WEB PRATO Ip-Guard è un appliance basata sul sistema operativo GNU/Linux pensata per operare come Firewall per proteggere dai pericoli della rete Internet e come Content Filter per filtro di contenuti per gli utenti della rete LAN.

Le principali funzioni offerte da Ip-Guard sono:

• Protezione della propria rete LAN dalle intrusioni
• Limitazione degli utenti sui contenuti accessibili dai propri PC
• Restrizione e controllo sulla navigazione internet all'interno della LAN
• Accesso sicuro dall'esterno ai dati della propria LAN aziendale
• Connettere le reti di due o più sedi aziendali
• Semplificare e centralizzare la gestione della rete LAN
• Monitorare il traffico di rete e le attività degli utenti
• Accesso sicuro ai PC della LAN per effettuare assistenza remota
• Gestione sicura di più segmenti di rete

Descrizione tecnica dei servizi offerte da Ip-Guard

• Firewall (statefull inspection)
• Firewall sui pacchetti in uscita
• Port Forwarding
• Server DHCP
• NAT
• Intrusion Detection System
• Time Server
• Gestione DNS dimanico
• Proxy Web con autenticazione
• Filtraggio delle URL e dei contenuti
• Restrizioni sulla navigazione in base all'orario
• Grafici sul sistema, sulla rete e sulle operazioni degli utenti
• Gestione VPN
• Amministrazione semplice e sicura tramite interfaccia web in HTPS
• Gestione connessioni in Dial-Up con modem o ADSL
• Supporto per reti DMZ
• Restrizione e messa in sicurezza di reti Wireless
• Aggiornamenti da remoto
• Assistenza tecnica da remoto
• Controllo avanzato sui log di sistema
• Blocco dei programmi di P2P

Dettaglio tecnico:
Sistema firewall
Il sistema firewall di WEB PRATO Ip-Guard offre una protezione dalle intrusioni provenienti dall'esterno (rete internet) ed è anche in grado di filtrare i pacchetti in uscita dalla rete LAN. Il sistema nella sua installazione di default offre già una configurazione sicura, infatti tutti i pacchetti provenienti dall'esterno sono bloccati. Tramite l'interfaccia di gestione è possibile aprire della specifiche porte per determinate sorgenti, oppure effettuare un port forwarding per accedere a dei conentuti all'interno della rete LAN (es. web o mail server). Il firewall sui pacchetti in uscita può limitare l'accesso dei PC a certe risorse internet (siti web, sistemi di messaggistica, servizi come SSH, FTP, SMTP etc) non fidate.

Suddivisione della rete
WEB PRATO Ip-Guard suddivide la rete in ben 4 tronconi. Ognuno di questi segmenti è pensato per ospitare una determinata tipologia di PC client o Server.

Segmento Rosso: è la parte connessa verso internet (tramite un modem o un router), quella ritenuta più a rischio e sulla quale si concentrano i maggiori controlli e restrizioni.

Segmento Verde: è la parte della LAN dove operano i PC client ritenuti affidabili.

Segmento Arancio: è la DMZ, dove verranno posizionati i server che offrono servizi all'esterno. . In caso di compromissione di una macchina all'interno di questa rete gli attaccanti troveranno delle difficoltà a raggiungere altre porzioni della rete LAN.

Segmento Blu: è quello riservato alla Wireless Lan (Wi-Fi) o ad una seconda rete interna. Qui i Client per poter uscire devono essere esplicitamente autorizzati dall'amministratore. La restrizione avviene in base all'indirizzo Ip ed al MAC address del dispositivo.

Ognuno di questi segmenti ha una sua porta Ethernet dedicata sul BOX, così da suddividere fisicamente le varie reti. Per un attaccante che riuscisse ad entrare in una porzione di rete, sarebbe molto più difficile accedere alla rete adiacente.

