Zabezpečení sítě
Firewall v praxi: zóny inside/outside/DMZ, pravidla, stavová inspekce, VPN a časté chyby v konfiguraci.
Lekce 1: Problém otevřené sítě
Síť bez dveří
Z minulých kurzů máš síť, která funguje – umí spojit kohokoli s kýmkoli. Jenže to je teď problém. Firma je připojená do internetu a uvnitř má servery a citlivá data. Když mezi internetem a vnitřkem není žádná hranice, může se na ně kdokoli z celého světa jednoduše připojit. Uvnitř si navíc všichni navzájem věří – nic je nehlídá. Otevřená síť = otevřené dveře.
Krok za krokem
- Firma v internetu: uvnitř SERVER a DATA. Mezi internetem a vnitřkem není žádná hranice.
- Kdokoli z internetu pošle paket – a ten projde rovnou dovnitř na SERVER. Nic ho po cestě nezastaví.
- A stejně tak na DATA. Uvnitř si všichni věří, takže útočník, který se dostane dovnitř, dosáhne na všechno. To je vážný problém.
- Potřebujeme na hranici někoho, kdo rozhodne, co smí dovnitř a co ne. Takovému vrátnému se říká firewall – a o něm je celý tenhle kurz.
Co hrozí
Co se vlastně může stát, když je síť otevřená? Útočník nemusí nic „prolamovat" – stačí, že na servery vidí. Nejdřív si oskenuje, co běží (jaké porty/služby jsou otevřené). Pak zkusí dosáhnout na to citlivé (databáze, admin rozhraní, zálohy). A když uspěje, odveze si data ven (exfiltrace) nebo se uhnízdí. Všechno proto, že mu v cestě nic nestojí.
Krok za krokem
- Sken. Útočník si nejdřív zmapuje, co na tvých serverech běží a co je dostupné. Zadarmo, jen se dívá.
- Průnik. Najde otevřenou službu a dosáhne na to cenné – databázi, admin rozhraní, zálohy. V otevřené síti mu nic nebrání.
- Škoda. Odveze data ven (exfiltrace), zašifruje je (ransomware) nebo se v síti usadí na později. Tady to bolí.
- Společný jmenovatel: nic nehlídá hranici. Kdyby tam stál firewall, většinu tohohle by zastavil hned na vstupu. Pojďme ho tam postavit.
Firewall = vrátný
Řešení je firewall – postavíme ho přesně na hranici mezi internetem a vnitřní sítí. Funguje jako vrátný: každý paket (kousek dat s adresou, znáš z kurzu Jak fungují sítě), který chce projít, posoudí podle pravidel a buď ho pustí, nebo zablokuje. Legitimní věci (zákazník na webový server) projdou; nezvané (kdokoli z internetu na databázi) zastaví. Nic se přes hranici nedostane „jen tak".
Krok za krokem
- Na hranici stojí firewall. Veškerý provoz mezi internetem a vnitřkem teď musí přes něj.
- Zákazník chce na WEB (port 443). To je v pořádku → firewall ho pustí.
- Někdo z internetu chce na DATA. To nemá co dělat → firewall to zablokuje. Hranice drží.
- Firewall se rozhoduje podle pravidel, ne náhodně. Jak ta pravidla vypadají a jak se sítě dělí na zóny (důvěryhodnosti), je obsah dalších lekcí.
Lekce 2: Zóny: inside, outside, DMZ
Zóny důvěry
Firewall nepracuje s jednotlivými kabely, ale se zónami – skupinami sítí podle toho, jak moc jim věříš. Tři klasické: OUTSIDE (internet – nevěříš nikomu), INSIDE (vnitřní síť – plně důvěryhodná) a DMZ (poloviční důvěra – sem patří veřejné servery, na které se musí z internetu, třeba web). Zóna přitom není vlastnost paketu, ale rozhraní firewallu – na které rozhraní (kabel) paket přijde, do té zóny patří. Firewall pak řeší jednu věc: kdo z které zóny smí do které.
Krok za krokem
- Uprostřed firewall, kolem něj tři zóny. Každá má jinou míru důvěry. Pojďme je projít.
