Для чего нужен файрвол на роутере

Маршрутизируем и защищаем сеть

Роутер (router) в переводе с английского дословно означает маршрутизатор. Но, как всегда, дословный перевод не всегда отражает реальность. Модели «роутеров для доступа в Интернет», предлагаемые большинством вендоров, по факту представляют собой межсетевой экран, сочетающий и простые функции вроде фильтрации по MAC, и «продвинутые» анализаторы, например, контроль приложений (Application Patrol).

Так что же такое маршрутизатор, межсетевой экран, и где их можно встретить?

Маршрутизатор

В самом названии маршрутизатор заключена расшифровка его предназначения.

В классическом (академическом) представлении маршрутизатор нужен для трансляции пакетов между раздельными IP сетями. Это решает вопрос объединения разрозненных LAN и предотвращения роста широковещательного трафика в одной большой локальной сети разделением её на сегменты. Разумеется, для правильного перенаправления трафика необходимо знать, куда его отправлять, то есть выстраивать маршрут (автор благодарит «Капитана Очевидность» за точную формулировку).

Современные модели маршрутизаторов работают выше 3-го уровня модели OSI. Помимо трансляции IP пакетов из одной сети в другую, эти устройства часто имеют функции управления трафиком, например, возможность закрывать/открывать TCP или UPD порты, выполнять функции Port Address Translation, PAT (иногда называется Destination NAT, DNAT) и так далее. Также для работы некоторых протоколов необходимо, чтобы маршрутизатор умел работать как Application-level gateway, ALG, для обеспечения работы таких протоколов как: PPTP, IPsec, RTSP, SIP, H.323, SMTP, DNS, TFTP.

Маршрутизатором может быть и старый компьютер с настроенной таблицей маршрутов, и специализированное сетевое устройство, которое только и делает, что анализирует простейшие условия вроде списков ACL и перебрасывает пакеты из одной сети в другую.

В частности, маршрутизаторы в виде отдельных устройств применяются, если требуется не только логическое (VLAN) но и физическое разделение на подсети. Например, нужно отделить сеть кампуса, где живут студенты, от университетской сети, где идут исследования.

В современных локальных сетях вместо маршрутизаторов в виде отдельных устройств часто используются коммутаторы L3, позволяющие управлять VLAN, и соответственно, отдельными подсетями.

Пример из практики. Сеть небольшого предприятия, где в качестве ядра сети использовался Cisco Catalyst 3750. Согласно требованиям безопасности, коммутаторы уровня доступа были настроены по принципу: один коммутатор — одна подсеть — один VLAN. Для удешевления проекта выбрали свичи от 3Com. Проще говоря, каждый 3Com был подключен строго в одном VLAN и в одной подсети, а пакеты между подсетями ходили через Catalyst.

С задачей маршрутизацией между VLAN вполне справится L3 коммутатор Zyxel XGS4600-32. Помимо перенаправления пакетов он обладает ещё множеством полезных функций.

Рисунок 1. Коммутатор Zyxel XGS4600-32 L3 с функциями маршрутизатора.

Межсетевой экран

Обычный набор встроенных функций МСЭ (межсетевой экран): антивирус, IDP, патруль приложений — позволяет проверять трафик вплоть до 7 уровня OSI. Помимо этого, есть и другие возможности контроля, отсутствующие в обычных маршрутизаторах.

Разумеется, многие межсетевые экраны обладают стандартным «джентльменским набором» типичного маршрутизатора. Но «сила» МСЭ определяется наличием функций по фильтрации и управлению трафиком, а также усиленном аппаратным обеспечением для реализации этих задач.

Стоит отметить, что набор возможностей фильтрации того или иного устройства МСЭ вовсе не означает: «Чем больше функций смогли «накрутить», тем «лучше» межсетевой экран». Основной ошибкой было бы при покупке делать акцент на длине перечня всевозможных «фишек», без учета конкретного предназначения, конструктивных особенностей, параметров быстродействия и других факторов. Все должно быть строго дозировано и сбалансировано без перекосов в сторону «сверхбезопасности» или «суперэкономии».

И тут администратор сети сталкивается с первой проблемой. Если для SOHO сегмента не так уж сложно сформулировать типичный набор требований, то для корпоративного сегмента это требует дополнительной подготовки. Для лучшего удовлетворения нужд бизнеса существуют различные устройства — каждое под свою нишу. Например, для VPN Gateway набор функций по обеспечению безопасности, разумеется, играет большую роль, но основной задачей является все же создание и поддержание работоспособности VPN каналов. В качестве примера такого устройства можно привести ZyWALL VPN1000

Рисунок 2. Межсетевой экран VPN — ZyWALL VPN1000

А вот для Secure Gateway всевозможные фильтры, «Песочница» и другие виды проверок стоят на первом месте. В качестве примера такого специализированного устройства для повышения уровня защиты можно привести ZyWALL ATP800.

Рисунок 3. Межсетевой экран для обеспечения безопасности — ZyWALL ATP800.

Как видно из рисунков, внешний вид подобных устройств может быть весьма схож, а всё отличие заключается внутри — программном и аппаратном обеспечении. Более подробно об можно прочитать в статье «Для тех, кто выбирает межсетевой экран».

Механизмы защиты межсетевых экранов

Теперь, когда мы обсудили отличия между маршрутизаторами и сетевыми экранами, а также между различными типами межсетевых экранов — самое время поговорить о методах поддержания требуемого уровня безопасности. Какие этапы защиты, через которые проходит трафик, помогают поддерживать сеть в безопасности?

Firewall

Данный сервис перешел «по наследству» от маршрутизаторов. При помощи файрвола отслеживаются и блокируются нежелательные адреса, закрываются порты, анализируются другие признаки пакетов, по которым можно «вычислить» нежелательный трафик. На этом этапе происходит отражения большого числа угроз, таких как попытки соединиться с общедоступными TCP портами, бомбардировка пакетами с целью выведения системы из строя и так далее.

IP Reputation

Это облачное расширение функций обычного файрвола и безусловный шаг вперед. Дело в том, что в обычной ситуации система ничего не знает об источнике или приемнике (в зависимости от типа трафика). Если это явно не прописано в правилах файрвола, например, «Запретить», то трафик будет проходить, пусть даже от самых вредоносных сайтов. Функция IP Reputation позволяет проверить, является ли IP-адрес подозрительным или «засветился» в той или иной базе данных по проверке репутации. Если со стороны базы данных поступили сведения о плохой репутации IP адреса, то появляется возможность для маневра: оставить прохождение трафика без изменений, запретить полностью или разрешить при определенном условии.

