Firewall e VPN

Complementos de Redes de Computadores
Capítulo V
Técnicas de defesa e de
segurança para redes de
computadores
Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 1
Nota prévia
A estrutura da apresentação é semelhante e utiliza algumas das

figuras do livro de base do curso (assim como dos outros livros
recomendados)
James F. Kurose and Keith W. Ross,

"Computer Networking - A Top-Down Approach Featuring the Internet,“ Addison Wesley
Longman, Inc., 2001
William Stallings,
"Data & Computer Communications - 6th Edition,"
Prentice-Hall, 2000
Organização do capítulo
• Introdução à problemática de segurança ao nível rede
• Firewalls
• Segurança ao nível rede – IPsec
• Redes privadas virtuais VPNS
A problemática da segurança
It is easy to run a secure computer system.
You merely have to disconnect all dial-up

connections and permit only direct-wired terminals,
put the machine and its terminals in a shielded
room, and post a guard at the door.
– F. T. Grampp and R.H. Morris
A situação actual
• Muitos protocolos de rede e transporte foram concebidos sem uma
perspectiva de segurança na sua concepção (IP, UDP, TCP, …)
• Muitos protocolos aplicacionais nasceram em ambientes confinados a redes

locais com administração centralizada e com utilizadores bem identificados
(mail, telnet, windows, …)
• Esta situação está a mudar mas muito lentamente
• A segurança não fazia parte do caderno de encargos
• Um elevado nível de segurança implica incomodidade para os utilizadores e

no limite restrições na utilização
• Um sistema seguro pode ser mais complexo de perceber e utilizar
Daqui resulta que a situação por defeito é um elevado nível de insegurança.

Políticas e mecanismos de segurança
• Se é impossível deixar de utilizar redes de computadores, então é necessário

encontrar formas de trabalhar de forma segura, definindo políticas de segurança,
implementadas através de mecanismos de segurança
• Um primeiro aspecto fundamental é definir aquilo em que confiamos:

_ É necessário dispor de hosts seguros e de formas de os poder manter seguros –
aqui o essencial é a segurança dos hosts
• No entanto, dado que geralmente é impossível proteger adequadamente todos os

hosts é necessário definir perímetros de segurança:
_ É necessário definir redutos ou bunkers (zonas protegidas), isto é, partições da

rede onde confiamos, em determinado grau, nos hosts presentes e admitimos que
o inimigo não penetra – aqui o essencial é a definição de fronteiras e o
implementar do respectivo controlo através de firewalls
• A outra vertente é ver como podemos atravessar o campo do inimigo – aqui a

vertente essencial é a da segurança das comunicações
Definir redutos - firewalls
ISP1
ISP2
company
network
ISP4
ISP3
Internet
Perímetro de
segurança
Reduto distribuído com segurança ao nível rede
Perímetro de
ISP1 segurança
Secure
logical link ISP2
Company
Network A
Company
Network B
ISP3
ISP4
Internet
Perímetro de
segurança
Tornar um host seguro é fácil ?
O problema é particularmente difícil na medida em que os protocolos

TCP/IP são muito flexíveis e completos.
Um host TCP/IP não tem uma única via de entrada como por exemplo o
sistema de “login” (situação típica noutros ambientes de outros tempos).
Existem tantas “portas de entrada” quanto os serviços e protocolos do

nível aplicação (e não só) disponíveis.
Num host UNIX por exemplo, estamos a falar a priori de várias dezenas de
sub-sistemas de entre os quais: mail, telnet, rlogin, rsh, rexec, finger, ftp,
tftp, www, NFS, RPC, X-Windows, etc. A maioria das instalações
normalizadas deixa todas estas portas escancaradas.
Num host windows a situação é semelhante com outra lista infindável de

serviços e portas.
O que implica que
Tornar completamente seguras uma centena ou mais de computadores

num rede local ligada à Internet é praticamente impossível porque:
• Nenhum sistema está completamente isento de “bugs” de segurança e

quanto mais potente e mais flexível o sistema for, mais longe estamos deste
objectivo
• Os sistemas nem sequer são fornecidos com todos os problemas de

segurança já conhecidos corrigidos pois isso é muito caro para o fabricante
• O administrador dos sistemas pessoais é muitas vezes o próprio utilizador

