GROUPTEST > FIREWALL E PROXY BASATI SU LINUX

Transcript

1 PC 86 10p IMPcOK :52 Pagina 196 di Paolo Canali Protezione completa Installando una distribuzione Linux specializzata su un vecchio Pc o server, si protegge e velocizza l accesso a Internet senza bisogno di imparare ad usare un nuovo sistema operativo Sommario 198 Astaro Security Linux V4 199 Mandrake Single Network Firewall 200 IpCop SmoothWall Corporate Server SmoothWall Express Suse Firewall On Cd 2 Linux è un sistema operativo ideale per le applicazioni Internet, in particolare per condividere in modo efficiente la connessione alla rete locale proteggendo i computer collegati. Il principio di funzionamento di un proxy server o firewall basato su Linux è molto semplice: basta collegare un vecchio Pc Pentium II o Pentium tra la connessione Internet (con modem o router) e la rete locale e sostituire completamente il suo sistema operativo con una versione di Linux opportunamente configurata. A questo punto il Pc, trasformato in appliance dedicata, si può scollegare da video, tastiera e mouse perché verrà amministrato solo tramite un pannello Web. Per ottenere questo risultato con minimo sforzo sono state realizzate distribuzioni specializzate che eliminano completamente la necessità di configurare manualmente il sistema. Le uniche configurazioni da inserire comodamente tramite una pagina Web o un software dedicato riguardano i parametri di rete locale e le regole di filtro e protezione. Il sistema operativo è già preconfigurato, quindi non c è bisogno di seguire la lunga procedura guidata tipica di una normale installazione Linux. Per proteggere i Pc collegati alla rete locale, tenere traccia dei siti visitati e ottimizzare l uso della connessione a Internet esistono due tecnologie complementari. La 196 PC MAGAZINE APRILE 2004

2 PC 86 10p IMPcOK :52 Pagina 197 più semplice è il proxy server: durante la connessione a Internet il Pc Linux impersona i Pc della rete locale, restando l unico direttamente esposto verso il modem o router connesso alla linea telefonica. Per comunicare con il browser Web o con i programmi di posta elettronica si usa una scheda ethernet distinta, collegata solo alla rete Lan: il Pc che esegue il servizio di proxy server fa da spartiacque tra la rete Internet esterna e la rete locale interna, che restano fisicamente separate. Poiché tutte le richieste Web devono passare per il proxy server, è possibile ottenere un elenco cronologico accurato delle pagine visitate. Maggior sicurezza e controllo si raggiungono abbinando al proxy server un firewall capace di esaminare il contenuto di ogni pacchetto dati, determinando a quale connessione appartiene. Anche questo servizio è svolto senza problemi dal sistema operativo Linux, ma richiede sforzo e competenze superiori per la configurazione iniziale e la gestione successiva. Ciò lo rende più adatto agli ambienti aziendali, dove la spesa per l acquisto e l installazione sono giustificate dalla presenza di molti computer collegati in rete. che tutti i firewall basati su Linux condividono la stessa tecnologia di base. La differenza tra i prodotti open source completamente gratuiti e quelli professionali che costano più di euro è nella funzionalità e nel livello di supporto tecnico disponibile, non nell affidabilità. Si può quindi predisporre senza spese una prova iniziale, per passare alle soluzioni di tipo commerciale con funzionalità firewall dopo aver sperimentato l affidabilità dell hardware e messo a punto la configurazione dei Pc della rete. Questo è un evidente vantaggio che deriva dalla natura open source del sistema operativo. La scelta del software Le distribuzioni specializzate per il servizio Web Proxy meglio supportate dalla comunità open source sono IpCop e LE ESTENSIONI DI SMOOTHWALL moothwall Corporate Server 3.0 supporta funzioni S a pagamento che vanno ad aggiungere nuovi pannelli di regolazione e controllo nel sito Web di amministrazione. SmoothRule serve ad applicare liste di regole a singoli utenti o indirizzi Ip sulla rete interna. SmootHost abilita la possibilità di rispondere a un numero teoricamente illimitato di indirizzi pubblici