- OUTSIDE = internet. Nevěříš nikomu – cokoli odtud je potenciální hrozba.
- INSIDE = tvoje vnitřní síť (PC, servery, data). Plně důvěryhodná – to je to, co chráníš.
- DMZ = poloviční důvěra. Sem dáš veřejné servery (web), na které se musí z internetu – ale oddělené od vnitřku. Kdo kam smí, řeší firewall pravidly (další moduly).
Výchozí zákaz dovnitř
Základní pravidlo firewallu je vlastně selské: důvěřuj směrem ven, ne dovnitř. INSIDE → OUTSIDE (zaměstnanec na internet) se povolí – odpovědi na to, co si sám vyžádal, smí zpátky (jak firewall pozná odpověď od nezvaného spojení, uvidíš v lekci Stavový firewall). Ale OUTSIDE → INSIDE (někdo z internetu si začne sám) je ve výchozím stavu zakázané. Nikdo nezvaný se zvenku dovnitř nedostane. Výjimky (třeba na web v DMZ) se dělají konkrétními pravidly.
Krok za krokem
- PC (inside) na internet: zaměstnanec si surfuje. Firewall to povolí – a odpovědi pustí zpátky.
- Někdo z internetu si začne spojení dovnitř: firewall to ve výchozím stavu zakáže. Nezvaný host se dovnitř nedostane.
- Tohle je jádro: ven důvěřuješ, dovnitř ne. Co má přesto zvenku projít (web), se povolí cíleným pravidlem – a ideálně to vede do DMZ, ne rovnou dovnitř. To je další modul.
DMZ: veřejné servery stranou
Proč vlastně DMZ? Máš web server, na který se musí dostat kdokoli z internetu. Kdybys ho dal dovnitř (inside) a otevřel do něj díru, tak útočník, který ten web napadne, stojí rovnou ve tvé vnitřní síti – u dat, u všeho. Proto se veřejné servery dávají do DMZ: vlastní zóny mezi internetem a vnitřkem. Když web v DMZ padne, útočník je uvězněný v DMZ a na inside nedosáhne (firewall ho nepustí).
Krok za krokem
- Zákazníci se musí dostat na WEB. Ten je v DMZ, takže firewall pustí internet → DMZ (web). Web funguje.
- Řekněme, že se WEB v DMZ napadne (zranitelnost). Útočník teď ovládá server v DMZ. Kam se dostane dál?
- Útočník z DMZ zkusí dovnitř (inside) – na data. Firewall DMZ → inside nepustí. Je uvězněný v DMZ.
- To je smysl DMZ: veřejný server je dostupný, ale jeho napadení neohrozí vnitřek. Malý blast radius. Konkrétní pravidla mezi zónami jsou další modul.
Pravidla mezi zónami
Když to dáme dohromady, vznikne jednoduchá matice – kdo z které zóny smí kam: INSIDE → kamkoli (ven i do DMZ, je důvěryhodný). OUTSIDE → DMZ jen na web (port 443, cíleným pravidlem). OUTSIDE → INSIDE nikdy (default deny). DMZ → INSIDE nikdy (aby napadený web nepronikl dovnitř). Tahle čtyři pravidla jsou základ skoro každého firewallu.
Krok za krokem
- INSIDE → ven i do DMZ: povoleno. Vnitřní síť je důvěryhodná, smí iniciovat spojení kamkoli.
- OUTSIDE → DMZ (web 443): povoleno cíleným pravidlem. Jen tahle jedna služba, nic víc.
- OUTSIDE → INSIDE: zakázáno (default deny). Z internetu se k vnitřním datům nikdo nedostane.
- DMZ → INSIDE: zakázáno. I kdyby web v DMZ padl, dovnitř se útočník nedostane. Tahle čtyři pravidla = kostra firewallu. Jak pravidlo přesně vypadá, je další lekce.
