ट्रैफ़िक के द्वारपाल के रूप में फ़ायरवॉल

फ़ायरवॉल का एक मूल सिद्धांत निहित अस्वीकृति है: जिसे स्पष्ट रूप से अनुमति नहीं दी गई हो, उसे डिफ़ॉल्ट रूप से रोक दिया जाता है। इसलिए यदि कोई नियम किसी विशेष प्रकार के ट्रैफ़िक की अनुमति नहीं देता, तो फ़ायरवॉल उसे अस्वीकार कर देता है। यह डिफ़ॉल्ट-अस्वीकृति दृष्टिकोण हर चीज़ को अनुमति देकर केवल अपवादों को रोकने से कहीं अधिक सुरक्षित है, क्योंकि नियम भूल जाने पर प्रणाली खुली और असुरक्षित रहने के बजाय सुरक्षित रूप से बंद रहती है।

सबसे सरल फ़ायरवॉल स्टेटलेस पैकेट फ़िल्टरिंग करते हैं। वे हर पैकेट को अलग-अलग, IP और पोर्ट जैसे हेडर फ़ील्ड के आधार पर परखते हैं और पिछले ट्रैफ़िक की कोई जानकारी नहीं रखते। स्टेटलेस फ़िल्टरिंग तेज़ होती है, लेकिन सीमित भी होती है, क्योंकि यह नहीं बता सकती कि कोई पैकेट पहले से चल रहे वैध संचार का हिस्सा है या अंदर घुसने का अवांछित प्रयास।

बेहतर फ़ायरवॉल स्टेटफुल निरीक्षण का उपयोग करते हैं और एक तालिका में सक्रिय कनेक्शन की स्थिति दर्ज रखते हैं। जब आपका कंप्यूटर संचार शुरू करता है, तो फ़ायरवॉल उसे याद रखता है और संबंधित उत्तरों को अपने-आप अनुमति देता है, जबकि किसी ज्ञात सत्र का हिस्सा न होने वाले अवांछित इनबाउंड ट्रैफ़िक को रोकता है। आज स्टेटफुल फ़ायरवॉल मानक हैं, क्योंकि वे स्टेटलेस फ़ायरवॉल की तुलना में अधिक समझदार और सुरक्षित होते हैं।

अगली पीढ़ी का फ़ायरवॉल (NGFW) इससे आगे जाकर एप्लिकेशन परत पर ट्रैफ़िक की जाँच करता है। यह विशिष्ट एप्लिकेशन की पहचान कर सकता है, उपयोगकर्ता के आधार पर फ़िल्टर लगा सकता है, मैलवेयर रोक सकता है और घुसपैठ रोकथाम सुविधाएँ शामिल कर सकता है। NGFW केवल पोर्ट और IP ही नहीं देखते, बल्कि यह भी समझते हैं कि ट्रैफ़िक वास्तव में किस प्रकार का है। इससे एक ही पोर्ट पर जोखिमपूर्ण एप्लिकेशन को रोकते हुए वेब ब्राउज़िंग की अनुमति देने जैसा सूक्ष्म नियंत्रण संभव होता है।

फ़ायरवॉल दो स्थानों पर लगाए जा सकते हैं:

• नेटवर्क फ़ायरवॉल — नेटवर्क की सीमा पर पूरे नेटवर्क की सुरक्षा करता है और अक्सर एक अलग समर्पित उपकरण होता है।
• होस्ट फ़ायरवॉल — किसी एक उपकरण पर चलने वाला सॉफ़्टवेयर, जैसे Windows या Linux में बना हुआ फ़ायरवॉल।

दोनों का उपयोग करने से परतदार सुरक्षा मिलती है: नेटवर्क फ़ायरवॉल बाहरी सीमा की रक्षा करता है, जबकि होस्ट फ़ायरवॉल हर उपकरण की अलग-अलग सुरक्षा करते हैं।

