Postav svou první firemní síť

Konsolidační kurz: z požadavků malé firmy postav funkční a bezpečnou síť. Zúročíš kurzy 1–5 – tři skupiny podle důvěry (zaměstnanci, servery, hosté) a plán, segmentace do VLAN, podsítě a brány s routerem (inter-VLAN) a NAT ven, firewall se zónami inside/DMZ/outside (web na 443, hosté jen ven, default-deny) a nakonec test průchodu a kontrola topologie se zmenšením blast radiusu.

Lekce 1: Zadání a plán

Malá firma: co má a co potřebuje

Vítej v kurzu, kde konečně poskládáš dohromady všechno z kurzů 1 až 5. Žádná nová magie – jen si na jedné malé firemní síti vyzkoušíš, jak spolu segmenty, VLANy, adresy a firewall zapadají. Představ si zákazníka: malá firma, pár desítek lidí. Co v ní najdeš? Zaměstnanci u počítačů, kteří potřebují na internet a ke sdíleným souborům. Servery: webový server, na který se dívají i lidé zvenku, a souborový server s interními daty. A občas návštěvy a hosté, kterým chceš dát Wi-Fi na internet – ale rozhodně ne do firemních dat. To celé visí na jednom připojení k internetu od poskytovatele. Na scéně vidíš tu síť schematicky: vlevo internet (NET), za ním firewall (FW) a router (R), a napravo tři skupiny zařízení – zaměstnanci (PC), servery (WEB a FILE) a hosté (HOST). Zatím je to jen obrázek. Během pěti lekcí ho postavíš krok za krokem: nejdřív skupiny oddělíš, pak jim přidělíš adresy, pustíš je ven a nakonec ochráníš pravidly. Cíl kurzu je jediný: umět z požadavků firmy udělat funkční a bezpečnou topologii – a rozumět každému rozhodnutí.

Krok za krokem

Zaměstnanci u počítačů potřebují na internet a ke sdíleným souborům. To je největší skupina lidí ve firmě.
Servery: webový server, na který se dívají i lidé zvenku, a souborový server s interními daty firmy.
Hosté a návštěvy chtějí Wi-Fi na internet – ale rozhodně ne do firemních dat. Tuhle skupinu budeš držet stranou.
To celé visí na jednom připojení k internetu přes firewall a router. Během kurzu tuhle síť postavíš krok za krokem.

Tři skupiny, tři rizika

Než začneš cokoli zapojovat, polož si otázku, kterou si klade každý návrhář sítě: kdo s kým vůbec potřebuje mluvit – a kdo naopak ne? Ve firmě máš tři světy s úplně jinými nároky. Zaměstnanci jsou důvěryhodní, ale je jich hodně a jejich počítače chytají e-maily, přílohy a stažené soubory – tedy i malware. Servery jsou to nejcennější: web musí být dostupný i zvenku (proto je nejvíc vystavený útoku), soubory naopak nesmí ven nikdy. A hosté jsou úplně neznámé zařízení, nad kterými nemáš žádnou kontrolu – klidně napadený notebook. Kdybys hodil všechny do jedné ploché sítě (jak varuje kurz 3), stane se tohle: nakažený hostův notebook vidí přímo na souborový server, zaměstnanecký vir se šíří na servery a jeden průšvih se rozlije po celé firmě. Tomu rozlití se říká blast radius (dosah škody). Celý návrh, který teď postavíš, je vlastně o jediné věci: zmenšit blast radius tím, že skupiny s různou důvěrou od sebe oddělíš a mezi ně postavíš kontrolované dveře. Zapamatuj si to trojí dělení podle míry důvěry – bude tažným lanem celého kurzu.

Krok za krokem

Tři skupiny s jinými nároky: zaměstnanci (důvěryhodní, ale zranitelní), servery (nejcennější) a hosté (neznámí).
Kdyby byli všichni v jedné ploché síti, napadený hostův notebook by viděl přímo na souborový server. To nechceš.
Průšvih se rozlije po celé firmě – tomu dosahu škody se říká blast radius. Plochá síť ho dělá zbytečně velký.
Cíl návrhu: skupiny podle míry důvěry oddělit a mezi ně dát kontrolované dveře – tím zmenšíš blast radius.

