Файервол — межсетевой экран¶
Файервол (межсетевой экран, брандмауэр, от англ. firewall — буквально «огненная стена») — это программное или аппаратно-программное средство, обеспечивающее фильтрацию сетевого трафика между двумя или более сетями на основе заданных правил безопасности. Файервол контролирует входящие и исходящие соединения, пропуская или блокируя пакеты в соответствии с предопределёнными политиками, и служит основным барьером между доверенной сетью (например, локальной сетью предприятия) и недоверенной средой (каковой является глобальная сеть Интернет).
¶Принцип работы
Файервол анализирует заголовки сетевых пакетов — такие параметры, как IP-адреса источника и назначения, номера портов, используемый транспортный протокол (TCP, UDP, ICMP и другие), а при более глубоком инспектировании — и содержимое полезной нагрузки. На основании сопоставления этих данных с набором правил (политикой безопасности) принимается решение: разрешить прохождение пакета, заблокировать его, отклонить с отправкой уведомления или транслировать (в случае сетевой трансляции NAT).
Правила обычно формируются по принципу «белого списка» (по умолчанию всё запрещено, разрешены только явно описанные соединения) либо «чёрного списка» (по умолчанию всё разрешено, блокируются только запрещённые соединения). Первый подход считается более безопасным.
¶Классификация
По уровню сетевой модели OSI, на котором осуществляется фильтрация, межсетевые экраны принято делить на поколения:
| Поколение | Уровень фильтрации | Характеристика |
|---|---|---|
| Первое | Сетевой (L3) | Фильтрация по IP-адресам и протоколам; пакетная фильтрация |
| Второе | Транспортный (L4) | Учёт состояния соединений (stateful inspection), номеров портов |
| Третье | Прикладной (L7) | Инспектирование содержимого, понимание протоколов (HTTP, FTP, SMTP) |
| Четвёртое | Комбинированное | Интеграция с системами обнаружения вторжений (IDS/IPS), контроль приложений |
По типу исполнения различают:
- Программные файерволы — работающие в виде приложения на обычном компьютере или сервере (например, iptables/nftables в Linux, Windows Firewall, pfSense, OPNsense).
- Аппаратные файерволы — отдельные устройства или платформы, оптимизированные для обработки трафика (продукты Cisco, Juniper, «Лаборатории Касперского», UserGate и другие).
- Облачные файерволы — сервисы, предоставляемые по модели SaaS и защищающие ресурсы в публичном облаке.
¶Основные функции
Помимо базовой фильтрации трафика, современные межсетевые экраны реализуют широкий набор функций:
- NAT (Network Address Translation) — трансляция внутренних IP-адресов на внешние, что позволяет скрывать топологию локальной сети и экономить публичные адреса.
- VPN-шлюз — обеспечение защищённых каналов связи между удалёнными сотрудниками или филиалами по протоколам IPsec, OpenVPN, WireGuard.
- Инспектирование HTTPS-трафика (TLS-инспекция) — расшифровка и анализ зашифрованного трафика для выявления угроз.
- Контроль приложений — возможность блокировать или ограничивать конкретные сервисы (социальные сети, мессенджеры, торрент-клиенты).
- Балансировка нагрузки — распределение входящих запросов между несколькими серверами.
- Логирование и аудит — запись событий для последующего анализа и расследования инцидентов.
¶Схемы развёртывания
Файервол может устанавливаться в различных позициях сети. Наиболее распространённая схема — периметровая защита, когда межсетевой экран размещается между локальной сетью и внешним каналом связи. В крупных корпоративных сетях применяется многоуровневая архитектура: периметровый файервол, внутренние экраны между сегментами (зонами безопасности), а также экраны для защиты центров обработки данных.
Для защиты отдельных рабочих станций и серверов используются хостовые файерволы, работающие непосредственно на защищаемом устройстве и фильтрующие его собственный сетевой обмен.
¶Ограничения
Межсетевой экран не является универсальным средством защиты. Он неэффективен против атак, использующих разрешённые соединения (например, через HTTP на порту 80 или HTTPS на порту 443), а также против угроз, распространяемых через электронную почту, фишинг или заражённые носители. Для выявления атак внутри разрешённых каналов дополнительно применяются системы обнаружения и предотвращения вторжений (IDS/IPS), антивирусное ПО и средства анализа трафика.
¶История
Термин «межсетевой экран» появился в конце 1980-х годов, когда с ростом соединений между локальными сетями и Интернетом возникла потребность в контроле межсетевого обмена. Одним из ранних коммерческих решений стал продукт Check Point FireWall-1, выпущенный в 1994 году. В Linux стандартным инструментом фильтрации долгое время оставалась подсистема Netfilter с утилитой iptables, в современных дистрибутивах вытесненная nftables.
Источники:
- RFC 4949 — Internet Security Glossary
- Tanenbaum A. S., Wetherall D. J. Computer Networks
- Русскоязычная документация проекта Netfilter/iptables
- Материалы «Лаборатории Касперского» и UserGate по вопросам сетевой безопасности