Zabezpieczenia firewall — Informatyka rozszerzona, lekcja 3

1. Pojęcia

Zapora sieciowa (firewall) — nie ściana, tylko portier: dla każdego połączenia z osobna podejmuje decyzję, czy je przepuścić.

Reguła — warunek plus akcja. Warunek opisuje połączenie (kierunek, adres, port), akcja mówi, co z nim zrobić.

Kierunek połączenia — wychodzące (to Twój komputer się z kimś łączy) albo przychodzące (to ktoś łączy się z Twoim komputerem).

Port — numer okienka w budynku. Adres mówi, do którego komputera, port mówi, do której usługi na tym komputerze.

Polityka domyślna — co się dzieje z połączeniem, którego nie opisuje żadna reguła: „blokuj domyślnie" albo „przepuszczaj domyślnie".

Zapora stanowa — taka, która pamięta, kto wyszedł, i dzięki temu wpuszcza odpowiedź na połączenie, które sam nawiązałeś.

NAT — jeden adres publiczny dla wielu komputerów w sieci domowej. Router prowadzi zeszyt, kto o co pytał, i rozdziela odpowiedzi.

DMZ (strefa ograniczonego zaufania) — wydzielony kawałek sieci dla serwerów, które muszą być dostępne z internetu. Jak hol hotelowy: wejść może każdy, na piętra już nie.

Skąd się biorą numery portów — numer portu jest liczbą 16-bitową, więc zakres to 0–65535. Dzieli się na trzy części: 0–1023 to porty systemowe (443, 80, 3389 — przydziela je IANA i trzeba mieć bardzo dobry powód), 1024–49151 to porty rejestrowane na wniosek, a 49152–65535 to porty dynamiczne, których nikt nie przydziela — stąd komputer bierze numer dla siebie na czas jednej rozmowy.

Uwaga na kierunek. Kierunek połączenia to nie to samo co kierunek, w którym płyną dane. Gdy oglądasz stronę, dane lecą do Ciebie — ale połączenie nawiązał Twój komputer, więc jest wychodzące. Ta jedna rzecz przesądza o połowie zadań na tej karcie.

2. Zadania

Zadanie 1

Cztery pytania portiera

na lekcji

Rozpisz każdą sytuację na czwórkę, której potrzebuje zapora. Porty do wyboru: 443 (strony WWW), 3389 (pulpit zdalny), 25565 (serwer gry).

W kolumnie „Kto zaczął” wpisz po prostu: ja albo ktoś inny. Dopiero z tego wynika kierunek.

#	Sytuacja	Kto zaczął	Kierunek	Adres	Port	Akcja
a	Otwierasz w przeglądarce `neutrina-lab.pl`
b	Program, którego nie instalowałeś, sam łączy się z jakimś adresem w internecie

Zadanie 2

Co z tym, czego nie ma na liście

na lekcji

Poniżej ta sama lista reguł, raz w szkole, raz w domu. Różni się tylko jedna rzecz: polityka domyślna.

#	Kierunek	Port	Akcja
1	wychodzące	443	przepuść
2	wychodzące	80	przepuść
3	przychodzące	3389	blokuj

Szkolna sieć — polityka domyślna: blokuj · Domowy router — polityka domyślna: przepuszczaj

Połączenie	W szkole	W domu
wychodzące, port 443 (otwierasz stronę)
przychodzące, port 3389 (ktoś chce Twój pulpit)
wychodzące, port 25565 (dołączasz do serwera gry kolegi)

a) Które z tych trzech połączeń kończy się inaczej w szkole niż w domu? Dlaczego akurat to?

b) Która polityka jest bezpieczniejsza?

c) Co ta bezpieczniejsza kosztuje? W szkole pojawia się nowy program, którego uczniowie mają używać. Co musi się wydarzyć, żeby zadziałał?

Zadanie 3

Napisz reguły dla szkolnej sieci

na lekcji

Jesteś administratorem szkolnej sieci. Masz spełnić trzy wymagania:

Uczniowie mają móc otwierać strony WWW — Wikipedię, Librusa, stronę szkoły.
Uczniowie nie mają móc oglądać YouTube’a.
Serwer nauczyciela w sali, na którym leżą materiały, ma być dostępny tylko z tej sali — nie z internetu.

Polityka domyślna: blokuj. Przydatne porty: 443 i 80 — tymi dwoma portami chodzi każda strona WWW: Wikipedia, Librus, YouTube, wszystkie tak samo.

#	Kierunek	Adres / skąd	Port	Akcja
1
2
3
4

Potem sprawdź swoje reguły. Dla każdego wymagania wypisz połączenie, które ma być przepuszczone, i takie, które ma być zablokowane. Przepuść oba przez swoją listę od góry do dołu i zobacz, czy wynik się zgadza.

Zadanie 4

Dlaczego strony się otwierają

na lekcji

Zapora na Twoim laptopie ma regułę: blokuj wszystko, co przychodzi. Mimo to otwierasz strony i one się wyświetlają.

a) Jak to możliwe? Wyjaśnij, używając portiera.

b) Co musiałaby zrobić zapora, która nie pamięta, kto wyszedł, żeby przeglądanie stron działało? Co by przez to oddała?

Zadanie 5

Twój laptop właśnie z kimś rozmawia

na lekcji

W PowerShellu wpisz:

Get-NetTCPConnection -State Established

a) Ile połączeń wypisała komenda? Czy uruchamiałeś tyle programów?

b) Wybierz trzy połączenia i rozpisz je tak jak w zadaniu 1:

#	Adres zdalny	Port zdalny	Kierunek	Numer procesu (`OwningProcess`)
1
2
3

c) Sprawdź, jaki program stoi za każdym z nich — wpisz numer procesu z ostatniej kolumny:

Get-Process -Id 1234

d) Czy przy każdym z trzech potrafisz powiedzieć, że Ty poprosiłeś o to połączenie?

Zadanie 6

Znajdź portiera u siebie

do domu

a) Sprawdź stan zapory na swoim komputerze: Ustawienia → Prywatność i zabezpieczenia → Zabezpieczenia Windows → Zapora i ochrona sieci. Są tam trzy profile sieci. Wypisz je i zaznacz, czy zapora jest w każdym włączona.

b) Wejdź na swój router domowy (adres i hasło są zwykle na naklejce pod spodem) i znajdź sekcję z zaporą albo z przekierowaniem portów. Ile jest tam reguł? Czy któraś otwiera coś na świat — a jeśli tak, to co?

Jeśli nie masz hasła do routera — zrób zamiast tego: wyjaśnij własnymi słowami, dlaczego instrukcja gry kazała „przekierować port 25565 na routerze". Przed czym dokładnie stoi w drodze router i co to przekierowanie zmienia?