Comprendete il rischio delle policy. Ponete domande sulle policy in linguaggio naturale. Richiedi una demo →
Published:
Come tracciare un percorso di accesso attraverso più firewall
by FireMon
Quando una connessione fallisce o riesce in modo inatteso, la prima domanda è semplice: perché? Ma rispondere a questa domanda non è semplice negli ambienti moderni. Una singola connessione tra due sistemi può attraversare:
- Più firewall
- Set di regole e priorità differenti
- Zone di rete e percorsi di routing
Esaminare un dispositivo alla volta non fornisce una risposta completa. Questo articolo spiega come tracciare un percorso di accesso attraverso più firewall, per determinare con esattezza perché il traffico viene consentito o bloccato.
Il problema di fondo: l'accesso è determinato dall'intero ambiente
Gli strumenti di gestione nativi dei firewall hanno in genere una portata limitata al singolo dispositivo. Mostrano:
- Regole
- Log
- Stato della configurazione
Non mostrano come il traffico viene valutato attraverso più punti di applicazione. Una connessione riesce solo se è consentita in ogni passaggio del percorso.
Che cos'è un percorso di accesso
Un percorso di accesso è la sequenza di valutazioni che determinano se il traffico può passare da un'origine a una destinazione. Comprende:
- Sistemi di origine e di destinazione
- Porte e protocolli
- Ogni firewall, punto di controllo e dispositivo di livello 3 lungo il percorso
- Le regole che consentono o negano il traffico a ogni passaggio
Tracciare un percorso di accesso significa individuare ciascuno di questi elementi e il modo in cui interagiscono.
Input e output
Input
- Sistema di origine
- Sistema di destinazione
- Porta e protocollo
- Configurazioni dei firewall nell'intero ambiente
- Topologia di rete e percorsi di routing
- Gruppi di oggetti e mappature degli indirizzi
Output
- Se la connessione è consentita o bloccata
- La sequenza dei punti di applicazione coinvolti
- Le regole che consentono o negano il traffico
- Percorsi alternativi che possono consentire la connettività
Fase 1: definire la connessione
Partire da una domanda specifica: App_Server può comunicare con DB_Server sulla porta 1433? Senza una connessione definita con chiarezza, il tracciamento diventa ambiguo.
Fase 2: individuare il percorso previsto
Determinare come il traffico dovrebbe fluire attraverso la rete. Questo comprende:
- Zona o rete di origine
- Segmenti intermedi
- Zona o rete di destinazione
In molti ambienti esistono più percorsi possibili. Comprendere la topologia è necessario prima di valutare le regole.
Fase 3: valutare ogni punto di applicazione
Per ogni firewall o punto di controllo: 1. Individuare le regole pertinenti 2. Valutare l'ordine e la precedenza delle regole 3. Determinare se il traffico è consentito o negato
Esempio
Firewall A: Consenti App → DB (1433) Firewall B: Nega App → DB (1433) La connessione è bloccata perché tutti i punti di applicazione devono consentire il traffico.
Fase 4: espandere i gruppi di oggetti
Le regole fanno spesso riferimento a gruppi di oggetti anziché a singoli sistemi. Tali gruppi possono includere più indirizzi.
Esempio
Consenti App → DB_Group (1433) DB_Group può risolversi in: DB_Server Backup_DB Reporting_DB Il tracciamento richiede la valutazione di tutti i membri espansi.
Fase 5: valutare le interazioni tra le regole
Le regole non operano in modo indipendente. I fattori principali sono:
- Ordine delle regole
- Condizioni sovrapposte
- Regole generiche che prevalgono su quelle specifiche
Esempio
Regola 1: Allow App → Any (Any Port) Regola 2: Deny App → DB (1433) La regola di negazione esiste ma non viene mai raggiunta.
Passaggio 6: considerare i percorsi alternativi
Anche se un percorso blocca il traffico, un altro percorso può consentirlo.
Esempio
Percorso 1: il firewall A nega App → DB Percorso 2: il firewall B consente App → DB Se il routing consente il percorso 2, la connessione riesce. La tracciatura deve includere tutti i percorsi possibili.
