Copyright © 1997 RNDr. Libor Dostalek
 
 

Firewall

Firewall je dedikovaný systém tvořený jedním nebo více počítači k bezpečnému oddělení Intranetu od Internetu.

Firewall využívá všech mechanizmů, které jsme popsali v předchozích kapitolách, tj. filtrací, wrappery, proxy, gateway či SOCKS.

 Zejména firewally tvořené jedním počítačem jsou striktně dedikované, tj. realizované na počítačích vyhrazených pouze pro tento účel. Provozování jiných aplikací na firewallu přináší taková bezpečnostní rizika, jejichž efekt je takový jako kdybychom vnitřní síť připojili k Internetu bez jakékoliv ochrany.

Co přináší firewall nového kromě toho, že je realizován na dedikovaných počítačích? Firewall ukládá informace o provozu do souborů (logů), ze kterých lze nejenom vyčíst dílčí akce, ale i vytvářet sumární přehledy (reporty). Dále firewally umožňují sledovat události (alerty) a různě na ně reagovat: od vyslání mailu administrátorovi až po ukončení běhu firewallu.

 Firewall je zcela bezpečné oddělení Intranetu od Internetu na linkové vrstvě. Firewall fyzicky ví, zda-li datový rámec přišel z Intranetu nebo z Internetu.

Standardní knihovny TCP/IP aplikační vrstvě nejsou schopny předat (zaručit) z jakého síťového interfejsu (z jaké sítě) datový rámec přišel. Takže při použití klasické proxy máme vždy obavu, nepodvrhuje-li nám náhodou někdo z Internetu paket jakoby přišel z vnitřní sítě.

 Firewally realizované více počítači používají (teoreticky) standardní knihovny TCP/IP. Pouze operační systém jednoho z počítačů, který má dva síťové interfejsy je rozšířen o filtraci IP-datagramů (tzv. screening někdy též honosně firewalling). Standardní operační systém mající více síťových interfejsů provádí (nebo neprovádí) pouze routing, tj. pracuje jak router bez jakékoliv filtrace.

 Firewally realizované jedním počítačem ve značném rozsahu nepoužívají standardní knihovny TCP/IP. Vycházejí vždy z nějakého operačního systému, který je ale vždy silně okleštěn a některé komponenty má přepracovány. Takovýto fireewall je na úrovni zdrojových textů programů těžko přenositelný.

 Jaký firewall si zvolit? To opravdu není lehká otázka. S volbou firewallu souvisí i volba strategie přístupu firmy k Internetu. Vyplatí se do odpovědi na tuto otázku investovat. Vyplatí se si nechat vypracovat od zkušeného odborníka projekt, který zohlední všechny aspekty. Je třeba se na to podívat i z druhé strany: v případě ne zcela optimálního rozhodnutí se firma neoptimálnímu stavu postupně přizpůsobí. Mnohé věci se automaticky začnou provádět pracněji než je třeba (zaměstná se více zaměstnanců než je třeba) nebo občas někdo zneužije firemní data, takže firma přijde o nějaký zisk atd.

 Nemohu neuvést jedno kuriózní rozhodnutí blíže nejmenované české firmy spravující data značného významu. Její šéf přišel s tím, že se rozhodl pro jistý jednopočítačový firewall běžící na Window NT, protože firewall je takové to PC, které se v podstatě nepoužívá, ale když už musí být, tak na něm může udělat konta pro všechny písařky. Když některé z nich nepůjde PC, pak může jít psát na firewall a pomocí protokolu NetBEUI to uloží na síťový disk. Nenechá-li si to takovýto člověk vysvětlit, pak jste-li v roli dodavatele mu dodáte co chce ale o správu fireweallu jako další službu nejevíte zájem. V případě, že jste zaměstnanci, pak jste konečně pochopili, že tato firma pro Vás není to pravé ořechové.

