Controle o tráfego com firewalls

Agora você sabe o que preenche cada cabeçalho. Um firewall usa esses mesmos campos para decidir o que é permitido: endereço de origem e de destino, protocolo e porta. Mas a maior parte dos problemas com firewalls não vem de uma regra errada. Vem de regras na ordem errada.

A maioria dos firewalls lê as regras de cima para baixo e para na primeira que corresponde. Isso é diferente do roteamento, em que a rota mais específica vence, qualquer que seja sua posição.

Boas listas de regras terminam com negação por padrão: tudo o que não foi permitido explicitamente é bloqueado, então esquecer uma regra quebra um recurso em vez de abrir um buraco.

Se um firewall nega todo o tráfego de entrada, como as respostas às suas próprias requisições voltam? Um firewall com estado (stateful) lembra das conexões que deixou sair e permite automaticamente os pacotes de retorno. Você viu a mesma ideia na tabela NAT. Quase todos os firewalls modernos funcionam assim, então você escreve regras para o lado que inicia a conexão.

Firewalls reais listam suas regras da mesma forma. Os números importam, porque a avaliação começa na regra 1 e para na primeira correspondência:

policy DROP é a negação por padrão, e a regra 1 é a parte com estado: ela deixa entrar as respostas de conexões existentes.

Um único firewall na borda é como a muralha de um castelo: depois que um atacante entra, tudo fica ao alcance. A segmentação divide uma rede em zonas, usando sub-redes e VLANs, com filtragem entre elas. Um servidor web pode alcançar o banco de dados em uma porta, mas um notebook comprometido não alcança o banco de forma alguma.

Isso segue o princípio do menor privilégio: cada sistema só alcança o que precisa. Tudo o que você aprendeu sobre sub-redes é o que torna isso possível.