Come attività minima, un firewall
funziona come filtro e decide se un pacchetto IP può attraversarlo
o meno. Supponiamo di avere un firewall con tre interfacce fisiche
ethernet dagli ovvi nomi: WAN LAN DMZ.
I Firewall contengono una tabella di regole che vengono esaminate
nell'ordine dato (solo alcuni riordinano le regole inserite dall'utente
secondo una logica interna) la prima regola trovata che si applica
ad un pacchetto arrivato (in entrata o in uscita) su di un interfaccia,
viene messa in atto e le seguenti non vengono esaminate. Le azioni
principali sono di permettere oppure negare il passaggio del pacchetto
IP.
 |
Il
traffico
|
|
 |
Prima di tutto guardiamo il traffico dal punto
di vista della macchine presenti nelle 3 zone del nostro network
ideale
- WAN a Firewall: accesso libero a tutti ma solo verso il server
Web e posta elettronica che sono in DMZ;
- da Firewall a WAN solo dalla DMZ e solo i servizi di posta elettronica,
DNS, WEB, FTP, SSH;
- Da DMZ a FW: solo verso la WAN per i servizi di posta e, DNS,
WEB;
- da Firewall a DMZ: dalla WAN solo Web e posta, dalla LAN solo
posta DNS, Web proxy, ftp;
- da LAN a Firewall: solo alla DMZ per posta, DNS e WEB;
- da firewall a LAN, nulla;
Nell'enunciare queste regole abbiamo assunto la logica di tutto quello
che non è esplicitamente permesso e vietato ed indicato solo
la direzione dei pacchetti che aprono una nuova connessione IP. Una
serie di filtri più o meno ripetuti e complessi aumentano la
sicurezza di un firewall anche se complicano la configurazione e diminuiscono
le prestazioni.
|
I Tipi di Firewall
|
|
|
In generale vi sono 3 tipi di firewall:
- Packet Filtering: ogni pacchetto di una connessione IP
passa attraverso tutte le regole, ed è necessario introdurre
regole sia per pacchetti di andata che per quelli di ritorno
- Stateful Firewall: il primo pacchetto di una connessione
Ip passa attraverso tutte le regole e se viene permesso il suo
passaggio, il firewall se ne ricorda ed automaticamente permette
il passaggio a tutti i pacchetti in entrambe le direzioni che
fanno parte della stessa connessione IP.
- Application layer: questi firewall sono in grado di ispezionare
il contenuto dei pacchetti al livello 7, ovvero capiscono protocolli
quali http, smtp, ftp ecc e sono in grado di negare il passaggio
di pacchetti ritenuti pericolosi.
Naturalmente in commercio ci sono firewall di tutte e tre le classi
e firewall che uniscono le caratteristiche di tutte e tre le classi.
E' ovvio altresì che la terza classe è ritenuta la più
interessante, ma è anche la più difficile da creare
e da gestire
Riferimenti bibliografici:
1 ICT Security (Andrea Pasquinucci)
2 B. cheswick e S. Bellovin, Firewall and Internet Security
3 E.D. Zwicky, S. Cooper e D.B. Chapman, Bulding Internet Firewalls,
O'Reilly
|
Perchè Linux
Cos'è un Firewall