(que tem mais que fazer do que preocupar-se com a segurança, que nem é da
sua responsabilidade ou especialidade)
• Tornar esses sistema seguros implicaria muitas vezes torná-los quase

inutilizáveis e tal teria um preço elevado do ponto de vista da gestão.
Definição de Firewall
Um equipamento do tipo “firewall” é um equipamento desenhado para limitar o

tráfego que atravessa a fronteira do reduto ao tipo de tráfego que os
responsáveis da fronteira acham que é “legal”
Um firewall ajuda a proteger os hosts do reduto na medida em que limita o

número e tipo de ataques a que estão sujeitos
No entanto, como veremos a seguir, a presença do firewall não é suficiente

para garantir a segurança dos hosts.
O que são os Firewalls

firewall
Isolam sub-partes da rede uma Características básicas
das outras permitindo que
algum tráfego passe e • Todo o tráfego que transita entre
as duas divisões da rede tem de
bloqueando outro. passar pelo firewall
• Só o tráfego autorizado pela

Vários tipos de firewalls: política de segurança
_ Packet filters estabelecida poderá passar
_ Dynamic packet filters
_ Application Gateways • O firewall propriamente dito
_ Circuit gateways
deve de ser imune a ataques
Serviços prestados pelos firewalls
• Controlo dos serviços. Controlo de quais os serviços que são acessíveis de
um lado e do outro do firewall e quais os que o podem atravessar e em que
sentido.
• Direcção do controlo. Determinam a direcção em que o controlo se

estabelece. Por exemplo, os utilizadores locais podem aceder a quase tudo,
os utilizadores exteriores terão de se limitar a um conjunto restrito de
serviços.
• Controlo dos utilizadores. Alguns firewalls controlam os serviços acessíveis

e não acessíveis a cada utilizador.
• Controlo ao nível aplicacional. Alguns firewalls controlam aspectos

particulares ao nível aplicacional. Quais os sites www acessíveis ? Esta
mensagem de e-mail tem vírus ? Esta mensagem de e-mail é spam ? Este
utilizador particular pode fazer Telnet para aquele destino ?
Vantagens dos firewalls
• Concentram num único ponto a implementação de uma

política de segurança
• São o ponto focal para a monitorização, auditoria, logging, ...
• São o ponto focal para aspectos não directamente relacionados

com segurança: tradução de endereços, accounting, ...
• Podem ser a plataforma de base do suporte de IPSec.
• Mas, um firewall não protege contra ataques que o

ultrapassem: ataques internos, ataques não previstos, vírus em
páginas WWW ou mensagens de correio electrónico caso
ignore o nível aplicacional.
Decisões a tomar à partida
Será a segurança mais importante que a facilidade de utilização ?
O que não é explicitamente permitido é proibido, ou o que não é explicitamente

proibido é permitido ?
Em qualquer hipótese, tudo se resume a uma equação em que o custo versus

flexibilidade é a parte essencial da equação.
Os administradores da rede estão numa situação ingrata: um empregado

“dentro do castelo” pode provocar prejuízos significativos. O caso é
geralmente abafado, mas um ataque vindo da Internet, dada a visibilidade do
problema, pode custar o emprego aos responsáveis da rede.
Tipos de firewalls
• Packet filtering router / screening router
• State full or dynamic packet filters
• Application-level gateways
• Circuit-level gateway (SOCKS)
A maioria dos firewalls mistura os diferentes tipos de técnicas
Packet-filtering firewall
Firewall com filtros por serviço e porta, logging, etc.
Rede pública Rede privada
O essencial para implementar os filtros é definir qual a política que tem de ser
implementada e depois concretizá-la através da parametrização de regras de filtragem
(do tipo accept, deny, …)
Um packet-filter firewall simples pode ser implementado por um screening-router, isto