Načrtni plán: skupiny → segmenty

Dobrá síť vzniká na papíře dřív než v kabelech. Než sáhneš na simulátor, načrtni si plán – tabulku „skupina → segment → co smí". Máš tři skupiny, uděláš z nich tři oddělené segmenty. Zaměstnanci → vlastní segment; smí na internet a na sdílené soubory, nesmí do serverové správy. Servery → vlastní segment, ještě zvlášť ohlídaný, protože web je vystavený ven; soubory zůstávají čistě uvnitř. Hosté → izolovaný segment; smí jen na internet, nikam do firmy. To je celý plán – tři segmenty a pár šipek mezi nimi. Všimni si, že návrh jde odshora: nejdřív rozhodneš CO chceš (kdo s kým smí), teprve pak řešíš ČÍM to uděláš (VLAN, router, firewall). To je pořadí, které tě celým kurzem povede a odpovídá i lekcím: segmenty postavíš pomocí VLAN (lekce 2), adresy a průchod mezi nimi dá router (lekce 3), kontrolované dveře a ochranu ven přidá firewall (lekce 4) a nakonec všechno otestuješ (lekce 5). Teď máš mapu. Pojďme podle ní stavět.

Krok za krokem

Plán, řádek první: zaměstnanci dostanou vlastní segment. Smí na internet a na sdílené soubory, ne do správy serverů.
Řádek druhý: servery mají vlastní, extra hlídaný segment. Web je vystavený ven, souborový server zůstává čistě uvnitř.
Řádek třetí: hosté dostanou izolovaný segment. Smí jen na internet, nikam do firmy.
Máš plán tří segmentů. Postavíš ho v tomhle pořadí: VLAN (l. 2), router a adresy (l. 3), firewall (l. 4), test (l. 5).

▶ Otevřít v simulátoru

Lekce 2: Segmentace do VLAN

Proč nestačí jedna plochá síť

Začneme stavět – a první rozhodnutí je nejdůležitější: rozdělit. Nejjednodušší síť je „všichni na jednom switchi", tzv. plochá síť: jeden velký prostor, kde na sebe všichni vidí. Funguje – ale nese tři problémy, které znáš z kurzu 3. Bezpečnost: kdokoli vidí na kohokoli, takže napadený host nebo zaměstnanecký vir dosáhne rovnou na servery (velký blast radius z minulé lekce). Broadcast: některé zprávy se v jedné síti posílají všem najednou; čím víc zařízení, tím víc zbytečného hluku, který zatěžuje každý počítač. Nepřehlednost: v jednom pytli se nedá říct „tahle skupina smí tam, tamta ne". Fyzicky to jde vyřešit – koupit každé skupině vlastní switch a vlastní kabeláž – ale to je drahé a nepružné (přijde nový host a taháš kabely). Potřebuješ rozdělit jednu fyzickou síť na víc oddělených, aniž bys sáhl na kabely. Přesně to umí VLAN, na kterou se podíváme v dalším modulu. Zapamatuj si: plochá síť není „jednodušší" – je jen odložený problém, který ti vybuchne u prvního bezpečnostního incidentu.

Krok za krokem

Plochá síť = všichni na jednom switchi, každý vidí na každého. Vypadá jednoduše, ale nese tři problémy.
Bezpečnost: napadený host dosáhne rovnou na souborový server. Velký blast radius, přesně jak varovala lekce 1.
Broadcast: zprávy pro všechny se v jedné síti posílají naráz každému – čím víc zařízení, tím víc hluku.
Potřebuješ jednu fyzickou síť rozdělit na víc oddělených bez tahání kabelů. To umí VLAN – hned v dalším modulu.

