203.0.113.10 جیسے پبلک ایڈریس پر کنکشن کی کوششیں ہوتی رہتی ہیں، چاہے کسی چھوٹے دفتر کا ارادہ کوئی سروس پبلش (فراہم) کرنے کا ہو یا نہ ہو۔ فائر وال کی پالیسی کے بغیر، انٹرنیٹ پر موجود حملہ آور کو صرف ایڈریس اور ایک کھلے راستے کی ضرورت ہوتی ہے تاکہ وہ بیرونی دنیا کے لیے کھلی (exposed) سروسز تک رسائی حاصل کر سکے، کمزور کنفیگریشن کا پتہ لگا سکے، یا اندرونی نیٹ ورکس کی طرف ٹریفک بھیج سکے۔ فائر وال ایک ایسا سرحدی آلہ (boundary device) ہے جو کنکشن کی ہر کوشش کا موازنہ طے شدہ اصولوں سے کرتا ہے اور ٹریفک کو یا تو اجازت دیتا ہے یا اسے روک دیتا ہے۔ ہماری لیب میں، پہلا محفوظ فیصلہ سادہ ہے: صرف اس پبلک ویب کنکشن کی اجازت دی جائے جو 192.168.40.10 پر موجود Web کے لیے مخصوص ہو، اور دیگر غیر مطلوبہ انٹرنیٹ ٹریفک کو مسترد کر دیا جائے۔ آئیے ان نیٹ ورکس کا خاکہ تیار کرتے ہیں جنہیں اس فیصلے کے ذریعے تحفظ فراہم کیا جانا ضروری ہے:
یہ خاکہ بعد میں آنے والے ہر ‘رول ٹیبل’ (rule table) کے لیے پتے اور کردار متعین کرتا ہے۔ فائر وال ہر اندرونی نیٹ ورک پر .1 کا پتہ استعمال کرتی ہے، جبکہ 203.0.113.10 اس کا انٹرنیٹ کی طرف والا (internet-facing) پتہ ہے۔ PC1 کا تعلق صارف نیٹ ورک سے ہے، Guest1 ایک الگ تھلگ گیسٹ نیٹ ورک کا حصہ ہے، اور AdminPC واحد ورک اسٹیشن ہے جسے فائر وال کا انتظام سنبھالنے کی اجازت ہے۔ ویب سرور DMZ میں موجود ہوتا ہے؛ یہ ان خدمات کے لیے ایک علیحدہ نیٹ ورک ہے جنہیں محدود انٹرنیٹ ٹریفک تو قبول کرنی ہوتی ہے لیکن انٹرنیٹ کلائنٹس کو سرور نیٹ ورک تک رسائی کا راستہ نہیں دینا ہوتا۔
WAN انٹرفیس تک پہنچنے والے کسی حملہ آور کو 192.168.20.20 پر موجود File (سرور) یا 192.168.20.10 پر موجود ڈائریکٹری اور DNS سرور تک ہرگز رسائی نہیں ملنی چاہیے۔ ان سسٹمز کو VLANs میں تقسیم کرنے سے حدود تو قائم ہو جاتی ہیں، لیکن صرف VLANs یہ فیصلہ نہیں کرتے کہ کون سے پیکٹس ان کے آر پار جا سکتے ہیں۔ فائر وال نیٹ ورکس کے درمیان واضح اصولوں کے ذریعے یہ فیصلہ کرتی ہے۔
حد بندی کا اصول (Boundary rule) نیٹ ورک کا کوئی حصہ (segment) کسی سسٹم کی حفاظت تبھی کرتا ہے جب فائر وال ایسی ٹریفک کو مسترد کر دے جس کا کوئی متعین کاروباری مقصد نہ ہو۔