é, um router que tem ACLs sobre o tráfego que atravessa as suas interfaces.
Tipos de Packet-filtering
A filtragem de pacotes pode ser geralmente implementada de uma forma “stateless”,

isto é, a análise de cada pacote faz-se independentemente dos anteriores.
Esta forma de filtragem é insuficiente e limitada na medida em que é insuficiente para

implementar certo tipo de políticas.
Por exemplo, como admitir que só se possam abrir conexões de dentro para fora ?
Como garantir que apenas entram pacotes UDP em resposta a solicitações de hosts
internos ?
Como tratar aplicações especiais como por exemplo FTP (activo), H.323, SIP, P2P, ?
Este tipo de situações exigem que a filtragem se baseie numa análise dita stateful ou
dinâmica. O firewall tem de tomar em consideração os pacotes anteriores quando
decide se um pacote pode passar ou não.
Exemplos de Packet Filtering stateless
• Filtros geralmente • Exemplo 1: bloquear

definidos em termos todos os datagramas
de: UDP
_ Endereço IP origem • Exemplo 2: Bloquear
_ Endereço IP destino todo o tráfego dirigido
_ Opções do cabeçalho
à porta 23 (telnet).
(por exemplo TCP SYN • Exemplo 3: Bloquear
and ACK bits) os segmentos TCP
_ Portas destino e origem inbound com a opção
ACK=0.
_ Tipo das mensagens
ICMP _ Impede a abertura de
conexões TCP do
exterior para o interior.
Exemplos de Packet Filtering statelful
• Filtros geralmente • Exemplo 1: permitir

definidos em termos conexões TCP de dentro
para certos hosts externos
de: • Exemplo 2: Bloquear todos
_ Conexões TCP, origem, os pacotes UDP excepto se
destino e direcção em resposta a um pacote
_ Aplicações específicas UDP enviado de dentro
(FTP, H.323, SIP, …) para fora
• Exemplo 3: Permitir a
_ Pacotes UDP em passagem de tráfego RTP
resposta a pedidos para o endereço IP do IP
solicitados por pacotes phone que acabou de
anteriores aceitar uma chamada
Exemplo particular - NAT boxes
• NAT boxes são • As NAT boxes aceitam também

equipamentos que realizam redirigir certas conexões vindas
tradução de endereços do exterior e dirigidas a certas
desencadeada por pacotes portas, para hosts internos.
com origem na rede
interna. A implementação • Algumas NAT boxes processam
igualmente vários protocolos
garante naturalmente que aplicacionais de forma stateful.
só se abrem conexões TCP
de dentro para fora e só se Trata-se portanto de um caso
aceitam pacotes UDP em especial e limitado de Firewalls
resposta a pacotes UDP baseados em stateful filtering.
lançados de dentro para Têm o defeito de serem rígidos,
fora. mal especificados e de
parametrização muito
simplificada.
Exemplos de ataques que a filtragem evita
• IP address spoofing. Se o atacante conhece o endereço de

hosts especiais pode usar esta técnica. Deve ser combatida
através do estabelecimento de regras estritas sobre que
pacotes podem entrar e sair (não podem entrar pacotes com
endereço origem igual ao da rede interna, não podem sair
pacotes com endereço origem fora da rede interna, )
• Source routing. Suprimir os pacotes que usam esta opção

(os routers agradecem)
• Fragmentos muito pequenos. Com alguns bytes, na

esperança de conseguir fragmentar o cabeçalho TCP.
Dual homed ou Apllication level
No IP forwarding
Rede pública Rede privada
Firewall
O firewall da instituição tem acesso à rede pública, e a rede privada ao

firewall. No entanto, nem a rede pública, nem a rede privada, podem
comunicar directamente. No firewall executam, ao nível aplicação,
servidores especializados (proxy servers). A flexibilidade do conjunto pode
ser razoável e o nível de segurança também.
Exemplo
O firewall contem um certo número de gateways aplicacionais

como por exemplo um proxy WWW, um relay de e-mail e um
gateway para telnet.
Exemplo da operação do gateway telnet:
1. Exige-se que todos os utilizadores façam telnet através do

firewall
2. Se o utilizador for autorizado, faz relay da conexão para o
host de destino. O gateway faz também relay dos dados (e
pode fazer logging dos mesmos)
3. Bloqueia todas as conexões telnet não autorizadas.
A segurança do firewall
• Um firewall é uma componente critica da “trusted computing

base”
• Por esse motivo deve ser muito simples e disponibilizar

mecanismos muito simples e bem verificados
• Deve também facilitar a actividade do administrador evitando

que este introduza erros por lapso
• Deve restringir as operações de configuração ao mínimo

indispensável
• Finalmente, é desejável que o seu código tenha sido muito bem

verificado
Configurações típicas
Internet
Screening router
ou firewall
Internet
Screening router DMZ – zona desmilitarizada

Firewall
Servidor público
Intranet
Conviver com o inimigo
• Para atravessar o campo do inimigo a vertente essencial é a da segurança
das comunicações através de mecanismos e políticas de segurança
• Os mecanismos disponíveis baseiam-se em técnicas criptográficas de

autenticação, de construção de canais seguros, de assinaturas digitais e
ainda em mecanismos de controlo de acesso
• Essas políticas e mecanismos podem ser introduzidas a vários níveis,

nomeadamente:
_ Ao nível aplicacional ou end-to-end, como por exemplo quando se utiliza

correio electrónico seguro, https, ssh, ...
_ Ao nível transporte, como por exemplo quando se usam canais seguros,
SSL, ...
_ Ao nível rede quando se usam túneis seguros, VPNs, IPsec, ...
_ Ao nível data-link quando se usam links cifrados e redes privadas
Soluções tradicionais ao nível data link
Link Encryption
• Cada link é equipado com dispositivos para cifra (caixas negras) em cada
extremidade
• Todo o tráfego é encaminhado com um alto nível de segurança resistindo a

“tapping”
• Requer muitos dispositivos de segurança
• Pode ser aplicado numa rede privada fechada implementada através de linhas
dedicadas
• Pode também ser aplicada numa rede pública de circuitos virtuais seguros
• O tráfego é decifrado nos switchs / routers para que estes o possam processar
• Os pontos frágeis do ponto de vista da segurança são os switchs / routers,

particularmente nas redes públicas de circuitos (X.25, Frame-relay, ATM, …)
End to End Encryption
• A cifra é realizada apenas nos hosts finais
• Os dados (payload) atravessam a rede cifrados e inalterados

mas os cabeçalhos do nível rede e inferiores vão em claro
• Os padrões do tráfego são visíveis
• Numa rede de alta segurança pode produzir-se continuamente

tráfego cifrado para esconder os padrões do tráfego real
As redes públicas
• Tradicionalmente as instituições construíam redes privadas alugando circuitos
dedicados aos operadores de Telecomunicações. Nestas situações, menosprezava-se a
possibilidade de ser feito “tapping” às redes de telecomunicações ou utilizavam-se as
soluções de segurança atrás apresentadas
• Numa segunda fase as instituições optaram por utilizar redes privadas baseadas nas
redes públicas de circuitos virtuais (X.25, Frame-relay, ATM, ...). A problemática da
segurança continuou a ser tratada basicamente da mesma forma
• Repare-se que fazer “tapping” é uma operação com alguns custos e riscos pelo que
estes devem ser contrabalançados por um ganho potencial relevante
• Com a generalização da utilização das redes de computadores, que a Internet colocou

na ordem do dia, e com a sua utilização crescente para conduzir actividades
relacionadas com a actividade económica, a saúde, etc. ..., a posição tradicional não é
suficiente, tanto mais que esta situação coincide com a generalização da privatização
dos operadores de redes públicas e com a necessidade do acesso e da presença das
empresas na Internet.
Túneis e túneis seguros

Perímetro de
ISP1 segurança
Extranet
host
Secure ISP2
tunnel
Intranet
ISP3
ISP4
Intranet Internet
Perímetro de
segurança
O que é um túnel IP sobre IPP
• Um túnel em IP é implementado encapsulando IP sobre IP. A rede normal
transporta os pacotes IP externos com um número de protocolo especial. Quando
estes chegam ao destino, são analisados e aparece um novo pacote IP, o interno.
Cabeçalho IP1 Cabeçalho IP2 Dados IP2
• Duas intranets usando endereçamento privado, podem, por exemplo, ser

interligadas por um túnel com endereços públicos na extremidade. Assim, os túneis
podem ser usados para resolver problemas especiais de routing.
• Se o segundo pacote IP for cifrado (o pacote encapsulado no pacote visível), o túnel

diz-se seguro e implementa um link lógico seguro.
• Um conjunto de links lógicos deste tipo pode constituir aquilo que se chama
frequentemente uma IP-VPN, ou IP Virtual Private Network.
• Na parametrização dos routers, cada extremidade do túnel aparece como uma

interface virtual que pode receber e enviar pacotes.
IPSec – Segurança IPv4 e IPv6
• IPSec é um conjunto de RFCS que especificam tudo o que é necessário para

encaminhar tráfego de forma segura ao nível rede
• Envolve:
• Authentication header
• Encapsulated security payload
• Troca de chaves e gestão de associações de segurança
• Muitos RFCs (RFC 2401, 2402, 2406, 2408, 2409, 2411, ...)
• Providenciam autenticação, confidencialidade e protecção contra replay.
IPSec: Segurança no nível rede
• Segurança ao nível rede: • Cada um deles necessita

_ Os dados do pacote IP previamente de um
podem ir cifrados handshake de ambas as
_ Seja qual for o nível partes:
superior (UDP, TCP, …)
_ Para criar um canal lógico
• Autenticação ao nível rede com um serviço de
_ O host de destino pode segurança (SA) associado
autenticar o endereço IP
origem • Cada SA é unidirecional.
• Dois protocolos de base: • Caracterizado por:
_ authentication header _ Protocolo (AH ou ESP)
(AH) protocol _ Endereço IP
_ encapsulation security
_ ID da associação com 32
payload (ESP) protocol
bits
Associações de segurança - SA
• Relação unidireccional entre o emissor e o receptor - a comunicação nos
dois sentidos exige duas associações
• Parâmetros que caracterizam uma SA

_ Security parameter index (32 bits)
_ Source IP address
_ Security protocol identifier
_ Com os seguintes parâmetros de estado associados:
• Sequence number counter

• Sequence counter overflow
• Anti-reply windows
• AH information
• ESP information
• Lifetime of this association
• IPSec protocol mode
_ Tunnel, transport or wildcard
• Path MTU
Modos Transporte e Túnel
• Modo Transporte
_ Protecção para o nível transporte
_ Abrange o payload dos pacotes IP
_ End to end entre dois hosts
• Modo túnel
_ Protecção de todo o pacote IP
_ Todo o pacote interno é considerado como payload pelo pacote de fora
_ Os routers intermédios não analisam o pacote interno
_ Os pacotes internos e externos podem ter endereços origem / destino
distintos
_ Este modo pode ser implementado por um firewall
Protocolo Authentication Header (AH)
• Cabeçalho AH inserido entre o • Dados de autenticação: message