La versione base dispone di 3 connettori di rete e non può operare contemporaneamente su 4 segmenti (è necessario scegliere se attivare il segmento BLU o ARANCIO. Solo la versione con modulo ADSL integrato può disporre della modalità BLU + ARANCIO in contemporanea. Gestione LAN Ip-Guard semplifica e centralizza la gestione della rete. Integra infatti un server DHCP ampiamente configurabile, per l'assegnazione dinamica (o statica in base al MAC Address) degli indirizzi IP, attivabile sui singoli segmenti di rete. Offre funzionalità di NAT per permettere a tutti i PC della rete LAN di navigare contemporaneamente con un unica connessione ad internet. E' presente anche il servizio di risoluzione dei nomi DNS. Un server DNS, di cache, interno alla propria rete LAN può far aumentare di molto la velocità di connessione a determinate risorse. Il sistema offre anche una semplice gestione per i nomi da assegnare a tutti gli apparati della rete (PC, Server, Stampanti, etc..). E' presente anche la funzionalità di Time Server (NTP) per allineare l'ora di tutti i dispositivi di rete. Infine è possibile sfruttare le funzionalità offerte dai servizi di DNS dinamici, come no-ip.com, dyndns.org ed altri, per poter essere sempre raggiungibile tramite un nome univoco anche se la nostra connessione ad internet non ci fornisce un indirizzo IP statico.
Proxy Web
Ip-Guard utilizza un proxy server per le funzionalità di caching dei siti internet. Il proxy può essere abilitato solo su certi segmenti della rete ed essere impostato in modalità trasparente. senza dover configurare i client uno ad uno. E' possibile configurare un proxy di secondo livello, impostare le varie opzioni sulla cache e molte restrizioni per gli accessi alla rete, in particolare è possibile:

• permettere l'accesso al proxy a certe subnet
• bloccare l'accesso al proxy a determinati indirizzi IP
• bloccare l'accesso al proxy a determinati MAC Address
• limitare l'orario della navigazione
• limitare la velocità di navigazione e di download
• limitare il download in base ai contenuti (MIME)
• limitare la grandezza massima di download ed upload
• abilitare solo certi browser alla navigazione
• escludere determinati indirizzi IP dalle limitazioni sopra presentate
• escludere determinati MAC Address dalle limitazioni sopra presentate

Il proxy web di Ip-Guard permette anche di autenticare gli utenti appoggiandosi a diversi sistemi interni o esterni. L'autenticazione permette di tracciare in dettaglio le attività degli utenti. Ogni utente all'apertura del browser è invitato ad inserire le proprie credenziali per accedere al web.

Ecco i metodi di autenticazione disponibili in WEB PRATO Ip-Guard:

• Autenticazione locale
  vengono creati degli utenti localmente, suddivisibili anche per gruppi. Non è richiesto un sistema di memorizzazione degli account esterno. E' inoltre previsto un sistema per permettere agli utenti di cambiare la propria password,anche in base ad una lunghezza minima, in autonomia come richiesto dalla legge 196/2003 in materia di privacy e protezione dei dati personali.
• Autenticazione tramite LDAP
  WEB PRATO Ip-Guard è in grado di appoggiarsi ad un server LDAP esterno per autenticare gli utenti. I tipi di server LDAP supportati sono:
  • OpenLDAP (LDAP v.2 e LDAP v.3)
  • Active Directory di Microsoft
  • Novel eDirectory
• Autenticazione tramite Windows Server
  E' possibile autenticare gli utenti tramite un Dominio Windows andando a prendere i dati da un PDC (o un BDC) Microsoft Windows Server. E' possibile impostare un controllo sugli utenti ammessi e non alla navigazione. Inoltre è possibile far utilizzare come credenziali per l'autenticazione direttamente i dati immessi dall'utente al login del client Windows.
• Autenticazione tramite server RADIUS
  Ip-Guard può andare a verificare le credenziali immesse da un utente su un server RADIUS remoto. Anche qui sono possibili dei controlli sugli utenti ammessi e non alla navigazione.