Rozděl na VLAN: zaměstnanci, servery, hosté

Tady je nástroj z kurzu 3: VLAN (virtuální LAN). Jeden fyzický switch rozdělí na několik oddělených sítí, jako by ses postavil neviditelné zdi. Zařízení v jedné VLAN na sebe vidí; do jiné VLAN se samo nedostane – broadcast se z ní nevyleje ven a bezpečnostní hranice vznikne bez jediného nového kabelu. Podle plánu z lekce 1 uděláš tři VLANy: VLAN 10 zaměstnanci, VLAN 20 servery, VLAN 30 hosté. Číslo (VLAN ID) je jen jmenovka skupiny: switch si ji u rámce vede sám a doopravdy ji do rámce vloží (802.1Q tag) až na trunku – z access portu jde rámec ven netagovaný, jak jsi viděl v kurzu Switching a VLANy; port, do kterého strčíš hostův kabel nebo AP, nastavíš jako access port ve VLAN 30 a je hotovo. Co jsi právě získal? Izolaci: host ve VLAN 30 teď fyzicky nemá jak „nakouknout" do VLAN 20 se servery – ta zeď tam prostě je. A pozor na důležitý detail, který doceníš až v příští lekci: VLAN skupiny oddělí tak dokonale, že spolu ani ty, které spolu MAJÍ mluvit, samy nepromluví. Zaměstnanci se takhle nedostanou ani ke sdíleným souborům. To není chyba – to je přesně ta zeď. Kdo a jak ji smí kontrolovaně překročit, vyřešíme routerem v lekci 3. Nejdřív si ale rozdělení do VLAN vyzkoušej v simulátoru.

Krok za krokem

VLAN 10 – zaměstnanci. Port s jejich počítači nastavíš jako access port ve VLAN 10. Vzniká první oddělená síť.
VLAN 20 – servery. Web i souborový server dáš do vlastní VLAN, oddělené od uživatelů.
VLAN 30 – hosté. Wi-Fi pro návštěvy dáš do izolované VLAN. Číslo (VLAN ID) je jmenovka skupiny; do rámce se vloží (802.1Q tag) až na trunku.
Izolace hotova: host ve VLAN 30 nemá jak nakouknout do VLAN 20. Zeď je tak dokonalá, že sami spolu nemluví ani ti, co mají – to vyřeší router (lekce 3).

Izolace hostů

Zastavme se u té nejcitlivější skupiny – u hostů – protože právě na nich se pozná, jestli segmentaci opravdu chápeš. Hostův notebook je z pohledu firmy úplně cizí zařízení: nevíš, kdo ho spravuje, jestli je aktuální, jestli není napadený. Pravidlo znělo: host smí jen na internet, nikam do firmy. VLAN 30 mu dala oddělení od zaměstnanců i serverů – ale to samo nestačí. Chceš totiž ještě něco navíc: ať na sebe nevidí ani hosté navzájem. Proč? Aby si dva cizí lidé připojení na stejnou návštěvnickou Wi-Fi nemohli lézt do notebooků – kdyby jeden byl napadený, nenakazí druhého. Tomu se říká izolace klientů (client isolation) a je to standardní volba u guest Wi-Fi (potkal jsi ji v kurzu 3 a vrátí se v kurzu Bezdrát v praxi). Shrň si logiku hostů do jedné věty: oddělit je od firmy (VLAN) i od sebe navzájem (client isolation) a pustit je výhradně směrem ven. Tohle je mimochodem ukázka principu, který táhne celou bezpečnost sítí: čím míň komu věříš, tím míň mu dovol. Host je na spektru důvěry úplně dole – tak dostane úplné minimum. Servery, kterým věříš nejvíc, budeš naopak chránit nejpečlivěji. A přesně o té ochraně serverů bude po adresách řeč u firewallu.

Krok za krokem

Hostův notebook je z pohledu firmy cizí zařízení – nevíš, kdo ho spravuje ani jestli není napadený.
VLAN 30 hosta oddělila od firmy. Smí jen ven na internet – nikam do zaměstnanců ani serverů.
Navíc izolace klientů: dva hosté na stejné Wi-Fi na sebe nevidí. Napadený host tak nenakazí toho vedle.
Princip celé bezpečnosti: čím míň komu věříš, tím míň mu dovol. Host dole (minimum), servery nahoře (nejlepší ochrana).