Проверка происходит быстро, потому что отправляется только сам IP адрес и короткий запрос, ответ также приходит в крайне лаконичной форме, что не оказывает сильного влияние на объем трафика.

SSL Inspection

Позволяет проверять трафик, зашифрованный по протоколу SSL для того, чтобы остальные профили МСЭ могли раскрывать пакеты и работать с SSL трафиком как с незашифрованным. Когда информационный поток защищен от внешнего доступа при помощи шифрования, то и проверить его не представляется возможным — для этого тоже нужен доступ к его содержанию. Поэтому на этапе проверки трафик расшифровывается, прочитывается системой контроля и повторно шифруется, после чего передается в пункт назначения.

С одной стороны, внешне это напоминает атаку man-in-middle, что выглядит как нарушение системы защиты. С другой стороны, SSL шифрование защищает не только полезную информацию, но и всевозможные нарушения корпоративной безопасности. Поэтому применение SSL Inspection на этапе санкционированной проверки выглядит весьма оправданным.

Intrusion Detection/Prevention Service

Системы обнаружения вторжений Intrusion Detection System, IDS, давно нашли применение в межсетевых экранах. Данная функция предназначена для сетевого мониторинга, анализа и оповещения в случае обнаружения сетевой атаки. Механизм IDS основывается на определённом шаблоне и оповещает при обнаружении подозрительного трафика. К сожалению, IDS сами по себе не в состоянии остановить атаку, они лишь оповещают о ней.

А вот система предотвращения вторжений — Intrusion Prevention Service, IPS, является определенным шагом вперед и, помимо обнаружения нежелательного трафика, способна сама блокировать или отбрасывать нежелательные пакеты. Тем самым предотвращая попытки взлома или просто нежелательные события.

Для обеспечения работы IPS — используются специальные сигнатуры, благодаря которым можно распознавать нежелательный трафик и защищать сеть как от широко известных, так и от неизвестных атак. Помимо предотвращения вторжения и распространение вредоносного кода, IPS позволяет снизить нагрузку на сеть, блокируя опасный или попросту бесполезный трафик. База данных IPS включает информацию о глобальных атаках и вторжениях, собранную на публичных или специализированных закрытых сайтах, что позволяет обнаружить сетевые атаки при минимальном количестве ошибочных срабатываний.

Antimalware

Исторически под этим названием понимают классический антивирус, но в последнее время область применения данного механизма защиты значительно расширена и включает в себя не только защиту от вирусов, но и от другого вредоносного кода, включая фишинговые приложения, небезопасные скрипты и так далее.

В качестве «движка» (engine) в межсетевых шлюзах Zyxel используются локальные сигнатуры от BitDefender и облачные от McAfee.

Sandbox

Традиционно из самых больших проблем сетевой безопасности является постоянное распространение новых вирусов.

Выше уже описывались другие средства защиты: IPS и антивирус (antimalware) для защиты сетей. Однако эти две функции не всегда эффективны против новых модификаций вредоносного кода. Зачастую приходится сталкиваться с мнением о том, что антивирус «на потоке» способен определить только очень простые и широко известные угрозы, в первую очередь полагаясь на записи в антивирусных базах. Для более серьезных случаев требуется поведенческий анализ. Грубо говоря, нужно создать для предполагаемого вредоносного кода комфортные условия и попробовать его запустить.

Как раз «Песочница» (Sandbox) — это и есть виртуализированная, изолированная и безопасная среда, в которой запускаются неизвестные файлы для анализа их поведения.

«Песочница» работает следующим образом:

Когда файл проходит через вирусную программу, она сначала проверяет базу данных защиты от вредоносных программ.

Если файл неизвестен, его копия перенаправляется в Sandbox.

Эта служба проверяет файл и определяет, является ли он нормальным, подозрительным или опасным.

По результатам проверки «Песочница», размещенная в облаке, получит новую информацию об этом новом элементе и сохранить её в своей базе данных для аналогичных случаев. Таким образом, облачная архитектура не только делает его общедоступным, но и позволяет постоянно обновлять в режиме реального времени.

В свою очередь, база данных защиты от вредоносных программ регулярно синхронизируется с «Песочницей», чтобы поддерживать ее в актуальном состоянии и блокировать новые вредоносные вирусы в режиме реального времени.

E-mail security

Данная служба включает в себя антиспам и проверку на фишинговые вложения.

В качестве инструментов в настройках «Anti-Spam» доступно:

• «белый список» — «White List», чтобы определять и пропускать полезную почту от доваренных отправителей.
• «черный список» — «Black List» для выявления и обработки спама;
• также возможна проверка электронной почты на наличие в «черных списках» DNS (DNSBL),

Примечание. DNSBL — это базы данных, где указываются домены и IP адреса подозрительных серверов. Существует большое число серверов DNSBL которые отслеживают IP адреса почтовых серверов, имеющих репутацию источников спама и заносят их в свои базы данных.

Content Filtering

Говоря про контентную фильтрацию, в данном случае мы будем иметь в виду ZYXEL Content Filtering 2.0, который служит для управления и контроля доступа пользователей к сети.

Механизм наблюдения Zyxel Content Filtering 2.0 изучает особенности поведения пользователей в Интернет. Это позволяет оперативно сканировать принимаемую информацию из глобальной сети.

Проще говоря, данная система повышает уровень безопасности, блокируя доступ к опасным и подозрительным веб-сайтам и предотвращает загрузку с них вредоносного кода. В целях стандартизации и унификации настроек можно применять политики, например, для точно настраиваемой блокировки и фильтрации.

Если говорить об изменениях (собственно, почему «2.0»), то в новой версии Content Filtering были внесены несколько существенных изменений, в частности:

• улучшено представление информации;
• расширен спектр обнаруживаемых угроз;
• добавлена фильтрацию по URL-адресам и доменам HTTPS;
• добавлен безопасный поиск и блокирование по GeoIP.

Переход на Content Filtering 2.0 происходит через загрузку соответствующего микрокода.