Celý obrázek
Dáme to dohromady. Firewall rozdělí síť na zóny podle důvěry a mezi nimi pustí jen to, co dává smysl: ven ano, dovnitř jen na pozvání, veřejné servery do DMZ stranou. Tím získáš pořádek i bezpečí jedním návrhem. Tenhle princip si vyzkoušíš v úloze web-dmz: web server v DMZ má být dostupný z internetu na portu 443, ale databáze uvnitř ne.
Krok za krokem
- Tři zóny, jeden firewall, jasná pravidla. Tohle je návrh, který chrání a zároveň nechá fungovat web.
- INSIDE normálně pracuje – ven na internet i na web v DMZ. Žádné omezení pro důvěryhodnou zónu.
- Zákazníci z internetu se dostanou jen na web v DMZ (443). Přesně to chceš.
- Ale internet → vnitřní databáze? Blokováno. A kdyby web v DMZ padl, dovnitř se stejně nedostane. Tohle si teď postavíš v úloze web-dmz.
Lekce 3: Anatomie pravidla
Z čeho se pravidlo skládá
Jak vlastně pravidlo firewallu vypadá? Je to věta o pěti částech: akce (povolit / zakázat), zdroj (odkud), cíl (kam), protokol (TCP/UDP/…) a port (která služba). Třeba „povol provoz z inside na web v DMZ přes TCP 443". Každý procházející paket firewall porovná s těmihle částmi – a když sedí, udělá tu akci. (Stavba je stejná jako u ACL z kurzu Switching a VLANy; firewall má navíc zóny a sleduje stav spojení – hned příští lekce.)
Krok za krokem
- Pravidlo = pět částí. Postupně si je projdeme na příkladu „povol inside → web v DMZ na 443".
- Akce – POVOLIT (nebo ZAKÁZAT). Co se s vyhovujícím provozem stane.
- Zdroj a cíl – odkud (inside) a kam (web v DMZ). Pravidlo platí jen pro tenhle směr.
- Protokol a port – TCP a 443 (HTTPS). Tím se trefíš přesně do jedné služby (web), ne do všeho.
First-match: záleží na pořadí
Pravidel je obvykle víc a firewall je čte shora dolů. Jakmile paket sedne na první pravidlo, udělá jeho akci a dál už nečte – platí první shoda (first-match). To znamená, že záleží na pořadí: konkrétní zákazy musí být nad obecnými povoleními, jinak se na ně nikdy nedostane. Sleduj paket, jak prochází seznamem.
Krok za krokem
- Dvě pravidla: 1) zakázat Telnet (23), 2) povolit na mgmt cokoli. Přijde paket na Telnet (23).
- Firewall čte shora: pravidlo 1 (deny Telnet) sedí → paket zakázán. Pravidlo 2 se už nečte.
- A pozor: kdyby bylo permit cokoli nahoře, sedlo by jako první a Telnet by prošel – zákaz pod ním by se nikdy neuplatnil. Proto na pořadí záleží.
Default deny na konci
A co provoz, který nesedne na žádné pravidlo? Na konci každého firewallu je neviditelné výchozí pravidlo „zakázat vše" (implicit deny). Takže platí: co není výslovně povoleno, je zakázáno. To je bezpečné nastavení – nezapomenutý provoz se radši zablokuje, než aby omylem prošel. Ty proto píšeš jen povolení pro to, co opravdu chceš; zbytek zařídí default deny.
Krok za krokem
- Napíšeš jen povolení: inside ven na 443 a outside na web v DMZ. Nic víc.
- Na konci je ale vždycky neviditelné „zakázat vše". Sem spadne všechno, co nesedlo na žádné povolení.
- Přijde outside → vnitřní databáze. Nesedí na žádné povolení → spadne na default deny → zakázáno. Přesně jak chceš, bez psaní zvláštního zákazu.
Příklad: zablokuj Telnet
Konkrétní příklad z praxe. Na správcovský server (MGMT) se připojuješ – ale Telnet (port 23) je nešifrovaný a nebezpečný, kdežto SSH (22) je šifrované a bezpečné. Chceš tedy: SSH povolit, Telnet zakázat. Uděláš pravidlo „zakázat PC → MGMT, TCP 23", a protože SSH na 22 nesedí na zákaz, projde. Přesně tohle si vyzkoušíš v úloze block-telnet – a pozor na pořadí pravidel.