Filtraggio delle URL e Web Content Filter
WEB PRATO Ip-Guard offre un potente filtro per limitare la navigazione degli utenti verso certi siti web o verso i loro contenuti. E' infatti presente sul sistema un database, aggiornabile automaticamente, dei siti con contenuti non accettabili in determinati ambienti (siano di lavoro o in ambito familiare). Le categorie disponibili vanno dai siti pornografici, ai siti warez, siti con immagini violente ed altro. E' inoltre possibile creare delle proprie blacklist personalizzate, oppure della whitelist per permettere l'accesso a determinati siti bloccati da altre categorie. E' possibile specificare dei contenuti (Immagini, Audio, Video, Archivi compressi, etc...) da bloccare creando delle espressioni regolari ad-hoc. Il blocco è attivabile per certe categorie, in base al nome utente, alla fascia oraria, o ad un limite sulla durata massima della navigazione. E' inoltre possibile attivare un archivio di file locali, tutte le richieste di download per i file con quel determinato nome offriranno il file dall'archivio locale anziché scaricarlo dal sito internet. Blocco programmi P2P Questa funzionalità permette di inibire la maggior parte dei client per il File Sharing, o P2P. E' infatti in grado di riconoscere i pacchetti in transito come appartenenti a questo tipo di applicazioni e negare loro l'accesso alla rete. Il sistema si aggiorna in modo automatico costantemente per stare al passo con l'evoluzione di queste reti. Tutte le attività sono registate in modo da intercettare eventuali tentativi di accesso a questi Network.
WEB PRATO Ip-Guard è in grado di intercettare e bloccare i seguenti software/reti di scambio file:

• Kazaa
• Emule
• WinMX
• BitTorrent
• AppleJuice
• MLDonkey
• WarezClient
• Edonkey
• Fasttrack
• Freenet
• Gnucleuslan
• Gnuttela
• Mute
• DirectConnect
• Ares
• SoulSeek

Intrusion Detection System (IDS)
WEB PRATO Ip-Guard grazie è in grado di rilevare e segnalare i tentativi di intrusione al sistema. Il sistema di rilevamento delle intrusioni si basa su un database di attacchi conosciuti e presenta un dettagliato report all'amministratore di sistema che sarà poi in grado di valutare il reale pericolo. Il sensore può essere attivato sui singoli segmenti di rete al fine di rilevare attacchi provenienti sia dall'esterno che dall'interno. Ip-Guard utilizza SNORT come IDS, blasonato software open source considerato come lo standard degli Intrusion Detection System.

VPN
Ip-Guard permette la creazione di virtual private network, grazie al supporto integrato IPSec, in assoluta semplicità e sicurezza. Al di fuori della nostra rete non possiamo sapere quale percorso seguono i nostri dati nella rete Internet, inoltre tutte le comunicazione tra noi ed altri host o server passano in chiaro, i nostri dati potrebbero essere intercettati e letti da chiunque. Una VPN crea un canale protetto (tunnel criptato) tra due o più punti remoti della rete internet. Sarà così possibile collegarsi alla propria rete locale da una qualsiasi postazione internet in tutta sicurezza, oppure collegare più reti aziendali di sedi diverse distaccate. Sarà possibile accedere alle risorse di rete in tutta sicurezza, accedere ai Desktop per lavoro o per assistenza remote tramite connessione criptata.

Monitoraggio del sistema (Log, Report, Grafici)
WEB PRATO Ip-Guard offre una reportistica molto dettagliata su tutti gli eventi che interessano il sistema, su tutti i pacchetti in transito attraverso le sue interfacce di rete e sulle operazione effettuate dai client e dagli utenti a lui collegati. Questi dati sono mantenuti e archiviati sul sistema per un numero di giorni da voi determinato, anche in base alla configurazione del sistema scelta. In ogni momento è possibile sapere a colpo d'occhio lo stato di salute del sistema:

• Grafici sullo stato del sistema (CPU, Memoria, Acessi al disco)
• Grafici sulla rete (traffico in ingresso e uscita sulle singole interfacce di rete)
• Connection Tracking (Ip sorgente, Ip destinazione, porta origine-destinazione, protocollo, stato, scadenza)
• Attività del firewall (connessioni tracciate e bloccate)

Aggiornamenti
Gli aggiornamenti sono rilasciati direttamente da WEB PRATO agli utenti di Ip-Guard tramite sottoscrizione annuale. Il sistema Ip-Guard si connette periodicamente al server WEB PRATO per controllare la presenza di nuove versioni del firmware installato. Se disponibili nuove versioni viene avvisato l'amministratore del sistema che può procedere al loro download ed installazione.