esterni, di cui è anche possibile fare il forward verso la rete interna. SmoothTunnel Vpn Gateway serve per creare e configurare cinque tunnel Vpn, estendibili a multipli di 5, 10 oppure 20 acquistando ulteriori licenze. L economica licenza SmoothNode gestisce un solo tunnel: può equipaggiare, a esempio, il server installato in una filiale remota. I due moduli più interessanti sono SmoothTraffic e SmoothGuardian. Il primo utilizza la tecnologia QoS su Ip per regolare la priorità del traffico, evitando che (ad esempio) la navigazione Web blocchi le connessioni Vpn. SmoothGuardian è un sofisticato sistema di filtro dei contenuti Web, con possibilità di blocco selettivo della navigazione. Il suo prezzo dipende dal numero massimo di Pc della rete che devono essere abilitati alla navigazione. Firewall, Suse Firewall on Cd 2, Astaro Se- Nel valutare la scelta migliore per le SmoothWall Express 2.0. I prodotti com- curity Linux V4 e SmoothWall Corporate proprie esigenze, è importante ricordare merciali sono Mandrake Single Network Server 3.0. Poiché tutti condividono la stessa tecnologia di base, non è possibile fare una distinzione tra prodotti professionali e domestici, come il cartellino del prezzo può far supporre. Firewall e Proxy con Linux Alcune distribuzioni Linux sostituiscono egregiamente appliance hardware dedicate a questo scopo. IpCop e SmoothWall Express, magari affiancati da un firewall esterno per rafforzare il livello di protezione, si possono usare senza difficoltà in ambito aziendale o professionale per monitorare l utilizzo della navigazione Web e migliorare vistosamente i tempi di caricamento delle pagine, grazie alla memoria cache che Linux attiva sull area libera del disco fisso. Un proxy server offre sempre un livello di protezione migliore rispetto alla semplice condivisione della connessione Internet gestita da un Pc Windows o da un router di tipo economico. La facilità d installazione delle versioni con firewall integrato non deve ingannare: anche quando si tratta di software gratuito per uso personale o domestico, come nel caso del prodotto Astaro, una configurazione sicura della funzione firewall è complessa e fuori dalla portata di chi non conosce a fondo il protocollo Tcp/Ip. APRILE 2004 PC MAGAZINE 197

3 PC 86 10p IMPcOK :52 Pagina 198 Menu funzionale La schermata iniziale del menu di configurazione di Astaro elenca le regolazioni permesse. Extra non inclusi Alcune funzioni evolute di Astaro si possono attivare acquistando estensioni della licenza. Astaro Security Linux V4 Astaro Security Linux si può usare gratuitamente per un periodo di prova di quattro settimane; successivamente l utilizzo resta gratuito solo se l installazione è a scopo di studio o comunque non commerciale. Acquistando la licenza d uso commerciale si ottiene la possibilità di scaricare e installare aggiornamenti per 12 mesi. Il pratico programma di setup testuale è in lingua inglese e riconosce la tastiera italiana; dopo la breve installazione del sistema operativo (basato sul kernel 2.4) si può riavviare il computer e passare alla configurazione tramite Web browser attraverso uno dei Pc collegati alla rete locale. Questa attività è particolarmente laboriosa, perché Astaro non fornisce modelli preimpostati e quindi l intera definizione delle interfacce di rete e delle regole di filtro va inserita partendo da zero. Dopo aver definito le password per i cinque account di sistema si ottiene l accesso all austera interfaccia Web del pannello di configurazione. Da qui bisogna quindi abilitare e configurare prima il servizio Dhcp e poi le interfacce di rete (che possono essere più di due). Si passa quindi alla definizione delle reti, seguita dall attivazione del firewall, dalla definizione delle regole di filtro e dalla configurazione Vpn. L ultimo passaggio riguarda la funzione di filtro dei contenuti Web gestiti dal server proxy interno. Anche se l interfaccia è funzionale e nasconde efficacemente i dettagli di Linux, la competenza e l impegno necessari per completare con successo la configurazione è notevole, non inferiore a quella richiesta per altri application firewall commerciali