Kwalifikacja: INF.06 - Montaż i eksploatacja szerokopasmowych sieci kablowych pozabudynkowych

W tym pytaniu łatwo się złapać na skojarzenie, że skoro firewall „widzi cały pakiet”, to na pewno patrzy na wszystko, w tym na adres fizyczny nadawcy. W praktyce jednak klasyczna zapora sieciowa działa głównie na poziomie warstwy sieciowej i transportowej, czyli interesuje ją to, co jest w nagłówku IP oraz TCP/UDP. Dlatego adres IP nadawcy i adres IP odbiorcy są dla niej kluczowe – na ich podstawie powstają podstawowe reguły typu: zezwól ruch z tej podsieci do Internetu, zablokuj ruch z zewnętrznej sieci do serwera baz danych i tak dalej. To jest absolutna podstawa polityk bezpieczeństwa w większości firmowych sieci. Podobnie z portami nadawcy i odbiorcy. Port docelowy w połączeniu z protokołem (np. TCP 80, TCP 443, UDP 53) w praktyce oznacza konkretną usługę: HTTP, HTTPS, DNS itd. Firewall wykorzystuje to do filtrowania usług, np. blokowania serwerów pocztowych, otwierania tylko niezbędnych portów do panelu administracyjnego czy ograniczania dostępu do serwerów aplikacyjnych. Port źródłowy też bywa analizowany, chociaż częściej jest losowy, ale nadal jest elementem pięciotki: źródłowy IP, docelowy IP, źródłowy port, docelowy port, protokół. Typowy błąd myślowy polega na mieszaniu roli firewalla i przełącznika. Adres fizyczny (MAC) jest używany w warstwie 2, czyli na poziomie sieci lokalnej. Tam przełączniki decydują, na który port wysłać ramkę na podstawie tablicy MAC. Router, a wraz z nim firewall działający na brzegu, operuje już na adresach IP, a adresy MAC są zmieniane przy każdym „skoku” między segmentami sieci. Z tego powodu zapora, która filtruje ruch między siecią LAN a Internetem, nie ma stabilnej informacji o adresie MAC nadawcy w całej ścieżce, więc nie bazuje na tym przy analizie i podejmowaniu decyzji. Moim zdaniem warto zapamiętać prostą zasadę: jeśli myślisz o regułach w stylu „blokuj ten adres IP” albo „otwórz port 443 do serwera WWW”, to jesteś w świecie firewalla. Jeśli myślisz o wiązaniu adresu MAC do konkretnego portu fizycznego, ochronie przed podłączeniem nieautoryzowanego komputera do gniazdka, to jesteś raczej w świecie przełączników i zabezpieczeń warstwy 2. Adres IP nadawcy, adres IP odbiorcy oraz porty są więc absolutnie brane pod uwagę przez zaporę sieciową, a właśnie adres fizyczny nadawcy jest tym elementem, który w typowych implementacjach filtracji pakietów nie odgrywa roli w regułach firewalla.