Отдельно стоит сказать о пополнении информационной базы. За счет обработки более 17 миллиардов транзакций каждый день, выполняемых 600 миллионами пользователей из 200 стран, пополняется глобальная база данных, и с каждым новым «знанием» повышается степень защиты системы. Стоит также отметить, что >99% контролируемого контента уже содержится в локальном кэше, что позволяет быстрее обрабатывать поступающие запросы.

Таблица 1. Security Service Content Filtering 2.0 — Схема применения.

Application Patrol

Данная служба работает на 7 уровне OSI и проверяет популярные сетевые приложения, включая социальные сети, игры, бизнес-приложения совместно с моделью их поведения.

В Zyxel Application Patrol применяется модуль Deep Packet Inspection (DPI) для контроля использование сети. Данный модуль распознает 19 категорий приложений, что позволяет адаптировать протоколы управления с учетом конкретных приложений и их поведения.

Среди механизмов защиты можно отметить: назначение приоритетов для приложений, контроль полосы пропускания для каждого приложения, блокировка нежелательных приложений. Данные меры не только повышают уровень безопасности, но и улучшают работу сети в целом, например, через запрет нецелевого использования полосы пропускания.

Основой для идентификации приложений служат специальные сигнатуры, полученные благодаря анализу данных, модели поведения и так далее. Собранная информация хранится в база данных Zyxel и содержит данные о большом количестве различных приложений, включая особенности их поведения, генерируемый трафик и так далее. База данных постоянно обновляется.

В итоге

Мы только поверхностно пробежали по небольшой части функций, которые отличают маршрутизатор от межсетевого экрана. Тем не менее, очевидно, что эти устройства имеют разное предназначение, функции, схемы использования. Эти особенности находят свое отражение как при проектировании новых сетей, так и при эксплуатации уже существующих.

Полезные ссылки

1. Telegram chat Zyxel
2. Форум по оборудованию Zyxel
3. Много полезного видео на канале Youtube
4. Для тех, кто выбирает межсетевой экран
5. Коммутаторы Zyxel L3 серии XGS4600
6. Межсетевой экран VPN ZyWALL VPN1000
7. Межсетевой экран ATP ZyWALL ATP800
8. Фильтрация контента Content Filtering 2.0
9. Zyxel Application Patrol
10. Что такое DNSBL и как туда вам не попасть

C распространением широкополосного доступа в интернет и карманных гаджетов стали чрезвычайно популярны беспроводные роутеры (маршрутизаторы). Такие устройства способны раздавать сигнал по протоколу Wi-Fi как на стационарные компьютеры, так и на мобильные устройства — смартфоны и планшеты, — при этом пропускной способности канала вполне достаточно для одновременного подключения нескольких потребителей.

Сегодня беспроводной роутер есть практически в любом доме, куда проведён широкополосный интернет. Однако далеко не все владельцы таких устройств задумываются над тем, что при настройках по умолчанию они чрезвычайно уязвимы для злоумышленников. И если вы считаете, что не делаете в интернете ничего такого, что могло бы вам повредить, задумайтесь над тем, что перехватив сигнал локальной беспроводной сети, взломщики могут получить доступ не только к вашей личной переписке, но и к банковскому счёту, служебным документам и любым другим файлам.

Хакеры могут не ограничиться исследованием памяти исключительно ваших собственных устройств — их содержимое может подсказать ключи к сетям вашей компании, ваших близких и знакомых, к данным всевозможных коммерческих и государственных информационных систем. Более того, через вашу сеть и от вашего имени злоумышленники могут проводить массовые атаки, взломы, незаконно распространять медиафайлы и программное обеспечение и заниматься прочей уголовно наказуемой деятельностью.

Между тем, чтобы обезопасить себя от подобных угроз, стоит следовать лишь нескольким простым правилам, которые понятны и доступны даже тем, кто не имеет специальных знаний в области компьютерных сетей. Предлагаем вам ознакомиться с этими правилами.

1. Измените данные администратора по умолчанию

Чтобы получить доступ к настройкам вашего роутера, необходимо зайти в его веб-интерфейс. Для этого вам нужно знать его IP-адрес в локальной сети (LAN), а также логин и пароль администратора.

Внутренний IP-адрес роутера по умолчанию, как правило, имеет вид 192.168.0.1, 192.168.1.1, 192.168.100.1 или, например, 192.168.123.254 — он всегда указан в документации к аппаратуре. Дефолтные логин и пароль обычно также сообщаются в документации, либо их можно узнать у производителя роутера или вашего провайдера услуг.

Вводим IP-адрес роутера в адресную строку браузера, а в появившимся окне вводим логин и пароль. Перед нами откроется веб-интерфейс маршрутизатора с самыми разнообразными настройками.

Ключевой элемент безопасности домашней сети — возможность изменения настроек, поэтому нужно обязательно изменить все данные администратора по умолчанию, ведь они могут использоваться в десятках тысяч экземпляров таких же роутеров, как и у вас. Находим соответствующий пункт и вводим новые данные.

В некоторых случаях возможность произвольного изменения данных администратора заблокирована провайдером услуг, и тогда вам придётся обращаться за помощью к нему.

2. Установите или измените пароли для доступа к локальной сети

Вы будете смеяться, но всё ещё встречаются случаи, когда щедрый обладатель беспроводного роутера организует открытую точку доступа, к которой может подключиться каждый. Гораздо чаще для домашней сети выбираются псевдопароли типа «1234» или какие-то банальные слова, заданные при установке сети. Чтобы минимизировать вероятность того, что кто-то сможет с лёгкостью забраться в вашу сеть, нужно придумать настоящий длинный пароль из букв, цифр и символов, и установить уровень шифрования сигнала — желательно, WPA2.

3. Отключите WPS

Технология WPS (Wi-Fi Protected Setup) позволяет быстро наладить защищённую беспроводную связь между совместимыми устройствами без подробных настроек, а лишь нажатием соответствующих кнопок на роутере и гаджете или путём ввода цифрового кода.

Между тем, у этой удобной системы, обычно включённой по умолчанию, есть одно слабое место: поскольку WPS не учитывает число попыток ввода неправильного кода, она может быть взломана «грубой силой» путём простого перебора с помощью простейших утилит. Потребуется от нескольких минут до нескольких часов, чтобы проникнуть в вашу сеть через код WPS, после чего не составит особого труда вычислить и сетевой пароль.

Поэтому находим в «админке» соответствующий пункт и отключаем WPS. К сожалению, внесение изменений в настройки далеко не всегда действительно отключит WPS, а некоторые производители вообще не предусматривают такой возможности.