फ़ायरवॉल विश्वास सीमाओं पर लगाए जाते हैं—सबसे महत्वपूर्ण रूप से आंतरिक नेटवर्क और इंटरनेट के बीच। एक सामान्य डिज़ाइन में DMZ (डिमिलिटराइज़्ड ज़ोन) का उपयोग किया जाता है। यह वेब या मेल जैसे सार्वजनिक सर्वरों के लिए एक बफ़र नेटवर्क होता है, जिसे फ़ायरवॉल नियमों द्वारा आंतरिक LAN से अलग रखा जाता है। इस तरह यदि कोई सार्वजनिक सर्वर भी संक्रमित हो जाए, तो आंतरिक नेटवर्क दूसरी सुरक्षा परत के पीछे सुरक्षित रहता है।

फ़ायरवॉल सुरक्षा से जुड़े कई काम करते हैं:

• इंटरनेट से आने वाले अवांछित इनबाउंड कनेक्शन को रोकना।
• बाहर जाने वाले ट्रैफ़िक को स्वीकृत सेवाओं तक सीमित करना।
• आंतरिक ज़ोन को एक-दूसरे से अलग करना।
• निगरानी और घटनाओं पर प्रतिक्रिया के लिए ट्रैफ़िक का लॉग रखना।

इन सभी उपयोगों से फ़ायरवॉल किसी संगठन की सुरक्षा नीति लागू करने का केंद्रीय साधन बन जाता है।

फ़ायरवॉल का उपयोग अक्सर पहचान प्रणालियों के साथ किया जाता है। IDS (इंट्रूज़न डिटेक्शन सिस्टम) ट्रैफ़िक पर नज़र रखता है और संदिग्ध गतिविधि पर चेतावनी देता है, लेकिन उसे रोकता नहीं है। IPS (इंट्रूज़न प्रिवेंशन सिस्टम) ट्रैफ़िक के मार्ग में स्थित रहता है और पहचाने गए खतरों को सक्रिय रूप से रोक सकता है। फ़ायरवॉल अनुमति या अस्वीकृति के नियम लागू करता है, जबकि IDS/IPS अनुमत ट्रैफ़िक के भीतर हमले के पैटर्न खोजते हैं। आधुनिक NGFW में अक्सर IPS क्षमता शामिल होती है, जिससे सुरक्षा द्वारपाल और खतरा-रोधक दोनों कार्य एक साथ हो जाते हैं।

परीक्षा के लिए जानें कि फ़ायरवॉल IP, पोर्ट और प्रोटोकॉल के आधार पर नियमों द्वारा ट्रैफ़िक को अनुमति देता या अस्वीकार करता है, निहित अस्वीकृति लागू करता है और स्टेटलेस या स्टेटफुल हो सकता है। NGFW एप्लिकेशन की समझ जोड़ते हैं। नेटवर्क और होस्ट फ़ायरवॉल के अंतर तथा सार्वजनिक सर्वरों के लिए DMZ की भूमिका समझें। फ़ायरवॉल वह द्वारपाल है जो तय करता है कि नेटवर्क की सीमा के पार कौन-सा ट्रैफ़िक जा सकता है।

आपने सीखा कि फ़ायरवॉल IP, पोर्ट और प्रोटोकॉल के आधार पर नियम-समूह के अनुसार ट्रैफ़िक को अनुमति देता या अस्वीकार करता है और निहित अस्वीकृति के कारण अनुमत न होने वाली हर चीज़ को रोक देता है। स्टेटलेस फ़िल्टर हर पैकेट को अकेले परखते हैं, जबकि स्टेटफुल फ़ायरवॉल कनेक्शन का रिकॉर्ड रखते हैं और वैध उत्तरों को अनुमति देते हैं, इसलिए वे मानक बन चुके हैं। NGFW एप्लिकेशन परत की समझ और घुसपैठ रोकथाम जोड़ते हैं। फ़ायरवॉल नेटवर्क उपकरण या होस्ट सॉफ़्टवेयर के रूप में होते हैं, विश्वास सीमाओं पर लगाए जाते हैं और सार्वजनिक सर्वरों को अलग रखने के लिए DMZ का उपयोग करते हैं।