di alto livello. Le procedure accessibili dal pannello non aiutano a scoprire e correggere eventuali errori di configurazione che potrebbero compromettere la sicurezza: l attività va condotta successivamente con un penetration test. Il proxy per la navigazione Web supporta Security Linux V4 ö? ö? ö? ö ö Prezzo: Euro 468,00 (Iva incl.) Contatto: Horus Informatica Tel: Web: info@astaro.it Pro: Pannello di configurazione funzionale; firewall e Vpn evolute. Contro: Configurazione iniziale complessa. il servizio commerciale di filtro dei contenuti offerto da Cobion, per restringere la navigazione ai siti autorizzati e bloccare quelli di argomento non idoneo. La lista Cobion contiene oltre 20 milioni di Url divise in 58 categorie, costantemente aggiornate. La gestione delle connessioni Vpn si controlla con una voce di menu specifica, che permette l installazione dei certificati digitali necessari alla terminazione di una connessione IpSec oppure l attivazione di terminazioni Pptp. Il punto di forza del menu diagnostico è la funzione livelog, che mostra in una finestra aggiornata in tempo reale le connessioni attive e quelle bloccate dal firewall sotto forma di matrice, e risulta di grande aiuto nella messa a punto delle regole di filtro. Nelle prove sul campo Astaro Security Linux 4 si è dimostrato stabile e capace di gestire un traffico di browsing intenso, ma anche esigente nelle risorse hardware e un po lento a riavviarsi. Il suo punto debole principale è l assenza di modelli di configurazione predefiniti, che costringe a lunghe consultazioni della guida in linea in inglese durante l installazione iniziale. 198 PC MAGAZINE APRILE 2004

4 PC 86 10p IMPcOK :52 Pagina 199 Basta un clic Per aggiornare IpCop basta seguire la procedura guidata. Tutti i pannelli sono in italiano. Tutto sotto controllo IpCop mostra un rapporto sul traffico molto dettagliato. IpCop IpCop è un progetto open source in senso stretto, non legato a sviluppi commerciali, ed è anche l unica distribuzione a vantare un pannello di configurazione completamente tradotto in italiano. L installazione si può eseguire avviando il Pc da Cd-Rom oppure da un semplice floppy disk. Nel secondo caso, dopo la configurazione della scheda di rete il programma preleva da un server Http i pacchetti necessari a completare l installazione. Quasi tutti i parametri che riguardano la connessione a Internet e le schede di rete si devono inserire durante il setup iniziale, che supporta la tastiera italiana ma non offre guide in linea. La maggior parte delle scelte è modificabile anche dal pannello di configurazione Web, con l eccezione di alcuni elementi critici come l indirizzo Ip della scheda di rete Lan: in caso di errori o pentimenti si deve ripetere l installazione. IpCop non contiene un vero e proprio firewall ma solo un proxy server Http con cache, che può funzionare in modalità trasparente per evitare modifiche alla configurazione di Internet Explorer nei Pc della rete. Questa limitazione è bilanciata dal vantaggio di una installazione molto rapida e da requisiti hardware minimi, che assicurano un veloce riavvio del proxy in caso di necessità. Anche un Pc Pentium di prima generazione riesce a eseguire IpCop senza problemi, ma in questo caso la funzione di cache mette alla corda il disco fisso, che durante il browsing Web viene acceduto continuamente. Chi non utilizza un router per la connessione Adsl, Isdn o analogica può configurare IpCop per sfruttare il modem del Pc, di tipo seriale o Usb. Il numero di modem supportati è limitato, anche se comprende i più comuni, elencati nel sito Web di supporto. Per le connessioni Adsl si possono usare i modem Alcatel, Eci e Pulsar, commercializzati anche con altri IpCop ö? ö? ö? ö? ö Prezzo: Gratuito (Iva incl.) Contatto: IpCop Web: Pro: Installazione immediata, interamente tradotto in italiano. Contro: Offre protezione limitata. marchi e spesso abbinati agli abbonamenti Adsl dei maggiori provider italiani. L aggiornamento del firmware del modem Adsl per abilitare il funzionamento con Linux si esegue con la massima semplicità direttamente dal pannello di controllo di IpCop. Con pochi clic