4. Измените наименование SSID

Идентификатор SSID (Service Set Identifier) — это название вашей беспроводной сети. Именно его «вспоминают» различные устройства, которые при распознавании названия и наличии необходимых паролей пытаются подключиться к локальной сети. Поэтому если вы сохраните стандартное название, установленное, например, вашим провайдером, то есть вероятность того, что ваши устройства будут пытаться подключиться ко множеству ближайших сетей с тем же самым названием.

Более того, роутер, транслирующий стандартный SSID, более уязвим для хакеров, которые будут примерно знать его модель и обычные настройки, и смогут нанести удар в конкретные слабые места такой конфигурации. Потому выберите как можно более уникальное название, ничего не говорящее ни о провайдере услуг, ни о производителе оборудования.

При этом часто встречающийся совет скрывать трансляцию SSID, а такая опция стандартна для подавляющего большинства роутеров, на самом деле несостоятелен. Дело в том, что все устройства, пытающиеся подключиться к вашей сети, в любом случае будут перебирать ближайшие точки доступа, и могут подключиться к сетям, специально «расставленным» злоумышленниками. Иными словами, скрывая SSID, вы усложняете жизнь только самим себе.

5. Измените IP роутера

Чтобы ещё более затруднить несанкционированный доступ к веб-интерфейсу роутера и его настройкам, измените в них внутренний IP-адрес (LAN) по умолчанию.

6. Отключите удалённое администрирование

Для удобства технической поддержки (в основном) во многих бытовых роутерах реализована функция удалённого администрирования, при помощи которой настройки роутера становятся доступны через интернет. Поэтому, если мы не хотим проникновения извне, эту функцию лучше отключить.

При этом, однако, остаётся возможность зайти в веб-интерфейс через Wi-Fi, если злоумышленник находится в поле действия вашей сети и знает логин и пароль. В некоторых роутерах есть функция ограничить доступ к панели только при наличии проводного подключения, однако, к сожалению, эта опция встречается довольно редко.

7. Обновите микропрограмму

Каждый уважающий себя и клиентов производитель роутеров постоянно совершенствует программное обеспечение своего оборудования и регулярно выпускает обновлённые версии микропрограмм («прошивок»). В свежих версиях прежде всего исправляются обнаруженные уязвимости, а также ошибки, влияющие на стабильность работы.

Именно поэтому мы настоятельно рекомендуем регулярно проверять обновления микропрограмм и устанавливать их на свой роутер. В большинстве случаев это можно сделать непосредственно через веб-интерфейс.

Обратите внимание на то, что после обновления все сделанные вами настройки могут сброситься до заводских, поэтому есть смысл сделать их резервную копию — также через веб-интерфейс.

8. Перейдите в диапазон 5 ГГц

Базовый диапазон работы сетей Wi-Fi — это 2,4 ГГц. Он обеспечивает уверенный приём большинством существующих устройств на расстоянии примерно до 60 м в помещении и до 400 м вне помещения. Переход в диапазон 5 ГГц снизит дальность связи в два-три раза, ограничив для посторонних возможность проникнуть в вашу беспроводную сеть. За счёт меньшей занятости диапазона, вы сможете также заметить повысившуюся скорость передачи данных и стабильность соединения.

Минус у этого решения только один — далеко не все устройства работают c Wi-Fi стандарта IEEE 802.11ac в диапазоне 5 ГГц.

9. Отключите функции PING, Telnet, SSH, UPnP и HNAP

Если вы не знаете, что скрывается за этими аббревиатурами, и не уверены, что эти функции вам обязательно потребуются, найдите их в настройках роутера и отключите. Если есть такая возможность, вместо закрытия портов, выберите скрытый режим (stealth), который при попытках зайти на них извне сделает эти порты «невидимыми», игнорируя запросы и «пинги».

10. Включите брандмауэр роутера

Если в вашем роутере есть встроенный брандмауэр, то рекомендуем его включить. Конечно, это не бастион абсолютной защиты, но в комплексе с программными средствами (даже со встроенным в Windows брандмауэром) он способен вполне достойно сопротивляться атакам.

11. Отключите фильтрацию по MAC-адресам

Хотя на первый взгляд кажется, что возможность подключения к сети только устройств с конкретными MAC-адресами полностью гарантирует безопасность, в действительности это не так. Более того, оно делает сеть открытой даже для не слишком изобретательных хакеров. Если злоумышленник сможет отследить входящие пакеты, то он быстро получит список активных MAC-адресов, поскольку в потоке данных они передаются в незашифрованном виде. А подменить MAC-адрес не проблема даже для непрофессионала.

12. Перейдите на другой DNS-сервер

Вместо использования DNS-сервера вашего провайдера, можно перейти на альтернативные, например, Google Public DNS или OpenDNS. С одной стороны, это может ускорить выдачу интернет-страниц, а с другой, повысить безопасность. К примеру, OpenDNS блокирует вирусы, ботнеты и фишинговые запросы по любому порту, протоколу и приложению, и благодаря специальным алгоритмам на базе Больших Данных способен предсказывать и предотвращать разнообразные угрозы и атаки. При этом Google Public DNS — это просто скоростной DNS-сервер без дополнительных функций.

13. Установите альтернативную «прошивку»

И, наконец, радикальный шаг для того, кто понимает, что делает, — это установка микропрограммы, написанной не производителем вашего роутера, а энтузиастами. Как правило, такие «прошивки» не только расширяют функциональность устройства (обычно добавляются поддержка профессиональных функций вроде QoS, режима моста, SNMP и т.д), но и делают его более устойчивым к уязвимостям — в том числе и за счёт нестандартности.

Среди популярных open-source «прошивок» можно назвать основанные на Linux DD-WRT, OpenWrt и Tomato.

Поэтому современные брандмауэры не только защищают периметр сети, как обычно, но и добавляют функции безопасности, которые были немыслимы 20 лет назад. Несмотря на регулярные предсказания о неизбежной потере популярности, брандмауэры в настоящее время находятся на пике популярности.

Межсетевой экран (Firewall)

Брандмауэр или межсетевой экран — набор аппаратных или программных средств, которые контролируют и фильтруют проходящие сетевые пакеты на различных уровнях модели OSI в соответствии с заранее определенными правилами.

