Налаштування міжмережевого екрана

Коротко: Конфігурація міжмережевого екрана (файрвола) складається з правил, що визначають, який мережевий трафік дозволений чи блокується. Вирішальне значення мають напрямок, протокол, порт, адреса і правило за замовчуванням (заборонити все, що не дозволено).

Докладніше: Міжмережевий екран перевіряє кожен пакет за списком правил по порядку. Вирішує перше відповідне правило (дозволити, відкинути, відхилити). Хороша конфігурація лаконічна, зрозуміла й дотримується принципу найменших привілеїв.

Подробиці

Основні принципи:

• Заборона за замовчуванням (default deny): блокуйте все вхідне, відкривайте лише явно потрібне. Вихідне обмежуйте залежно від середовища.
• З відстеженням стану (stateful): відповіді на власні з’єднання дозволяються автоматично.
• Порядок важливий: конкретні правила перед загальними. Останнє правило: «заборонити все».
• Мінімалізм: у кожного правила є причина, воно задокументоване й регулярно переглядається.

Складники правила: джерело (IP/мережа), призначення, протокол (TCP/UDP/ICMP), порт, напрямок, дія, журналювання.

Приклади:

Брандмауер Захисника Windows (PowerShell):

New-NetFirewallRule -DisplayName "Allow HTTPS" -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow
Get-NetFirewallRule | Where Enabled -eq True

Linux (ufw):

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp          # SSH
sudo ufw allow from 192.168.1.0/24 to any port 3306   # MySQL лише з локальної мережі
sudo ufw enable
sudo ufw status verbose

Linux (nftables, уривок):

table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;
    ct state established,related accept
    iif lo accept
    tcp dport { 22, 443 } accept
  }
}

Типові завдання налаштування:

• Проброс портів (NAT/DNAT) на маршрутизаторі для внутрішніх серверів.
• DMZ: публічні сервери в окремій мережі.
• Сегментація: розділення гостьової, офісної та серверної мереж.
• Гео-/репутаційні фільтри, обмеження частоти проти перебору, контроль застосунків.
• Журналювання й сповіщення, аналіз журналів.

Типові помилки:

• Надто відкриті правила («any any allow»).
• Старі правила, про які ніхто не пам’ятає.
• Служби, доступні з інтернету без потреби (RDP 3389, бази даних).
• Немає тестів: після змін перевіряйте ззовні за допомогою nmap або telnet host port.
• Міжмережевий екран без оновлень прошивки.
• Покладатися лише на міжмережевий екран. Він не замінює оновлення, паролі й шифрування.

Порядок дій: зібрати вимоги → спроєктувати правила → перевірити в тестовому середовищі → розгорнути із запасним планом → задокументувати → регулярно переглядати.

Див. також: Міжмережевий екран (firewall), NAT (трансляція мережевих адрес), Міжмережевий екран вебзастосунків (WAF)