فایروال؛ اصول پیکربندی و طراحی سیاست ترافیکی امن

فایروال دستگاه یا برنامه‌ای است که بر اساس مجموعه‌ای از قوانین، عبور بسته‌های شبکه را تعیین می‌کند. کارکرد اصلی‌اش — چه iptables/ufw در لینوکس، چه فایروال سخت‌افزاری — مدیریت مسیر بین مرز شبکه و دنیای بیرون و بالعکس است.

مدل پیش‌فرض-رد؛ قانون طلایی طراحی

بهترین شروع هر سیاست فایروالی:

sudo ufw default deny incoming
sudo ufw default allow outgoing

یعنی اول همه چیز را ببند، بعد فقط آنچه واقعاً لازم است باز کن. اگر سرویسی را فراموش کردی، پیش‌فرض امن باقی می‌ماند؛ اگر پیش‌فرض-اجازه باشد، یک سرویس فراموش‌شده یعنی یک درب باز.

اجزای یک قانون خوب

هر قانون را با چهار سوال تعریف کن:

• منبع: چه کسی (IP/شبکه)
• مقصد: به چه سروری یا سرویسی
• پورت و پروتکل: مثلاً 443/tcp
• اقدام: اجازه، رد یا بررسی

مثال برای وب‌سرور: اجازه‌ی ورود همه به پورت 443 روی پروتکل tcp.

جداسازی ناحیه‌ها (Zoning)؛ معماری تأثیرگذار

• شبکه داخلی: اعتماد بالا، کنترل دقیق
• DMZ: سرویس‌های عمومی (وب، ایمیل) که از شبکه‌ی داخلی جدا هستند
• اینترنت: دنیای بیرون

ترافیک بین این نواحی حداقلی و کنترل‌شده است؛ اگر یکی آلوده شود، نتواند به بقیه سرایت کند. این مفهوم با تفکیک VLAN در راه‌اندازی شبکه اداری تکمیل می‌شود.

لاگ؛ چشمانی که نباید کور باشند

• ترافیک ردشده را لاگ کن تا رفتارهای مشکوک (اسکن پورت، تلاش ورود) دیده شود
• برای سازمان بزرگ، لاگ را به سامانه‌ی مرکزی (SIEM) بفرست
• ابزارهایی مثل fail2ban را برای فایروال نرم‌افزاری فعال کن (موارد بیشتر در امن‌سازی سرور لینوکس)

مرور دوره‌ای؛ قوانین تمیز نگه دار

قوانین بعد از مدتی انباشته می‌شود: قوانین تستی، تغییر IPها و سرویس‌های حذف‌شده. برنامه:

• هر شش ماه یک‌بار همه‌ی قوانین را مرور و قوانین بی‌کار را حذف کن
• قبل از هر تغییر، از پیکربندی فعلی پشتیبان بگیر
• بعد از تغییر، سناریوی عبور (مجاز) و رد (غیرمجاز) را تست کن

جمع‌بندی

فایروال فقط «دیوار» نیست؛ یک سیستم سیاست است: پیش‌فرض-رد، لاگ، جداسازی و مرور دوره‌ای. با همین چهار اصل، بدون خرید تجهیزات گران، می‌توانی مرز شبکه‌ات را حرفه‌ای قفل کنی. برای تقویت امنیت مرز، مفاهیم CIA را هم بخوان.