Reguła zapory dla podsieci

Reguła zapory dla podsieci dopuszcza ruch z całego zakresu adresów przypisanego danej sieci.

Reguła zapory dla podsieci – czym jest i do czego służy

Reguła zapory dla podsieci to zapis określający, jaki ruch sieciowy może zostać przepuszczony albo zatrzymany na podstawie zakresu adresów IP przypisanych do konkretnej części sieci. Zamiast wskazywać pojedyncze urządzenie, administrator odnosi się do całego przedziału adresów. Dzięki temu jednym warunkiem można objąć wiele komputerów, drukarek, punktów dostępowych lub innych urządzeń działających w tej samej podsieci. Takie podejście porządkuje konfigurację i ogranicza konieczność tworzenia osobnych wpisów dla każdego adresu.

Pod pojęciem podsieci kryje się logicznie wydzielony fragment większej sieci. O tym, które adresy do niego należą, decyduje między innymi maska podsieci albo zapis w notacji CIDR. Przykładowo zakres zapisany jako 192.168.10.0/24 obejmuje adresy należące do jednej puli, natomiast krótszy zakres, taki jak 192.168.10.0/28, wskazuje mniejszą grupę. Sama reguła nie powinna być jednak interpretowana wyłącznie jako lista adresów. Znaczenie mają także kierunek połączenia, protokół, port, interfejs, strefa bezpieczeństwa oraz kolejność pozostałych zasad.

W praktyce zapora analizuje pakiety i porównuje ich adres źródłowy lub docelowy z warunkiem zapisanym w regule. Jeżeli pakiet pasuje do zakresu, zapora przechodzi do dalszej oceny, a następnie podejmuje decyzję zgodną z działaniem przypisanym do wpisu. Może to być zezwolenie, odrzucenie albo ciche zablokowanie połączenia. W zależności od urządzenia rejestrowane mogą być również próby komunikacji, co ułatwia późniejsze ustalenie przyczyny problemu.

Reguła zapory dla podsieci a zakres adresów i segmentacja

Najważniejszą różnicą między regułą dla pojedynczego hosta a regułą dla podsieci jest skala zastosowania. Reguła hosta odnosi się do jednego adresu, natomiast reguła podsieci obejmuje urządzenia mieszczące się w określonym zakresie. Ułatwia to wdrażanie wspólnych zasad, ale jednocześnie wymaga większej ostrożności. Jeżeli do tej samej podsieci zostanie podłączone nowe urządzenie, może automatycznie zostać objęte istniejącą regułą. Z punktu widzenia wygody jest to korzystne, lecz z punktu widzenia kontroli dostępu może zwiększać zakres dozwolonego ruchu.

Podsieci stosuje się między innymi do oddzielania komputerów użytkowników, urządzeń gościnnych, sprzętu drukującego, kamer, telefonów sieciowych i urządzeń automatyki. Rozdzielenie tych grup pozwala dokładniej ustalić, które połączenia są potrzebne. Na przykład urządzenia z jednej podsieci mogą otrzymywać dostęp do wybranej usługi w innej części sieci, podczas gdy komunikacja z pozostałymi zasobami pozostaje niedostępna. Reguła zapory dla podsieci staje się wtedy elementem szerszego modelu segmentacji, a nie pojedynczym przełącznikiem zezwalającym na cały ruch.

Ważna jest także różnica pomiędzy ruchem przychodzącym a wychodzącym. Zezwolenie na połączenia inicjowane z danej podsieci nie musi oznaczać zgody na połączenia inicjowane w jej kierunku. Osobno może być oceniany ruch do internetu, do zasobów lokalnych oraz pomiędzy konkretnymi strefami. W niektórych konfiguracjach znaczenie ma również translacja adresów, przez którą zapora widzi adres przed zmianą albo po zmianie. Błędne rozpoznanie tego etapu prowadzi do sytuacji, w której reguła wydaje się poprawna, lecz nie pasuje do faktycznie obserwowanego ruchu.

Reguła zapory dla podsieci – typowe problemy konfiguracyjne

Jednym z częstych problemów jest zastosowanie nieprawidłowej maski. Różnica pomiędzy /24, /25 i /26 oznacza odmienny zakres adresów, dlatego nawet niewielka pomyłka może objąć zbyt dużą albo zbyt małą grupę urządzeń. Podobne skutki powoduje wpisanie adresu sieci jako adresu hosta lub pominięcie właściwego oznaczenia zakresu. W efekcie część połączeń jest odrzucana, mimo że użytkownik znajduje się pozornie w dozwolonej podsieci.

Drugim problemem bywa kolejność reguł. W wielu zaporach zasady są sprawdzane od góry do dołu, a pierwsze dopasowanie kończy analizę. Ogólna reguła blokująca umieszczona przed bardziej szczegółowym zezwoleniem może sprawić, że wyjątek nigdy nie zadziała. Odwrotna sytuacja, czyli zbyt szerokie zezwolenie umieszczone wysoko na liście, może osłabić późniejsze ograniczenia. Dlatego każda zmiana powinna być opisana i sprawdzona w odniesieniu do wszystkich wpisów znajdujących się powyżej oraz poniżej.

