Köznet végponti routereken előre beállított szűrési szabályok

Az alábbi szabályok 2013. május elejétől kezdve implementálásra kerülnek a végponti routerekben.

Tűzfal szabályokat által érintett szegmensek

A végpontokon a számítógépek 3 szegmens valamelyikébe tartozhatnak: Publikus, Privát, Védett.

A szegmensek leírása:

• Publikus szegmens: ide javasolt elhelyezni a közvetlen nyilvános szolgáltatásokat nyújtó szervereket, pl. az intézményi web, levelező és e-napló szervert.

• Privát szegmens: ide javasolt elhelyezni a felhasználói munkaállomásokat, nyomtatókat, olyan belső intézményi szervereket (pl. file szerver) amelyek nem igényelnek külső elérést

• Védett szegmens: ide olyan olyan kiemelt munkaállomásokat célszerű helyezni, melyek a másik két szegmens felől is védelmet igényelnek

Általános tűzfal szabályok és elvek

A különböző szegmensekbe helyezett berendezésekre különböző tűzfal szabályok érvényesek. Általános szabály, hogy minden szegmensből csak olyan forrás IP című csomag engedélyezett, ami az adott szegmenshez tartozó IP tartományba tartozik.

A Privát és Védett szegmenseken privát IP címek vannak használatban, ez a tény önmagában megakadályozza, hogy az Internetről ezen szegmensek felé kapcsolatot lehessen kezdeményezni.

A felhasználó saját maga további szűréseket végezhet a saját eszközeivel.

Publikus szegmensre érvényes tűzfal szabályok

A Publikus szegmensben publikus IP címek vannak, az Internetről a Publikus szegmens felé a következő típusú adatkapcsolatokat lehet kezdeményezni:

Továbbá engedélyezettek az Internet felől a Publikus szegmens felé a következő típusú ICMP üzenetek: echo, echo-reply, time-exceeded, packet-too-big, unreachable. A Publikus szegmensből az Internet felé engedélyezettek a felsorolt ICMP üzenetekre válaszként küldött ICMP csomagok.

Minden szegmensre érvényes tűzfal szabályok és tiltások

A Publikus, Privát és Védett szegmensekből kifele (az Internet és a többi helyi szegmens felé) a következő szabályok a következő táblázatban vannak összefoglalva. Az engedélyezett forgalomra válaszul (az Internetről, vagy másik helyi szegmensből) kapott csomagok is engedélyezettek.

Privát és védett szegmens közötti szabályok

Engedélyezett továbbá a Védett szegmensből a Privát szegmens felé kezdeményezett minden adatkapcsolat.

Hogyan lehetséges ettől eltérő tűzfal szabályokat kérni?

Akkor kell a router tűzfalán portnyitást kérni, ha azt akarjuk, hogy a publikus szegmensen elhelyezett fix IP címmel rendelkező szerverünket elérjék kívülről, azaz az Internet felől. Webserver esetén a TCP/80-as (www), és TCP/443-as (https) portokon felül további portok nyitását lehet kérni. Levelező server üzemeltetéséhez a TCP/25-ös (SMTP)-on felül szükséges lehet egyéb portokra a TCP/587 (Submission), a TCP/110-es (POP3), TCP/995 (POP3S) , TCP/993-as (IMAPS) és a TCP/143-as (IMAP) port. FTP server üzemeltetéséhez szükséges portok a TCP/20-as és TCP/21-es. SSH szerver üzemeltetéséhez szükséges port a TCP/22-es. A fent szereplő tiltott portokat nyitását a felhasználó érdekében jelenleg nem engedéyezzük. Az eltérő szabályokat az ügyfélszolgálaton kell kérni.