Approfondimento tecnico servizio WDSL

Transcript

1 Approfondimento tecnico servizio WDSL (aggiornamento del 28/03/2013) Configurazione IP: L'apparato CPE che viene installato presso il cliente funziona in modalità ROUTER, cioè effettua un NAT verso la rete privata dell'utente. Il CPE è così impostato: IP Pubblico assegnato al CPE lato "WAN"; La porta Ethernet è impostata in 10/100 "Auto-Sensing" e offre servizio DHCP per la rete interna del cliente. 1 Normalmente è consigliato lasciare che il computer ottenga automaticamente i parametri di rete tramite il servizio DHCP installato nel CPE; in caso di configurazione manuale i parametri sono i seguenti: IP ADDRESS: x (dove x è un valore da 1 a 250) SUBNET MASK: GATEWAY: DNS SERVER: Il server DHCP integrato nell'antenna assegna automaticamente indirizzi IP nel seguente range: da a con un lease-time di 1 ora. NOTA BENE: L'indirizzo IP abilitato per default nel quale sono "nattate" porte per eventuali programmi P2P è il In caso di configurazioni NAT particolari, contattateci richiedendoci le eventuali porte TCP/UDP da aprire, indicando il servizio utilizzato e l'indirizzo IP verso cui direzionare il tutto. Su richiesta è possibile attivare il NAT 1-1 aprendo tutte le porte verso un indirizzo IP privato specifico. Saranno inoltrate tutte le porte ad eccezione di quelle richieste per la gestione remota dell'apparato, ed eventualmente quelle filtrate dal nostro firewall perimetrale. Il nostro router supporta il protocollo upnp (Universal Plug and play), che consente ai programmi di aprire autonomamente le porte nel router, risolvendo eventuali problemi di collegamento con le console tipo XBox o Playstation. Configurazione posta elettronica: Server SMTP: smtp-wisp.spadhausen.com - per la posta in uscita Server POP3: il server del vostro fornitore di posta elettronica NOTA BENE: Nel caso disponiate di una vostra casella di posta, i parametri per la ricezione della posta sono invece forniti dal gestore che offre la casella di posta elettronica (es. Gmail, Libero, ecc.). Si noti che alcuni gestori di posta elettronica impediscono la ricezione in POP3 della posta utilizzando un provider diverso da loro (ad esempio Virgilio, Libero).

2 Firewall perimetrale della rete: Sull'indirizzo IP assegnato, le porte TCP 22,80 e UDP 161 sono riservate per la gestione remota e il monitoraggio dell'apparato. La tabella sottostante indica le tipologie di porte che vengono bloccate dal nostro firewall perimetrale: in USCITA (OUT): dal cliente verso Internet; in ENTRATA (IN): da Internet verso l'apparato del cliente. PROTOCOLLO SERVIZIO CAUSA DEL BLOCCO PORTE DIREZIONE TCP ssh Riservato per gestione remota 22 IN TCP/UDP domain Virus/worm 53 IN UDP tftp worm 69 OUT TCP http Riservato per gestione remota 80, 81 IN TCP/UDP ms-rpc Virus/worm 135 IN/OUT TCP/UDP netbios Virus/worm 137, 138, 139 IN/OUT UDP snmp Riservato per gestione remota 161 IN TCP/UDP microsoft-ds Virus/worm 445 IN/OUT TCP/UDP http-rpcepmap Virus/worm 593 IN/OUT TCP/UDP ms-sql server Virus/worm 1433,1434 IN TCP ms known exploit Virus/worm 4444 IN/OUT 2 I filtri applicati in uscita sono utili per contenere eventuali infezioni di virus o worms, in modo che non si propaghino fuori dalla rete in caso in cui il pc di un utente fosse infetto. I filtri in entrata sono efficaci per ridurre il quantitativo di banda internet consumato dai tentativi di virus/worms di cercare eventuali computer vulnerabili nella rete. NOTA BENE: I filtri sono attivi per l'esclusiva sicurezza dell'infrastruttura di rete e per proteggere di conseguenza anche gli utenti, non servono per limitare traffico P2P. NOTA BENE II: In caso di necessità specifiche, di particolari applicazioni non compatibili con le attuali impostazioni, potete contattarci e troveremo sicuramente una soluzione al vostro problema. Politica QoS (Quality of Service) sulla rete: Sui collegamenti WDSL, applichiamo alcune tecniche di bilanciamento dei carichi di rete e qualità dei servizi (QoS) che danno maggior priorità, ai servizi di navigazione web, posta elettronica e applicazioni VOIP (sip, skype, rtp). In maggior dettaglio, viene applicata una policy per un utilizzo ottimale della banda disponibile allo scopo di migliorare la qualità media del servizio a vantaggio di tutti gli utenti connessi in quel momento. Questo fa sì che nella nostra rete venga privilegiato il traffico sensibile alla latenza (navigazione web, , VoIP) rispetto a quello generato da software di file sharing o Peer to Peer (P2P). Questo sistema di gestione del traffico entra in funzione esclusivamente nei momenti di elevata congestione dell'infrastruttura di rete. Queste politiche di QoS (Quality of service) NON BLOCCANO alcuna porta o alcun tipo di traffico, ma si limitano eventualmente a ridurre la velocità di alcuni servizi a favore di altri, le porte TCP/UDP sulla rete sono TUTTE raggiungibili (ripetiamo, eccetto quelle filtrate dal Firewall perimetrale comune).