Брандмауэр, или межсетевой экран, — это термин, обозначающий аппаратное и программное обеспечение, которое управляет входящим и исходящим сетевым трафиком. Входящие данные могут контролироваться на основе заранее определенного набора правил и исключаться из дальнейшей передачи1.

Оба названия заимствованы из иностранных языков и означают одно и то же: «брандмауэр» — в переводе с английского («firewall») и немецкого («Brandmauer») соответственно.

Как следует из оригинального выражения, межсетевые экраны предназначены для защиты внутренней информационной среды или ее частей от определенного внешнего трафика, и наоборот, предотвращая отправку определенных пакетов в Интернете. Брандмауэры могут использоваться для фильтрации подозрительного и вредоносного трафика, такого как попытки взлома и утечки данных.

Правильно настроенный брандмауэр позволяет пользователям сети получать доступ ко всем необходимым ресурсам и отбрасывает нежелательные соединения от хакеров, вирусов и других вредоносных программ, пытающихся проникнуть в защищенную среду.

Брандмауэры нового поколения определяются аналитиками Gartner как технология сетевой безопасности предприятия, включающая полный набор средств обнаружения и предотвращения вторжений, проверку на уровне приложений и детальное управление политиками.

Если ваша организация рассматривает возможность использования межсетевого экрана следующего поколения, самое главное — определить, позволит ли такой монитор безопасно разрабатывать приложения на благо вашей организации. Первый шаг, который вам необходимо сделать, — это получить ответы на следующие вопросы:.

• Улучшают ли межсетевые экраны нового поколения видимость и понимание сетевого трафика?
• Можно ли сделать политику управления трафиком более гибкой, добавив другие варианты, кроме разрешающих и запрещающих?
• Защищена ли сеть от известных и неизвестных киберугроз и атак?
• Будет ли неизвестный трафик систематически обнаруживаться и управляться?
• Можно ли применять необходимые политики безопасности без ущерба для производительности?
• Снизить нагрузку на команду управления брандмауэром?
• Упростит ли он управление рисками и сделает ли процессы более эффективными?
• Повысит ли это экономическую эффективность бизнеса?

Если ответ на любой из вышеперечисленных вопросов «да», то вы можете сделать следующий шаг и обосновать переход от старого брандмауэра к брандмауэру нового поколения. После завершения процесса выбора поставщиков или закрытия поставщиков через процесс подачи заявок, следующим шагом является оценка возможностей физического межсетевого экрана путем применения объектов и политик, которые точно представляют различные типы и комбинации трафика и бизнес-процессов. Биология.

Основная задача брандмауэра — защита компьютерной сети или отдельных узлов от несанкционированного доступа. Брандмауэры часто также называют фильтрами, поскольку они предотвращают (фильтруют) пакеты, которые не соответствуют критериям, определенным в конфигурации.

Другие названия

Брандмауэр (нем. Brandmauer) — термин, заимствованный из немецкого языка, аналогичный английскому firewall в его первоначальном значении (разделение соседних зданий и предотвращение распространения огня). Интересно, что термин «брандмауэр» используется в немецком языке в области компьютерных технологий.

Брандмауэр, брандмауэр, брандмауэр, брандмауэр, брандмауэр, брандмауэр — эквивалент термина брандмауэр, образованный путем транслитерации английского термина firewall, но в настоящее время не являющийся официальным заимствованным словом в русском языке, который не указан в течение 169 дней.

История межсетевых экранов

Брандмауэры — это либо программные средства, либо набор программного и аппаратного обеспечения. И поначалу, как и брандмауэры, давшие им название, они были чисто железными.

В контексте компьютерных технологий этот термин стал использоваться в 1980-х годах. Интернет находился на заре своего глобального применения.

Считается, что до появления названия firewall в реальной жизни, оно появилось в фильме 1983 года «Военные игры». Здесь главный герой — хакер, который взламывает сеть Пентагона. Возможно, это повлияло на заимствование и использование названия этого конкретного устройства.

Первые брандмауэры можно назвать маршрутизаторами, которые защищали сеть в конце 1980-х годов. Поскольку все передаваемые данные проходили через них, имело смысл добавить возможности фильтрации пакетов.

Поэтому современные брандмауэры не только защищают периметр сети, как обычно, но и добавляют функции безопасности, которые были немыслимы 20 лет назад. Несмотря на регулярные предсказания о неизбежной потере популярности, брандмауэры в настоящее время находятся на пике популярности.

Что такое Firewall

Другое название брандмауэра — межсетевой экран. По сути, это специальный фильтр, который проверяет информацию, получаемую из Интернета, на наличие вредоносных данных. Например, вирусы. Для того чтобы отличить потенциально опасные, он сравнивает входящие пакеты данных с пакетами данных с определенной базой.

Однако это лишь первая «баррикадная линия», и на нее не следует полностью полагаться. Он помогает избежать наиболее распространенных проблем, но не гарантирует 100% безопасности устройства.

Для чего нужен Firewall в роутере

Этот брандмауэр используется маршрутизаторами для защиты сетевых соединений. Он блокирует вредоносные данные еще на этапе проникновения в сеть пользователя, потенциально спасая все устройства, входящие в нее.

Почти все современные устройства поставляются со встроенным брандмауэром, который обеспечивает хотя бы минимальную безопасность. При выборе маршрутизатора рекомендуется обратить особое внимание на наличие таких функций. Они могут быть не оснащены бюджетными версиями и могут вызвать огромное количество проблем из-за хакерских атак и различных вирусов. В этом случае нет необходимости экономить на безопасности.

Как настроить Firewall в роутере

Существует три основных уровня защиты, которые может обеспечить брандмауэр для среднего маршрутизатора.

1. Минимальный. Самый слабый уровень безопасности. Значительно увеличивает шансы хакеров атаковать ваш компьютер или заразить его вредоносными программами. С другой стороны, скорость соединения немного выше, так как система проверяет только небольшую часть данных. Однако, хотя преимущества незначительны, проблемы, которые могут возникнуть, настолько серьезны, что рекомендуется не выбирать этот режим защиты.
2. Стандарт. Этот режим обычно устанавливается по умолчанию. Самые распространенные угрозы блокируются без существенного снижения скорости соединения. Этот вариант может быть рекомендован для пользователей с небольшим знанием предмета.
3. Максимум. Блокирует все подозрительные пакеты данных, но значительно снижает скорость соединения. Во многих случаях рекомендуется использовать эту настройку вместо других антивирусных программ, установленных непосредственно на устройстве, входящем в сеть.

