Wat is een firewall en hoe werkt die?
Auteur: Redactie Domeny.ForSale Gepubliceerd
In het kort: Een firewall controleert de verbindingen van een apparaat of netwerk en laat ze door of blokkeert ze volgens ingestelde regels. Dat helpt ongewenste toegang te beperken, maar vervangt geen updates, antivirussoftware of oplettendheid bij oplichting. Thuis zijn een ingeschakelde systeemfirewall en een correct ingestelde router meestal een voldoende uitgangspunt.
Hoe werkt een firewall?
Gegevens reizen door een netwerk in pakketten: kleine hoeveelheden informatie. Een firewall beoordeelt deze pakketten en verbindingen aan de hand van regels. Daarbij kan hij rekening houden met het IP-adres van de afzender of ontvanger, de richting van het verkeer, het type protocol en de poort: een nummer dat aangeeft met welke dienst de verbinding tot stand moet komen.
Een website die HTTPS gebruikt, een versleutelde verbinding met de site, is bijvoorbeeld meestal bereikbaar via poort 443. De firewall van de server kan openbaar verkeer naar die poort toestaan, maar toegang tot de databasepoort blokkeren. Zo kunnen gebruikers de website openen, zonder rechtstreeks verbinding te kunnen maken met de database.
Veel firewalls houden de status van verbindingen bij. Ze herkennen dat een antwoord van een website deel uitmaakt van communicatie die de browser heeft gestart, en geen afzonderlijke toegangspoging van buitenaf is. Het blokkeren van ongevraagde inkomende verbindingen hoeft normaal internetgebruik daarom niet te hinderen.
Regels kunnen ook gelden voor uitgaand verkeer, bijvoorbeeld om een bepaalde app te verbieden verbinding te maken met internet. Niet elke firewall controleert zulke verbindingen standaard even streng.
Waar werkt een firewall: computer, router en cloud
Een firewall kan één apparaat beschermen of het verkeer tussen complete netwerken controleren. Deze oplossingen vullen elkaar aan, omdat ze op verschillende plekken werken:
| Type firewall | Wat wordt gecontroleerd? | Typische toepassing |
|---|---|---|
| Systeemfirewall | Verbindingen van een specifieke computer of server | Een laptop ook buitenshuis beschermen |
| Op een router of afzonderlijk apparaat | Verkeer tussen netwerken | Een thuis- of bedrijfsnetwerk van internet scheiden |
| In de cloud | Toegang tot resources volgens de regels van de dienst | Toegang tot servers en databases beperken |
Een firewall hoeft dus geen afzonderlijk kastje te zijn. Het kan een functie van het besturingssysteem zijn, software op een router of een dienst van een cloudprovider. Controleer in de documentatie van de betreffende oplossing wat deze precies controleert en welke standaardinstellingen gelden.
Een firewall is niet hetzelfde als NAT. NAT is een mechanisme dat adressen vertaalt, zodat meerdere apparaten één openbaar IPv4-adres kunnen delen. In een gebruikelijke thuisconfiguratie bemoeilijkt NAT ongevraagde inkomende verbindingen, maar het vervangt geen beleid voor het filteren van netwerkverkeer. Ook bij IPv6, waarbij apparaten wereldwijd bereikbare adressen kunnen hebben, zijn correcte firewallregels nodig.
Waartegen beschermt een firewall, en wat houdt hij niet tegen?
Een firewall beperkt de toegang tot diensten die niet openbaar toegankelijk moeten zijn en kan communicatie tussen afgescheiden delen van een netwerk blokkeren. Een gastnetwerk van een bedrijf kan bijvoorbeeld internetgebruik toestaan, maar verbindingen met de computer van de boekhouding blokkeren. Een firewall kan die scheiding alleen afdwingen als het verkeer daadwerkelijk via de firewall loopt.
Alleen een firewall inschakelen beschermt echter niet tegen elke dreiging. Als een gebruiker een wachtwoord invoert op een nepsite die via een toegestane HTTPS-verbinding bereikbaar is, zal een eenvoudige firewall dat meestal niet tegenhouden. Hij verhelpt ook geen kwetsbaarheden in een openbaar toegankelijke applicatie en biedt geen garantie tegen een aanval die de netwerkverbinding overbelast.
Antivirussoftware en een firewall hebben verschillende taken. Antivirussoftware detecteert schadelijke bestanden of schadelijk gedrag op een apparaat, terwijl een firewall de netwerkcommunicatie controleert. Beveiligingspakketten kunnen beide functies combineren, maar de ene vervangt de andere niet.
Een afzonderlijke oplossing is een WAF: een firewall voor webapplicaties. Die analyseert verzoeken aan een website of API en kan bepaalde pogingen om fouten in de applicatie te misbruiken blokkeren. Een WAF is niet hetzelfde als een gewone firewall die poorten filtert, en maakt het bijwerken van de websitesoftware niet overbodig.
Hoe stel je thuis een firewall veilig in?
Controleer op je eigen computer eerst of de systeemfirewall is ingeschakeld voor alle netwerkprofielen die je gebruikt. Het openbare profiel is bedoeld voor niet-vertrouwde netwerken, zoals Wi-Fi in een hotel. Dat profiel beperkt doorgaans sterker hoe zichtbaar je apparaat is voor anderen en welke resources het deelt.
Als een programma niet werkt door de firewall, schakel dan niet de volledige bescherming uit. Volg deze korte procedure:
- Bepaal welke functie niet werkt en of die daadwerkelijk inkomende verbindingen nodig heeft.
- Controleer in de officiële documentatie van het programma welke poorten of toegangsregels vereist zijn.
- Voeg een zo beperkt mogelijke uitzondering toe: voor een specifieke applicatie, een bepaald netwerk of een bepaald bronadres.
- Test of alles werkt en verwijder de uitzondering zodra die niet meer nodig is.
Bestanden delen tussen een laptop en een computer thuis kan bijvoorbeeld toestemming vereisen binnen een vertrouwd privénetwerk. Dat betekent niet dat je dezelfde dienst ook via de Wi-Fi van een hotel of voor het hele internet toegankelijk moet maken.
Controleer op de router ook de poortdoorsturingen: instellingen die verbindingen vanaf internet doorsturen naar een apparaat binnen het netwerk. Elke poortdoorsturing moet een concreet doel hebben. Sta geen brede toegang toe alleen om een probleem met één applicatie op te lossen.
Wat moet je controleren voordat je serverregels wijzigt?
Een goed uitgangspunt op een server is om inkomende verbindingen te blokkeren, behalve voor diensten die je bewust toegankelijk maakt. Beperk beheerderstoegang bij voorkeur tot vertrouwde adressen of een VPN: een versleutelde tunnel naar een privénetwerk.
Zorg voordat je de regels aanscherpt voor noodtoegang via de console van de provider. Een onjuiste regel kan ook de beheerder buitensluiten. Als zowel de systeemfirewall als cloudregels bescherming bieden, controleer dan beide lagen.
De eerste praktische stap is de bestaande uitzonderingen nalopen: bepaal voor elke toegestane dienst wie die nodig heeft, vanaf waar die toegankelijk moet zijn en of de toestemming nog nodig is.
Zie ook: Wat is 2FA?
Lees ook