▶ Otevřít v simulátoru

Lekce 3: Router a adresy

Přiděl každé VLANě podsíť a bránu

VLANy postavily zdi – teď každé místnosti přidělíš adresu. Vzpomeň na kurz 4: zařízení spolu mluví přes IP adresy a každá oddělená síť potřebuje vlastní podsíť (rozsah adres). Dáš tedy každé VLAN jednu podsíť: VLAN 10 zaměstnanci → 10.0.10.0/24, VLAN 20 servery → 10.0.20.0/24, VLAN 30 hosté → 10.0.30.0/24. To „/24" znamená, že poslední číslo (0–255) rozlišuje jednotlivá zařízení uvnitř – prakticky ale .1 až .254, protože .0 je adresa celé sítě a .255 broadcast. I tak je místa dost pro celou skupinu. Každá podsíť navíc dostane bránu (default gateway): adresu, na kterou zařízení posílá vše, co míří mimo jeho podsíť. Zvykem je dát bráně první adresu, třeba 10.0.10.1 pro zaměstnance. Kdo tou bránou je? Router – zařízení, které stojí jednou nohou v každé podsíti a překládá provoz mezi nimi (přesně role z kurzu 3 a 4). Zaměstnanecký počítač dostane adresu jako 10.0.10.42, masku /24 a bránu 10.0.10.1 – většinou automaticky přes DHCP, takže to nenastavuješ ručně na každém stroji. (Ten DHCP server mimochodem nemusí být zvláštní krabička – klidně běží přímo na routeru.) Když DHCP server sedí jen v jedné síti, žádosti z ostatních podsítí mu přepošle DHCP relay na bráně; obojí si můžeš vyzkoušet v simulátoru v pokročilém režimu. Tři podsítě, tři brány, jeden router uprostřed. Jak router fyzicky visí na všech třech VLANách jediným trunk kabelem, sis vyzkoušel v kurzu Switching a VLANy (router-on-a-stick) – tady na to jen navazuješ. Adresní plán je hotový; v dalším modulu ho rozhýbeme, aby přes ten router VLANy konečně mohly (kontrolovaně) promluvit.

Krok za krokem

Zaměstnancům přidělíš podsíť 10.0.10.0/24 a bránu 10.0.10.1. Poslední číslo rozliší jednotlivé počítače.
Servery dostanou 10.0.20.0/24 s bránou 10.0.20.1. Vlastní podsíť pro web i souborový server.
Hosté dostanou 10.0.30.0/24. Adresu, masku i bránu jim přidělí DHCP automaticky při připojení.
Tou bránou je router: stojí jednou nohou v každé podsíti. Tři podsítě, tři brány, jeden router uprostřed.

DHCP ve větší síti

Podsítě a brány máš rozmyšlené – ale kdo ty adresy klientům rozdá? Ručně je nastavovat nebudeš: od toho je DHCP (znáš z Kurzu 1). Ve větší síti k němu ale patří tři věci, které doma nepotkáš. 1) DHCP server nemusí stát v každé síti. DHCP dotaz nováčka je broadcast – a broadcast přes router neprojde. (Jak přesně router posílá pakety mezi sítěmi, rozebere hned další modul – teď stačí, že cestu najde.) Přesto nemusíš do každé VLANy stavět vlastní server: stačí jeden centrální (na serveru, routeru, firewallu i L3 switchi) a na bráně každé vzdálené sítě DHCP relay – brána broadcast zachytí a přepošle serveru jako obyčejný paket, odpověď doručí zpátky. Centrální server pak drží rozsah (scope) pro každou síť zvlášť: zaměstnancům rozdává z 10.0.10.x, hostům z 10.0.30.x. V simulátoru (pokročilý režim): rozsahy najdeš na routeru, firewallu nebo L3 switchi na záložce DHCP v poli „Rozsahy DHCP – pro které sítě rozdávat“, síť si server zvolí v nastavení („DHCP server sítě“) a bránu doplníš v poli „DHCP relay (brána)“. 2) Rezervace podle MAC. Tiskárna nebo server nesmí každý týden dostat jinou adresu – do rozsahu jim zapíšeš rezervaci: „téhle MAC adrese dej vždycky tuhle IP“. Pohodlí DHCP, stálost statické adresy – a rozsah kolem nich adresu nikomu jinému nepřidělí. 3) DHCP se dá i vyčerpat. Server má konečný počet adres – a útočník toho zneužije: útok DHCP starvation chrlí žádosti s vymyšlenými MAC adresami, dokud rozsah nevysaje. Nový poctivý klient pak žádnou adresu nedostane – síť pro něj „nejde“, i když všechno běží. Všimni si příbuznosti s rogue DHCP z kurzu Switch do hloubky: tam útočník odpovídá místo serveru, tady server umlčí. Obrana je stejná jako na většinu L2 zlobení: port security na přístupovém portu – port uzamčený na jednu MAC tisíce vymyšlených adres prostě nepustí. Vyzkoušej si to hned v úloze níže.

