Un firewall è un insieme di componenti logiche e fisiche il cui scopo principale è separare una rete privata da Internet e stabilire a quali servizi interni si possa accedere dall’esterno e a quali servizi esterni si possa accedere dall’interno. La separazione si ottiene facendo in modo che la comunicazione con il mondo esterno avvenga solo attraverso la mediazione di una o poche macchine della rete privata che costituiscono il firewall. Il firewall fa da tramite per le richieste di servizio provenienti dalla rete interna verso Internet e viceversa. Le macchine che non comunicano direttamente con l’esterno costituiscono la rete interna. La migliore separazione si ottiene collocando quanto più possibile sul firewall i servizi da offrire al mondo esterno.
Tuttavia ciò non è possibile quando si è vincolati a offrire all’esterno dei servizi che richiedono l’accesso a macchine appartenenti alla rete interna. In questo caso il firewall si limita a fare da tramite e a selezionare le richieste di accesso dall'esterno ed eventualmente a fornire meccanismi di autenticazione. Le macchine collegate direttamente con Internet, cioè quelle che forniscono servizi all’esterno e fanno da tramite con la rete interna, sono quelle sulle quali è necessario concentrare maggiori attenzioni nella gestione della sicurezza e vengono denominate bastion host.
Di seguito, nelle architetture firewall descritte, si farà riferimento, per semplicità, ad un unico bastion host anche se è sempre possibile pensare ad un numero variabile di macchine di questo tipo. Questa descrizione generale non deve essere considerata rigidamente, sono infatti possibili variazioni che dipendono dai requisiti di sicurezza e dai vincoli dettati dalle esigenze di disponibilità dei servizi da parte dell'organizzazione che deve fornirli. Tali vincoli possono riflettersi nella necessità di offrire collegamenti diretti anche con macchine appartenenti alla rete interna anche se questo comporta una minore separazione dal mondo esterno e conseguentemente maggiori vulnerabilità per la rete privata.
Quanto più è netta la separazione tra rete interna e mondo esterno realizzata dal firewall, tanto più è possibile concentrare la gestione della sicurezza sulle macchine che costituiscono il firewall stesso. Una rigorosa separazione, infatti, consente di preoccuparsi meno dei problemi di sicurezza delle macchine appartenenti alla rete interna realizzando così l’obbiettivo della centralizzazione della gestione della sicurezza di una rete privata su poche macchine connesse ad Internet.
Adesso passeremo in rassegna tre dei più comuni meccanismi di firewalling:
Un firewall può essere realizzato fisicamente in diversi modi a seconda dell'architettura utilizzata.
Il bastion host (host di bastione) è un sistema identificato da un amministratore di firewall come un punto critico per la sicurezza della rete. Tipicamente il bastion host serve come piattaforma per un Application-Level Gateway. Caratteristiche comuni di un bastion host sono le seguenti:
Analizziamo alcune architetture di firewalling.