del mouse si possono inoltre controllare l utilizzo della connessione e i rapporti del sistema Ids per il rilevamento dei tentativi d intrusione. La prova sul campo ha sorpreso per la semplicità della configurazione iniziale, che per impostazione predefinita permette ai Pc della rete locale una navigazione Web senza limitazioni. La facilità con cui si ottiene una configurazione funzionante lascia perdonare l assenza di una guida in linea: il supporto è affidato al sito Web del progetto. Il pannello di configurazione è protetto da una sola password ed è accessibile anche con il protocollo insicuro Http, mentre le connessioni Vpn Ipsec protette da certificati digitali non sono supportate direttamente. Alcune funzionalità si possono aggiungere installando pacchetti di espansione o eseguendo script sviluppati dalla comunità open source. APRILE 2004 PC MAGAZINE 199

5 PC 86 10p IMPcOK :52 Pagina 200 A rapporto Report del firewall interno di Mandrake si possono consultare dal pannello di controllo. Grafica curata Mandrake ha dato molta importanza all aspetto grafico e funzionale del pannello. Mandrake Single Network Firewall Mandrake Linux 8.2 con kernel 2.4 è la base di partenza su cui MandrakeSoft ha sviluppato Single Network Firewall. La fase d installazione iniziale è guidata dalla stessa procedura grafica in lingua italiana adottata per la nota distribuzione Linux, e si conclude con il riavvio del Pc per la successiva configurazione attraverso Web browser. Il firewall si avvia in una configurazione completamente chiusa, con servizio Dhcp disattivato e blocco di qualsiasi comunicazione da e verso Internet. Ciò complica la messa a punto ma evita errori e distrazioni che potrebbero compromettere la sicurezza. L interfaccia accessibile tramite browser è in tre lingue (francese, spagnolo e inglese). Ognuna delle otto sezioni principali del menu di configurazione richiama una schermata di riepilogo delle corrispondenti impostazioni. La sezione chiamata System Setup è il punto di partenza per la configurazione delle schede di rete Lan e delle eventuali connessioni a Internet realizzate tramite modem Adsl o Isdn. Le schede di rete basate sullo stesso chip set si possono distinguere solo per l indirizzo Mac associato, che normalmente è stampato sull etichetta all interno del computer; chi non si è annotato questi dati può essere costretto a smontare il Pc per un controllo. La sezione Services configura i servizi offerti alla rete, dove il ruolo centrale spetta ai proxy dns e http per la navigazione Web. La sezione Vpn supporta la terminazione di tunnel IpSec autenticati da certificati digitali per l accesso cifrato e protetto alla rete locale attraverso la connessione Internet. È possibile installare sul server un certificato valido oppure generarne uno autofirmato. Il proxy accetta regole di filtro che limitano l accesso a Url oppure contenuti specifici, ma il controllo è elementare e facilmente aggirabile. Il pannello per configurare le regole del Single Network Firewall ö? ö? ö? ö? ö Prezzo: Euro 1.990,00 (Iva incl.) Contatto: Italsel Tel: info@italsel.com Web: Pro: Configurazione iniziale semplificata. Contro: Costo elevato; funzionalità limitate. firewall è il cuore delle funzioni evolute del pacchetto. Disattivabile con un semplice clic in caso di necessità, supporta una gestione puntuale delle porte e dei protocolli ammessi o bloccati. Ogni applicazione da abilitare, anche se è tra le più comuni, va studiata per individuare le porte di comunicazione e i protocolli da configurare con criteri e regole del firewall. La reportistica sugli accessi legittimi e sui tentativi d intrusione è nella media, sufficiente per tracciare le attività di ogni utente e mettersi al riparo da tentativi di accesso non autorizzati. A questa esigenza provvede anche il sistema Ids (Intrusion Detection System) Snort. Nella prova sul campo abbiamo sentito la mancanza di un indicatore accurato dello stato delle connessioni verso Internet, affidate a un semplice test ping realizzato in modo graficamente piacevole ma poco funzionale. Gli aggiornamenti delle pagine del pannello avvengono con una lentezza che può essere irritante. L acquisto di Single Network Firewall dà diritto per sei mesi agli aggiornamenti gratuiti rilasciati sul sito Web di Mandrake- Soft. La documentazione a corredo è in lingua inglese. 200 PC MAGAZINE APRILE 2004