Названия и отдельные детали этой настройки могут сильно отличаться в зависимости от различных параметров. Важно помнить, что большинство провайдеров требуют от пользователей настройки определенных параметров, которые наилучшим образом соответствуют используемому ими соединению. Поэтому попытка изменить что-либо самостоятельно может привести к отключению вашего интернет-соединения.

Основной функцией традиционного брандмауэра является мониторинг и фильтрация трафика на сетевом и транспортном уровнях модели OSI. В отличие от них, прокси-серверы устанавливают соединения между клиентами и серверами, позволяя им проверять прикладной уровень, фильтровать запросы на соединение и т.д.

Примеры известных программ-фаерволов

Операционные системы имеют встроенные средства защиты, а многие антивирусные программы — встроенные брандмауэры, но это не мешает вам выбрать, установить и настроить брандмауэр по своему усмотрению, если это необходимо.

Популярные бесплатные брандмауэры для Windows:.

• Comodo Firewall ;
• Sentinel Firewall Free ;
• ZoneAlarm Free Firewall;
• PC Tools Firewall Plus;
• Emsisoft Online Armor Free;
• Приватный фейерверк;
• TinyWall (не так популярен, как другие, но не конкурирует со встроенными брандмауэрами и эффективен против троянов).

Как настроить брандмауэр для Windows?

Настройка брандмауэра — сложная задача, требующая больших знаний. Необходимо разработать последовательный набор фильтров правил, которые смогут обеспечить защиту, не мешая работе полезных программ. Каждое правило имеет несколько свойств, все из которых должны быть настроены соответствующим образом.

Для упрощения задачи можно использовать несколько методов.

использовать специальное ПО для настройки брандмауэра ( Windows Firewall Control — бесплатная компактная утилита);

Давайте рассмотрим, как разрешить доступ к отдельным приложениям.

1. В Панели управления найдите Брандмауэр Windows.
2. [Открыть Разрешить брандмауэру Windows взаимодействовать с приложением или компонентом.
3. Изменение настроек, Разрешение различных приложений.
4. Введите местоположение программы, выберите тип сети и нажмите Добавить.

[Брандмауэр] на роутере ASUS — Введение

Что такое Брандмауэр?

Включение брандмауэра обеспечивает защиту Вашей локальной сети и помогает Вам контролировать доступ на различных уровнях, разделяя сеть на разные области. Таким образом, это способствует ограничению доступа к некоторым сетевым службам и защищает Вашу сеть.

Чем отличается брандмауэр на роутере ASUS и на Вашем ноутбуке?

Возьмём в качестве примера изображение ниже.

Брандмауэр на роутере ASUS имеет встроенные правила фильтрации пакетных данных для защиты всего окружения локальной сети. Брандмауэр на Вашем ноутбуке, напротив, позволяет защищать только сам ноутбук.

В роутере имеется возможность настроить некоторые параметры (например, Фильтр URL-адресов, Фильтр ключевых слов, Фильтр сетевых служб, и т.д.), чтобы разрешить или ограничить работу той или иной сетевой службы, что способствует управлению и защите Вашей сети. Напротив, когда устройства, подключённые к локальной сети роутера, обмениваются пакетами между собой, управление ими зависит от работы брандмауэра, установленного на них. Для обеспечения более надёжной защиты сетевого окружения мы рекомендуем Вам запустить брандмауэр и на роутере ASUS, и на Ваших клиентских устройствах.

Войдите в веб-меню роутера ASUS

Шаг 1. Подключите Ваш компьютер к роутеру через кабель или WiFi соединение и введите LAN IP Вашего роутера или URL роутера http://www.asusrouter.com для доступа на страницу настроек WEB GUI.

              

             Подробнее в статье: [Беспроводное устройство] Как войти на страницу настроек роутера (WEB UI)? 

Шаг 2. Введите Ваши имя пользователя и пароль на странице авторизации и нажмите [Войти].

             

Примечание: Если Вы забыли имя пользователя и/или пароль, пожалуйста, выполните сброс настроек роутера к заводским.

          Подробнее в статье: [Беспроводное устройство] Как вернуть роутер ASUS к заводским настройкам? 

Шаг 3. Откройте вкладку [Брандмауэр]

            

Настройки Брандмауэра на роутере ASUS:

Помимо общих настроек (включая Брандмауэр IPv6) фильтрации пакетов, он включает дополнительные настройки, такие как Фильтр URL-адресов, Фильтр ключевых слов, и Фильтр сетевых служб. Можно выполнить настройку различных правил фильтрации доступа к сайтам или сетевым сервисам, в зависимости от Ваших требований.

Вкладка»Общие»:

Когда Вам необходимо защитить от хакеров все клиентские устройства, подключённые к локальной сети роутера ASUS, выполните общие настройки пакетной фильтрации.

Если Вас беспокоят возможные DDoS-атаки на роутер, включите защиту DoS, чтобы отфильтровывать подозрительные и нежелательные пакеты, предотвратив переполнение устройства пакетами.

Примечание: DDoS-атака (Distributed Denial-of-Service) — это распределённая атака типа «отказ в обслуживании», также известная как флуд-атака. Хакеры передают лишние пакеты или запросы, чтобы перегрузить Вашу систему.

(1) Включите брандмауэр: По умолчанию [Да]

(2) Включите защиту DoS (опционально): По умолчанию [Нет]

(3) Тип регистрируемых пакетов: По умолчанию [Нет]

(4) Отвечать на ICMP Echo (пинг)-запросы из WAN: По умолчанию [Нет]

Поменяв настройки, нажмите [Применить].

Брандмауэр для IPv6:

Если у Вас запущен протокол IPv6, можно защитить сетевое окружение и разрешить передачу пакетов с серверов IPv6 в локальной сети. Но для передачи пакетов из внешней сети Вам необходимо настроить правила.

Узнайте подробнее Как настроить IPv6 Firewall, а также Как настроить IPv6.

Фильтр URL-адресов (Белый список/Чёрный список):

Если Вам необходима блокировка всех URL-адресов, содержащих определённые символы, или необходим доступ только к сайтам, URL-адреса которых не содержат определённых символов, используйте Фильтр URL-адресов.

Подробнее в статье: [Брандмауэр] Как настроить фильтр URL-адресов? 