Krok za krokem

Nové PC v zaměstnanecké VLAN volá broadcastem o adresu. Jenže DHCP server v téhle síti nestojí – a broadcast přes router neprojde.
DHCP relay: brána broadcast zachytí a přepošle centrálnímu serveru jako obyčejný paket. Jeden server tak obslouží všechny VLANy – pro každou má vlastní rozsah (scope).
Rezervace podle MAC: tiskárna či souborový server dostane od DHCP pokaždé stejnou adresu – a rozsah ji nikomu jinému nepřidělí.
DHCP starvation: útočník chrlí žádosti s vymyšlenými MAC, dokud rozsah nevysaje – noví klienti nedostanou IP. Obrana: port security na jeho portu.

Provoz mezi VLANami přes router

Teď vyřešíme ten „problém", co vznikl v lekci 2: VLANy oddělily skupiny tak dokonale, že spolu nemluví ani ty, co mají. Zaměstnanec (VLAN 10) potřebuje na souborový server (VLAN 20) – jenže to jsou dvě různé podsítě a mezi nimi zeď. Řešení znáš z kurzu 3 jako routing mezi VLANami (inter-VLAN routing): jediný, kdo smí přes zeď, je router – a to je dobře, protože právě on je to místo, kde se dá provoz kontrolovat. Jak to funguje krok za krokem: zaměstnancův počítač zjistí, že cíl (10.0.20.5) není v jeho podsíti, tak paket pošle své bráně (10.0.10.1 = router). Router se podívá do své tabulky, vidí, že cíl patří do VLAN 20, a paket tam přepošle ven druhou nohou. Odpověď se vrací stejnou cestou. Výsledek: zaměstnanci se dostanou k souborům, ale musí projít routerem – tím máš jedno místo, kde později povolíš jen to, co chceš. A klíčový detail: router propojuje jen to, co MU řekneš. Hosté (VLAN 30) přes něj taky projdou k bráně – ale směřují výhradně na internet, do firmy je router prostě nepustí. Tady se rodí kontrola, kterou v lekci 4 zpřísní firewall. VLANy tvoří zdi, router dveře. Vyzkoušej si inter-VLAN routing v simulátoru.

Krok za krokem

Zaměstnanec (VLAN 10) chce na souborový server (VLAN 20). Dvě podsítě, mezi nimi zeď z lekce 2.
Počítač zjistí, že cíl není v jeho podsíti, a pošle paket bráně 10.0.10.1 – to je router.
Router vidí, že cíl patří do VLAN 20, a paket tam přepošle. Zaměstnanec se dostane k souborům – přes router.
Klíč: router propojí jen to, co mu řekneš. Hosty pošle na internet, do firmy ne. Tady se rodí kontrola pro firewall.

NAT ven do internetu

Zbývá poslední adresní kousek: pustit firmu ven na internet. Tady narazíš na fakt z kurzu 4: tvé vnitřní adresy (10.0.10.x, 10.0.20.x…) jsou privátní – platí jen uvnitř firmy a na veřejném internetu je nikdo nezná ani nesměruje. Ven se dá jen přes veřejnou IP adresu, kterou má firma od poskytovatele obvykle jedinou. Jak může sto počítačů sdílet jednu veřejnou adresu? Řešením je NAT (network address translation), přesněji jeho varianta PAT: router při odchodu přepíše vnitřní adresu na tu jednu veřejnou (a čísly portů si pamatuje, komu která odpověď patří). Pro internet to vypadá, že veškerý provoz firmy jde z jediné adresy; když se odpověď vrátí, router ji podle portu přeloží zpět na správný vnitřní počítač. NAT má i příjemný bezpečnostní vedlejší efekt: zvenku není kam „zaklepat" – vnitřní počítače nemají veřejnou adresu, takže je útočník z internetu nevidí přímo (není to ale náhrada firewallu, jen boční efekt!). V simulátoru NAT zapneš na routeru (odchozí PAT na veřejné rozhraní) a hned uvidíš, jak se privátní adresy „schovají" za jednu veřejnou. Tím je adresní vrstva hotová: uvnitř tři podsítě propojené routerem, ven jedna veřejná adresa přes NAT. Máš funkční síť – teď ji pojďme ochránit.

