Co to jest firewall?
Autor: Redakcja Domeny.ForSale Opublikowano
W skrócie: Firewall, czyli zapora sieciowa, kontroluje połączenia urządzenia lub sieci i przepuszcza albo blokuje je według ustalonych reguł. Pomaga ograniczyć niepożądany dostęp, ale nie zastępuje aktualizacji, antywirusa ani ostrożności wobec oszustw. W domu zwykle wystarczającym punktem wyjścia jest aktywna zapora systemowa oraz poprawnie skonfigurowany router.
Jak działa zapora sieciowa?
Dane w sieci przemieszczają się w pakietach, czyli niewielkich porcjach informacji. Firewall ocenia te pakiety i połączenia na podstawie reguł. Może uwzględniać adres IP nadawcy lub odbiorcy, kierunek ruchu, rodzaj protokołu, a także port — numer wskazujący usługę, z którą ma nastąpić komunikacja.
Przykładowo strona korzystająca z HTTPS, czyli szyfrowanego połączenia z witryną, zazwyczaj jest dostępna przez port 443. Zapora serwera może dopuszczać publiczny ruch do tego portu, a blokować dostęp do portu bazy danych. Dzięki temu użytkownicy otwierają stronę, ale nie mogą bezpośrednio połączyć się z jej bazą.
Wiele zapór śledzi stan połączeń. Rozpoznają, że odpowiedź strony internetowej jest częścią komunikacji rozpoczętej przez przeglądarkę, a nie niezależną próbą dostępu z zewnątrz. Dlatego blokowanie niezamówionych połączeń przychodzących nie musi przeszkadzać w zwykłym przeglądaniu internetu.
Reguły mogą dotyczyć również ruchu wychodzącego, na przykład zabraniać konkretnej aplikacji łączenia się z internetem. Nie każda zapora domyślnie stosuje jednak restrykcyjną kontrolę takich połączeń.
Gdzie działa firewall: komputer, router i chmura
Zapora może chronić pojedyncze urządzenie albo kontrolować ruch pomiędzy całymi sieciami. Te rozwiązania uzupełniają się, ponieważ działają w różnych miejscach:
| Rodzaj zapory | Co kontroluje | Typowe zastosowanie |
|---|---|---|
| Systemowa | Połączenia konkretnego komputera lub serwera | Ochrona laptopa także poza domem |
| Na routerze lub osobnym urządzeniu | Ruch przechodzący między sieciami | Oddzielenie sieci domowej lub firmowej od internetu |
| W chmurze | Dostęp do zasobów zgodnie z regułami usługi | Ograniczenie dostępu do serwerów i baz danych |
Firewall nie musi więc być osobnym pudełkiem. Może być funkcją systemu operacyjnego, oprogramowaniem na routerze albo usługą udostępnianą przez dostawcę chmury. Zakres działania i ustawienia domyślne trzeba sprawdzić w dokumentacji konkretnego rozwiązania.
Nie należy utożsamiać zapory z NAT. NAT to mechanizm tłumaczenia adresów, dzięki któremu wiele urządzeń może korzystać ze wspólnego publicznego adresu IPv4. W typowej konfiguracji domowej utrudnia niezamówione połączenia przychodzące, ale nie jest zamiennikiem polityki filtrowania ruchu. Przy IPv6, gdzie urządzenia mogą mieć globalne adresy, poprawne reguły zapory również są potrzebne.
Przed czym chroni firewall, a czego nie zatrzyma?
Zapora ogranicza dostęp do usług, które nie powinny być publiczne, i może blokować komunikację między wydzielonymi częściami sieci. Przykładowo firmowa sieć dla gości może pozwalać na korzystanie z internetu, lecz nie na połączenia z komputerem księgowości. Firewall egzekwuje taki podział tylko wtedy, gdy ruch rzeczywiście przez niego przechodzi.
Samo włączenie zapory nie zabezpiecza jednak przed każdym zagrożeniem. Jeśli użytkownik wpisze hasło na fałszywej stronie dostępnej przez dozwolone połączenie HTTPS, podstawowy firewall zwykle tego nie powstrzyma. Nie naprawi też podatności w publicznie dostępnej aplikacji ani nie zagwarantuje ochrony przed atakiem przeciążającym łącze.
Antywirus i firewall mają inne zadania. Antywirus wykrywa złośliwe pliki lub zachowania na urządzeniu, a zapora kontroluje komunikację sieciową. Pakiety bezpieczeństwa mogą łączyć obie funkcje, ale jedna nie zastępuje drugiej.
Osobnym rozwiązaniem jest WAF, czyli zapora aplikacji internetowych. Analizuje żądania kierowane do strony lub API i może blokować wybrane próby wykorzystania błędów aplikacji. Nie jest tym samym co zwykła zapora portów i nie zwalnia z aktualizowania oprogramowania strony.
Jak bezpiecznie ustawić zaporę w domu?
Na prywatnym komputerze zacznij od sprawdzenia, czy zapora systemowa jest aktywna dla wszystkich używanych profili sieci. Profil publiczny przeznaczony jest dla niezaufanych sieci, na przykład Wi-Fi w hotelu; zwykle mocniej ogranicza wykrywanie urządzenia i udostępnianie zasobów.
Gdy program nie działa przez zaporę, nie wyłączaj całej ochrony. Zastosuj krótką procedurę:
- Ustal, jaka funkcja nie działa i czy rzeczywiście wymaga połączeń przychodzących.
- Sprawdź w oficjalnej dokumentacji programu wymagane porty lub zasady dostępu.
- Dodaj możliwie wąski wyjątek: dla konkretnej aplikacji, sieci lub adresu źródłowego.
- Przetestuj działanie i usuń wyjątek, gdy przestanie być potrzebny.
Przykładowo udostępnianie plików między laptopem a komputerem domowym może wymagać zezwolenia w zaufanej sieci prywatnej. Nie oznacza to, że tę samą usługę trzeba udostępniać w hotelowym Wi-Fi lub całemu internetowi.
Na routerze sprawdź również przekierowania portów, czyli ustawienia kierujące połączenia z internetu do urządzenia wewnątrz sieci. Każde przekierowanie powinno mieć konkretny cel; nie włączaj szerokiego dostępu tylko po to, by usunąć problem z jedną aplikacją.
Co sprawdzić przed zmianą reguł na serwerze?
Na serwerze dobrym punktem wyjścia jest blokowanie połączeń przychodzących poza usługami, które świadomie udostępniasz. Dostęp administracyjny najlepiej ograniczyć do zaufanych adresów lub VPN, czyli szyfrowanego tunelu do prywatnej sieci.
Przed zaostrzeniem reguł zapewnij sobie awaryjny dostęp przez konsolę dostawcy. Błędna reguła może odciąć także administratora. Jeśli ochronę zapewniają jednocześnie zapora systemowa i reguły chmury, sprawdź obie warstwy.
Pierwszy praktyczny krok to przegląd istniejących wyjątków: ustal, kto potrzebuje każdej dozwolonej usługi, skąd powinien mieć do niej dostęp i czy uprawnienie nadal jest potrzebne.
Zobacz też: Co to jest 2FA?
Przeczytaj także