3 Politica relativa al traffico Peer to Peer (P2P): Innanzitutto ricordiamo che nel contratto relativo al servizio WDSL, al punto 13.4 l'utente si impegna "A non utilizzare i servizi in oggetto per violare, contravvenire o far contravvenire in modo diretto o indiretto alle vigenti leggi dello Stato Italiano". Di conseguenza ogni utente è responsabile in prima persona del collegamento internet in quanto noi NON effettuiamo alcun controllo preventivo sui contenuti dei collegamenti. Detto questo, i nostri collegamenti prevedono che il traffico definito "P2P" sia gestito nel seguente modo: Per traffico P2P viene identificata la banda consumata da applicazioni di file sharing in cui vi è una connessione diretta sulla rete fra gli utilizzatori della stessa applicazione. Esempi di applicazioni P2P sono: 3 edonkey/emule KaZaa/Grokster/Morpheus BitTorrent e simili Gnutella/LimeWire/BearShare WinMX/OpenNap IRC Per consentire una miglior fruizione del servizio, saranno attivi dei sistemi sulla rete che potranno limitare il traffico Peer to Peer (P2P) per evitare la saturazione della rete. Quindi il traffico P2P non viene bloccato, ma può subire delle limitazioni di velocità soltanto per quanto riguarda il traffico in uscita, upload. Non vi sono mai limiti per il traffico in download. Il traffico è quindi RIDOTTO in velocità ma non viene effettuato alcun blocco (eccetto quelle filtrate dal Firewall). Il firewall perimetrale NON è studiato e impostato per limitare o ridurre il traffico P2P, ma solo per proteggere la rete da intrusioni di worms/virus. NOTA BENE: Eventuali limitazioni di velocità sul traffico Peer to Peer entrano in funzione, solo in caso di elevata congestione della rete; in caso contrario il traffico Peer-to-Peer non subisce riduzione di velocità. Ricordiamo che come impostazione predefinita, vi sono però alcune limitazioni dovute alla struttura di rete, in quanto il vostro pc per default, a valle dell'antenna, viene definito "nattato" (dietro NAT). Per tale ragione in assenza di esplicite configurazioni delle porte di comunicazione, si rimarrà con "ID basso" e la velocità di trasferimento nel P2P risulterà minore. Per default sono già aperte alcune porte per consentire un'immediato utilizzo dei principali programmi P2P, è sufficiente impostare il proprio indirizzo IP a e configurare i programmi per utilizzare le porte indicate nella tabella sottostante: PROTOCOLLO PORTA SERVIZIO APPLICAZIONE INDIRIZZO IP LAN DIREZIONE TCP 4662 emule/edonkey TCP IN UDP 4672 emule/edonkey UDP IN TCP 6881 Torrent default port IN TCP 6699 WinMX default TCP port IN UDP 6257 WinMX default UDP port IN TCP/UDP 6346 Gnutella/LimeWire/BearShare IN TCP/UDP 1214 KaZaa/Grokster/Morpheus IN

4 NOTA BENE: Per funzionare con maggiore efficienza, ricordiamo di impostare il numero massimo di connessioni utilizzabili nei programmi P2P, a "80". Questo per evitare di saturare la propria rete con un numero elevato di richieste. Consigliamo inoltre di impostare la velocità di upload dei vostri software P2P a 10Kbyte/sec (96Kbit/sec) e Torrent a 4Kbyte/sec per non congestionare le risorse comuni di rete. L'antenna si auto-limita a 200 connessioni contemporanee in caso di elevato traffico P2P. 200 connessioni sono ben oltre il necessario di quanto un programma P2P richieda per funzionare velocemente. Si ricorda che tenere aperti più programmi Peer-to-Peer alla volta, porta ad una rapida saturazione delle risorse di rete. Farne un buon uso senza eccedere è segno di civiltà e rispetto nei confronti degli altri utenti. 4 Configurazione e-mule: Limite di download: non impostato Limite di upload: 10 Kbyte/sec (96Kbit/sec - non si hanno limitazioni in download) Porte utilizzate: 4662 TCP; 4672 UDP Connessioni massime: 80 Fonti massime: 400

5 Configurazione utorrent: 5