Krok za krokem

Vnitřní adresy (10.0.10.x, 10.0.20.x…) jsou privátní – na veřejném internetu je nikdo nezná ani nesměruje.
Firma má od poskytovatele obvykle jednu veřejnou adresu. Router při odchodu přepíše vnitřní adresu na ni – to je NAT/PAT.
Pro internet to vypadá, že celý provoz firmy jde z jediné adresy. Podle portů router vrátí odpověď správnému počítači.
Boční efekt NAT: vnitřní počítače nemají veřejnou adresu, zvenku je útočník nevidí přímo. Není to náhrada firewallu – ten přidáme teď.

▶ Otevřít v simulátoru

Lekce 4: Firewall a zóny

Vlož firewall: zóny inside/DMZ/outside

Síť funguje – teď z ní uděláme bezpečnou. Do cesty mezi firmu a internet vložíš firewall (kurz 5): vrátného, který u každého paketu rozhoduje projít / zahodit podle pravidel. Aby se pravidla dala psát rozumně, firewall rozděluje svět na zóny důvěry. Tři klasické znáš: outside (internet – nikomu odtud nevěř), inside (vnitřní firemní síť – zaměstnanci, důvěryhodná) a DMZ (demilitarizovaná zóna – místo pro servery, na které se lidé dívají zvenku). Proč zvláštní zóna pro servery? Protože webový server musí být dostupný z internetu, a tím je nejvíc vystavený útoku. Kdyby seděl v inside a někdo ho hackne, má útočník rovnou nohu ve firmě. Proto ho dáš do DMZ: když padne, útočník uvízne v oddělené zóně a na inside (a na souborový server s citlivými daty) se přes firewall nedostane. Pozor, VLAN a zóna nejsou totéž: VLAN je hranice na switchi (L2), zóna je pojem firewallu (podle důvěry) – teď si je jen ručně přiřadíš k sobě. Namapuj si tedy své VLANy na zóny: zaměstnanci = inside, webový server = DMZ, hosté = vlastní nedůvěryhodná zóna blízká outside. Souborový server s interními daty patří do inside (nebo do vlastní přísné zóny), protože ven nemá co dělat. Zóny jsou jen škatulky podle důvěry; teprve pravidla mezi nimi (další dva moduly) rozhodnou, kdo kam smí.

Krok za krokem

Do cesty mezi firmu a internet vložíš firewall: u každého paketu rozhodne projít, nebo zahodit.
Zóna inside: vnitřní firemní síť – zaměstnanci a souborový server s interními daty. Nejvíc důvěryhodná.
Zóna DMZ: webový server musí být dostupný z internetu, a je tak nejvíc vystavený. Když padne, útočník uvízne tady.
Hosté dostanou vlastní nedůvěryhodnou zónu blízkou outside. Zóny jsou škatulky podle důvěry – pravidla přijdou hned.

Servery do DMZ (web ven na 443)

Teď napíšeme pravidla pro nejcennější a nejvystavenější prvek – webový server v DMZ. Chceš, aby web fungoval pro návštěvníky z internetu, ale aby přitom neotevřel firmu dokořán. Klíčem je pustit dovnitř jen a pouze to nezbytné. Webová stránka běží na portu 443 (HTTPS, kurz 1). Napíšeš tedy pravidlo: „z outside do DMZ na webový server, port 443 → povol". Tečka. Žádné jiné dveře do serveru zvenku nevedou: kdo zkusí SSH (22), databázi nebo cokoli jiného, narazí na zeď. Tomu se říká minimální plocha útoku – čím míň otevřených portů, tím míň míst, kde tě někdo napadne. A teď ta druhá, snadno opomenutá půlka: DMZ nesmí sama iniciovat spojení do inside. Proč? Protože kdyby útočník web přece jen ovládl, nesmí z něj skočit dál na souborový server. Takže žádné pravidlo „z DMZ do inside" nepovolíš (nanejvýš úzkou výjimku, když web opravdu potřebuje třeba databázi – a i tu jen na konkrétní port a server). Výsledek: zvenku se na web dostane každý na 443, ale samotný web je v kleci – ven do firmy se nepodívá. Přesně tohle je smysl DMZ v praxi. Vyzkoušej si publikování webu do DMZ v simulátoru a ověř, že 443 projde a zbytek ne.