Фильтр Ключевых слов:

Если Вам необходимо запретить своим устройствам доступ к веб-сайтам, содержащим определённые ключевые слова, используйте фильтр Ключевых слов. По окончании настройки любые ключевые слова, занесённые в фильтр, не будут отображаться в результатах поиска.

Подробнее в статье: [Брандмауэр] Как настроить фильтр Ключевых слов? 

Фильтр сетевых служб:

Если Вам необходимо запретить пакетную передачу данных между внутренней и внешней сетями и разрешить всем устройствам использовать только отдельные сетевые службы (Internet service, FTP, и т.д.), используйте Фильтр сетевых служб. Основная разница между этим фильтром и двумя предыдущими заключается в том, что отдельные устройства можно настроить для использования разных сетевых служб. 

Подробнее в статье: [Брандмауэр] Как настроить фильтр Сетевых служб?

Часто задаваемые вопросы

1.Как проверить, достаточно ли роутер защищён?

• Узнайте подробнее в статье: [Беспроводное устройство] Как сделать роутер более безопасным? 

2. Почему в режиме точки доступа (AP) Брандмауэр не работает?

• В режиме точки доступа (AP), все клиентские устройства получают IP-адреса от главного роутера/модема. В режиме точки доступа роутер не поддерживает функцию IP sharing (разделения IP), из-за этого нельзя управлять подключёнными к нему клиентскими устройствами.

  Подробнее в статье: [Беспроводное устройство] Обзор режимов работы.

Как найти (Утилиту / Прошивку)?

Последние версии драйверов, программного обеспечения, прошивок и руководства пользователя можно скачать в Центре загрузок ASUS.

Чтобы получить подробную информацию о Центре загрузок ASUS, воспользуйтесь ссылкой.

Роутер фаервол – это устройство, которое является ключевым элементом подключения компьютеров к Интернету. Он обеспечивает маршрутизацию сетевых пакетов и выполняет защитные функции, контролируя доступ в сеть и обнаруживая и блокируя потенциально вредные пакеты данных.

Основные функции роутера фаервола включают маршрутизацию, NAT (Network Address Translation – перевод сетевых адресов) и SPI (Stateful Packet Inspection – контроль состояния сетевых пакетов). Маршрутизация позволяет передавать пакеты данных между различными сетями, NAT преобразует IP-адреса в заголовках пакетов для обеспечения правильной адресации при передаче через Интернет, а SPI анализирует содержание пакетов и фильтрует нежелательные.

Принцип действия роутера фаервола основан на фильтрации пакетов данных с помощью правил, заданных администратором сети или по умолчанию. Фильтрация выполняется на основе IP-адресов отправителя и получателя, портов и других параметров. Таким образом, роутер фаервол позволяет ограничивать доступ к сети только определенным пользователям или группе пользователей, блокировать определенные типы трафика или приложений и защищать сеть от атак извне.

Выбор и настройка роутера фаервола – ответственный и важный процесс, который требует некоторых знаний и умений. При выборе следует учитывать такие параметры, как пропускная способность, количество портов, наличие поддержки VPN, QoS и других функций, а также совместимость с вашим провайдером интернета. После покупки роутера фаервола требуется его настройка, включающая создание сети, установку пароля, настройку правил фильтрации и других параметров. Для этого вам понадобится знание основных сетевых протоколов и принципов работы роутеров.

Роутер фаервол: что это и для чего нужно

Основная функция роутера фаервола — это фильтрация пакетов данных, поступающих из внешней сети во внутреннюю и наоборот. Роутер фаервол анализирует IP-адреса и порты пакетов, применяет правила безопасности и принимает решение о том, какие пакеты разрешить, а какие заблокировать.

Кроме того, роутер фаервол может выполнять и другие функции для обеспечения безопасности сети:

• Скрытие IP-адресов — роутер фаервол может изменять IP-адрес отправителя и получателя, чтобы скрыть реальные адреса сети.
• VPN-подключение — роутер фаервол может обеспечивать безопасное подключение к сети через виртуальную частную сеть.
• Отслеживание и регистрация событий — роутер фаервол может вести журнал событий, чтобы идентифицировать потенциально опасные активности или вторжения.
• Балансировка нагрузки — роутер фаервол может распределять трафик между несколькими источниками, чтобы сохранить стабильность работы сети.

Выбор и настройка роутера фаервола зависит от конкретных потребностей и требований организации. При выборе роутера фаервола следует учитывать его производительность, функциональность и возможности обновления ПО. Настройка роутера фаервола включает определение правил безопасности, создание доступных зон сети и управление доступом к ресурсам.

Роутер фаервол является важной составляющей безопасности сети и позволяет защитить ее от множества угроз. Применение роутера фаервола помогает обеспечить конфиденциальность, целостность и доступность данных в сети.

Основные функции роутера фаервола

Вот некоторые из основных функций роутера фаервола:

Фильтрация трафика: Роутер фаервол проверяет каждый пакет данных, проходящий через него, и принимает решение о том, пускать его в вашу сеть или блокировать. Фильтрация может осуществляться по IP-адресу, портам, протоколу и другим параметрам. Таким образом, роутер фаервол защищает вашу сеть от потенциально вредоносного или нежелательного трафика.

Правила доступа: Роутер фаервол позволяет настраивать правила доступа для устройств в вашей сети. Он может контролировать, какие устройства имеют доступ в интернет, а какие – нет. Вы можете установить правила на основе IP-адресов, MAC-адресов или других параметров.

VPN: Роутер фаервол может обеспечивать безопасное подключение к удаленной сети через протокол VPN (Virtual Private Network). Это позволяет вам безопасно обмениваться данными с другими пользователями или доступом к удаленным ресурсам.

Инспектирование пакетов: Роутер фаервол может анализировать содержимое пакетов данных, проходящих через него. Это позволяет обнаруживать и блокировать вредоносный трафик, а также предотвращать утечку конфиденциальной информации.

Защита от атак: Роутер фаервол активно отслеживает сетевой трафик и обнаруживает попытки атаки на вашу сеть. Он может блокировать такие попытки или отправлять уведомления о них, чтобы вы могли принять соответствующие меры.

Прокси-сервер: Роутер фаервол может работать как прокси-сервер, который служит промежуточным звеном между вашей сетью и интернетом. Он может выполнять функцию кэширования, фильтрации и аутентификации, увеличивая безопасность и производительность вашей сети.

