[LACNIC/Seguridad] El NAT y la seguridad (Cross-post de la lista de NANOG)

Jue Jun 7 12:50:07 BRT 2007

Arturo Servin escribió:
>
> Para ocultar tus dispositivos solo usa un statefull firewall. Si esta 
> bien configurado no hay forma de que alguien vea tus servicios desde 
> afuera. Solo van a ver lo que tu quieras que se vea, en este caso tus 
> servicios publicos (y solo veran de ellos lo que tu quieres que vean).
Bueno, pero los servicios no son todo (y asumí que está bloqueado todo 
el tráfico que yo no quiero). Un servicio de NAT no reemplaza un 
firewall, lo complementa,
Quizás está la imagen de la empresa. Quizás no se quiera saber que, 
desde las máquinas de los directores se accede a sitios pornográficos o 
que no condicen con otros objetivos de mi empresa. Claramente hay 
soluciones para esto, como los proxies, pero proxiar es como natear, en 
otra capa :-) {no lo analicen demasiado...} Puedo hacer un tunnel hasta 
un anonimizador de navegación, pero si es mi responsabilidad como 
sysadmin, igual natearía. Mirá si cambia de computadora, no me entero y 
pierdo el trabajo ;-)

Me estoy esforzando por ser creativo en respuestas, quizás alguna sin 
mucha lógica (pero en una facultad conocer si son los alumnos o docentes 
los que acceden a cierto contenido ilegal o XXX puede dañar la 
imagen....) pero el firewall me va a permitir decidir que tráfico 
autorizo o no.
Pero un escucha externo (quizás mi Internet Provider) puede obtener 
información mia. Aunque encripte, puede conocer origen y destino de mis 
comunicaciones.... y si no es mi ISP, es el carrier más grande.... y si 
no, puede ser otro provider, con el que ni tengo relación, en el core. 
Quizás no pueda esconder todo, pero cuanto más esconda, más puedo 
anonimizar.

Insisto que NAT es una herramienta. No resuelve todos los problemas y 
agrega complicaciones (a veces). En unos casos sirve, en otros no. El 
"statefull firewall" también. Es innegable. Juntos pueden resolver más 
aspectos de seguridad que por separado.

Ariel

>
> -as
>
> ----- Original Message ----
> From: Ariel Sabiguero Yawelak <asabigue en fing.edu.uy>
> To: seguridad en lacnic.net
> Sent: Thursday, June 7, 2007 3:51:24 PM
> Subject: Re: [LACNIC/Seguridad] El NAT y la seguridad (Cross-post de 
> la lista de NANOG)
>
> Hola, espero andes bien.
>
> Me parece interesante el punto y creo que tenemos que ver algunos 
> puntos buenos también del NAT/PAT. Creo que el argumento más sólido 
> para mantener el NAT es el de poder ocultar mi red interna a un 
> observador remoto (posiblemente hostil).
> Está muy bien el usar firewalls y estoy de acuerdo que la simplicidad 
> no es motivo para tomar decisiones de diseño, pero realmente el 
> natting oculta muchos aspectos de las redes. Tiene overhead y costo, 
> pero te permite aislar tu topología interna y anonimizar al usuario. 
> Sabés de qué empresa es, pero no tenés idea de dónde ni quien. Ese 
> factor de privacidad considero que debería ser salvado.
> Antes que me manden leer el RFC 3041, les digo que si soy responsable 
> de una red y tengo que aplicar la política de "anonimizar" a los 
> usuarios, prefiero hacerlo centralmente, a hacerlo desde el cliente.
> Realmente, no me interesa que terceros sepan si conecto 1, 5, 100 o 
> 1000 dispositivos.
> Si conocen otra forma de lograr esto, bueno, cambio de opinión. Si no, 
> por ahora mi voto es + NAT
>
> Ariel
>
> Carlos M. Martinez escribió:
>> Hola a todos,
>>
>> queria compartir con uds un post que hice en la lista de NANOG.
>> Disculpas por que esta en Inglés. Mi interés es motivar la discusión
>> sobre NAT y seguridad, discusión que cobra mucha fuerza con el
>> advenimiento de IPv6
>>
>>   
>>> Hi,
>>>
>>> Valdis.Kletnieks en vt.edu wrote:
>>>     
>>>> I think somebody on this list mentioned that due to corporate acquisitions,
>>>> there were legitimate paths between machines that traversed 5 or 6 NATs.
>>>>
>>>>       
>>> Not 5 or 6, but in my company I could show you paths with 4 NATs. Many of them. And no acquisitions, just different Divisions of the same company.
>>>
>>> I once spent three days trying to get the four administrators to talk among themselves and determine where a SYN flood was coming from. 
>>>
>>> Whatever people say, NAT is a hack. NAT was intended to extend IPv4's lifetime (togher with CIDR they were pretty successful at that) and nothing else.
>>>
>>> And as someone said it earlier, instead of promoting layer separation NAT it has promoted "protocol hacking hell". 
>>>
>>> Please, even the related PIX commands are named after they hackish nature:
>>>
>>> "fixup protocol dns"
>>> "fixup protocol ftp"
>>>
>>> This completely destroys the end-to-end nature of application protocols! If someone wants to improve FTP or anything that requires a "fixup", it doesn't suffice to code a server and a client. No, you need to talk to 1.000sh firewall manufacturers so they correct
>>>  their "fixups".
>>>
>>> Which they might or might not do, of course, depending on how they feel that particular day. Talk about vendor lock-in.
>>>
>>> In my view, this ossifies the whole Internet development cycle. 
>>>
>>> And the argument that NAT is easier to administer than a full SI firewall is pretty thin, even if it was true, about what I have my doubts. Moreover, not everything in life should be conditioned to the "easier to administer" argument. 
>>>
>>> Sorry about the rant :-)
>>>
>>> Carlos M.
>>> ANTEL Uruguay
>>>
>>>     
>>>> But yeah, "Sure, very easily".  Whatever you say...
>>>>       
>> _______________________________________________
>> Seguridad mailing list
>> Seguridad en lacnic.net
>> https://mail.lacnic.net/mailman/listinfo/seguridad
>>
>>
>>   
> _______________________________________________
> Seguridad mailing list
> Seguridad en lacnic.net
> https://mail.lacnic.net/mailman/listinfo/seguridad
>
>
> ------------------------------------------------------------------------
> Be a better Globetrotter. Get better travel answers 
> <http://us.rd.yahoo.com/evt=48254/*http://answers.yahoo.com/dir/_ylc=X3oDMTI5MGx2aThyBF9TAzIxMTU1MDAzNTIEX3MDMzk2NTQ1MTAzBHNlYwNCQUJwaWxsYXJfTklfMzYwBHNsawNQcm9kdWN0X3F1ZXN0aW9uX3BhZ2U-?link=list&sid=396545469>from 
> someone who knows.
> Yahoo! Answers - Check it out.
> ------------------------------------------------------------------------
>
> _______________________________________________
> Seguridad mailing list
> Seguridad en lacnic.net
> https://mail.lacnic.net/mailman/listinfo/seguridad
>   
------------ próxima parte ------------
Se ha borrado un adjunto en formato HTML...
URL: <https://mail.lacnic.net/pipermail/seguridad/attachments/20070607/fca988e9/attachment.html>