Provetta 2 2017/2018: Errori

(post costruito in modo incrementale; i nuovi errori saranno aggiunti in coda alla lista)

1. Le regole di firewall per il proxy devono comprendere una coppia per il traffico DNS. In questa coppia le componenti da vincolare sono 3: indirizzo IP del proxy, indirizzo IP del name server, numero di porta del name server. Omettere uno dei due indirizzi IP non è gravissimo ma è un errore: significa avere regole più permissive del necessario. (Ovviamente qui si assume che i nodi conoscano già l'indirizzo IP-MS, altrimenti le componenti da vincolare sono solo 2: Iindirizzo IP del name server, numero di porta del name server).
2. Nella tabella di routing di RX, l'azione con range "altrimenti" non può avere come azione "DIRECT UP". Questa azione significherebbe che ogni indirizzo IP non descritto dalle regole precedenti è direttamente accessibile dalla interfaccia UP, cioè è possibile inviare un frame al destinatario (cosa che ovviamente non ha senso).
   
3. Il firewall su RA deve avere UNA coppia per SMTP, quella per collegarsi da client con il mail server. Mettere anche la coppia di regole che permetta al mail server di collegarsi da client verso un altro mail server non ha senso, perché quella tipologia di traffico non passa da RA.E' possibile che questo errore sia stato indotto dal testo del compito "gli utenti devono potere inviare e ricevere email". Se è così allora ciò è un'aggravante. Infatti, per "ricevere email" occorre che dall'esterno sia possibile inserire email nella mailbox; questo requisito non ha nulla a che vedere con RA (ce l'ha con RX).
4. Abbiamo visto come usare ICMP per fare traceroute e ping. Quindi per raccogliere informazioni su host che si trovano in network diverse dalla network di chi esegue traceroute e ping. Come si può pensare che ICMP sia il protocollo trasportato da un frame???? Questo significherebbe che chi esegue traceroute e ping può comunicare solo con i nodi della propria network. Il frame deve trasportare IP.
5. Quando il proxy si trova su N1 ha un indirizzo privato. Non si parla esplicitamente di NAT quindi il proxy su N1 non permette la navigazione su web. Non ho considerato questo errore come grave: ho tenuto conto dello svolgimento complessivo per vedere se si tratta di una svista o di altro. E ho considerato corretti gli svolgimenti in cui è scritto esplicitamente "assumo un NAT in frontiera".
6. Se lo header IP è crittato, come caspita fanno i router a instradare il pacchetto???
7. "se l'utente username2 fosse connesso su POP TLS, la modifica del contenuto di mx farebbe cadere la connessione". Primo, bisogna leggere il testo: la modifica del contenuto di mx avviene prima del prelievo della mailbox. Quindi quella frase non risponde alla domanda (risponde ad una domanda diversa). Secondo, non è corretto, almeno se interpretato alla lettera: la connessione può cadere o meno a seconda di dove opera l'attaccante; se modifica mx alterando il contenuto della mailbox allora la connessione non cade.
8. Se il testo scrive di non mettere i pacchetti usati per aprire la connessione TCP (proprio perché non sono parte del corso) allora che senso ha mettere 1 pacchetto per l'apertura della connessione? Primo, significa non avere letto il testo. Secondo, significa avere tirato ad indovinare o non conoscere quale sia il programma del corso. Terzo, è sbagliato (per aprire una connessione occorre una sequenza di 3 pacchetti).
9. Che senso ha mettere nelle tabelle di routing una riga per AP1 e una riga per AP2? ad un access point è associato un network number??? inoltre, i nodi nella cella di AP2 (AP2) non possono inviare frame verso nodi collegati a SW1 (SW2)???
10. Le regole di firewall per il proxy sono due coppie: una per traffico http uscente originato dal proxy; una per traffico dns uscente, verso il solo NSB, originato dal proxy. Che senso ha aggiungere una terza coppia in cui un generico server web esterno si collega verso la porta 8080 del proxy??? la porta 8080 viene usata, se viene usata, dai client interni all'organizzazione, quelli che devono usare il proxy per navigare. Non da client esterni. E soprattutto non da server web esterni.
11. TLS non scarta nessun email. Il traffico tra server e client non è alterato, quindi c'è integrità.
12. Vorrei capire quale sia il senso di inviare una richiesta ARP per ottenere l'indirizzo Ethernet di un nodo che si trova in un'altra organizzazione. Indirizzo Ethernet che una volta ottenuto (con una risposta ARP il cui contenuto non può che essere stato creato dal mittente grazie alla telepatia) non viene usato. Proprio non riesco a capirne la logica.
    