Krok za krokem
- Správce se z PC připojuje na MGMT server. Ten poslouchá na SSH (22) i Telnet (23).
- SSH (22) je šifrované a bezpečné → necháš projít. Správce normálně pracuje.
- Telnet (23) je nešifrovaný (hesla v čistém textu) → pravidlem ho zakážeš. Firewall ho zastaví.
- Jedno cílené pravidlo (deny TCP 23) + výchozí povolení správy = bezpečno. Pozor na pořadí, ať deny není pod permitem. Postav si to v úloze block-telnet.
Lekce 4: Stavový firewall
Problém odpovědí
Tady je ten zádrhel, který jsme v lekci o zónách slíbili rozřešit. Naučili jsme se: inside → outside povoleno, outside → inside zakázáno. Jenže když si PC vyžádá web, server pošle odpověď – a ta jde outside → inside! Podle výchozího zákazu by se měla zablokovat a web by vůbec nefungoval. Ručně povolit všechen provoz zpátky z internetu by byla obří díra. Jak pustit odpovědi, ale ne nezvané spojení?
Krok za krokem
- PC si vyžádá web. To je inside → outside → firewall povolí. Zatím dobré.
- Server odpoví. Jenže odpověď jde outside → inside – a to je default deny! Tupý firewall by ji zablokoval a web by nefungoval.
- Ručně povolit všechno zpátky z internetu = otevřít vrata dokořán. Potřebujeme chytřejší firewall, který pozná odpověď na to, co si PC samo vyžádalo. To je stavový firewall – další modul.
Connection table
Řešení je stavový firewall (stateful). Ten si pamatuje spojení, která začala zevnitř. Když PC otevře spojení ven, firewall si ho zapíše do connection table (tabulky spojení): kdo, kam, jaký port. Tahle tabulka je jeho paměť – ví, co je „rozjednané". Díky ní pozná, že přicházející odpověď patří k existujícímu spojení, a pustí ji – aniž bys psal jediné pravidlo navíc.
Krok za krokem
- PC se chystá otevřít spojení ven na web. Stavový firewall bude dávat pozor.
- PC otevře spojení PC → WEB:443. Firewall ho propustí a hlavně si ho zapíše.
- V connection table teď stojí: „PC ↔ WEB:443, aktivní". Firewall si pamatuje, že tohle spojení začalo zevnitř.
- Tahle paměť je celý trik. Jak ji firewall použije na odpověď, je hned další modul.
Odpověď projde, nezvané ne
Teď ten trik využijeme. Když přijde provoz outside → inside, firewall se nejdřív podívá do connection table. Sedí na nějaké aktivní spojení? → je to odpověď na to, co si PC vyžádalo → pustí ji. Nesedí na nic? → nikdo zevnitř to nezačal → je to nezvané → zablokuje. Takže odpovědi projdou samy a útočníkova spojení ne. Bezpečně i pohodlně.
Krok za krokem
- Od WEB přichází odpověď (outside → inside). Firewall ji nepustí slepě – nejdřív se podívá do tabulky.
- Odpověď sedí na záznam „PC ↔ WEB:443" → je to vyžádaná odpověď → firewall ji pustí až k PC. Web funguje.
- Teď si někdo z internetu začne sám. V tabulce nic nesedí (nikdo zevnitř to nezačal) → nezvané → firewall zablokuje. Útočník neprojde.
- Takhle elegantně to drží: odpovědi ano, nezvaná spojení ne – a ty nepíšeš žádné pravidlo pro návratový provoz. To je síla stavového firewallu.
UDP a ICMP
Jedna jemnost. TCP má jasný začátek a konec spojení (handshake) – stav se sleduje snadno. Ale UDP (třeba DNS dotaz) a ICMP (ping) žádné „spojení" nemají – jsou to jednotlivé zprávy. Jak je sledovat? Firewall si i u nich vytvoří dočasný záznam (pseudo-stav) s časovým limitem: po odeslání dotazu pár vteřin čeká na odpověď a tu pustí; pak záznam zahodí. Díky tomu projde DNS odpověď i ping reply, aniž bys cokoli povoloval ručně.
