Zasady filtracji ruchu sieciowego firewall są definiowane w postaci
A. kontroli pasma zajętości.
B. serwisów.
C. plików CLI.
D. reguł.
Pytanie z egzaminu CKE, czerwiec 2014 (arkusz E.13-X-14.05).
Zasady filtracji ruchu sieciowego w firewallu definiuje się w postaci reguł, czyli wpisów określających, jaki ruch ma zostać przepuszczony, zablokowany, odrzucony albo dodatkowo zalogowany. Taka reguła zwykle opisuje źródłowy adres IP, docelowy adres IP, protokół, port, interfejs, kierunek ruchu oraz akcję, np. allow, deny albo drop. W praktyce wygląda to tak: ruch z sieci LAN do serwera WWW na porcie 443 może być dozwolony, ale połączenia z Internetu do usługi administracyjnej SSH powinny być zablokowane albo ograniczone tylko do wybranych adresów. Moim zdaniem to jedna z najważniejszych rzeczy przy konfiguracji zabezpieczeń, bo nawet dobry firewall źle skonfigurowany daje słabą ochronę. Dobre praktyki branżowe mówią, żeby stosować zasadę najmniejszych uprawnień, czyli zezwalać tylko na to, co jest potrzebne, a resztę blokować regułą domyślną deny all. Ważna jest też kolejność reguł, bo wiele firewalli analizuje je od góry do dołu i stosuje pierwsze pasujące dopasowanie. W administracji siecią warto też opisywać reguły komentarzami, prowadzić dokumentację zmian i regularnie usuwać stare wyjątki, bo po czasie robi się z tego niezły bałagan.
W firewallu nie definiuje się zasad filtracji jako plików CLI, serwisów ani kontroli pasma zajętości, chociaż te pojęcia mogą się pojawiać obok konfiguracji zabezpieczeń. Pliki CLI albo konfiguracja wpisywana z wiersza poleceń są tylko sposobem zarządzania urządzeniem lub systemem. Administrator może użyć terminala, konsoli tekstowej, panelu WWW albo API, ale to nadal nie zmienia faktu, że właściwą jednostką logiki filtrującej jest reguła. Częsty błąd polega na pomyleniu narzędzia konfiguracji z tym, co faktycznie jest konfigurowane.
Serwisy też nie są zasadami filtracji jako takimi. W wielu firewallach serwis oznacza gotową definicję protokołu i portu, na przykład HTTP dla TCP/80, HTTPS dla TCP/443 albo DNS dla UDP/53. Taki serwis może być elementem reguły, ale sam nie mówi jeszcze, czy ruch ma być dozwolony, zablokowany, z której sieci do której ma iść oraz w jakim kierunku. To trochę jak składnik przepisu, a nie cały przepis.
Kontrola pasma zajętości dotyczy raczej QoS, traffic shapingu albo limitowania przepustowości. Nowoczesne zapory, szczególnie UTM i NGFW, potrafią łączyć filtrowanie z ograniczaniem transferu, ale to nadal inna funkcja niż klasyczna decyzja permit lub deny. Dobre podejście administracyjne polega na rozdzielaniu tych pojęć: reguły firewall odpowiadają za bezpieczeństwo i kontrolę dostępu, a mechanizmy pasma za wydajność oraz priorytety ruchu. Z mojego doświadczenia takie rozróżnienie bardzo pomaga przy diagnozowaniu problemów, bo łatwiej znaleźć, czy pakiet został zablokowany, czy tylko spowolniony.
Serwisy też nie są zasadami filtracji jako takimi. W wielu firewallach serwis oznacza gotową definicję protokołu i portu, na przykład HTTP dla TCP/80, HTTPS dla TCP/443 albo DNS dla UDP/53. Taki serwis może być elementem reguły, ale sam nie mówi jeszcze, czy ruch ma być dozwolony, zablokowany, z której sieci do której ma iść oraz w jakim kierunku. To trochę jak składnik przepisu, a nie cały przepis.
Kontrola pasma zajętości dotyczy raczej QoS, traffic shapingu albo limitowania przepustowości. Nowoczesne zapory, szczególnie UTM i NGFW, potrafią łączyć filtrowanie z ograniczaniem transferu, ale to nadal inna funkcja niż klasyczna decyzja permit lub deny. Dobre podejście administracyjne polega na rozdzielaniu tych pojęć: reguły firewall odpowiadają za bezpieczeństwo i kontrolę dostępu, a mechanizmy pasma za wydajność oraz priorytety ruchu. Z mojego doświadczenia takie rozróżnienie bardzo pomaga przy diagnozowaniu problemów, bo łatwiej znaleźć, czy pakiet został zablokowany, czy tylko spowolniony.