Все эти функции делают роутер фаервол незаменимым инструментом для защиты вашей домашней сети от различных угроз извне. Поэтому при выборе роутера стоит обратить внимание на наличие и возможности его фаервола.

Принцип работы роутера фаервола

Роутер фаервол работает на основе правил, которые определяют, какой трафик будет разрешен, а какой будет заблокирован. При получении пакета данных, роутер фаервол анализирует его и сравнивает с заданными правилами. Если пакет соответствует условиям правил, то он пропускается дальше, иначе он блокируется.

Роутер фаервол может работать на разных уровнях сетевой модели OSI, таких как прикладной, транспортный или сетевой. На каждом уровне роутер фаервол проверяет различные атрибуты пакета, такие как IP-адрес, порт, протокол и т.д.

При выборе роутера фаервола нужно обратить внимание на его производительность, наличие поддержки различных протоколов и возможность создания групп правил. Важно также настроить правила в соответствии с потребностями сети, чтобы обеспечить высокий уровень безопасности и эффективную работу сети.

Как выбрать подходящий роутер фаервол

1. Пропускная способность:	Убедитесь, что роутер фаервол обладает достаточной пропускной способностью для обработки всего трафика в вашей сети. Учтите потребности в сетевых ресурсах и скорость интернет-соединения.
2. Защита:	Роутер фаервол должен обладать надежными механизмами защиты. Убедитесь, что он поддерживает разные виды файерволов (например, SPI или NAT), имеет функцию виртуальной частной сети (VPN) и возможность настройки правил доступа.
3. Управление:	Роутер фаервол должен быть легким в использовании и иметь интуитивно понятный пользовательский интерфейс для управления и настройки. Обратите внимание на наличие веб-интерфейса и возможность удаленного управления.
4. Беспроводная связь:	Если вам нужна беспроводная связь, убедитесь, что роутер фаервол поддерживает нужные вам стандарты беспроводной передачи данных (например, Wi-Fi 6) и имеет достаточный уровень безопасности для защиты вашей беспроводной сети.
5. Цена:	Сравните цены на различные модели роутеров фаервола и выберите ту, которая лучше всего соответствует вашим потребностям и бюджету. Учтите, что дорогой роутер фаервол может предлагать более продвинутые функции и лучшую производительность.

Помните, что выбор подходящего роутера фаервола зависит от конкретных требований вашей сети. Тщательно исследуйте характеристики различных моделей, перед покупкой проведите достаточное количество исследований и проконсультируйтесь со специалистом, если необходимо.

Настройка роутера фаервола: шаг за шагом

Прежде чем начать настройку, убедитесь, что вы вошли в административную панель роутера. По умолчанию, адрес административной панели указывается в документации роутера или может быть настроен вами самостоятельно.

1. Войдите в административную панель роутера, введя свой логин и пароль.
2. Перейдите в раздел «Настройки фаервола» или «Firewall Settings».
3. Установите уровень защиты на своем роутере. Обычно есть опции «Низкий», «Средний» и «Высокий». Рекомендуется установить уровень «Высокий» для обеспечения максимальной безопасности.
4. Включите фильтрацию пакетов (packet filtering) или сетевой сопровождение (network address translation). Эти функции позволяют блокировать внешние запросы, которые могут представлять угрозу для вашей сети.
5. Настройте правила доступа к входящим и исходящим соединениям. Вы можете разрешить или запретить определенные порты и протоколы.
6. Настройте фильтрацию URL-адресов (URL filtering), если ваш роутер поддерживает эту функцию. Это позволит вам блокировать доступ к определенным сайтам или категориям сайтов.
7. Установите фильтрацию по MAC-адресам (MAC address filtering), если ваш роутер поддерживает эту функцию. Это позволит вам контролировать доступ к сети для определенных устройств.
8. Сохраните изменения и перезагрузите роутер.

После выполнения всех этих шагов вы успешно настроили фаервол на своем роутере. Теперь ваша сеть защищена от внешних угроз и вы можете быть уверены в безопасности своих данных.

Проверка работы и обновление прошивки роутера фаервола

Правильная работа роутера фаервола играет ключевую роль в обеспечении безопасности сети и защите от несанкционированного доступа. Для того чтобы гарантировать надежную и безопасную работу роутера фаервола, необходимо периодически проверять его работоспособность и обновлять прошивку.

Одним из первых шагов в проверке работы роутера фаервола является убеждение в том, что он правильно настроен. Настройки роутера фаервола могут быть осуществлены через веб-интерфейс, доступный по IP-адресу роутера. Некоторые основные параметры, которые следует проверить, включают в себя:

• Адреса IP-интерфейсов: убедитесь, что адреса IP-интерфейсов роутера правильно настроены и соответствуют вашей сети.
• Правила фаервола: проверьте, что правила фаервола настроены правильно и обеспечивают необходимую безопасность. Убедитесь, что несанкционированный доступ заблокирован, а разрешенные соединения не блокируются.
• Логирование и мониторинг: активируйте протоколирование событий роутера фаервола, чтобы иметь возможность отслеживать события и идентифицировать потенциальные угрозы.

После проверки работы роутера фаервола следует периодически обновлять его прошивку. Обновление прошивки роутера видоизменяет и добавляет новые функции, улучшает безопасность и производительность устройства.

Процесс обновления прошивки может различаться в зависимости от модели и производителя роутера фаервола, однако обычно включает в себя следующие шаги:

1. Проверка наличия обновлений: посетите веб-сайт производителя роутера фаервола и проверьте наличие новых версий прошивки для вашей модели.
2. Скачивание прошивки: скачайте последнюю версию прошивки с веб-сайта производителя роутера фаервола.
3. Резервное копирование настроек: перед установкой новой прошивки рекомендуется создать резервную копию текущих настроек роутера фаервола.
4. Установка новой прошивки: следуйте инструкциям, предоставленным производителем, чтобы установить новую прошивку на роутер фаервола.
5. Проверка работоспособности: после установки новой прошивки проверьте работоспособность роутера фаервола и убедитесь, что все функции работают корректно.

Проверка работы и обновление прошивки роутера фаервола являются важными шагами для обеспечения безопасной и надежной работы сети. Регулярная проверка работы, настройка и обновление прошивки роутера фаервола помогут защитить сеть от угроз и обеспечить ее стабильность и производительность.