Tipos de firewall e inspección de tráfico

Este diagrama establece las direcciones y los roles para todas las tablas de reglas posteriores. El firewall utiliza la dirección terminada en .1 en cada red interna, mientras que 203.0.113.10 es su dirección orientada a Internet. PC1 pertenece a la red de usuarios, Guest1 a una red de invitados aislada y AdminPC es la única estación de trabajo autorizada para administrar el firewall. El servidor web se encuentra en la DMZ, una red separada para servicios que deben aceptar tráfico limitado de Internet sin proporcionar a los clientes externos una ruta de acceso a la red de servidores. [fuentes][/fuentes]

Un atacante que llegue a la interfaz WAN nunca debería poder acceder a File (en 192.168.20.20) ni al servidor de directorio y DNS (en 192.168.20.10). Separar estos sistemas en VLAN crea límites, pero las VLAN por sí solas no deciden qué paquetes pueden atravesarlas; el firewall toma esa decisión mediante reglas explícitas entre las redes. [fuentes][/fuentes]

Regla de delimitación Un segmento de red protege un sistema solo cuando el firewall deniega el tráfico que no tiene un propósito empresarial definido. [fuentes][/fuentes]

Inspección de una conexión

Los cinco flujos de tráfico recurrentes del laboratorio nos proporcionan pruebas concretas para cada tipo de firewall y conjunto de reglas. Guest1 necesita resolución DNS para acceder a Internet, pero un dispositivo de invitado no tiene ninguna razón empresarial para abrir una conexión de intercambio de archivos de Windows con File a través del puerto TCP 445. Por el contrario, es posible que PC1 sí necesite esa conexión de intercambio de archivos. Internet puede acceder al servidor web de la DMZ a través del puerto TCP 443, mientras que solo AdminPC debería poder acceder a la página de administración del firewall mediante el puerto TCP 443. [fuentes][/fuentes]

Un firewall de filtrado de paquetes toma decisiones basándose en campos visibles dentro de un paquete, como la dirección de origen, la dirección de destino, el protocolo y el puerto. Una regla puede permitir el tráfico por el puerto UDP 53 desde Guest1 hacia 8.8.8.8, o denegar el tráfico por el puerto TCP 445 desde la red de invitados hacia la red de servidores. El filtrado de paquetes es rápido y útil, pero un paquete por sí solo no indica si pertenece a una conexión legítima iniciada anteriormente. [fuentes][/fuentes]

Un firewall con inspección de estado (stateful firewall) registra las conexiones activas en una tabla de estados. Cuando PC1 inicia una conexión permitida de intercambio de archivos con File, el firewall con inspección de estado permite los paquetes de retorno porque coinciden con dicha conexión registrada. Un paquete no solicitado proveniente de Internet no tiene un estado correspondiente, por lo que el cortafuegos puede denegarlo a menos que una regla permita específicamente la nueva conexión. Este comportamiento evita la implementación de una regla amplia y peligrosa que permitiría todo el tráfico con apariencia de respuesta proveniente de cualquier dirección. [fuentes][/fuentes]

Un cortafuegos con reconocimiento de aplicaciones puede inspeccionar información que va más allá de los puertos y las direcciones, como una solicitud HTTP o una consulta DNS. Por lo general, un cortafuegos de nueva generación combina la inspección con seguimiento de estado (stateful inspection) con la inspección de aplicaciones y la detección de amenazas. Una inspección más profunda no sustituye a la existencia de límites claros. El cortafuegos debe determinar primero que Internet puede comunicarse con Web mediante HTTPS; posteriormente, la inspección ayuda a identificar el tráfico que infringe el uso previsto de esa ruta permitida. [fuentes][/fuentes]

¿Cuáles de los cinco flujos deben cruzar un límite y cuáles deben detenerse en el cortafuegos? La tabla presenta conjuntamente la decisión prevista y los motivos de la denegación: [fuentes][/fuentes]