    Inoltre, se il testo dice di "indicare i network number e gli indirizzi IP dei router in un formato simbolico indicato chiaramente su questo foglio" e si consegna un foglio senza nessun tipo di indicazione;
    
    Inoltre, se il testo dice "si assuma che sia da permettere anche la navigazione web attraverso un proxy; se ciò è possibile allora descrivere le eventuali modifiche da apportare alle regole di firewall" e si risponde "non è possibile in quanto non è nelle regole di firewall",
    
    Allora cosa deve dedurre chi legge il compito? Che non c'è stato tempo a sufficienza per svolgere il compito?
13. La presenza del proxy è del tutto irrilevante rispetto al traffico POP (su TLS o su TCP). Le connessioni POP non passano dal proxy. Com'è possibile fare ancora questo errore dopo avere superato la prima provetta in cui c'era esattamente la stessa situazione?
14. Ping è una cosa, traceroute è tutt'altra. Iniziare con TTL minimo ed aumentarlo progressivamente non c'entra nulla con ping. Inoltre, quale caspita di protocollo è MDCP? va bene che non si devono imparare le cose a memoria, ma tra MDCP e ICMP c'è una bella differenza (NB solo uno studente ha scritto MDCP invece di ICMP).
15. Il proxy deve accedere al name server. E' quindi necessario inserire le regole di firewall corrispondenti. Com'è possibile fare ancora questo errore dopo avere superato la prima provetta in cui c'era esattamente la stessa situazione?
16. "C2 (che ha indirizzo pubblico) invia un pacchetto a RB, RB vede che va instradato all'esterno, dovrebbe quindi uscire attraverso N1 che ha indirizzi IP privati e quindi non può uscire". Quindi un pacchetto con mittente e destinatario pubblici non può uscire perché è passato attraverso una network con network number privato??? Non è questo il significato degli indirizzi privati. Inoltre, un ragionamento di questo genere presuppone che un router decida come instradare un pacchetto in base al cammino che quel pacchetto ha seguito prima di arrivare al router. Non ha senso, anche perché il router non può sapere quale sia quel cammino.
    
    
17. C2 invia a C1, "poiché IP-1 è un indirizzo privato RB non è in grado di instradare il pacchetto ulteriormente". Quindi gli indirizzi privati si possono usare solo in una network e non in una internetwork? Non è RB che scarta i pacchetti con indirizzi privati, è RA.
18. Mi sfugge completamente la logica che porta a mettere nel firewall due coppie di regole in presenza di proxy, una coppia "se il proxy fa da client" e l'altra "se il proxy fa da server". Il proxy è un server nei confronti dei browser ed un client nei confronti di tutti i web server del mondo. Nel firewall ci vuole solo la prima di queste coppie, l'altra non ha il minimo senso.
19. Che messaggio POP è "US: username2, PSW:password2"? Una cosa è non ricordare a memoria ogni dettaglio, un'altra è inventarsi le cose completamente. Anche perché in POP username e password non viaggiano nello stesso messaggio, occorrono due messaggi separati.
20. Un gratuitous ARP è una richiesta ARP. Quindi specifica solo 3 elementi della quadrupla (con la particolarità che contiene 2 indirizzi IP identici). Non deve specificare tutti e 4 gli elementi, altrimenti non sarebbe una richiesta (e chi è configurato male quindi non sarebbe tenuto a rispondere)