 Zásadní rozhodnutí je, zda-li použít jednopočítačový firewall nebo vícepočítačový. Velké strategické firmy používají nejčastěji vícepočítačové firewally. Jakou firmu ale považujeme za velkou? Hrubou hranicí je skutečnost, že ve firmě se bude přistupovat do Internetu z více jak 500 počítačů. Kupodivu i v České Republice se takovéto firmy rozhodují pro vícepočítačové systémy.

 Největší překážkou pro nasazení vícepočítačového firewallu je nákup více počítačů, i když v konečném důsledku (jak si vysvětlíme) musí stejně nakonec firma pořídit počítače tři, tak ty tři počítače nekupuje jako firewall, ale postupně.

Vícepočítačové firewaly jsou modifikovatelné zcela na míru podle potřeb firmy. Přímo na počítačích firewallu se spouští aplikace, kterými se firma prezentuje v Internetu.

 Jednopočítačové firewaly naproti tomu směřují k boxu, který se umístí mezi ostatní prvky strukturované kabeláže. Firma CISCO nabízí takovýto box pod názvem firewall PIX, který má podobný konfigurační jazyk jako routery firmy CISCO, od kterých se příliš neliší ani rozměry. Firma CISCO nezatěžuje zákazníky informacemi o tom, na jakém typu operačního systému je tento firewall postaven.

 Firma DIGITAL také na veletrzích předvádí svůj jednopočítačový firewall Alta Vista na serveru zabudovaném do rack mount (stojanu s rošty) strukturované kabeláže. Asi by s Vámi u DIGITALů raději udělali obchod s instalací jejich speciality vícepočítačovým firewallem SEAL dnes označovaným jako Digital Firewall Service. Ale veletrh není to pravé místo, kde se takovéto zboží příliš ukazuje - podobně jako na veletrzích se asi příliš neukazují jaderné zbraně. Ti, kteří si totiž takové zboží kupují už předem dobře ví, co kupují.

Při rozhodování o typy firewallu není na škodu jistý konzervatizmus, tj. dávat přednost prověřeným technologiím - např. UNIXu.
 
 

SEAL

Firma DIGITAL měla vybudovánu interní celosvětovou síť v dobách, kdy Internet byl v začátcích. Řešili proto jako jedni z prvních problém propojení své sítě s Internetem. Jejich řešením je firewall SEAL. Firewall SEAL se dnes označuje jako Digital Firewall Service. Tímto názvem se chce vyjádřit, že SEAL je stavebnicí, ze které lze postavit firewall na míru podle potřeb zákazníka.

 Klasická sestava firewallu SEAL se skládá ze tří počítačů, které jsou označované: gatekeeper, gate a mailgate. Počítač gatekeeper a jeden interfejs počítače gate je na vnější síti označované jako REDnet (červená síť). Druhý interfejs počítače gate a počítač mailgate je umístěna na vnitřní (již bezpečné síti) BLUEnet (modrá síť).

 Počítač gatekeeper slouží zejména pro proxy. Počítač gate slouží jako filtr a počítač mailgate jako vnitřní mailový, news a DNS server.

 Na počítači gatekeeper jsou spouštěny proxy pro jednotlivé aplikace (TELNET, FTP, HTTP atd.). Sestava firewallu je snadno rozšiřitelná i na více počítačů v případě firmy jejíž komunikace s Internetem je velmi velká. Rozšíření se provede tak, že se místo jednoho počítače gatekeeper instaluje více počítačů mezi něž se jednotlivé proxy rozdělí. Rovněž je možné na tyto počítače instalovat např. WWW server www.firma.cz nebo anonymní FTP-server, kterými se firma prezentuje v Internetu.

