Настройка межсетевого экрана

Коротко: Конфигурация межсетевого экрана (файрвола) состоит из правил, определяющих, какой сетевой трафик разрешён или блокируется. Решающее значение имеют направление, протокол, порт, адрес и правило по умолчанию (запретить всё, что не разрешено).

Подробнее: Межсетевой экран проверяет каждый пакет по списку правил по порядку. Решает первое подходящее правило (разрешить, отбросить, отклонить). Хорошая конфигурация лаконична, понятна и следует принципу наименьших привилегий.

Подробности

Основные принципы:

• Запрет по умолчанию (default deny): блокируйте всё входящее, открывайте только явно необходимое. Исходящее ограничивайте в зависимости от среды.
• С отслеживанием состояния (stateful): ответы на собственные соединения разрешаются автоматически.
• Порядок важен: конкретные правила перед общими. Последнее правило: «запретить всё».
• Минимализм: у каждого правила есть причина, оно документировано и регулярно пересматривается.

Составляющие правила: источник (IP/сеть), назначение, протокол (TCP/UDP/ICMP), порт, направление, действие, журналирование.

Примеры:

Брандмауэр Защитника Windows (PowerShell):

New-NetFirewallRule -DisplayName "Allow HTTPS" -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow
Get-NetFirewallRule | Where Enabled -eq True

Linux (ufw):

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp          # SSH
sudo ufw allow from 192.168.1.0/24 to any port 3306   # MySQL только из локальной сети
sudo ufw enable
sudo ufw status verbose

Linux (nftables, фрагмент):

table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;
    ct state established,related accept
    iif lo accept
    tcp dport { 22, 443 } accept
  }
}

Типичные задачи настройки:

• Проброс портов (NAT/DNAT) на маршрутизаторе для внутренних серверов.
• DMZ: публичные серверы в отдельной сети.
• Сегментация: разделение гостевой, офисной и серверной сетей.
• Гео-/репутационные фильтры, ограничение частоты против перебора, контроль приложений.
• Журналирование и оповещения, анализ журналов.

Типичные ошибки:

• Слишком открытые правила («any any allow»).
• Старые правила, о которых никто не помнит.
• Службы, доступные из интернета без необходимости (RDP 3389, базы данных).
• Нет тестов: после изменений проверяйте снаружи с помощью nmap или telnet host port.
• Межсетевой экран без обновлений прошивки.
• Полагаться только на межсетевой экран. Он не заменяет обновления, пароли и шифрование.

Порядок действий: собрать требования → спроектировать правила → проверить в тестовой среде → развернуть с запасным планом → задокументировать → регулярно пересматривать.

См. также: Межсетевой экран (firewall), NAT (трансляция сетевых адресов), Межсетевой экран веб-приложений (WAF)