203.0.113.10 जैसे पब्लिक एड्रेस पर कनेक्शन की कोशिशें होती रहती हैं, चाहे किसी छोटे ऑफ़िस ने कोई सर्विस पब्लिश करने का इरादा किया हो या नहीं। फ़ायरवॉल पॉलिसी के बिना, इंटरनेट अटैकर को एक्सपोज़्ड सर्विस तक पहुँचने, कमज़ोर कॉन्फ़िगरेशन का पता लगाने या इंटरनल नेटवर्क की ओर ट्रैफ़िक भेजने के लिए बस एड्रेस और एक खुले रास्ते की ज़रूरत होती है। फ़ायरवॉल एक बाउंड्री डिवाइस है जो हर कनेक्शन की कोशिश की तुलना नियमों से करता है और ट्रैफ़िक को अनुमति देता है या ब्लॉक करता है। हमारी लैब में, पहला सुरक्षित फ़ैसला आसान है: सिर्फ़ 192.168.40.10 पर Web के लिए बने पब्लिक वेब कनेक्शन को अनुमति दें, और बाकी अनचाहे इंटरनेट ट्रैफ़िक को रोक दें। आइए उन नेटवर्क का मैप बनाते हैं जिनकी सुरक्षा इस फ़ैसले से होनी चाहिए:
यह डायग्राम बाद की हर रूल टेबल के लिए एड्रेस और भूमिकाएँ तय करता है। फ़ायरवॉल हर इंटरनल नेटवर्क पर .1 का इस्तेमाल करता है, जबकि 203.0.113.10 उसका इंटरनेट-फेसिंग एड्रेस है। PC1 यूज़र नेटवर्क का हिस्सा है, Guest1 एक अलग गेस्ट नेटवर्क का हिस्सा है, और AdminPC ही एकमात्र वर्कस्टेशन है जिसे फ़ायरवॉल को मैनेज करने की अनुमति है। वेब सर्वर DMZ में होता है, जो उन सेवाओं के लिए एक अलग नेटवर्क है जिन्हें सीमित इंटरनेट ट्रैफ़िक स्वीकार करना होता है, बिना इंटरनेट क्लाइंट्स को सर्वर नेटवर्क में जाने का रास्ता दिए।
WAN इंटरफ़ेस तक पहुँचने वाले किसी अटैकर को 192.168.20.20 पर मौजूद File या 192.168.20.10 पर मौजूद डायरेक्टरी और DNS सर्वर तक कभी नहीं पहुँचना चाहिए। उन सिस्टम्स को VLANs में अलग करने से सीमाएँ बनती हैं, लेकिन सिर्फ़ VLANs यह तय नहीं करते कि कौन से पैकेट उन्हें पार कर सकते हैं। फ़ायरवॉल नेटवर्क के बीच स्पष्ट नियमों के साथ यह फ़ैसला करता है।
बाउंड्री रूल नेटवर्क सेगमेंट किसी सिस्टम की सुरक्षा तभी करता है जब फ़ायरवॉल ऐसे ट्रैफ़िक को रोकता है जिसका कोई स्पष्ट बिज़नेस मकसद नहीं होता।
लैब के पाँच बार-बार होने वाले ट्रैफ़िक फ़्लो हमें हर फ़ायरवॉल प्रकार और रूल सेट के लिए ठोस टेस्ट देते हैं। Guest1 को इंटरनेट तक जाने के लिए DNS रिज़ॉल्यूशन की ज़रूरत होती है, लेकिन गेस्ट डिवाइस के पास TCP पोर्ट 445 पर File के साथ Windows फ़ाइल-शेयरिंग कनेक्शन खोलने का कोई बिज़नेस कारण नहीं होता। इसके विपरीत, PC1 को उस फ़ाइल-शेयरिंग कनेक्शन की ज़रूरत हो सकती है। इंटरनेट TCP पोर्ट 443 पर DMZ वेब सर्वर तक पहुँच सकता है, जबकि सिर्फ़ AdminPC को TCP पोर्ट 443 पर फ़ायरवॉल मैनेजमेंट पेज तक पहुँचना चाहिए।
एक पैकेट-फ़िल्टरिंग फ़ायरवॉल एक पैकेट में दिखने वाले फ़ील्ड्स से फ़ैसला करता है, जिसमें सोर्स एड्रेस, डेस्टिनेशन एड्रेस, प्रोटोकॉल और पोर्ट शामिल हैं। एक नियम Guest1 से 8.8.8.8 तक UDP पोर्ट 53 की अनुमति दे सकता है, या गेस्ट नेटवर्क से सर्वर नेटवर्क तक TCP पोर्ट 445 को रोक सकता है। पैकेट फ़िल्टरिंग तेज़ और उपयोगी है, लेकिन एक पैकेट अकेले यह नहीं दिखाता कि क्या वह पैकेट किसी ऐसे वैध कनेक्शन का हिस्सा है जो पहले शुरू हुआ था।
एक स्टेटफ़ुल फ़ायरवॉल सक्रिय कनेक्शन को एक स्टेट टेबल में रिकॉर्ड करता है। जब PC1 File के साथ एक स्वीकृत फ़ाइल-शेयरिंग कनेक्शन शुरू करता है, तो स्टेटफ़ुल फ़ायरवॉल लौटने वाले पैकेट्स को अनुमति देता है क्योंकि वे उस रिकॉर्ड किए गए कनेक्शन से मेल खाते हैं। इंटरनेट से आने वाले बिना मांगे पैकेट (unsolicited packet) का कोई मैचिंग स्टेट नहीं होता है, इसलिए फ़ायरवॉल उसे रोक सकता है, जब तक कि कोई नियम खास तौर पर नए कनेक्शन की इजाज़त न दे। यह तरीका एक ऐसे बड़े और खतरनाक नियम को रोकता है जो हर तरफ़ से आने वाले सभी ‘रिटर्न-लुकिंग’ ट्रैफ़िक को मंज़ूरी दे देता।
एक एप्लिकेशन-अवेयर फ़ायरवॉल पोर्ट और एड्रेस से आगे की जानकारी की जांच कर सकता है, जैसे कि HTTP रिक्वेस्ट या DNS क्वेरी। नेक्स्ट-जेनरेशन फ़ायरवॉल आमतौर पर स्टेटफ़ुल इंस्पेक्शन को एप्लिकेशन इंस्पेक्शन और थ्रेट डिटेक्शन के साथ मिलाता है। गहरी जांच (deeper inspection) साफ़ सीमाओं की जगह नहीं लेती है। फ़ायरवॉल को पहले यह तय करना होता है कि इंटरनेट, HTTPS पर वेब से संपर्क कर सकता है या नहीं; इसके बाद जांच उस ट्रैफ़िक की पहचान करने में मदद करती है जो उस मंज़ूर किए गए रास्ते के तय इस्तेमाल का उल्लंघन करता है।
पांच फ़्लो में से कौन-से फ़्लो को सीमा पार करनी चाहिए, और कौन-से फ़ायरवॉल पर रुकने चाहिए? टेबल में अपेक्षित फ़ैसला और अस्वीकार करने का कारण एक साथ दिया गया है: