il prefisso assegnato dalla rete Fastweb e lo annuncia ai client (in pratica solo al router in cascata, perché c'è solo quello collegato direttamente). Il router in cascata lo memorizza e si genera il proprio IPv6. Poi lo stesso prefisso (che il Fastgate ha annunciato), il router in cascata lo inoltra ai suoi host che si vogliono connettere (fa da relay) e questi si generano gli indirizzi.

Spero di essere stata chiara. Più semplice di così non so spiegarlo.