در حال بارگذاری...
دیوار آتش چگونه کار می‌کند؟ تفاوت stateless و stateful، فایروال‌های لایه کاربردی، NGFW، UTM، DMZ، قانون default-deny و ساختار ACL با مثال سیسکو.
اهداف این درس
فایروال اولین و مهم‌ترین خط دفاعی بین شبکه شما و دنیای بیرون است. اما فایروال‌ها انواع مختلفی دارند: برخی فقط هدر بسته را می‌بینند، برخی وضعیت اتصال را دنبال می‌کنند و برخی حتی محتوای برنامه را تحلیل می‌کنند. در این درس همه این سطوح را می‌آموزید.
هر بسته را به‌صورت مستقل و بدون آگاهی از اتصال قبلی بررسی می‌کند؛ فقط بر اساس IP و پورت (هدر) تصمیم می‌گیرد. به آن packet filter هم می‌گویند.
جدول وضعیت اتصال (State Table) را نگه می‌دارد و ترافیک برگشتی مرتبط با اتصالات مجاز را خودکار اجازه می‌دهد؛ امنیت و عملکرد بهتری دارد.
مقایسه فایروال stateless و stateful
| ویژگی | Stateless | Stateful |
|---|---|---|
| دانش اتصال | ندارد | دارد (State Table) |
| بررسی بر اساس | IP و پورت هر بسته | وضعیت اتصال + IP/پورت |
| سرعت | بیشتر | کمی کمتر (سربار جدول) |
| امنیت | پایین‌تر | بالاتر |
| پاسخ ترافیک برگشتی | به قانون صریح نیاز دارد | خودکار مجاز می‌شود |
تصمیم‌گیری در لایه ۳ و ۴ بر اساس آدرس IP و پورت TCP/UDP؛ سریع اما بدون درک برنامه و وضعیت.
ترافیک لایه ۷ را تحلیل می‌کند و رفتار اپلیکیشن را می‌فهمد؛ برای هر برنامه (HTTP، FTP و...) دروازه‌ای (Proxy) ایجاد می‌کند.
DMZ ناحیه‌ای است که سرویس‌های عمومی مانند وب‌سرور و ایمیل در آن قرار می‌گیرند. این ناحیه معمولاً بین دو فایروال (یا روی یک اینترفیس جداگانه) ساخته می‌شود تا اگر سرور عمومی به خطر افتاد، مهاجم به شبکه داخلی دسترسی مستقیم نداشته باشد.
1access-list 100 permit tcp 192.168.10.0 0.0.0.255 any eq 4432access-list 100 permit tcp 192.168.10.0 0.0.0.255 any eq 803access-list 100 deny ip any any45interface GigabitEthernet0/16 ip access-group 100 inقوانین ACL به‌صورت ترتیبی و از بالا به پایین ارزیابی می‌شوند؛ اولین قانون منطبق، تصمیم نهایی است. به همین دلیل قانون deny-همه در انتهای لیست قرار می‌گیرد تا فقط ترافیک صریحاً مجاز عبور کند.
قانون default-deny
بهترین رویکرد این است که پیش‌فرض همه ترافیک رد شود و فقط موارد ضروری با قانون صریح allow مجاز شوند. اگر قاعده پیش‌فرض allow باشد، فراموش‌کردن یک قانون برابر با بازگذاشتن درب است.
نکته آزمون
در سوالات ACL، به ترتیب قوانین و معنی وایلدکارد دقت کنید: 0.0.0.255 یعنی ۲۴ بیت شبکه ثابت و ۸ بیت آزاد. همچنین به یاد داشته باشید extended ACL از شماره 100 تا 199 است.
مثال عملی
می‌خواهیم شبکه داخلی فقط به وب (پورت 80 و 443) دسترسی داشته باشد. دو قانون allow برای این پورت‌ها، سپس deny ip any any، و اعمال لیست روی اینترفیس WAN به‌صورت ورودی، دقیقاً همان کاری است که در نمونه بالا انجام شد.
جمع‌بندی
فایروال را از ساده به پیچیده بشناسید: packet filter → stateful → application-layer → NGFW/UTM. همیشه default-deny را رعایت کنید، سرویس‌های عمومی را در DMZ بگذارید و ترتیب قوانین ACL را جدی بگیرید.
stateful firewall با جدول وضعیت اتصال (state table) پاسخ‌ها را به‌صورت خودکار مجاز می‌کند.
DMZ معمولاً بین دو منطقه امنیتی قرار می‌گیرد و سرویس‌های عمومی را ایزوله می‌کند.
در ACL سیسکو، اولین قانون منطبق (match) اعمال می‌شود؛ ترتیب قوانین حیاتی است.
فایروال stateless بر اساس چه اطلاعاتی تصمیم می‌گیرد؟
مهم‌ترین تفاوت فایروال stateless و stateful چیست؟
stateless هر بسته را به‌صورت مستقل و بدون دانش از اتصال قبلی بررسی می‌کند؛ stateful وضعیت اتصال را در state table نگه می‌دارد و ترافیک برگشتی مرتبط با اتصالات مجاز را خودکار اجازه می‌دهد.
چرا DMZ طراحی می‌شود؟
تا سرویس‌های عمومی (وب، ایمیل) در شبکه‌ای ایزوله و جدا از شبکه داخلی قرار بگیرند؛ اگر سرور DMZ هک شود، مهاجم به شبکه داخلی دسترسی مستقیم ندارد.
قانون default-deny یعنی چه؟
یعنی به‌صورت پیش‌فرض همه ترافیک رد می‌شود و فقط ترافیکی عبور می‌کند که قانون صریح allow دارد؛ این بهترین شیوه برای کاهش سطح حمله است.