Modulo ADSL ------NEW -------
Ip-Guard può integrare anche le funzionalità di Router ADSL per connettersi alla vostra linea ADSL sostituendo il vostro router. Ip-Guard è in grado di replicare tutte le funzionalità di un router facendovi risparmiare sull'acquisto di quest'ultimo. Dal pannello di controllo è possibile configurare tutte le opzioni della parte ADSL. Con il modulo ADSL è possibile collegare il cavo ADSL direttamente a Ip-Guard. Backup della connessione (OPZIONALE) ------NEW ------- IP-Guard è in grado di offrirvi il servizio di "backup della connessione internet". Cosa significa? In caso di guasto della linea ADSL, Ip-Guard è in grado di utilizzare una linea ISDN o PSTN (analogica) per fornirvi una connessione ad internet in maniera del tutto trasparente per i vostri utenti. Tramite l'interfaccia grafica è infatti possibilie attivare la linea di backup in caso di necessità. In questo modo la vostra rete potrà continuare a navigare in internet fino al completo ripristino della linea ADSL da parte del vostro operatore. La navigazione in modalità di backup è soggetta a delle limitazione ed è attivabile previa verifica tecnica dei vostri apparati e delle linee telefoniche di cui disponete. Backup e ripristino configurazione IP-Guard è dotato di uno strumento di backup che consente di salvare, e scaricare su un PC locale, l'attuale configurazione e le impostazioni software del sistema. I file di configurazione possono poi essere ripristinati in qualsiasi momento. E' possibile richiedere una seconda Flash-Card da sostituire nel caso in cui la prima si dovesse guastare, il sistema dovesse essere compromesso, o non fosse più possibile avviarlo.

Hardware
Ip-Guard è installato su un sistema dedicato e studiato appositamente per le funzionalità che deve svolgere. I dati sono mantenuti in una memoria Flash-Card da 50 pin (disponibile in varie dimensioni da 128Mb a 1Gb) le cui dimensioni possono variare a seconda della quantità di log che si vuole mantenere nel tempo. Il sistema è dotato di una memoria RAM di 64Mb o 128Mb. La CPU è disponibile anche in versione FanLess (senza ventole per il raffreddamento). Un sistema FanLess e senza HadrDisk è meno soggetto a guasti, soprattutto di natura meccanica, per il semplice fatto che non sono presenti dispositivi meccanici al suo interno. Di seguito sono riportati i dettagli tecnici dell'hardware:

Caratteristiche Case:

1. Dimensioni: 48.5 mm H, 234 mm W, 175 mm D
2. Materiale: Aluminium + Plastic (Out-Side Cover)
3. Colore: Blue/Silver
4. Peso: 1 Kgs (Include M/B)
5. Spie LED: Power/Network/HDD

Caratteristiche CPU:

1. VIA C3 800MHz
2. VIA Eden 400MHz (in versione FanLess)

Altre caratteristiche:

1. Integrated graphics controller with VT8601A Trident VGA
2. 12V DC-IN (Alimentatore incluso)
3. 12V / 2.5A di consumo

Principali componenti software
WEB PRATO Ip-Guard si basa completamente su software open-source opportunamente adattato allo scopo da WEB PRATO, di seguito sono elencate le principali componenti del sistema:

1. Sistema operativo BusyBox
2. Kernel Linux v. 2.4.xx
3. IpTables v. 1.2.xx
4. OpenSWAN 1.0.9
5. quid 2.5.xx
6. OpenSSH
7. NTP 4.2.x