Firewalls - fizičke topologije

Načini postavljanja Firewalla na mreži

U osnovi postoje tri Firewall topologije: Bastion Host, Trihomed Firewall i Back-to-Back Firewall

Bastion host

Host je bilo koji uređaj na mreži koji ima IP adresu – računar, ruter, svič i sl.  U našem slučaju Bastion Host je Firewall koji služi kao brana između javne, nebezbedne mreže i interne branjene mreže.

Slika 1. Bastion Host topologija

Ova topologija je jednostavna za implementaciju i održavanje. Bastion Host poseduje dva mrežna interfejsa, jedan koji je okrenut ka spoljnoj mreži i jedan ka lokalnoj mreži koju branimo. Spoljna mreža je  najčešće Internet, ali može biti i drugi deo naše korporativne mreže ili mreža neke druge kompanije sa kojom radimo na  zajedničkom projektu i sl.
Spoljni interfejs ima jednu ili više javnih adresa, a interni najčešće jednu privatnu IP adresu. U svakom slučaju, adrese na interfejsima moraju biti sa različitih mrežnih opsega (sabneta) da bi Firewall ispravno radio, jer je on u svojoj osnovi zapravo ruter koji ima sposobnost filtriranja saobraćaja. Pristup spolja, usmeren ka internim serverima (ukoliko je neophodan) se ostvaruje otvaranjem potrebnih portova na spoljnom interfejsu, korišćenjem skupa pravila (ukratko opisanih u prošlom broju). Pristup internih klijenata spoljnoj mreži se kontroliše sličnim skupom pravila – tzv. outbound rules.
Ovim pravilima možemo kontrolisati koji klijenti mogu i pod kakvim uslovima imati pristup Internetu. Uslovi mogu biti korisničko ime ili IP adresa,  URL ili adresa web sajta, protokoli koji se smeju koristiti, određeno vreme dana, sadržaj na datoj web stranici i sl.

Loše strane Bastion Host konfiguracije
Ukoliko omogućimo pristup spolja internim serverima, svaki uspešno izvedeni napad na iste istovremeno ugrožava celu mrežu, jer je napadač već iza leđa našeg Bastion Hosta.

Uspešno izveden napad na sam Bastion Host rezultuje potpuno nebranjenom mrežom.

Trihomed Firewall
 
Trihomed Firewall je malo kompleksnije konfiguracije od Bastio Hosta. Poseduje (najmanje) tri mrežna interfejsa, pa otuda i naziv Trihomed Firewall. Jedan interfejs je usmeren ka javnoj mreži, jedan ka internoj i jedan ka posebnoj mreži koja se naziva DMZ (demilitarizovana zona). Postoje i drugi nazivi za DMZ kao što su Screened Subnet ili Perimeter network. Podrazumeva se da su adrese ovih interfejsa na različitim mrežnim opsezima, pri čemu lokalni interfejs ima adresu iz privatnog opsega , dok javni i DMZ interfejs najčešće imaju adrese iz javnog opsega.

Slika 2. Trihomed Firewall topologija


Trihomed Firewall nam omogućava da servere koji treba da budu dostupni spolja kao što su web, mail ili ftp, «izbacimo» iz lokalne mreže, odnosno da ih postavimo na DMZ mrežu. Na ovaj način, potencijalno opasno prisustvo javno dostupnih servera je rešeno.

Pristup spolja DMZ-u prolazi kroz rigorozne kontrole Firewall pravila da bi se odlučilo da li dati zahtev uopšte može da stigne do servera na DMZ-u. Direktan pristup spolja internim serverima je potpuno onemogućen. Čak i u slučaju uspešno izvedenog napada na DMZ servere interna mreža je potpuno sigurna. Lokalni klijenti pristupaju Internetu i serverima na DMZ-u isključivo kroz Firewall, tako da se i njihovi zahtevi filtriraju.

Loše strane Trihomed Firewall topologije
Relativno teža implementacija i održavanje nego kod Bastion Host konfiguracije.

U slučaju uspešno izvedenog napada na Trihomed Firewall mreža ostaje potpuno nebranjena.

Back-to-Back Firewall

Ova konfiguracija je najkompleksnija i najskuplja. Sastoji se od dva Firewalla, između kojih se nalazi DMZ. Sami Firewalli su konfigurisani kao Bastion Hostovi. Prvi Firewall se nalazi između lokalne mreže i DMZ-a. Podešen je tako da smatra da je DMZ javna, «opasna» mreža. Drugi Firewall se nalazi između DMZ-a i Interneta. On se ponaša kao da je DMZ lokalna branjena mreža, a Internet javna nebezbedna mreža.

Slika 3. Back-to-Back Firewall topologija


Prednost ovakve konfiguracije je velika bezbednost. Kontrola pristupa je dvostruka. Ukoliko spoljni Firewall «padne», interna mreža i dalje nije ugrožena. Uspešno izveden napad na DMZ servere takođe ne ugrožava internu mrežu. Da bi se stiglo do interne mreže oba Firewalla moraju biti ugrožena. Preporuka je korišćenje Firewalla različitih proizvođača, čime se štitimo da otkriveni propust u sigurnosti jednog ne posluži kao rešenje za napad i na drugi Firewall.

Loše strane Back-to-Back topologije
Teža implementacija i održavanje - pravila pristupa na jednom i drugom Firewallu se administriraju odvojeno.

Neko bi možda zaključio da je velika cena ove konfiguracije još jedna mana, međutim kompanijama koje imaju potrebe za Back-to-Back topologijom ova stavka ne predstavlja problem. U većini slučajeva pravilno konfigurisan Bastion Host zadovoljava tehničke potrebe elementarne bezbednosti u smislu kontrolisanog pristupa Internetu.