6 PC 86 10p IMPcOK :52 Pagina 201 Statistiche Corporate Server 3.0 genera ottime statistiche grafiche e testuali sull andamento del traffico. SmoothWall Corporate Server 3.0 Corporate Server è un sistema modulare composto da una licenza base e da pacchetti di estensione venduti separatamente, che s installano e amministrano attraverso il pannello Web. Le funzioni garantite dall installazione base collocano Corporate Server a metà strada tra i pacchetti open source privi di firewall e le proposte dei concorrenti commerciali, ma acquistando tutti i moduli proposti da SmoothWall si ottiene la copertura quasi completa delle esigenze di connettività Internet anche per aziende di medie dimensioni. La procedura d installazione iniziale è semplicissima, e si esegue usando solo la tastiera. L accesso a Internet può avvenire tramite un router, un modem (Adsl o Isdn) o entrambi: in questo caso è possibile commutare manualmente, in caso di necessità, tra l accesso Adsl e una linea Isdn di riserva. La configurazione delle schede di rete e dei parametri di connessione del modem è possibile solo durante l installazione iniziale, che non offre una guida in linea. Questa scelta può mettere in difficoltà i meno esperti, soprattutto se le schede di rete sono identiche tra loro, ma semplifica molto la fase di configurazione successiva: già dal primo avvio di Corporate Server la condivisione Internet è attiva e funzionante, e l accesso al pannello di configurazione Web è necessario solo per installare gli aggiornamenti rilasciati da SmoothWall e attivare i servizi aggiuntivi che possono essere necessari. Il firewall previsto dal modulo base è rudimentale, ma è affiancato da un valido sistema di rilevamento dei tentativi d intrusione (Ids) e da un proxy server che scherma da gran parte dei problemi legati alla navigazione Web e velocizza l apertura delle pagine visitate di frequente. Per regolare in modo efficace la navigazione, applicando con la massima comodità re- Corporate Server 3.0 ö? ö? ö? ö? ö? Prezzo: Euro 315,60 (Iva incl.) Contatto: K4dot Tel: info@k4dot.com Web: Pro: Configurazione semplice, documentazione completa. Contro: Funzioni base limitate. SmoothWall Corporate Server Il funzionamento di ogni sottosistema è riepilogato da una tabella facil- mente comprensibile. gole di filtro complesse basate sugli indirizzi Url, su quelli Ip e sui contenuti, è necessario acquistare un modulo software aggiuntivo che aumenta notevolmente la spesa complessiva. Il modulo è necessario anche per bloccare lo scaricamento tramite Web browser dei file eseguibili; altre estensioni a pagamento migliorano la gestione delle connessioni Vpn e degli eventuali host interni. Il punto di forza di Corporate Server è la semplicità del pannello di configurazione Web, che risponde in modo rapido alle selezioni e si sforza di presentare le opzioni in modo ordinato e comprensibile anche a chi non ha esperienza sistemistica. La maggior parte dei servizi si può abilitare con un semplice clic del mouse, perché la configurazione predefinita è già adatta alla maggior parte delle situazioni. Solo chi vuole perfezionare le impostazioni di sicurezza è obbligato a scorrere in modo più attento i pannelli e consultare la guida in linea o il corposo manuale, entrambi in lingua inglese. Il diritto di ricevere supporto per 30 giorni è incluso nel prezzo di acquisto di ogni modulo. APRILE 2004 PC MAGAZINE 201

7 PC 86 10p IMPcOK :53 Pagina 202 Funzionamento semplice SmoothWall Express si presenta con un pannello di controllo spartano ma funzionale. SmoothWall Express, solo l essenziale L elenco dei servizi disponibili comprende tutto ciò che serve per condividere la navigazione Web e accettare una connessione Vpn. SmoothWall Express 2.0 SmoothWall Express 2.0 è un software gratuito parzialmente sotto licenza Gpl, che utilizza una parte delle tecnologie inserite anche in SmoothWall Corporate Server 3.0. Condivide con IpCop il programma d installazione iniziale in ambiente testuale, ma offre maggiori funzionalità e una schermata di configurazione tramite Web browser più raffinata. Chi accetta solo software libero, coperto integralmente da licenza Gpl, può scegliere la distribuzione SmoothWall 1.0 che tuttavia è meno semplice da usare. Le tre guide scaricabili in formato Pdf dal sito di SmoothWall affrontano gli aspetti legati a installazione rapida (Quickstart), pianificazione e installazione evoluta (Installation) e amministrazione. Complete e di taglio pratico, sono scritte in un inglese semplice e facilmente comprensibile. Chi desidera mettere le mani nel motore di SmoothWall può farlo attivando il supporto Ssh, che apre una shell Linux grazie a una applet Java caricata nel browser. Anche se ciò può sembrare complesso, l ingegnosa struttura di SmoothWall permette di farlo con due clic del mouse. SmoothWall Express 2.0 può funzionare anche da server Ras, cioè risponde alle chiamate che arrivano via modem (quasi come un provider Internet). Il supporto ai server Dns dinamici permette (se lo si desidera) il collegamento remoto al pannello di configurazione attraverso Internet, anche quando su usa una normale connessione Adsl, Isdn o analogica senza Ip statico. La possibilità di ospitare server sulla rete interna è assicurata dal supporto delle riserve d indirizzi Dhcp: compilando l apposita tabella, SmoothWall riserva indirizzi Ip specifici alle schede di rete dei server sulla rete locale, in modo che il loro indirizzo resti costante. Nonostante l origine comune, le differenze tra SmoothWall Corporate Server e SmoothWall Express sono molte e impor- Express 2.0 ö? ö? ö? ö? ö Prezzo: Gratuito Contatto: K4dot Tel: Web: info@k4dot.com Pro: Configurazione iniziale immediata; aggiornamenti semplici. Contro: Offre protezione limitata. tanti. Per esempio, SmoothWall Express supporta solo tre modelli di modem Adsl Usb (gli stessi di IpCop) e non gestisce dischi e Cd-Rom Scsi; la configurazione del servizio Nat è limitata e manca il supporto per lo spegnimento ordinato comandato dall eventuale gruppo Ups collegato al Pc. Le funzioni Vpn sono quasi inesistenti e manca il supporto Nat Traversal su Udp (per accedere a un server esterno utilizzando un Pc posto nella rete protetta da SmoothWall). In definitiva SmoothWall Express è adatto solo quando è richiesta una semplice condivisione e accelerazione della navigazione Web. La prova pratica ha confermato la stretta somiglianza con IpCop, potenziato da un interfaccia più ergonomica e da funzioni Ids basate su Snort che facilitano la verifica di eventuali problemi di sicurezza. La funzione di cache per accelerare il caricamento delle pagine è efficace ma appesantita dai continui accessi al disco fisso, che consigliano di mantenere la dimensione entro poche decine di Mbyte. Il sistema di aggiornamento è lo stesso della versione commerciale. I log di sistema sono suddivisi per funzione e facilmente consultabili. 202 PC MAGAZINE APRILE 2004

8 PC 86 10p IMPcOK :53 Pagina 203 Solo per esperti Il tool di configurazione del firewall di Suse è chiaramente destinato a sistemisti esperti. Guida in linea Suse offre una completa guida in linea, ma per leggerla tutta serve molto tempo. Suse Firewall On Cd 2 La soluzione Firewall On Cd 2 di Suse distingue nettamente la fase di configurazione da quella di utilizzo, affidata a due computer differenti. Il Pc che funge da firewall può essere privo di hard disk poiché Linux è caricato da un Cd-Rom avviabile, consegnato da Suse assieme a quello dei sorgenti. Gli altri due Cd contenuti nella confezione servono per installare, su un altro computer, una copia di Suse Linux che serve unicamente per eseguire il configuratore grafico Fas (Firewall Administration System) e preparare il dischetto floppy di configurazione che viene letto dal Pc firewall durante la fase di avvio. Suse evidenzia la sicurezza garantita dall esecuzione da Cd-Rom, che impedisce ogni alterazione degli eseguibili e dei file di configurazione, ma è una scelta che porta anche svantaggi. Non solo è necessario dedicare al firewall due Pc (poiché Fas è