Cosa fa davvero un router con firewall configurabile

Un firewall configurabile può limitare le connessioni di rete che raggiungono i tuoi dispositivi, ma è solo un livello di difesa. Capire le sue regole, i punti ciechi e la manutenzione necessaria ti aiuta a usarlo senza scambiarlo per una patch o una garanzia.

Cosa controlla il firewall

Un router collega una rete locale, come quella di casa o di un piccolo ufficio, a un'altra rete, di solito Internet. Il suo firewall applica regole al traffico che passa tra queste reti. Per impostazione predefinita, la maggior parte dei router per uso domestico blocca le connessioni in ingresso non richieste: un dispositivo interno può avviare una connessione verso l'esterno, mentre i sistemi esterni non possono semplicemente aprire una nuova connessione verso di esso. Questo comportamento viene comunemente implementato tramite l'ispezione stateful dei pacchetti, che tiene traccia delle connessioni attive e consente il traffico di risposta.

I modelli configurabili consentono all'amministratore di modificare alcune di queste decisioni. A seconda del router, si può consentire o bloccare determinati servizi, inoltrare una porta esterna a un dispositivo specifico, limitare il traffico in base all'indirizzo oppure separare i dispositivi degli ospiti dalla rete principale. I controlli disponibili e i relativi nomi variano, quindi consulta la documentazione del dispositivo specifico.

Perché è importante per un server esposto a Internet

Un server multimediale o un altro servizio può essere reso raggiungibile dall'esterno tramite una regola di inoltro delle porte, una funzionalità del router che invia il traffico in ingresso selezionato a un dispositivo sulla rete locale. Può essere utile per l'accesso remoto, ma espone anche quel servizio al traffico Internet. Una regola del firewall controlla la raggiungibilità; non corregge un'applicazione vulnerabile, non verifica che il software sia aggiornato e non garantisce che una connessione sia sicura solo perché usa una porta prevista.

Quando un servizio è esposto, mantieni aggiornato il software e verifica la versione effettivamente in esecuzione, soprattutto quando gli aggiornamenti sono gestiti separatamente da un dispositivo di archiviazione collegato alla rete o da un altro apparecchio. Se l'accesso remoto non è necessario, rimuovi la regola di inoltro e, ove possibile, disattiva le relative funzionalità automatiche di mappatura delle porte. Se è necessario, esponi solo il servizio e il dispositivo richiesti, anziché consentire in modo indiscriminato il traffico in ingresso.

Specifiche e controlli da confrontare

Cerca controlli chiari per le regole in ingresso, l'inoltro delle porte, l'identificazione dei dispositivi e la registrazione degli eventi. Il supporto per una rete ospiti può aiutare a tenere separati i visitatori e i dispositivi meno affidabili dai computer o dai sistemi di archiviazione. Alcuni router offrono anche il filtraggio in uscita, regole pianificate o segmenti di rete separati, ma queste funzionalità variano e potrebbero richiedere una maggiore gestione.

Preferisci regole che identificano un dispositivo e un servizio specifici, anziché regole generiche valide per tutti i dispositivi.
Verifica se il router supporta gli aggiornamenti di sicurezza attuali e se è possibile applicarli e verificarne l'installazione.
Informati su quali dati mostrano i registri, per quanto tempo vengono conservati e se sono disponibili avvisi.
Verifica che i controlli del firewall coprano il traffico IPv6; non dare per scontato che le regole IPv4 si applichino anche a esso.

Configurazione e manutenzione

Inizia con il comportamento predefinito del router, che blocca il traffico in ingresso, quindi aggiungi solo le eccezioni che sai spiegare. Annota il motivo di ogni regola, il dispositivo a cui si applica e chi è responsabile della sua verifica. Usa una password amministratore robusta e univoca, modifica le credenziali predefinite e limita l'amministrazione remota da Internet, a meno che non vi sia una necessità specifica e un metodo di gestione sicuro.

Rivedi le regole di inoltro e del firewall dopo aver modificato i servizi, sostituito i dispositivi o ripristinato il router. Rimuovi le voci obsolete. Mantieni aggiornato il firmware del router e verifica che l'aggiornamento sia stato completato, invece di presumere che una procedura automatica sia riuscita. I registri possono aiutare a individuare tentativi di connessione imprevisti, ma non costituiscono una registrazione completa di tutto ciò che accade su un dispositivo.

Limiti ed errori comuni

Il firewall di un router non può bloccare in modo affidabile le attività dannose avviate da un dispositivo all'interno della rete e non può stabilire se un servizio consentito sia stato compromesso. Inoltre, non sostituisce gli aggiornamenti delle applicazioni, la sicurezza dei dispositivi, i backup o l'analisi di processi e connessioni in uscita sconosciuti. Una regola che apre una porta può rendere accessibile un servizio legittimo, ma ne aumenta anche l'esposizione; una regola che blocca una porta può impedire l'accesso remoto senza risolvere le vulnerabilità presenti altrove.

Non considerare il firewall una configurazione da eseguire una sola volta né aggiungere eccezioni generiche del tipo «consenti tutto» per risolvere un problema di connessione. Apporta la modifica più circoscritta possibile, verificala e rimuovila quando non è più necessaria. Il router è un utile controllo perimetrale, non un sostituto della manutenzione dei sistemi che protegge.