Trudności może powodować także niejednoznaczne określenie portu lub protokołu. Działająca strona internetowa nie oznacza, że dostępne są wszystkie usługi na tym samym urządzeniu. TCP i UDP są analizowane odmiennie, a pojedyncza aplikacja może korzystać z kilku portów. Warto sprawdzić, jaki rodzaj komunikacji jest faktycznie potrzebny, czy połączenie jest inicjowane lokalnie, oraz czy zapora nie blokuje odpowiedzi należących do już rozpoczętej sesji.

Nie należy pomijać logów. Zapis odrzuconego pakietu może wskazać adres źródłowy, adres docelowy, port, protokół i interfejs, na którym pojawił się ruch. Takie dane są bardziej użyteczne niż samo stwierdzenie, że sieć nie działa. Należy również uwzględnić możliwość błędnej konfiguracji DHCP, ręcznie nadanego adresu, konfliktu adresów albo połączenia urządzenia z inną siecią bezprzewodową. W takich przypadkach problem nie wynika bezpośrednio z reguły, choć objawy mogą wyglądać podobnie.

Reguła zapory dla podsieci – praktyczne wskazówki sprawdzania

Przed utworzeniem lub zmianą reguły warto przygotować prosty opis celu. Powinno być jasne, z której podsieci wychodzi ruch, do jakiego zasobu ma docierać, który protokół jest wymagany oraz czy dostęp ma działać w jednym kierunku, czy w obu. Dobrą praktyką jest ograniczenie reguły do niezbędnego zakresu. Jeżeli potrzebny jest dostęp do jednego urządzenia, reguła dla całej podsieci może być zbyt szeroka. Jeżeli natomiast wszystkie urządzenia w danej strefie muszą korzystać z tej samej usługi, powielanie wpisów dla pojedynczych adresów może utrudniać późniejsze utrzymanie.

• należy potwierdzić adres sieci, maskę oraz zakres adresów używanych przez urządzenia;
• należy określić kierunek ruchu i sprawdzić, czy zapora filtruje adres źródłowy, docelowy, czy oba;
• należy zweryfikować protokół, port oraz ewentualne reguły związane ze stanem połączenia;
• należy przejrzeć kolejność wpisów, aby bardziej ogólna zasada nie przesłoniła wyjątku;
• należy wykonać test z urządzenia należącego do danej podsieci i porównać wynik z logami;
• należy opisać zmianę, datę jej wykonania oraz przewidywany rezultat, aby można było ją później odtworzyć.

Test powinien obejmować zarówno oczekiwane zezwolenie, jak i połączenia, które powinny pozostać zablokowane. Sama możliwość otwarcia jednej usługi nie potwierdza prawidłowości całej konfiguracji. Warto sprawdzić także zachowanie po ponownym uruchomieniu zapory, odnowieniu adresu oraz zmianie położenia urządzenia w innej podsieci. Jeżeli konfiguracja jest rozbudowana, pomocne bywa wykonanie kopii ustawień przed modyfikacją i wprowadzenie jednej logicznej zmiany naraz.

Reguła zapory dla podsieci – kiedy zgłosić się do serwisu

Wsparcie serwisowe może być potrzebne, gdy po zmianie reguły zniknie dostęp do wspólnych zasobów, urządzenia będą widoczne tylko częściowo albo połączenie będzie działało wyłącznie w jednym kierunku. Zgłoszenie jest zasadne również wtedy, gdy nie ma pewności, czy problem dotyczy zapory, routera, punktu dostępowego, adresacji czy samego komputera. Szczególnej uwagi wymaga sytuacja, w której reguły były modyfikowane przez kilka osób i nie zachowała się dokumentacja wcześniejszych ustawień.

W Warszawie takie przypadki może przeanalizować Warszawskie Pogotowie Komputerowe 24/7. W ramach sprawdzenia można uporządkować adresację, przejrzeć kolejność reguł, odczytać komunikaty z dzienników oraz wykonać kontrolne testy połączeń. Przed rozpoczęciem prac warto przygotować opis objawów, informację o tym, kiedy problem się pojawił, oraz dane urządzeń, których dotyczy. Ułatwia to odtworzenie sytuacji i ogranicza ryzyko wprowadzania przypadkowych zmian.

Po zakończeniu diagnostyki powinno zostać jasno określone, jaki zakres obejmuje reguła, jaki ruch jest dozwolony, jakie połączenia pozostają zablokowane oraz które ustawienia wymagają obserwacji. Przejrzysty opis ma znaczenie także przy późniejszej rozbudowie sieci. Dzięki niemu można uniknąć automatycznego objęcia nowego urządzenia zbyt szerokim dostępem i zachować kontrolę nad komunikacją pomiędzy poszczególnymi podsieciami.