Czym jest zapora sieciowa? Reguły, porty i dostęp do sieci

Zapora sieciowa (firewall) przepuszcza lub blokuje ruch sieciowy zgodnie z regułami. Może działać na komputerze, w domowym routerze lub na granicy sieci w chmurze. Reguły decydują o dostępie do połączeń, ale nie sprawiają automatycznie, że dopuszczona aplikacja jest bezpieczna.

Jak działają reguły zapory

Reguła może uwzględniać kierunek połączenia, adresy, protokół, port, a czasem także aplikację. Router domowy zwykle ogranicza niezamówiony ruch przychodzący, a zapora systemu operacyjnego kontroluje ruch docierający do samego urządzenia. Zapory śledzące stan połączeń mogą przepuszczać odpowiedzi na nawiązane połączenia wychodzące bez otwierania wszystkich portów przychodzących.

Ruch może przechodzić przez kilka warstw. Grupa zabezpieczeń w chmurze może dopuszczać port, który blokuje zapora hosta. Lokalna reguła zezwalająca może też nic nie dać, jeśli router nie przekierowuje portu albo dostawca internetu stosuje CGNAT. Zanim wprowadzisz szerokie zmiany, ustal, jakie warstwy występują po drodze.

Dlaczego usługa jest nieosiągalna

Najpierw sprawdź, czy aplikacja działa i nasłuchuje na oczekiwanym protokole, porcie i adresie sieciowym. Usługa powiązana tylko z interfejsem loopback jest dostępna lokalnie, ale nie z zewnątrz. Potem sprawdź regułę na hoście, przekierowanie w routerze i ograniczenia dostawcy. Zewnętrzny test portu pokaże osiągalność z jego punktu pomiarowego, ale nie wskaże jedynej przyczyny awarii.

Odróżniaj odrzucone połączenie, przekroczenie limitu czasu i błąd na poziomie aplikacji. Każde z nich wskazuje inne miejsce usterki, choć filtrowanie może to zamazywać. Testuj z naprawdę odrębnej sieci; niektóre routery inaczej obsługują połączenia do własnego adresu publicznego niż ruch z zewnątrz. Osiągalność spoza swojej sieci sprawdzisz za pomocą narzędzia 2IP „Sprawdź otwarte porty”; wynik „zamknięty” nadal wymaga sprawdzenia lokalnej zapory, NAT i nasłuchującego programu.

Bezpieczniejsza zmiana reguł

Zezwalaj tylko na dostęp potrzebny usłudze, a tam, gdzie to praktyczne, najlepiej z ograniczonej puli adresów źródłowych. Aktualizuj usługę i wymagaj odpowiedniego uwierzytelniania. Opisuj, po co istnieje dana reguła, i usuwaj ją, gdy usługa zostanie wycofana. Blokowanie wszystkich połączeń wychodzących może zepsuć aktualizacje lub DNS, więc zanim wprowadzisz regułę, poznaj zależności.

Zapora nie chroni przed phishingiem, niebezpiecznymi plikami do pobrania ani wykorzystaniem luki w dopuszczonej usłudze. Stosuj ją razem z aktualizacjami, kopiami zapasowymi i zabezpieczeniem kont. Po zmianie sprawdź zarówno wymagane połączenie, jak i to, czy nic nie zostało niezamierzenie wystawione na zewnątrz.

W przypadku IPv6 sprawdź rzeczywisty adres interfejsu i politykę zapory, zamiast zakładać, że obowiązują reguły NAT z IPv4. Aplikacja może nasłuchiwać w jednej rodzinie adresów, podczas gdy klient próbuje połączyć się w drugiej.

ICMP to coś więcej niż ping

ICMP przenosi komunikaty Echo, ale też informacje sterujące i o błędach, z których korzysta diagnostyka i mechanizmy takie jak Path MTU Discovery. Bezrefleksyjne blokowanie ICMP może powodować trudne do wykrycia awarie. Więcej w artykułach o ICMP oraz MTU.