Що таке firewall і як працює мережевий екран
Автор: Редакція Domeny.ForSale Опубліковано
Коротко: Firewall, або мережевий екран, контролює з’єднання пристрою чи мережі та дозволяє або блокує їх за встановленими правилами. Він допомагає обмежити небажаний доступ, але не замінює оновлень, антивіруса й обережності щодо шахрайства. Удома зазвичай достатньо почати з увімкненого системного мережевого екрана та правильно налаштованого роутера.
Як працює мережевий екран?
Дані в мережі передаються пакетами — невеликими порціями інформації. Firewall перевіряє ці пакети та з’єднання за заданими правилами. Він може враховувати адресу IP відправника чи одержувача, напрямок трафіку, тип протоколу, а також порт — номер, що вказує на службу, з якою має відбутися обмін даними.
Наприклад, сайт, що використовує HTTPS — зашифроване з’єднання із сайтом, — зазвичай доступний через порт 443. Мережевий екран сервера може дозволяти загальнодоступний трафік до цього порту, але блокувати доступ до порту бази даних. Завдяки цьому користувачі можуть відкривати сайт, але не можуть безпосередньо під’єднатися до його бази даних.
Багато мережевих екранів відстежують стан з’єднань. Вони розпізнають, що відповідь сайту є частиною обміну даними, який розпочав браузер, а не окремою спробою доступу ззовні. Тому блокування вхідних з’єднань, яких пристрій не запитував, не обов’язково заважає звичайному перегляду інтернету.
Правила можуть стосуватися й вихідного трафіку, наприклад забороняти певному застосунку під’єднуватися до інтернету. Однак не кожен мережевий екран за замовчуванням суворо контролює такі з’єднання.
Де працює firewall: комп’ютер, роутер і хмара
Мережевий екран може захищати окремий пристрій або контролювати трафік між цілими мережами. Ці рішення доповнюють одне одного, оскільки працюють у різних місцях:
| Тип мережевого екрана | Що контролює | Типове застосування |
|---|---|---|
| Системний | З’єднання конкретного комп’ютера чи сервера | Захист ноутбука також поза домом |
| На роутері чи окремому пристрої | Трафік, що проходить між мережами | Відокремлення домашньої чи корпоративної мережі від інтернету |
| У хмарі | Доступ до ресурсів відповідно до правил сервісу | Обмеження доступу до серверів і баз даних |
Отже, firewall не обов’язково є окремим пристроєм. Він може бути функцією операційної системи, програмним забезпеченням на роутері або послугою хмарного провайдера. Можливості захисту та налаштування за замовчуванням слід перевіряти в документації конкретного рішення.
Не варто ототожнювати мережевий екран із NAT. NAT — це механізм трансляції адрес, завдяки якому багато пристроїв можуть використовувати спільну публічну адресу IPv4. У типовій домашній конфігурації він ускладнює встановлення незапитаних вхідних з’єднань, але не замінює правил фільтрування трафіку. Для IPv6, де пристрої можуть мати глобальні адреси, правильні правила мережевого екрана також потрібні.
Від чого захищає firewall, а чого не зупинить?
Мережевий екран обмежує доступ до служб, які не мають бути загальнодоступними, і може блокувати обмін даними між відокремленими частинами мережі. Наприклад, корпоративна гостьова мережа може дозволяти користуватися інтернетом, але не під’єднуватися до комп’ютера бухгалтерії. Firewall забезпечує таке розмежування лише тоді, коли трафік справді проходить через нього.
Проте саме лише ввімкнення мережевого екрана не захищає від усіх загроз. Якщо користувач введе пароль на підробленому сайті, доступному через дозволене з’єднання HTTPS, базовий firewall зазвичай цього не зупинить. Він також не усуне вразливостей у загальнодоступному застосунку й не гарантує захисту від атаки, яка перевантажує канал зв’язку.
Антивірус і firewall виконують різні завдання. Антивірус виявляє шкідливі файли чи поведінку на пристрої, а мережевий екран контролює мережевий обмін даними. Пакети захисного програмного забезпечення можуть поєднувати обидві функції, але одна не замінює іншу.
Окремим рішенням є WAF — екран захисту вебзастосунків. Він аналізує запити до сайту або API і може блокувати певні спроби використати помилки застосунку. Це не те саме, що звичайний мережевий екран, який фільтрує доступ до портів, і він не скасовує потреби оновлювати програмне забезпечення сайту.
Як безпечно налаштувати мережевий екран удома?
На особистому комп’ютері спочатку перевірте, чи ввімкнений системний мережевий екран для всіх профілів мережі, якими ви користуєтеся. Публічний профіль призначений для недовірених мереж, наприклад Wi-Fi у готелі; зазвичай він суворіше обмежує виявлення пристрою та спільний доступ до ресурсів.
Якщо мережевий екран заважає роботі програми, не вимикайте весь захист. Дотримуйтеся короткої процедури:
- З’ясуйте, яка функція не працює та чи справді вона потребує вхідних з’єднань.
- Перевірте в офіційній документації програми, які порти чи правила доступу їй потрібні.
- Додайте якомога вужчий виняток: для конкретного застосунку, мережі або адреси джерела.
- Перевірте роботу та видаліть виняток, коли він стане непотрібним.
Наприклад, для обміну файлами між ноутбуком і домашнім комп’ютером може знадобитися дозвіл у довіреній приватній мережі. Це не означає, що ту саму службу потрібно робити доступною в готельній мережі Wi-Fi або для всього інтернету.
На роутері також перевірте перенаправлення портів — налаштування, які спрямовують з’єднання з інтернету до пристрою всередині мережі. Кожне перенаправлення повинно мати конкретну мету; не відкривайте широкий доступ лише для того, щоб усунути проблему з одним застосунком.
Що перевірити перед зміною правил на сервері?
На сервері варто почати з блокування вхідних з’єднань, крім тих, що потрібні для служб, які ви свідомо робите доступними. Адміністративний доступ найкраще обмежити довіреними адресами або VPN — зашифрованим тунелем до приватної мережі.
Перш ніж посилювати правила, забезпечте собі аварійний доступ через консоль провайдера. Помилкове правило може заблокувати доступ і самому адміністратору. Якщо захист одночасно забезпечують системний мережевий екран і правила хмари, перевірте обидва рівні.
Перший практичний крок — переглянути наявні винятки: з’ясуйте, кому потрібна кожна дозволена служба, звідки ці користувачі мають отримувати до неї доступ і чи потрібен цей дозвіл досі.
Дивіться також: Що таке 2FA?
Читайте також