Passaggio 7: determinare l'esito finale
Dopo aver valutato:
- Tutti i punti di applicazione
- Le interazioni tra le regole
- Le espansioni degli oggetti
- I percorsi possibili
È possibile determinare:
- Se la connessione è consentita o bloccata
- Quale regola è responsabile
- Dove il controllo deve essere modificato
Esempio: perché una connessione è consentita
Domanda App_Server può raggiungere DB_Server sulla porta 1433? Risultati della configurazione Firewall A: Allow App → DB_Group (1433) Firewall B: nessuna negazione esplicita Ordine delle regole: la regola di autorizzazione generica ha la precedenza Esito effettivo App → DB (1433) App → Backup_DB (1433) La connessione è consentita a causa dell'espansione del gruppo di oggetti e della precedenza delle regole.
Perché la tracciatura manuale non regge
La tracciatura manuale diventa difficile quando:
- Sono coinvolti più dispositivi
- I set di regole sono ampi e complessi
- I gruppi di oggetti si espandono in modo significativo
Questo porta a:
- Analisi incomplete
- Presupposti errati
- Risoluzione dei problemi lenta
Valutare i percorsi di accesso con un modello di policy
Un modello di policy offre un metodo strutturato per valutare l'accesso. Combina:
- Configurazioni dei firewall
- Topologia di rete
- Risoluzione degli oggetti
- Logica di valutazione delle regole
Questo consente ai team di:
- Valutare la connettività nell'intero ambiente
- Individuare tutte le regole applicabili
- Comprendere perché un accesso è consentito o bloccato
Il ruolo di FireMon
FireMon consente di valutare i percorsi di accesso:
- Costruendo un modello di policy normalizzato tra i firewall
- Integrando topologia e routing
- Valutando la connettività tra i sistemi
- Individuando le regole che controllano l'accesso
Questo offre un metodo coerente per rispondere alla domanda: perché questa connessione è consentita o bloccata?
Punti chiave
- L'accesso è determinato su più punti di applicazione
- Una connessione deve essere consentita in ogni passaggio
- L'ordine delle regole e l'espansione degli oggetti influiscono sugli esiti
- I percorsi alternativi possono abilitare connettività inattesa
- La valutazione dell'accesso richiede sia la policy sia la topologia
In sintesi
Nella risoluzione dei problemi di accesso, l'obiettivo non è individuare una regola. L'obiettivo è sfruttare sia i punti di controllo sia la topologia di rete per ottenere una visione end-to-end della connessione, che consenta di spiegare con chiarezza perché il traffico è consentito o bloccato.
[ FireMon ]
Il ruolo di FireMon
FireMon consente di valutare i percorsi di accesso costruendo un modello di policy normalizzato tra i firewall, integrando topologia e routing, verificando la connettività tra i sistemi e individuando le regole che controllano l'accesso.
Domande frequenti
Tracciare il traffico di rete attraverso più firewall significa valutare come una connessione viene gestita in ogni punto di applicazione tra origine e destinazione. Comprende l'analisi di regole, percorsi di routing e gruppi di oggetti per stabilire se il traffico viene infine consentito o bloccato nell'intero ambiente.
Tracciare il traffico è difficile perché ogni firewall valuta le regole in modo indipendente, mentre la connettività effettiva dipende dall'insieme di tutti i punti di applicazione. L'ordine delle regole, l'espansione dei gruppi di oggetti e la presenza di più percorsi di routing rendono difficile comprendere i risultati esaminando i singoli dispositivi in modo isolato.
Inizi definendo origine, destinazione, porta e protocollo. Individui quindi il percorso di rete previsto, valuti le regole su ciascun firewall, espanda i gruppi di oggetti e consideri le interazioni tra le regole e i percorsi alternativi. Il risultato finale dipende da come tutti i punti di applicazione valutano la connessione nel loro insieme.
I risultati sul traffico dipendono dall'ordine delle regole, dalle condizioni di autorizzazione e negazione, dall'appartenenza ai gruppi di oggetti e dai percorsi di routing della rete. Una connessione deve essere consentita in ogni punto di applicazione e anche piccole modifiche alla policy o alla topologia possono cambiare l'esito, consentendo o bloccando il traffico.
Una regola di negazione può non produrre effetti se viene sovrascritta da una regola di autorizzazione più ampia con precedenza superiore oppure se non viene mai raggiunta a causa dell'ordine delle regole. In alcuni casi, percorsi di rete alternativi possono aggirare completamente la regola di negazione, con il risultato di traffico consentito in modo inatteso.
Un'analisi accurata richiede di valutare il traffico nell'intero ambiente, non su un singolo dispositivo. Un modello di policy che integra regole firewall, topologia e risoluzione degli oggetti può individuare tutti i punti di applicazione e le interazioni tra le regole, fornendo una spiegazione chiara del motivo per cui il traffico è consentito o bloccato.