Krok za krokem
- U TCP firewall přesně ví, kdy spojení začalo a skončilo (handshake, ukončení). Stav se drží snadno.
- Ale UDP dotaz (DNS) nebo ICMP (ping) spojení nemají – jsou to samostatné zprávy. Jak pustit odpověď?
- Firewall si i tak udělá dočasný záznam s časovým limitem: „čekám odpověď na tenhle DNS dotaz pár vteřin". Tu odpověď pak pustí.
- DNS odpověď i ping reply tak projdou včas. Pozdní nebo nevyžádaná „odpověď" už ne (záznam vypršel). Tím stavová inspekce pokrývá i bezspojové protokoly.
Lekce 5: Stínová pravidla a chyby
Stínované pravidlo
Nejčastější chyba ve firewallu vychází z first-match: stínované pravidlo. Chceš zakázat „guest → file-server", ale ten deny dáš AŽ POD široké „povolit vše na file-server". Protože platí první shoda, guest sedne na permit nahoře a tvůj deny se nikdy neuplatní – je ve stínu. Vypadá to, že máš ochranu, ale nemáš. Sleduj.
Krok za krokem
- Chceš zakázat guest → file-server. Ale deny je pod širokým „povolit vše na file-server". Přijde paket od guesta.
- First-match: guest sedne na permit nahoře → projde. Tvůj deny pod ním se nikdy nepřečte. Ochrana je jen na papíře.
- Oprava: přesuň deny NAD permit. Teď guest sedne na deny jako první → zakázán, ostatní permit pustí dál. Přesně tohle je úloha shadow-rule.
Příliš permisivní pravidlo
Druhá klasická chyba: příliš permisivní pravidlo. „Povolit any → any" (cokoli kamkoli) je pohodlné – všechno funguje – ale otevře úplně všechno, včetně toho, co jsi nikdy povolit nechtěl. Pravidlo má být co nejužší: přesný zdroj, cíl, protokol a port. Místo „povol vše na server" radši „povol jen web 443 z internetu na ten jeden server". Méně otevřeno = méně rizika.
Krok za krokem
- Tohle jedno pravidlo „any → any" povolí všechno. Web funguje, ale… funguje i všechno ostatní.
- Útočník zkusí internet → vnitřní databáze – a projde, protože „any → any" to povolí. Pohodlné pravidlo = otevřená vrata.
- Oprava: pravidlo zúžíš na přesně to, co potřebuješ – „outside → web-server, TCP 443". Všechno ostatní spadne na default deny. Princip nejmenších oprávnění.
Zapomenuté pravidlo
Třetí chyba je lidská: zapomenuté pravidlo. Dodavatel potřeboval na týden vzdálený přístup (RDP 3389) na jeden server, tak se přidalo „dočasné" povolení. Práce skončila – ale pravidlo zůstalo. Po roce už nikdo neví, proč tam je, a je to otevřená díra, kterou útočník dřív nebo později najde. Pravidla stárnou a hromadí se.
Krok za krokem
- Přidá se „dočasné" povolení: internet → server, RDP 3389, aby se dodavatel na týden připojil.
- Dodavatel odjede, práce končí – ale pravidlo nikdo nesmaže. Zůstane tam měsíce, roky.
- A jednoho dne útočník najde otevřený RDP z internetu a zkusí hesla. Zapomenutá výjimka se stala vstupní branou. Proto se pravidla musí pravidelně čistit – další modul.
Audit a úklid
Řešení všech tří chyb je jedno: pravidelný audit (úklid) pravidel. Projdeš seznam a hledáš tři věci: stínovaná pravidla (nikdy se neuplatní – buď je oprav, nebo smaž), příliš široká pravidla (zúži je) a zapomenutá / nepoužívaná pravidla (smaž). Méně pravidel, která jsou úzká a smysluplná, je bezpečnější i přehlednější než stovka starých výjimek. To si vyzkoušíš v úloze shadow-rule.
Krok za krokem
- Stínovaná. Najdi pravidla, na která se kvůli pořadí nikdy nedostane, a oprav pořadí (nebo smaž).