لیب میں ٹریفک کے پانچ بار بار ہونے والے بہاؤ (flows) ہمیں فائر وال کی ہر قسم اور اصولوں کے ہر مجموعے (rule set) کے لیے ٹھوس ٹیسٹ فراہم کرتے ہیں۔ Guest1 کو انٹرنیٹ تک رسائی کے لیے DNS ریزولیوشن کی ضرورت ہوتی ہے، لیکن گیسٹ ڈیوائس کے پاس TCP پورٹ 445 پر File (سرور) کے ساتھ ونڈوز فائل شیئرنگ کنکشن کھولنے کی کوئی کاروباری وجہ نہیں ہوتی۔ اس کے برعکس، PC1 کو اس فائل شیئرنگ کنکشن کی ضرورت پڑ سکتی ہے۔ انٹرنیٹ TCP پورٹ 443 پر DMZ ویب سرور تک رسائی حاصل کر سکتا ہے، جبکہ صرف AdminPC کو TCP پورٹ 443 پر فائر وال کے انتظامی صفحے تک رسائی حاصل ہونی چاہیے۔
پیکٹ فلٹرنگ فائر وال کا فیصلہ ایک پیکٹ میں نظر آنے والے فیلڈز (جیسے سورس ایڈریس، ڈیسٹینیشن ایڈریس، پروٹوکول اور پورٹ) کی بنیاد پر ہوتا ہے۔ کوئی اصول Guest1 سے 8.8.8.8 تک UDP پورٹ 53 کی اجازت دے سکتا ہے، یا گیسٹ نیٹ ورک سے سرور نیٹ ورک تک TCP پورٹ 445 کو مسترد کر سکتا ہے۔ پیکٹ فلٹرنگ تیز اور مفید ہے، لیکن صرف ایک پیکٹ یہ ظاہر نہیں کرتا کہ آیا وہ پیکٹ کسی ایسے جائز کنکشن کا حصہ ہے جو پہلے شروع ہوا تھا۔
اسٹیٹ فل فائر وال (Stateful firewall) فعال کنکشنز کو ایک ‘اسٹیٹ ٹیبل’ میں ریکارڈ کرتی ہے۔ جب PC1، File (سرور) کے ساتھ فائل شیئرنگ کا کوئی مجاز کنکشن شروع کرتا ہے، تو اسٹیٹ فل فائر وال واپس آنے والے پیکٹس کو گزرنے دیتی ہے کیونکہ وہ اس ریکارڈ شدہ کنکشن سے مطابقت رکھتے ہیں۔ انٹرنیٹ سے آنے والے کسی ایسے پیکٹ (packet) کی کوئی مماثل ‘سٹیٹ’ (state) موجود نہیں ہوتی جس کی درخواست پہلے نہ کی گئی ہو؛ لہٰذا فائر وال اسے مسترد کر سکتی ہے، الا یہ کہ کوئی اصول (rule) خاص طور پر اس نئے کنکشن کی اجازت دیتا ہو۔ یہ طریقہ کار ایک ایسے وسیع اور خطرناک اصول کے نفاذ کو روکتا ہے جو ہر سمت سے آنے والی، بظاہر ‘واپسی’ (return) والی ٹریفک کو گزرنے کی اجازت دے دیتا۔
ایک ایپلیکیشن سے آگاہ فائر وال (application-aware firewall) پورٹس اور ایڈریسز سے آگے کی معلومات کا بھی جائزہ لے سکتی ہے، جیسے کہ HTTP درخواست یا DNS استفسار (query)۔ ‘نئی نسل کی فائر وال’ (next-generation firewall) عام طور پر ‘سٹیٹ فل انسپیکشن’ (stateful inspection) کو ‘ایپلیکیشن انسپیکشن’ اور ‘خطرات کی نشاندہی’ (threat detection) کے ساتھ یکجا کرتی ہے۔ گہرائی سے کی جانے والی جانچ پڑتال (deeper inspection) واضح حدود کا متبادل نہیں ہے۔ فائر وال کو پہلے یہ فیصلہ کرنا ہوتا ہے کہ آیا ‘انٹرنیٹ’ کو HTTPS کے ذریعے ‘ویب’ سے رابطہ کرنے کی اجازت ہے یا نہیں؛ اس کے بعد، جانچ پڑتال اس ٹریفک کی نشاندہی کرنے میں مدد دیتی ہے جو اس مجاز راستے کے متوقع استعمال کی خلاف ورزی کرتی ہے۔
پانچ میں سے کون سے ‘فلو’ (flows) کو حد عبور کرنی چاہیے اور کسے فائر وال پر ہی رک جانا چاہیے؟ ذیل کا جدول متوقع فیصلے اور مسترد کرنے کی وجوہات (یا شواہد) کو یکجا پیش کرتا ہے: