Router con firewall stateful

Un router con firewall stateful combina routing, NAT e monitoraggio delle connessioni, così può distinguere il traffico nuovo dalle risposte. La parte utile non è “bloccare tutto”, ma applicare le regole in modo coerente alle sessioni di rete attive.

Che cos'è questa famiglia di prodotti

Un router con firewall stateful si colloca al bordo di una rete e inoltra il traffico tra zone, di solito una LAN privata e Internet. Il firewall è “stateful” perché ricorda le connessioni attive. Questa memoria gli consente di trattare in modo diverso un pacchetto in ingresso se appartiene a una sessione esistente rispetto a se si tratta di una richiesta nuova di zecca.

Questo è importante perché la maggior parte delle reti domestiche e dei piccoli uffici non vuole connessioni in ingresso non richieste. Con il monitoraggio dello stato, il dispositivo può consentire il traffico di ritorno per le sessioni avviate dall'interno, bloccando al tempo stesso il traffico inatteso che non corrisponde a un flusso noto.

Come funziona il monitoraggio dello stato

Quando un dispositivo all'interno della rete apre una connessione, il router registra dettagli chiave come indirizzi sorgente e destinazione, porte, protocollo e temporizzazione. In molte implementazioni, il router esegue anche il NAT, riscrivendo gli indirizzi privati in modo che più dispositivi interni possano condividere un singolo indirizzo pubblico. Il firewall usa questo record, spesso chiamato conntrack o tabella degli stati, per decidere se i pacchetti successivi appartengono a una sessione approvata.

• Nuova connessione in uscita: di solito consentita se corrisponde a una regola.
• Pacchetto di ritorno: di solito consentito se corrisponde allo stato monitorato.
• Pacchetto in ingresso non richiesto: di solito bloccato, a meno che esista una regola o un port forwarding.

Questa tabella degli stati è utile, ma è anche una risorsa che può riempirsi. I dispositivi con CPU deboli, poca memoria o una gestione scadente della tabella possono rallentare quando sono attive molte sessioni o quando i modelli di traffico sono rumorosi.

Le specifiche che contano

Quando si valuta questa categoria di prodotti, bisogna andare oltre la semplice velocità di routing. I numeri importanti sono la capacità di throughput delle connessioni, il massimo numero di sessioni contemporanee e quante nuove sessioni al secondo il dispositivo può gestire. Questi dati contano perché le reti moderne creano molte connessioni di breve durata, non solo poche connessioni lunghe.

Altri dettagli pratici includono:

• Granularità delle regole del firewall: supporto per regole basate sulle zone, oggetti servizio ed eccezioni per singolo host.
• Supporto IPv6: il firewall dovrebbe filtrare esplicitamente IPv6, non lasciarlo non gestito.
• Log e sincronizzazione dell'orario: utili per tracciare il traffico bloccato e le modifiche alle regole.
• Percorso di aggiornamento del firmware: aggiornamenti regolari sono importanti sia per il codice del router sia per quello del firewall.
• Margine di memoria: più sessioni contemporanee e log richiedono più RAM.

Come configurarlo bene

Una base sensata è negare per impostazione predefinita il traffico in ingresso, consentire solo i servizi davvero necessari e mantenere stretti i port forwarding. Se il dispositivo supporta la segmentazione della rete, separa dispositivi guest, apparecchi IoT e workstation, così un singolo dispositivo compromesso non può raggiungere automaticamente tutto il resto.

Disabilita le funzioni che non usi, come UPnP, se il tuo ambiente non ne ha bisogno. UPnP può creare mappature automatiche delle porte, cosa comoda ma facile da dimenticare. Per i servizi che devono essere raggiungibili dall'esterno, documenta il motivo, l'host di destinazione e l'intervallo di origine previsto, se puoi limitarlo.

Limiti ed errori da evitare

Un firewall stateful non è la stessa cosa di un sistema di rilevamento delle intrusioni, un antivirus o un filtro dei contenuti. Può prendere decisioni di policy sui flussi di traffico, ma non comprende ogni applicazione né blocca ogni payload dannoso. Se un attaccante è già داخل la rete, il firewall può fare poco, a meno che non siano presenti anche segmentazione interna e controlli sugli host.

Gli errori comuni includono l'apertura di ampi intervalli di porte, l'uso di una regola unica e permissiva per comodità, il dimenticare di applicare la stessa policy a IPv6 e l'assumere che la sola sicurezza del Wi-Fi sia sufficiente. Un altro errore è ignorare i log finché qualcosa si rompe. In un design stateful, i log spesso dicono se un flusso è stato consentito per una regola, una voce di stato o un percorso di fallback.

Che aspetto ha la manutenzione

Mantieni aggiornato il firmware, esegui il backup della configurazione prima di apportare modifiche e rivedi lo stato del firewall dopo grandi cambiamenti di rete. Se il dispositivo lo supporta, imposta avvisi per blocchi ripetuti, esaurimento della tabella o picchi insoliti di nuove connessioni. Questi segnali possono indicare una configurazione errata, un client guasto o un profilo di carico per cui il router non è stato dimensionato.

In pratica, il miglior firewall stateful non è quello più restrittivo. È quello le cui regole sono comprensibili, il cui monitoraggio delle sessioni è dimensionato per la rete e il cui comportamento resta prevedibile quando il traffico aumenta.