- Příliš široká. „any → any" a podobné zúži na přesně to, co je potřeba.
- Zapomenutá. Dočasné výjimky a nepoužívaná pravidla smaž. Každé pravidlo má mít důvod.
- Pravidelný audit udrží firewall úzký, čistý a srozumitelný. Tím končí teorie pravidel – jednu chybu si teď opravíš v úloze shadow-rule.
Lekce 6: VPN: vzdálený přístup
Vzdálený přístup
Zaměstnanec je na home office a potřebuje na interní server ve firmě (sdílené disky, systémy). Jenže to jsme se celý kurz učili zakázat: z internetu dovnitř se nikdo nedostane (default deny). Jak tedy pustit svého člověka, ale ne útočníka? Otevřít server do internetu by byla díra. Potřebujeme něco, co vzdáleného zaměstnance bezpečně „přenese" dovnitř.
Krok za krokem
- HOME zaměstnanec chce na interní server. Mezi nimi je celý internet a firemní firewall.
- Připojit se přímo? Firewall to zakáže (outside → inside = default deny). A to je správně – jinak by se připojil i útočník.
- Nechceme server otevřít celému světu. Chceme pustit jen ověřeného zaměstnance a jeho provoz ochránit i na cestě přes internet. Řešení = VPN (další modul).
Co VPN dělá
VPN (Virtual Private Network) udělá dvě věci najednou. 1) Tunel: vytvoří přes internet šifrovaný „tunel" mezi tebou a firmou – cokoli jím projde, je po cestě nečitelné (i kdyby to někdo odposlechl). 2) „Jsi uvnitř": po přihlášení ti VPN brána přidělí adresu z vnitřního rozsahu (podobně jako doma DHCP) a chováš se, jako bys seděl v kanceláři – na interní server normálně dosáhneš. Veřejný internet jsi přitom nikdy „neotevřel".
Krok za krokem
- VPN klient a firewall si vytvoří šifrovaný tunel přes internet. Vše uvnitř je nečitelné pro kohokoli na cestě.
- Po přihlášení se zaměstnanec chová, jako by seděl v kanceláři – tunelem projde k internímu serveru. Firewall ho pustí, protože přišel ověřeným tunelem.
- Dvě výhody naráz: bezpečí (šifrování) a dosah (jsi „uvnitř") – a server jsi přitom neotevřel celému internetu. To je celé kouzlo VPN.
Remote-access vs site-to-site
VPN má dvě hlavní podoby. Remote-access VPN: jeden člověk (notebook, telefon) se přes klienta připojí do firmy – přesně náš home office. Site-to-site VPN: trvalý šifrovaný tunel mezi dvěma sítěmi (např. centrála ↔ pobočka), který spojí celé lokality, jako by byly jedna síť. Zaměstnanci v pobočce o něm ani nevědí – „prostě to funguje".
Krok za krokem
- Remote-access: jeden zaměstnanec s VPN klientem (notebook, mobil) se připojí dovnitř firmy. Pro jednotlivce.
- Site-to-site: trvalý tunel mezi dvěma firewally (centrála ↔ pobočka). Spojí celé sítě – uživatelé nic neinstalují.
- Stejný nápad (šifrovaný tunel), dvě měřítka: jeden člověk vs celá pobočka. Oba končí na firewallu – a kde přesně, je další modul.
Kde VPN sedí na firewallu
Kde VPN končí? Tunel se typicky „rozbalí" na firewallu (nebo na zvláštním VPN koncentrátoru) – ten ověří přihlášení a provoz z VPN zařadí do vlastní zóny „VPN". Ta má vyšší důvěru než internet (je to ověřený zaměstnanec), takže smí dovnitř na povolené servery – ale pořád pod kontrolou pravidel. Když je rozhraní k VPN omylem v zóně „outside", firewall přihlášeného uživatele zablokuje jako kohokoli z internetu. Přesně tahle chyba je úloha remote-vpn.
Krok za krokem
- Tunel od HOME klienta končí na firewallu. Ten ověří přihlášení (jméno/heslo, certifikát) – je to opravdu náš zaměstnanec?