digest assinado, calculado sobre o
cabeçalho e os dados IP cabeçalho IP original (sem os
• Protocol field = 51. campos variáveis) e os dados o que
• Os routers intermédios ignoram implementa autenticação e
o cabeçalho AH integridade dos dados,
• Número de sequência para combater
O cabeçalho AH inclui: replaying
• Identificador da associação (32 • Next header field: especifica o
bits) protocolo a seguir (TCP, UDP,
ICMP, etc.)
AH - Authentication Header
A autenticação baseia-se numa chave secreta partilhada entre ambas as partes

e num message digest calculado concatenando a chave com os dados a
proteger (não inclui os dados variáveis do cabeçalho IP).
Protocolo ESP
• Providência autenticação e segurança dos dados.

• Os dados e o trailer ESP são cifrados.
• O campo Next Header está no trailer ESP.
• O campo de autenticação ESP é idêntico ao campo AH de autenticação.
• Os algoritmos de cifra são negociáveis, por defeito usa DES-CBC.
• Protocolo = 50.
Pacote ESP
Âmbito do ESP
Gestão de chaves
• Pode ser realizada de forma manual em pequenas redes
• Necessita de ser automatizada para escalar:
_ Internet Key Exchange (IKE), RFC 2409
_ Internet Security Association and Key Management Protocol

(ISAKMP) – trata-se de um protocolo de gestão de chaves e de
associações.
• Existem definições arquitecturais para interceptar automaticamente

tráfego IP em função da origem / destino e redirigi-lo para equipamentos
que implementem as normas IPSec e estabelecem transportes ou túneis
seguros de forma dinâmica.
VPNs – Virtual Private Networks
• Uma VPN diz-se privada porque:
_ Está contida em si própria

_ Os dados são transmitidos de forma segura e secreta entre
os parceiros
_ No exterior não há conhecimento dessa rede
_ Geralmente montada sobre outra rede
_ Constitui uma rede separada, disjunta, ...
• Trata-se de um ambiente de comunicação fechado e isolado do

exterior construído por algum tipo de partição de uma outra
rede, partilhada por outros utilizadores.
Motivações das VPN
• Rentabilidade económica
• Privacidade
• Segurança
• Qualidade de serviço
Métodos
• Ao nível data-link: baseadas em ATM ou Frame Relay – com cifra ao nível

data-link
• Ao nível rede:
_ Baseadas numa gestão muito cuidadosa dos anúncios de routing
(“Controlled Route Leaking”)
_ Baseadas em NAT
_ Túneis IPSec entre firewalls dos domínios privados
_ Outro tipo de túneis especialmente previstos para ambientes dial up
(L2TP, PPTP, ...)
_ Baseadas em MPLS
• Ao nível transporte: baseadas em TLS – Transport Layer Security
Para saber mais
Este capítulo é tratado, por exemplo, nas seguintes referências bibliográficas:
• De forma limitada no capítulo 7 da referência James F. Kurose and Keith W. Ross, “Computer
Networking - A Top-Down Approach Featuring the Internet,” Addison Wesley Longman, Inc.,
2nd Edition, 2003
• De forma limitada na secção 18.5 da referência William Stallings, “Data & Computer
Communications - 6th Edition,” Prentice-Hall, 2000
• Na secção 8.6 da referência A. S.Tanenbaum, “Computer Networks – 4 th Edition,” Prentice-

Hall, 2003
• O livro William Cheswick, Steven Bellovin and Aviel Rubin, “Firewalls and Internet Security,”
Addison-Wesley, 2nd Edition, 2003, é integralmente dedicado ao tema da segurança baseada
em firewalls
• O livro Naganand Doraswamy and Dan Harkins, “IPSec - The New Security Standard for the
Internet, Intranets, and Virtual Private Networks,” Prentice Hall, 1999 é integralmente
dedicado ao tema IPSec e VPNs
• Existem inúmeros “white papers” de qualidade sobre estes assuntos disponíveis publicamente.