un applicazione che non coesiste con altri sistemi operativi), ma per correggere un errore di configurazione o applicare in modo permanente una nuova restrizione è necessario riavviare il firewall, che impiega un tempo relativamente lungo per completare il boot. La modifica permanente della configurazione richiede la sostituzione manuale di un dischetto, quindi è poco pratica nelle reti di grandi dimensioni e nelle applicazioni con elevato livello di sicurezza, dove l accesso fisico ai server è soggetto a restrizioni e intralci. Naturalmente, poiché il Cd-Rom è inalterabile, non è neppure possibile applicare facilmente patch al kernel o altre correzioni legate a vulnerabilità eventualmente scoperte. Il sistema di configurazione non è basato su Web, ma utilizza un programma Linux vero e proprio. Firewall on Cd installa sulla macchina dedicata all amministrazione del firewall una versione ridotta (e anziana) di Suse Linux con desktop grafico Kde2, usato per lanciare il programma Fas. Firewall on Cd 2 ö? ö? ö? ö ö Prezzo: Euro 1.704,00 (Iva incl.) Contatto: Suse Tel: Web: info@suse.it Pro: Documentazione su carta esaustiva. Contro: Scomodità di aggiornamento; configurazione complessa; requisiti hardware elevati. All apertura del programma, completamente in lingua inglese, viene aperta anche la guida in linea sensibile al contesto. La configurazione parte da un modello (template) che prevede una gestione molto articolata del traffico, sufficiente per gestire reti complesse. Le procedure richiamate dalla parte sinistra dello schermo guidano verso il completamento della configurazione e impediscono l inserimento di dati incongruenti, ma presuppongono un buon livello di conoscenza del sistema operativo, al punto da permettere l editazione manuale dei file usati da Linux. Nella prova pratica, Firewall on Cd 2 ha richiesto un impegno maggiore rispetto ai concorrenti per ottenere una configurazione sufficiente alla navigazione sicura su Web. Il supporto Web è affidato a un portale con accesso protetto da password, che non permette lo scaricamento di aggiornamenti in modo semplice. A chi è interessato a una protezione della connessione Internet di livello professionale realizzata con prodotti Suse, suggeriamo perciò di valutare l installazione della distribuzione Suse Enterprise Server, che già contiene tutti i pacchetti necessari per realizzare un proxy e un firewall Web. APRILE 2004 PC MAGAZINE 203

9 PC 86 10p IMPcOK :56 Pagina 204 Contatti Produttore Astaro Comunità Open Source MandrakeSoft SmoothWall SmoothWall Suse Prodotto Security Linux V4 IpCop Single Network Firewall Corporate Server 3.0 Express 2.0 Firewall on Cd 2 Prezzo Euro (Iva incl.) 468,00 Gratuito 1.990,00 315,60 Gratuito 1.704,00 Contatto Horus Informatica IpCop Italsel K4dot K4dot Suse Telefono info@astaro.it - info@italsel.com info@k4dot.com info@k4dot.com info@suse.it Web om Requisiti minimi Cpu Pentium Pentium Pentium Pentium Pentium Pentium Ram 64 Mbyte 64 Mbyte 64 Mbyte 64 Mbyte 64 Mbyte 64 Mbyte Spazio disco 1 Gbyte 100 Mbyte 1 Gbyte 1 Gbyte 100 Mbyte Boot da Cd Supporto base 1 anno - 30 giorni 30 giorni - 1 anno Valutazione Documentazione???????????????????????????????????????????????????????????? Semplicità installazione e configurazione Funzionalità?????????????????????????????? Supporto?????????????????????????????? Giudizio complessivo?????????????????????????????? Ho digitato scelto la soluzione Hosting più adatta......e adesso non disturbatemi STO LAVORANDO!!! 2 domini gratis Per chi acquista una soluzione Hosting Tel. 0832/ Fax: 0832/ Powered by Medianext S.r.l. DOMINION La scelta definitiva per l'hosting! Soluzioni Hosting Windows e Linux per tutte le esigenze Piani hosting frazionabili (multisito) a partire da 279 / anno Piani hosting base (monosito) a partire da 35 / anno Registrazione di tutti i tipi domini a partire da 15 / anno (per i domini.it) Posta elettronica con i nuovissimi filtri Antivirus e Antispam LANFILTER Servizi aggiuntivi: Certificati digitali, Supporto WAP, Microsoft streaming audio e video Create il vostro negozio virtuale in pochi e semplici passaggi con il nuovo software dominion shopping Webfarm propria con connettivtà Italiana ultra-veloce Assistenza telefonica e via (Tutti i prezzi si intendono Iva esclusa)