- Po ověření zařadí firewall ten provoz do zóny „VPN" – vyšší důvěra než outside. Smí dovnitř na povolené servery, ale dál podle pravidel.
- A je to: ověřený zaměstnanec dosáhne na interní server. Pozor na chybu – kdyby rozhraní VPN bylo v zóně „outside", firewall by ho zablokoval jako cizího. To si opravíš v úloze remote-vpn.
Lekce 7: Celá cesta pohromadě
VLAN + firewall dohromady
Spojíme dva kurzy. Z kurzu Switching a VLANy umíš síť rozdělit na VLANy (uživatelé zvlášť, servery zvlášť, hosté zvlášť). Z tohoto kurzu umíš firewall a zóny (hranice, pravidla, DMZ). Dohromady vzniká obrana ve vrstvách: firewall hlídá hranici (internet ↔ DMZ ↔ inside) a VLANy s ACL hlídají provoz uvnitř (uživatelé nesmí na DB jen tak). Jedna vrstva chytí, co druhá pustí.
Krok za krokem
- Na hranici stojí firewall se zónami: internet (outside), WEB v DMZ a vnitřní síť (inside). To znáš z tohoto kurzu.
- A uvnitř je síť rozdělená na VLANy (PC ve V10, DB ve V20) s CORE L3 a ACL – to znáš z kurzu Switching a VLANy. Uživatelé a data jsou oddělení.
- Tohle je obrana ve vrstvách: firewall na hranici + segmentace uvnitř. Útočník musí prorazit víc nezávislých vrstev, ne jednu. Pojďme to projet na dvou scénářích.
Dva scénáře
Projedeme dva scénáře a uvidíš, jak vrstvy spolupracují. Scénář A (legitimní): zákazník z internetu chce na web v DMZ – to je v pořádku, firewall pustí port 443 do DMZ. Scénář B (útok): někdo z internetu (nebo napadený web v DMZ) chce na vnitřní databázi – tady ho zastaví hned dvě vrstvy: firewall (zóna inside je zavřená) i segmentace (DB je ve vlastní VLANě s ACL). Sleduj.
Krok za krokem
- Scénář A: zákazník z internetu na web v DMZ (443). Firewall to pustí – přesně k tomu DMZ je. Web funguje.
- Scénář B: útok z internetu na vnitřní DB. Vrstva 1 – firewall: zóna inside je zavřená (default deny) → stop. Dovnitř se nedostane.
- A i kdyby útočník ovládl web v DMZ a zkusil odtud na DB: vrstva 2 – segmentace (DB ve vlastní VLANě + ACL na CORE) ho taky zastaví. Dvě vrstvy, dvojí pojistka.
- To je pointa: legitimní provoz projde, útok narazí znovu a znovu. Firewall + VLANy = víc než součet částí. Tím máš hotové jádro síťové bezpečnosti.
Co ještě chybí → Kurz 6
Máš solidní bezpečnou síť – ale jedna věc pořád chybí: spolehlivost. Všechen provoz teče přes jeden firewall. Co když ten jeden firewall (nebo jeho linka) spadne? Celá firma je offline i bez ochrany zároveň. Jeden prvek = jediný bod selhání. Řešení – záložní cesty a prvky, redundance, vysoká dostupnost – je celý kurz o redundanci a STP. Tam se naučíš, jak síť přežije výpadek.
Krok za krokem
- Tahle síť je bezpečná a funguje: všechen provoz teče přes firewall ke serverům. Ale visí to na jednom firewallu.
- Když ten jeden firewall spadne, je firma offline – a kdyby ho někdo obešel, i bez ochrany. Jediný bod selhání.
- Chtěli bychom záložní firewall, záložní linky, prvky, co se po výpadku samy přepnou. To je redundance a vysoká dostupnost – a celý kurz o redundanci a STP. Bezpečnou síť máš; teď ji uděláme odolnou. A než půjdeš dál, můžeš si znalosti z celého kurzu ověřit prakticky – v úloze níže postavíš pravidla firewallu na principu default deny.