Uma firewall é um dispositivo de segurança de rede que monitoriza o tráfego de rede de entrada e saída e decide se permite ou bloqueia tráfego específico com base num conjunto definido de regras de segurança. O SD-WAN Orchestrator suporta a configuração de firewalls sem estado e com estado para perfis e Edges.
Uma firewall com estado monitoriza e rastreia o estado de funcionamento e as caraterísticas de todas as ligações de rede que passam pela firewall e utiliza estas informações para determinar quais os pacotes de rede que permite passar pela firewall. As firewalls com estado criam uma tabela de estados e utilizam-na para permitir apenas tráfego de retorno das ligações atualmente listadas na tabela de estados. Depois de uma ligação ser removida da tabela de estados, não é permitido qualquer tráfego do dispositivo externo desta ligação.
A funcionalidade da firewall com estado proporciona os seguintes benefícios:
Prevenir ataques como a negação de serviço (DoS) e spoofing
Registo mais robusto
Segurança de rede melhorada
As principais diferenças entre uma firewall com estado e uma firewall sem estado são:
A correspondência é direcional. Por exemplo, pode permitir que os anfitriões na VLAN 1 iniciem uma sessão TCP com anfitriões na VLAN 2, mas recusar o contrário. As firewalls sem estado traduzem-se em ACLs (listas de acesso) simples que não permitem este tipo de controlo granular.
Uma firewall com estado está ciente da sessão. Utilizando o handshake de três vias do TCP como exemplo, uma firewall com estado não permitirá que um SYN-ACK ou um ACK iniciem uma nova sessão. Deve começar com um SYN e todos os outros pacotes na sessão TCP também têm de seguir o protocolo corretamente ou a firewall irá descartá-los. Uma firewall sem estado não deteta uma sessão e, em vez disso, filtra os pacotes de forma individual, pacote a pacote.
Uma firewall com estado força o routing simétrico. Por exemplo, é muito comum ocorrer um routing assimétrico numa rede VMware onde o tráfego entra na rede através de um Hub, mas sai através de outro. Aproveitando o routing de terceiros, o pacote ainda consegue chegar ao seu destino. Com uma firewall com estado, esse tráfego seria descartado.
As regras de firewall com estado são verificadas novamente em relação aos fluxos existentes após uma alteração da configuração. Portanto, se um fluxo existente já tiver sido aceite e configurar a firewall com estado para agora descartar esses pacotes, a firewall verificará novamente o fluxo em relação ao novo conjunto de regras e, em seguida, será descartado. Para os cenários em que “permitir” (allow) é alterado para “descartar” (drop) ou “rejeitar” (reject), os fluxos pré-existentes irão exceder o tempo limite e será gerado um registo da firewall para o fecho da sessão.
Os requisitos para utilizar a firewall com estado são:
O VMware SD-WAN Edge tem de estar a utilizar a versão 3.4.0 ou posterior.
Por predefinição, a funcionalidade Firewall com estado (Stateful Firewall) está ativada para novos clientes num SD-WAN Orchestrator a utilizar a versão 3.4.0 ou posteriores. Os clientes criados num Orchestrator 3.x precisarão da ajuda de um parceiro ou suporte VMware SD-WAN para ativar esta funcionalidade.
O SD-WAN Orchestrator permite ao utilizador empresarial ativar ou desativar a funcionalidade Firewall com estado (Stateful Firewall) ao nível do perfil e do Edge na respetiva página Firewall. Para desativar a funcionalidade Firewall com estado (Stateful Firewall) para uma empresa, contacte um operador com a permissão de superutilizador.
Nota: O routing assimétrico não é suportado nos Edges com firewall com estado ativada.
Para configurar as definições da firewall ao nível do perfil e do Edge, consulte:
Configurar a firewall para os perfis
Configurar a firewall para os Edges
Registos de firewalls com estado
Com a firewall com estado ativada, podem ser comunicadas mais informações nos registos de firewall. Os registos de firewall conterão os seguintes campos: hora, segmento, Edge, ação, interface, protocolo, IP de origem, porta de origem, IP de destino, porta de destino, regra, bytes recebidos/enviados e duração.
Nota: Nem todos os campos serão preenchidos para todos os registos de firewall. Por exemplo, motivo, bytes recebidos/enviados e duração são campos incluídos nos registos quando as sessões são fechadas.
