How firewalls work

Stateful inspeksjon – brannmuren husker

En stateful brannmur fører en tabell over alle forbindelser som er i gang. Når en PC innenfor åpner en forbindelse ut, og en regel tillater det, legges forbindelsen inn i tabellen. Svarene utenfra sammenlignes med tabellen og slipper inn automatisk. En pakke utenfra som ikke hører til en kjent forbindelse, sjekkes mot reglene som en ny forbindelse – og stoppes som regel.

Slik ser det ut for én forbindelse

1. Ny forbindelse: Første pakke (for TCP: SYN) sjekkes mot reglene. Tillater en regel den, lager brannmuren en rad med de fem verdiene: protokoll, kilde-IP, kildeport, mål-IP og målport.
2. Kjent forbindelse: Alle senere pakker, i begge retninger, sammenlignes bare med tabellen. Det går raskt, og du trenger ingen egen regel for svarene.
3. Ferdig: Raden fjernes når TCP-forbindelsen lukkes (FIN eller RST), eller når det har vært stille for lenge (timeout).

Hva med UDP og ICMP?

UDP og ICMP har ingen oppkobling slik TCP har. Brannmuren later derfor som det er en forbindelse: den husker adresser og porter (eller ICMP-id for ping) og slipper svar inn i en kort periode, ofte under ett minutt. Noen protokoller, som FTP og SIP, avtaler nye porter underveis. Da må brannmuren lese innholdet for å åpne riktig port – det kalles en ALG (Application Layer Gateway).

Må være på plass

• Symmetrisk ruting: svaret må gå tilbake gjennom samme brannmur. Går det en annen vei, mangler raden, og svaret stoppes. Dette er en av de vanligste feilene i nett med flere veier ut.
• Fornuftige timeouts: forbindelser som står stille lenge (databaser, SSH, gamle fagsystemer) kan bli kastet ut av tabellen uten at noen merker det før neste pakke. Bruk keepalive, eller øk timeouten bare for den tjenesten.
• Plass i tabellen: hver brannmur har en grense for antall samtidige forbindelser. Et angrep med mange halvåpne forbindelser (SYN-flom) kan fylle den. Sjekk at grensen holder med god margin.

I praksis: alle moderne brannmurer er stateful. Også brannmuren i Windows, Linux (nftables) og hjemmeruteren din.

Regler – første treff vinner

Reglene står i en liste. Brannmuren sjekker en ny forbindelse mot reglene ovenfra og ned, og stopper ved første regel som passer. Det regelen sier, skjer – resten sjekkes aldri. Passer ingen regel, stoppes forbindelsen av en usynlig regel nederst (implicit deny).

Et lite regelsett

En pakke går gjennom lista

Handlingene

• Tillat (allow, permit, accept): forbindelsen slipper gjennom og legges i tilstandstabellen.
• Blokker (drop, deny): pakken kastes stille. Avsenderen får ikke vite noe og venter til den gir opp. Bruk dette mot internett, så du ikke avslører hva som finnes.
• Avvis (reject): pakken kastes, og avsenderen får beskjed med TCP RST eller ICMP «unreachable». Bruk dette internt, så brukere og programmer får feilmelding med en gang i stedet for å henge.

Slik lager du gode regler

• Spesifikke regler øverst, generelle nederst. En bred regel høyt oppe «skygger» for alle under den (shadowed rule), og de treffes aldri.
• Bruk objekter og grupper med gode navn («Webservere», «IT-admin») i stedet for IP-adresser rett i regelen. Da endrer du ett sted.
• Unngå «any» i tjeneste og mål der det går. «Alle interne til alle på alle porter» er en åpen dør.
• Logg blokkerte forbindelser og viktige tillatelser. Uten logg kan du verken feilsøke eller se angrep.
• Skriv hvorfor i kommentarfeltet: hvem ba om regelen, og gjerne en saksnummer eller utløpsdato.

Soner og DMZ

I stedet for å tenke på hvert grensesnitt for seg, deler du nettet i soner med ulik tillit: det interne nettet, gjester, servere som må nås fra internett, og internett selv. Reglene skrives mellom sonene: «fra Inside til Outside», «fra Outside til DMZ». Mellom to soner er alt stengt til du åpner det.

En vanlig inndeling

Hvem får snakke med hvem?

Lag en slik tabell før du skriver reglene. Hver «ja» blir én eller noen få regler, hver «nei» dekkes av implicit deny.

Hvorfor DMZ?

En server som kan nås fra internett, er mest utsatt for angrep. Står den i en egen sone, har en angriper som tar over webserveren likevel ikke fri tilgang til PC-ene og filserverne innenfor. Han må gjennom brannmuren en gang til.

