Файрвол

Русские синонимы — межсетевой экран и брандмауэр. Название пришло из строительства: противопожарная стена не даёт огню перекинуться на соседнее здание. Так и файрвол стоит между сервером и внешней сетью и решает, какие соединения допустить. Он бывает аппаратным на границе офисной сети, облачным у хостинг-провайдера и программным на самом сервере.

Принцип настройки один: всё запрещено, кроме явно разрешённого. Веб-серверу снаружи нужны порты 80 и 443 для сайта и порт SSH для администратора. База данных, Redis, панели мониторинга должны слушать только локальный интерфейс или быть закрыты правилами. Что такое порт и зачем у каждой службы свой номер, разобрано в статье про номер порта.

Пример: базовые правила на VDS

На Debian и Ubuntu удобно пользоваться утилитой ufw — она надстройка над системным фильтром пакетов ядра:

ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp          # SSH — разрешить до включения!
ufw allow 80,443/tcp      # сайт
ufw enable
ufw status verbose

Порядок важен: если включить фильтр раньше, чем разрешить SSH, удалённое подключение оборвётся и вернуть доступ можно будет только через консоль хостинга.

Сетевой файрвол и WAF

Обычный файрвол смотрит на адреса и порты, но не на содержимое. Порт 443 открыт для всех, иначе сайт никто не увидит, поэтому SQL-инъекцию или подбор пароля к админке такой фильтр пропустит. Для этого есть WAF — файрвол веб-приложений, который разбирает сами HTTP-запросы и отсекает подозрительные. В 1С-Битриксе такую роль играет проактивный фильтр модуля «Проактивная защита», для WordPress существуют плагины-WAF, а крупные сервисы защиты ставят WAF перед сайтом вместе с фильтрацией DDoS-атак.

Чего файрвол не сделает

Он не заменяет обновления. Уязвимый плагин остаётся уязвимым, потому что атака идёт через разрешённый порт. Файрвол сокращает число дверей, но не чинит замки на тех, что открыты.