Os registos são gerados:
Quando um fluxo é criado (na condição de que o fluxo seja aceite)
Quando o fluxo é fechado
Quando um novo fluxo é recusado
Quando um fluxo existente é atualizado (devido a uma alteração de configuração da firewall)
Pode visualizar os registos de firewall enviando os registos originários do SD-WAN Edge empresarial para um ou mais coletores Syslog remotos centralizados (servidores). Por predefinição, a funcionalidade Encaminhamento Syslog (Syslog Forwarding) está desativada para empresas. Para encaminhar os registos para coletores Syslog remotos, tem de:
Ativar a funcionalidade Encaminhamento Syslog (Syslog Forwarding) no separador Configurar > Edge/Perfil > Firewall (Configure > Edge/Profile > Firewall).
Configurar um coletor Syslog em Configurar > Edges > Dispositivo > Definições Syslog (Configure > Edges > Device > Syslog Settings). Para obter os passos da configuração dos detalhes do coletor Syslog por segmento no SD-WAN Orchestrator, consulte Configurar as definições Syslog para os perfis.
Configurar a firewall para os perfis
Como administrador empresarial, pode configurar regras de firewall, definições de firewall com estado, definições de proteção de rede e flood, informações de acesso do Edge e ativar ou desativar o estado e registos da firewall através do separador Firewall na caixa de diálogo Configuração do perfil (Profile Configuration).
Configurar a firewall para os Edges
Todos os Edges herdam do perfil associado as regras de firewall e as configurações de acesso ao Edge. No separador Firewall da caixa de diálogo Configuração de Edge (Edge Configuration), pode ver todas as regras de firewall herdadas na área Regra do perfil (Rule From Profile). Opcionalmente, ao nível do Edge, também pode anular as regras de firewall do perfil e a configuração de acesso ao Edge.
Configurar as regras de firewall
O SD-WAN Orchestrator permite-lhe configurar as regras de firewall nos níveis de perfil e de Edge para permitir, descartar, rejeitar ou ignorar o tráfego de entrada e saída. Se a funcionalidade de firewall com estado estiver ativada, a regra de firewall será validada para filtrar o tráfego de entrada e de saída. Com a firewall sem estado, pode controlar de modo a filtrar apenas o tráfego de saída. A regra de firewall corresponde a parâmetros como endereços IP, portas, IDs de VLAN, interfaces, endereços MAC, nomes de domínio, protocolos, grupos de objetos, aplicações e etiquetas DSCP. Quando um pacote de dados corresponde às condições de correspondência, é tomada a ação ou ações associadas. Se um pacote não corresponder a nenhum parâmetro, será tomada uma ação predefinida no pacote.
Configurar as definições de firewall com estado
O SD-WAN Orchestrator permite-lhe definir o tempo limite da sessão para fluxos TCP estabelecidos e não estabelecidos, fluxos UDP e outros fluxos ao nível do perfil. Opcionalmente, também pode anular as definições de Firewall com estado ao nível do Edge.
Configurar as definições de proteção de rede e flood
O VMware SD-WAN fornece deteção e proteção contra vários ataques para combater vulnerabilidades em todas as fases da sua execução.
Configurar o acesso do Edge
Ao configurar um perfil para o acesso do Edge, deve certificar-se de que seleciona a opção adequada para Acesso de suporte (Support access), Acesso de consola (Console access), Acesso à porta USB (USB port access), Acesso SNMP (SNMP access) e Acesso IU Web local (Local Web UI access) nas definições de firewall para tornar o Edge mais seguro. Evitará, assim , que qualquer utilizador malicioso aceda ao Edge. Por predefinição, as opções Acesso de suporte (Support Access), Acesso de consola (Console access), Acesso SNMP (SNMP Access) e Acesso IU Web local (Local Web UI Access) estão desativadas por razões de segurança.
Resolução de problemas da firewall
Pode recolher os registos de diagnóstico da firewall executando os testes de diagnóstico remoto num Edge.
Configurar uma firewall com a nova IU do Orchestrator
Uma firewall é um dispositivo de segurança de rede que monitoriza o tráfego de rede de entrada e saída e decide se permite ou bloqueia tráfego específico com base num conjunto definido de regras de segurança. O SD-WAN Orchestrator suporta a configuração de firewalls sem estado e com estado para perfis e Edges.