10 PC 86scelta 1p IMPcOK :08 Pagina 205 Scelta della redazione Tutti i giudizi sono stati attribuiti al pacchetto base, escludendo eventuali estensioni e supporto aggiuntivi offerti a pagamento. La semplicità d installazione e configurazione è di gran lunga la caratteristica più importante per un firewall destinato a proteggere reti locali domestiche o con dimensione limitata, e per questo motivo contribuisce alla metà del punteggio complessivo. Sistemi troppo complessi, che richiedono competenze degne di un professionista esperto, annullano lo scopo di una distribuzione Linux preconfigurata. Il punteggio relativo alla funzionalità, che ha un peso del 30% sul totale, è incrementato dalla presenza di un firewall e dalla capacità di terminare connesioni Vpn. Qualità della documentazione e livello del supporto disponibile formano in parti uguali l ultimo elemento di giudizio. La scelta della redazione I test hanno dimostrato che i prodotti basati su Linux offrono ottime possibilità per proteggere la navigazione web, ma non fanno necessariamente risparmiare rispetto a un apparecchio tradizionale o a un firewall software in ambiente Windows. Solo limitandosi al livello di protezione più semplice, che adotta la tecnologia proxy server senza firewall integrato, esistono ottime distribuzioni gratuite e veramente facili da installare. Tra queste si è distinto IPCop Entro i limiti delle sue funzionalità, è difficile trovargli un difetto degno di nota. L unica pecca è l eccessivo numero di parametri di rete da introdurre nella fase iniziale dell installazione, senza guida in linea, ma è un operazione da fare una sola volta. Il supporto offerto su base volontaria attraverso il sito web di sviluppo è di ottimo livello e in lingua italiana, e in pochi minuti si possono scaricare da Internet tutti i file necessari. Piccolo e veloce, funziona senza difficoltà su Pc molto vecchi e ormai inutilizzabili per altri scopi, purché di classe 486 o superiore. Smoothwall Express si è rivelato altrettanto valido dal punto di vista tecnico, ma l interfaccia utente in lingua inglese può creare qualche difficoltà a chi non conosce la terminologia delle reti. Purtroppo l assenza del firewall è una lacuna troppo grave per un sistema che deve proteggere Pc contenenti dati sensibili. Per le applicazioni professionali, dove le nuove leggi da poco in vigore impongono sistemi di protezione efficaci, raccomandiamo l utilizzo del vincitore assoluto Smoothwall Corporate Server 3.0. I suoi pregi sono semplicità, efficacia e modularità. Il prezzo di acquisto del modulo base è competitivo rispetto a quello di una distribuzione Linux professionale, ma l installazione e la configurazione sono enormemente più semplici; chi ha esigenze specifiche può sempre espandere le funzionalità acquistando solo le licenze dei moduli necessari. La più grande delusione è arrivata dai firewall proposti da Suse e Mandrake. Da società internazionali da tempo apprezzate per i loro prodotti e per l impegno speso nello sviluppo di Linux ci attendevamo un prodotto moderno e allo stato dell arte, facile da configurare, accompagnato da documentazione e guide in linea utili e approfondite. Purtroppo le rispettive distribuzioni firewall, anche se indubbiamente efficaci dal punto di vista della funzionalità principale, sono poco più che una vecchia versione delle distribuzioni per il mercato aziendale da cui derivano, espanse con un programma grafico di configurazione che non soddisfa a pieno né gli esperti di sicurezza (limitati nelle loro possibilità rispetto ai firewall hardware professionali) né i sistemisti (costretti a spendere tempo prezioso per addentrarsi in logiche di funzionamento proprietarie). Allo stesso prezzo entrambi i concorrenti offrono una soluzione probabilmente migliore: una distribuzione Linux aziendale standard, con servizi di supporto professionale di pari livello, che contiene la stessa tecnologia firewall. Smoothwall Corporate Server 3.0 IpCop SmoothWall Express APRILE 2004 PC MAGAZINE 205