Krok za krokem

Jediné pravidlo: z internetu na webový server, port 443 (HTTPS) → povol. Web funguje pro návštěvníky.
Všechno ostatní zvenku (SSH, databáze…) firewall zahodí. Tomu se říká minimální plocha útoku.
Druhá půlka: DMZ nesmí sama navázat spojení do inside. Ovládnutý web tak nesmí skočit na souborový server.
Výsledek: na web se dostane každý na 443, ale sám je v kleci – do firmy nevidí. To je smysl DMZ.

Hosté jen ven, default-deny

Zbývá dopsat pravidla pro zbylé zóny a hlavně zaklapnout to nejdůležitější pravidlo ze všech. Nejdřív hosté: podle plánu smí jen na internet. Napíšeš tedy „z host zóny do outside → povol" a nic jiného; „z host do inside" ani „z host do DMZ" prostě neexistuje, takže se hosté k firmě nedostanou. Zaměstnanci (inside) smí ven na internet a na souborový server – povolíš tedy „inside → outside" a „inside → souborový server na příslušný port". A teď to hlavní: co se stane s paketem, na který nesedí žádné povolující pravidlo? Musí platit default-deny (výchozí zákaz): co není výslovně povoleno, je zakázáno. Tohle je srdce celé firewallové filosofie z kurzu 5. Bez něj by ses upsal – vyjmenovávat všechno, co chceš zakázat, je nekonečné a jednou na něco zapomeneš. S default-deny je logika obrácená a bezpečná: povolíš úzký seznam potřebného a všechno ostatní spadne samo. Na pořadí záleží (kurz 5, first-match): konkrétní povolení nahoře, default-deny jako poslední pravidlo na dně. Teď máš kompletní sadu: web ven na 443, zaměstnanci k souborům a ven, hosté jen ven, a přes to přes všechno zavřené dveře default-deny. Síť je postavená i chráněná. V poslední lekci ji otestujeme a zpevníme.

Krok za krokem

Hosté: pravidlo „host → internet → povol" a nic víc. Do inside ani DMZ žádné pravidlo nevede.
Zaměstnanci: povolíš „inside → souborový server" a „inside → internet". Úzký seznam toho, co opravdu potřebují.
Srdce firewallu: default-deny. Co nesedí na žádné povolující pravidlo, firewall zahodí. Poslední pravidlo na dně.
Máš kompletní sadu: web na 443, zaměstnanci k souborům a ven, hosté jen ven, default-deny přes vše. Zbývá otestovat.

▶ Otevřít v simulátoru

Lekce 5: Otestuj a zpevni

Test průchodu: co smí a co ne

Postavit síť je půlka práce; druhá půlka je dokázat, že dělá přesně to, co má – a nic navíc. Na hotové topologii se nikdy nespoléhej na dojem „vypadá to dobře". Otevři test průchodu v simulátoru (pošli zkušební paket z bodu A do bodu B) a projdi si svůj plán z lekce 1 bod po bodu – jak to, co MÁ projít, tak to, co NESMÍ. Ověř kladné případy: zaměstnanec se dostane na souborový server (inside → soubory ✓), zaměstnanec i host se dostanou na internet (→ outside ✓), návštěvník z internetu otevře web na 443 (outside → DMZ:443 ✓). A hlavně ověř záporné případy, protože ty odhalí díry: host se nesmí dostat na souborový server (guest → inside = zahozeno), návštěvník z internetu se nesmí dostat na souborový server (outside → inside = zahozeno) ani na web přes jiný port než 443. Když některý test dopadne jinak, než čekáš, máš chybu v pravidlech – a je lepší ji najít teď v simulátoru než v provozu. Tenhle návyk „otestuj obojí: co má projít i co nesmí" je znak dobrého síťaře. Projdi si celý seznam a přesvědč se, že tvoje firma dělá přesně to, co jsi naplánoval.

Krok za krokem

Ověř, co má projít: zaměstnanec se dostane na souborový server. Inside → soubory funguje – správně.
Návštěvník z internetu otevře web na portu 443. Outside → DMZ:443 projde – přesně jak má.
Teď to důležité – záporné testy: host se na souborový server nesmí dostat. Guest → inside = zahozeno. Dobře.
A návštěvník z internetu se nesmí dostat na souborový server. Outside → inside = zahozeno. Test obojího = návyk dobrého síťaře.

