Firewall: faccio riferimento ad un punto preciso per avere un esempio
Quando scriviamo le regole, il traffico è entrante o uscente rispetto all'organizzazione. Tuttavia, se il mio punto di riferimento è l'organizzazione che chiamiamo A, per semplicità, e se A riceve una mail, A è dst (traffico entrante), quindi nessun dubbio su port-dst=25. Quando A invia una mail verso l'esterno, come posso sostenere che port-src=25 se non posso sapere qual è il numero di porta locale? Io avrei scritto port-dst=25, mantenendo IP-src=IP-MS (dell'organizzazione A). In sostanza, il mio problema è con i punti di riferimento, che mi porterebbero a scrivere cose diverse, lasciando spazio a potenziali scenari di errore (molto pericolosi).
I commenti alle regole di firewall non sono indispensabili. Possono essere utili per chi svolge l'esercizio. Possono essere utili per chi lo deve correggere. Non sono indispensabili, ripeto. Se creano confusione, uno non li mette.
Ciò premesso, la frase "se A riceve una mail, A è dst (traffico entrante)," è sbagliata. Quindi le deduzioni successive confondono e basta.
1) Quando una organizzazione RICEVE un email occorre una connessione in cui il traffico scorre in DUE direzioni. Necessariamente, di queste due direzioni una sarà entrante (nell'organizzazione) ed una sarà uscente (dall'organizzazione).
2) Quando una organizzazione INVIA un email occorre una connessione in cui il traffico scorre in DUE direzioni. Necessariamente, di queste due direzioni una sarà entrante (nell'organizzazione) ed una sarà uscente (dall'organizzazione).
3) Quando un name server interno ad una organizzazione deve fare una risoluzione ricorsiva (traffico DNS uscente o traffico DNS client), occorrono più connessioni; all'interno di ognuna di queste il traffico scorre in DUE direzioni. Necessariamente, di queste due direzioni una sarà entrante (nell'organizzazione) ed una sarà uscente (dall'organizzazione).
4) Quando ad un name server interno ad una organizzazione arrivano richieste di risoluzione nomi dall'esterno (traffico DNS entrante o traffico DNS client), occorrono più connessioni; all'interno di ognuna di queste il traffico scorre in DUE direzioni. Necessariamente, di queste due direzioni una sarà entrante (nell'organizzazione) ed una sarà uscente (dall'organizzazione).
E' ovvio, credo, che queste affermazioni non possono (e non devono) essere imparate a memoria, perché è impossibile.
Inoltre, queste affermazioni non esauriscono lo scenario di tutte le possibilità che possono esistere.
Spero che espresso in questo modo sia chiaro, non so in quale altro modo spiegarlo. Ma se così non fosse chiedete.
