Güvenlik duvarı nedir? Kurallar, portlar ve ağ erişimi
Güvenlik duvarı (firewall), ağ trafiğine kurallara göre izin verir veya onu engeller. Bir bilgisayarda, ev yönlendiricisinde ya da bulut ağının sınırında çalışabilir. Kurallar bağlantılara erişimi denetler; izin verilen bir uygulamayı kendiliğinden güvenli hâle getirmez.
Güvenlik duvarı kuralları nasıl çalışır?
Bir kural bağlantının yönüne, adreslere, protokole, porta ve bazen uygulamaya bakabilir. Ev yönlendiricisi genellikle istenmeyen gelen trafiği sınırlar; işletim sisteminin güvenlik duvarı ise cihazın kendisine ulaşan trafiği denetler. Durum bilgili (stateful) güvenlik duvarları, gelen trafiğe her portu açmadan, kurulmuş giden bağlantılara dönen yanıtları geçirebilir.
Trafik birkaç katmandan geçebilir. Bir bulut güvenlik grubu bir porta izin verirken sunucunun güvenlik duvarı onu engelleyebilir. Yönlendirici portu iletmiyorsa veya internet sağlayıcısı CGNAT kullanıyorsa yerel bir izin kuralı da işe yaramayabilir. Kapsamlı değişikliklere girişmeden önce trafiğin geçtiği her katmanı belirleyin.
Bir hizmete neden erişilemez?
Önce uygulamanın çalıştığını ve beklenen protokol, port ve ağ adresi üzerinde dinlediğini kontrol edin. Yalnızca loopback'e bağlanmış bir hizmete cihazın kendisinden erişilebilir, dışarıdan erişilemez. Ardından sunucudaki kuralı, yönlendiricideki port yönlendirmeyi ve sağlayıcı kısıtlamalarını inceleyin. Harici bir port testi, kendi bulunduğu noktadan erişilebilirliği gösterebilir; ama arızanın tek bir nedenini saptayamaz.
Reddedilen bağlantıyı, zaman aşımını ve uygulama düzeyindeki hatayı birbirinden ayırın. Bunlar farklı arıza noktalarına işaret eder; filtreleme ise aradaki farkı bulanıklaştırabilir. Gerçekten ayrı bir ağdan test edin; bazı yönlendiriciler kendi genel adreslerine yapılan bağlantıları dışarıdan gelen trafikten farklı işler. Ağınızın dışından erişilebilirliği 2IP port kontrolü ile sınayabilirsiniz; “kapalı” sonucu aldığınızda yerel güvenlik duvarını, NAT'ı ve dinleyen hizmeti yine ayrıca kontrol edin.
Daha güvenli bir kural değişikliği
Yalnızca hizmetin ihtiyaç duyduğu erişime izin verin; mümkünse bunu sınırlı kaynak adreslerle kısıtlayın. Hizmeti güncel tutun ve uygun kimlik doğrulamayı zorunlu kılın. Bir kuralın neden var olduğunu belgeleyin ve hizmet kullanımdan kaldırıldığında kuralı silin. Tüm giden bağlantıları engellemek güncellemeleri veya DNS'i bozabilir; bu yüzden bir kuralı uygulamadan önce nelerin ona bağlı olduğunu anlayın.
Güvenlik duvarı kimlik avını, güvensiz indirmeleri veya izin verilen bir hizmet üzerinden yapılan istismarı önlemez. Bu yüzden onu güncellemeler, yedekler ve hesap güvenliğiyle birlikte düşünün. Bir değişiklikten sonra hem gerekli bağlantının çalıştığını hem de istenmeyen bir açığın oluşmadığını doğrulayın.
IPv6'da, IPv4 NAT kurallarının geçerli olduğunu varsaymak yerine gerçek arayüz adresini ve güvenlik duvarı politikasını doğrulayın. Bir uygulama bir adres ailesinde dinlerken istemci diğerini deniyor olabilir.
ICMP yalnızca ping'den ibaret değildir
ICMP; Echo mesajlarının yanı sıra teşhis araçlarının ve Path MTU Discovery gibi mekanizmaların kullandığı denetim ve hata bilgilerini taşır. ICMP'yi gelişigüzel engellemek, teşhisi zor arızalara yol açabilir. ICMP ve MTU yazılarında bu mekanizmalar ayrıntılı ele alınıyor.