Firewall e VPN

Enviado por

Dados do documento

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Firewall e VPN

Enviado por

Direitos autorais:

Formatos disponíveis

Complementos de Redes de Computadores

A estrutura da apresentação é semelhante e utiliza algumas das

James F. Kurose and Keith W. Ross,

• Introdução à problemática de segurança ao nível rede

• Segurança ao nível rede – IPsec

• Redes privadas virtuais VPNS

It is easy to run a secure computer system.

You merely have to disconnect all dial-up

– F. T. Grampp and R.H. Morris

• Muitos protocolos aplicacionais nasceram em ambientes confinados a redes

• Esta situação está a mudar mas muito lentamente

• A segurança não fazia parte do caderno de encargos

• Um elevado nível de segurança implica incomodidade para os utilizadores e

• Um sistema seguro pode ser mais complexo de perceber e utilizar

Daqui resulta que a situação por defeito é um elevado nível de insegurança.

Políticas e mecanismos de segurança

• Se é impossível deixar de utilizar redes de computadores, então é necessário

• Um primeiro aspecto fundamental é definir aquilo em que confiamos:

• No entanto, dado que geralmente é impossível proteger adequadamente todos os

_ É necessário definir redutos ou bunkers (zonas protegidas), isto é, partições da

• A outra vertente é ver como podemos atravessar o campo do inimigo – aqui a

Reduto distribuído com segurança ao nível rede

O problema é particularmente difícil na medida em que os protocolos

Existem tantas “portas de entrada” quanto os serviços e protocolos do

Num host windows a situação é semelhante com outra lista infindável de

O que implica que

Tornar completamente seguras uma centena ou mais de computadores

• Nenhum sistema está completamente isento de “bugs” de segurança e

• Os sistemas nem sequer são fornecidos com todos os problemas de

• O administrador dos sistemas pessoais é muitas vezes o próprio utilizador

• Tornar esses sistema seguros implicaria muitas vezes torná-los quase

Um equipamento do tipo “firewall” é um equipamento desenhado para limitar o

Um firewall ajuda a proteger os hosts do reduto na medida em que limita o

No entanto, como veremos a seguir, a presença do firewall não é suficiente

O que são os Firewalls

• Só o tráfego autorizado pela

• Direcção do controlo. Determinam a direcção em que o controlo se

• Controlo dos utilizadores. Alguns firewalls controlam os serviços acessíveis

• Controlo ao nível aplicacional. Alguns firewalls controlam aspectos

Vantagens dos firewalls

• Concentram num único ponto a implementação de uma

• São o ponto focal para a monitorização, auditoria, logging, ...

• São o ponto focal para aspectos não directamente relacionados

• Podem ser a plataforma de base do suporte de IPSec.

• Mas, um firewall não protege contra ataques que o

Será a segurança mais importante que a facilidade de utilização ?

O que não é explicitamente permitido é proibido, ou o que não é explicitamente

Em qualquer hipótese, tudo se resume a uma equação em que o custo versus

Os administradores da rede estão numa situação ingrata: um empregado

• Packet filtering router / screening router

• State full or dynamic packet filters

• Circuit-level gateway (SOCKS)

A maioria dos firewalls mistura os diferentes tipos de técnicas

Firewall com filtros por serviço e porta, logging, etc.

Rede pública Rede privada

Um packet-filter firewall simples pode ser implementado por um screening-router, isto

A filtragem de pacotes pode ser geralmente implementada de uma forma “stateless”,

Esta forma de filtragem é insuficiente e limitada na medida em que é insuficiente para

• Filtros geralmente • Exemplo 1: bloquear

Exemplos de Packet Filtering statelful

• Filtros geralmente • Exemplo 1: permitir

• NAT boxes são • As NAT boxes aceitam também

Exemplos de ataques que a filtragem evita

• IP address spoofing. Se o atacante conhece o endereço de