Kontrola topologie a blast-radius

Testem průchodu jsi ověřil jednotlivé cesty. Teď zvedni pohled výš a podívej se na síť jako celek – k tomu slouží kontrola topologie v simulátoru: projde tvou síť a upozorní na slabá místa, na která se u jednotlivých testů snadno zapomene. Co typicky najde? Zapomenuté příliš široké pravidlo (třeba „inside → kamkoli" místo úzkého seznamu), službu zbytečně vystavenou ven, zařízení bez segmentace nebo cestu, kterou jsi nechtěl. Ke každému nálezu si polož otázku z lekce 1: jaký je blast radius? Kdyby padl tenhle prvek nebo se zneužilo tohle pravidlo, kam až se škoda rozlije? Právě takhle poznáš, jestli tvoje segmentace opravdu funguje: napadený host by měl umět shodit nanejvýš sebe a pár dalších hostů – ne celou firmu. Napadený web v DMZ by měl uvíznout v DMZ – ne skočit na souborový server. V simulátoru na to máš přímo tlačítko Blast-radius: spočítá ti, kam všude se z vybraného zdroje útočník dostane, takže si tu otázku nemusíš jen představovat. Když audit ukáže, že jeden ovládnutý prvek dosáhne dál, než chceš, máš kandidáta na zpřísnění: přidat pravidlo, zúžit povolení, oddělit další segment. Bezpečnost sítě není jednorázová – je to smyčka: postav, otestuj průchod, projeď audit, zmenši blast radius, a po každé změně (nový server, nová aplikace) si to zopakuj. Tvoje první firemní síť teď stojí na pevných základech.

Krok za krokem

Kontrola topologie zvedne pohled nad jednotlivé testy: projde síť jako celek a upozorní na slabá místa.
Typický nález: příliš široké pravidlo nebo služba zbytečně vystavená ven. Ke každému si polož otázku po blast radiusu.
Dobrá segmentace: napadený host shodí nanejvýš pár hostů, ovládnutý web uvízne v DMZ. Blast radius je malý.
Bezpečnost je smyčka: postav, otestuj průchod, projeď audit, zmenši blast radius – a po každé změně znovu.

Shrnutí a co dál

Dokázal jsi to: z pár vět zadání je hotová funkční a bezpečná firemní síť. Projdi si cestu, kterou jsi ušel. Zadání a plán: tři skupiny podle míry důvěry (zaměstnanci, servery, hosté), cíl zmenšit blast radius, plán na papíře dřív než v kabelech. Segmentace: tři VLANy postavily neviditelné zdi, hosté navíc izolovaní i navzájem. Adresy: každá VLAN dostala podsíť a bránu, router je kontrolovaně propojil (inter-VLAN) a NAT pustil firmu ven přes jednu veřejnou adresu. Firewall: zóny inside/DMZ/outside, web publikovaný na 443, hosté jen ven a přes všechno default-deny. Test a audit: ověřil jsi, co má projít i co nesmí, a auditem zmenšil blast radius. Všimni si, že jsi nepoužil skoro nic nového – jen jsi poskládal kurzy 1 až 5 do jednoho smysluplného celku. A to je hlavní dovednost síťaře: ne znát další a další pojmy, ale umět ty známé složit do sítě, která funguje a drží. Co dál? Tahle síť má zatím všeho po jednom – jeden router, jeden firewall, jednu linku ven. Co se stane, když jeden z nich vypadne? Přesně na to navazuje další kurz v dráze: Redundance a Spanning Tree – jak síť postavit tak, aby přežila, když se něco pokazí. Máš skvělý základ. Jdi stavět dál.

Krok za krokem

Plán a segmentace: tři skupiny podle důvěry, tři VLANy jako neviditelné zdi, hosté izolovaní i navzájem.
Adresy: každá VLAN dostala podsíť a bránu, router je kontrolovaně propojil a NAT pustil firmu ven.
Firewall: zóny inside/DMZ/outside, web publikovaný na 443, hosté jen ven, přes vše default-deny. Pak test a audit.
Poskládal jsi kurzy 1–5 do funkční a bezpečné sítě. Co dál? Síť má všeho po jednom → kurz Redundance a Spanning Tree. Gratuluju!

▶ Otevřít v simulátoru