Che cos'è un firewall? Regole, porte e accesso alla rete

Un firewall consente o blocca il traffico di rete in base a delle regole. Può funzionare su un computer, su un router domestico o al confine di una rete cloud. Le regole controllano l'accesso alle connessioni, ma non rendono automaticamente sicura un'applicazione a cui il traffico è consentito.

Come funzionano le regole del firewall

Una regola può tenere conto della direzione della connessione, degli indirizzi, del protocollo, della porta e talvolta dell'applicazione. Un router domestico di solito limita il traffico in entrata non richiesto, mentre il firewall del sistema operativo controlla il traffico che raggiunge il dispositivo stesso. I firewall con ispezione dello stato (stateful) possono lasciar passare le risposte alle connessioni in uscita già stabilite senza aprire ogni porta in entrata.

Il traffico può attraversare più livelli. Un security group nel cloud può consentire una porta che il firewall dell'host invece blocca. Anche una regola di autorizzazione locale può non servire a nulla se il router non inoltra la porta o se il provider Internet usa il carrier-grade NAT. Prima di fare modifiche di ampia portata, individua ciascun livello.

Perché un servizio è irraggiungibile

Per prima cosa verifica che l'applicazione sia in esecuzione e in ascolto sul protocollo, sulla porta e sull'indirizzo di rete previsti. Un servizio collegato solo all'interfaccia di loopback è disponibile in locale, ma non dall'esterno. Poi esamina la regola sull'host, l'inoltro sul router e le eventuali restrizioni del provider. Un test esterno delle porte mostra la raggiungibilità dal proprio punto di osservazione, ma non può indicare l'unica causa del problema.

Distingui tra connessione rifiutata, timeout ed errore a livello di applicazione: suggeriscono punti di guasto diversi, anche se i filtri possono confonderli. Esegui il test da una rete davvero separata, perché alcuni router gestiscono le connessioni verso il proprio indirizzo pubblico in modo diverso dal traffico esterno. Per controllare la raggiungibilità dall'esterno della tua rete usa lo strumento Verifica porte aperte di 2IP; se la porta risulta chiusa, controlla comunque firewall locale, NAT e processo in ascolto.

Modificare le regole in modo più sicuro

Consenti solo l'accesso di cui il servizio ha bisogno, se possibile da un numero limitato di indirizzi di origine. Mantieni aggiornato il servizio e richiedi un'autenticazione adeguata. Documenta il motivo per cui esiste una regola ed eliminala quando il servizio viene dismesso. Bloccare tutte le connessioni in uscita può impedire gli aggiornamenti o il DNS, quindi prima di applicare una regola cerca di capire da che cosa dipende il sistema.

Un firewall non protegge dal phishing, dai download pericolosi o dallo sfruttamento di un servizio consentito. Va usato insieme ad aggiornamenti, backup e sicurezza degli account. Dopo ogni modifica verifica sia che la connessione necessaria funzioni sia che non ci siano esposizioni involontarie.

Per IPv6, controlla l'indirizzo effettivo dell'interfaccia e la politica del firewall, invece di presumere che valgano le regole NAT di IPv4. Un'applicazione può essere in ascolto su una famiglia di indirizzi mentre il client prova a usare l'altra.

ICMP non è solo ping

ICMP trasporta i messaggi Echo, ma anche informazioni di controllo e di errore usate dagli strumenti diagnostici e da meccanismi come il Path MTU Discovery. Bloccarlo indiscriminatamente può causare guasti difficili da individuare. Per approfondire, leggi le guide su ICMP e sull'MTU.