Segmenter også innenfor

Mange angrep starter med én infisert PC og sprer seg derfra (lateral bevegelse). Del derfor også det interne nettet: brukere, servere, skrivere, IP-telefoner, kameraer og annet IoT i hvert sitt VLAN, med brannmuren mellom. Gå enda lenger, med regler helt ned på hver enkelt server, kalles det mikrosegmentering.

Pass på: mange brannmurer tillater trafikk innenfor samme sone som standard. Skal to VLAN i samme sone ikke snakke sammen, må de i hver sin sone, eller du må legge inn en regel som stopper det.

NAT – adressene byttes på veien

De fleste brannmurer oversetter også adresser. Interne nett bruker private adresser (10.x, 172.16–31.x, 192.168.x) som ikke kan rutes på internett. Brannmuren bytter dem ut med en offentlig adresse på vei ut, og bytter tilbake når svaret kommer. Oversettelsen lagres i den samme tilstandstabellen.

Rekkefølgen inne i brannmuren

• Pakke inn
• →
• Kjent i tabellen?
• →
• Mål-NAT
• →
• Rute-oppslag
• →
• Regelsjekk
• →
• Kilde-NAT
• →
• Pakke ut

Grovt bilde – detaljene varierer mellom leverandører. Det viktige: noen brannmurer vil ha adressen før NAT i regelen, andre adressen etter NAT. Står den offentlige adressen i regelen når brannmuren forventer den interne (eller omvendt), treffer regelen aldri. Sjekk dokumentasjonen til din brannmur.

Må være på plass

• Både NAT og regel for en publisert tjeneste. Mål-NAT alene slipper ingenting inn.
• Hairpin-NAT (NAT reflection) hvis interne brukere skal nå serveren på den offentlige adressen, eller en intern DNS-sone som peker rett på den interne.
• Ingen NAT i VPN-tunneler mellom egne kontorer, med mindre adressene overlapper. Lag et unntak (NAT exemption) over den generelle kilde-NAT-regelen.

NAT er ikke sikkerhet i seg selv. Det er tilstandstabellen og reglene som stopper trafikk utenfra. Med IPv6 brukes vanligvis ikke NAT – der gjør den stateful brannmuren hele jobben, så standard «blokker inn» er like viktig.

Neste generasjons brannmur (NGFW)

I dag går nesten all trafikk på port 443. En vanlig stateful brannmur ser bare «HTTPS» og vet ikke om det er Teams, Dropbox, et spill eller skadevare som ringer hjem. En NGFW legger flere lag oppå stateful-kjernen, slik at reglene kan handle om hva og hvem, ikke bare adresser og porter.

Det som kommer i tillegg

• Appgjenkjenning: kjenner igjen tusenvis av apper uansett port. Regelen blir «tillat Teams, blokker BitTorrent», ikke «tillat 443».
• Brukerbaserte regler: henter brukere og grupper fra Active Directory eller Entra ID, så regelen kan si «Økonomi får nå regnskapssystemet» uansett hvilken PC de sitter på.
• IPS (Intrusion Prevention): leter etter kjente angrepsmønstre i trafikken og stopper dem, også mot hull som ennå ikke er patchet.
• URL- og DNS-filter: blokkerer kategorier (skadevare, phishing, nyregistrerte domener) før forbindelsen kommer i gang.
• Antivirus og sandkasse: sjekker filer som lastes ned, og kan kjøre ukjente filer i et isolert miljø.
• TLS-inspeksjon: åpner kryptert trafikk så alt det over faktisk kan se innholdet (se under).

TLS-inspeksjon: brannmuren i midten

Brannmuren later som den er nettstedet overfor PC-en, og som PC-en overfor nettstedet. Det virker bare fordi PC-ene stoler på et CA-sertifikat som bedriften har lagt inn. Uten inspeksjon ser brannmuren bare adressen og navnet på nettstedet (SNI) – og med nyere teknikker som Encrypted Client Hello kanskje ikke engang navnet.

• Unntak trengs: nettbank, helse og apper som sjekker sertifikatet selv (certificate pinning) må ofte slippe forbi uten inspeksjon.
• Personvern: inspeksjon av ansattes trafikk har juridiske sider. Avklar med personvernombud og ansatte hva som inspiseres og logges.
• QUIC (HTTP/3) går over UDP 443 og kan ikke inspiseres på samme måte. Mange blokkerer derfor UDP 443 ut, så nettleseren faller tilbake til TCP.

Passer når: brannmuren står mot internett eller mellom viktige soner i en bedrift. Til ren intern segmentering med mye trafikk holder ofte en stateful brannmur eller ACL-er.