Что такое межсетевой экран и как он защищает сеть офиса
Основы3 минРедакция Innovialabs
Коротко
Межсетевой экран (firewall) решает, какой трафик пропустить в сеть офиса и из неё, по заданным правилам; для малого офиса основа — запрет всех входящих подключений по умолчанию и доступ снаружи только через VPN.
Коротко: что делает firewall
Межсетевой экран (firewall) — устройство или программа на границе сети, которая проверяет каждое соединение и решает: пропустить, отклонить или записать в журнал. Решение принимается по правилам: откуда идёт трафик, куда, на какой порт и по какому протоколу.
В офисе firewall стоит между интернетом и локальной сетью, а иногда и между внутренними сегментами: например, отделяет гостевой Wi-Fi и камеры от рабочих компьютеров.
Как он работает: три поколения
Фильтрация пакетов (packet filtering). Самый простой подход: каждый пакет проверяется отдельно по адресам, портам и протоколу. Быстро, но экран не понимает, является ли пакет частью разрешённого разговора.
Stateful-инспекция. Экран запоминает установленные соединения в таблице состояний. Если компьютер из офиса открыл сайт, ответ сайта будет пропущен, потому что он относится к известному соединению. Незапрошенный входящий трафик отбрасывается. Это стандарт для современных роутеров и экранов.
NGFW (Next-Generation Firewall). К stateful-инспекции добавляются функции более высокого уровня:
- распознавание приложений — правило «запретить торренты», а не «закрыть порт»;
- IPS — система предотвращения вторжений, которая ищет признаки известных атак;
- фильтрация URL и категорий сайтов;
- привязка к пользователям — правила для групп сотрудников, а не для IP-адресов;
- инспекция TLS — проверка зашифрованного трафика (требует установки сертификата на устройства и внимательного отношения к приватности).
Встроенный в роутер или отдельный firewall
| Firewall в роутере | Отдельный firewall / NGFW | |
|---|---|---|
| Базовая stateful-защита | Есть | Есть |
| Сегментация (VLAN, гостевая сеть) | Часто есть, зависит от модели | Есть |
| IPS, фильтрация приложений и URL | Редко или упрощённо | Есть, часто по подписке |
| VPN для сотрудников | Есть в части моделей | Есть, обычно гибче |
| Журналы и отчёты | Минимальные | Подробные |
| Кому подходит | Небольшой офис без чувствительных данных | Офис с серверами, удалёнными сотрудниками, требованиями к безопасности |
Главный вопрос не «какая коробка», а есть ли у вас правила и кто за ними следит. Хорошо настроенный роутер лучше дорогого NGFW с настройками по умолчанию.
Базовые правила для малого офиса
- Запрещать все входящие подключения по умолчанию. Открывайте только то, что действительно нужно.
- Не пробрасывать RDP, SSH, веб-интерфейсы NAS и камер в интернет. Удалённый доступ — только через VPN.
- Отделить гостевой Wi-Fi от рабочей сети, чтобы гости видели только интернет.
- Вынести камеры, принтеры и IoT в отдельный сегмент — такие устройства редко обновляются.
- Закрыть управление роутером и экраном со стороны интернета и сменить пароль администратора по умолчанию.
- Ограничить исходящий трафик хотя бы для серверов: им редко нужен доступ ко всему интернету.
- Регулярно обновлять прошивку — уязвимости в сетевом оборудовании находят постоянно.
- Включить журналирование и периодически просматривать заблокированные и разрешённые подключения.
Частые ошибки
- Правило «разрешить всё», добавленное «на время». Временные правила живут годами.
- Проброс портов вместо VPN ради удобства одного сотрудника.
- Плоская сеть, где ноутбук гостя и бухгалтерский сервер находятся в одном сегменте.
- Уверенность, что firewall защищает от всего. Он не спасёт от фишингового письма, открытого сотрудником, и от слабых паролей.