 Není však zcela praktické kombinovat proxy a prezentační servery na jednu LAN. Důvodem je nejenom skutečnost, že prolomením ochrany na jeden ze serverů by si mohl útočník po přihlášení spustit program na sledování provozu LAN a odchytnout tak i přístupová hesla na ostatní (tomu je možné zabránit přepínaným Ethernetem nebo přepínaným FDDI), ale zejména skutečnost, že technologie LAN jsou pomalejší než sériové linky, kterými se velké firmy připojují do Internetu. Např. je-li firma připojena sériovou linkou 155 Mb/s, pak jedna LAN na bází Ethernetu ani FDDI by takovou kapacitu nevyužila.

 U velkých firem jsou jejich WWW-servery tak zatěžovány, že je to nad sílu jednoho počítače, proto je výhodné použít v těchto případech např. NAT.


 
 

Jak prochází firewallem datové pakety jednotlivých aplikačních protokolů?

Na následujícím obrázku je znázorněna cesta, kterou prochází pakety aplikačního protokolu TELNET v případě, že klient vnitřní sítě chce pracovat na serveru v Internetu. Analogická je cesta i paketů protokolu FTP a HTTP.

 Pro protokol TELNET se používá proxy telnetxd, protokol FTP se používá proxy ftpxd a pro protokol HTTP se spouští HTTP-server, který umí pracovat též jako proxy (např. CERN).

 Programy telnetxd a ftpxd mají v sobě přímo zabudovánu jednoduchou autentizaci (jednoduchý "wrapper"). Program telnetxd má konfigurační soubor hosts.telnetxd a program ftpxd má konfigurační soubor hosts.ftpxd. V těchto konfiguračních souborech správce firewallu specifikuje, kteří klienti mohou používat proxy. Klent se specifikuje na základě své IP-adresy. Dále se klient může specifikovat na základě skutečnosti, že je správně zaveden v reverzním DNS, tj. proxy se pokusí pomocí DNS najít k IP-adrese jméno počítače, je-li výsledek překladu záporný, pak se jedná o neznámého (UNKNOWN) klienta. Tento typ autentizace je určen zejména pro klienty vnitřní sítě.

 Chtějí-li přistupovat klienti z Internetu do vnitřní sítě, pak jednoduchá autentizace na základě IP-adresy klienta se považuje za nedostatečnou. Pro takovýto případ se klienti vybavují autentizačními pomůckami (např. autentizačním kalkulátorem), pomocí kterých si generují heslo na jedno použití. Tito klienti jsou před přístupem do vnitřní sítě autentizování wrapperem, který podporuje práci s příslušnými pomůckami. O každém klientu jsou vedeny v tzv. autentizační databázi informace podstatné pro jeho autentizaci.

 V případě vícepočítačového firewallu je možné udržovat databázi s autentizačními informacemi na počítači mailgate, protože je na bezpečné (modré) síti. Nad autentizační databází pracuje autentizační server, který provádí vlastní výpočty spojené s autentizací. Na počítači gatekeeper pak běží wrapper přijímací požadavky klientů. Každý požadavek si nechá prověřit od autentizačního serveru.

 Nesmíme také zapomínat na správce firewallu. Správce firewallu sedící ve vnitřní síti může chtít protokoly TELNET a FTP přistupovat na jednotlivé počítače firewallu.Pro správce mohou běžet na těchto počítačích nejenom proxy, ale i servery pro protokoly TELNET a FTP. Je třeba si zvážit, zda-li vůbec takovýto přístup pomocí sítě správci firewallu umožníme nebo jej budeme nutit vždy spravovat firewall od konzole.

 Pro případ, že umožníme správci přístup na jednotlivé počítače firewallu z vnitřní sítě je k dispozici wrapper netaccess, který autentizuje správce na základě IP-adresy jeho počítače, reverzního překladu DNS (je-li jeho počítač v reverzním DNS) a upraveným příkazem finger provádí zpětný dotaz, zda-li je správce na počítači uvedené IP-adresy vůbec přihlášen.

 Pro protokoly TELNET a FTP můžeme mít následující typy přístupu: