25.3.2 Screening router e DMZ

In genere un firewall viene frapposto tra una rete sicura (LAN) ed una rete insicura (Internet), per gestire le comunicazione che possono avvenire in entrambi i sensi. Tale tipologia di firewall (v fig. 25.4), nota in letteratura anche con il nome screening router (router controllore), consistente essenzialmente da un firewall con due interfacce di rete, è l’architettura più semplice relativamente all’uso di un firewall. Infatti, sebbene il sistema che funge da firewall protegga la rete sicura da quella insicura, esso è l’unica difesa che si ha nei confronti di un attacco esterno: un’intrusione attraverso il firewall permetterà all’attaccante di avere accesso a tutti i sistemi presenti sulla rete sicura.

Figura 25.4: Utilizzo di un firewall come screening router.

Per ridurre l’accessibilità ai sistemi della rete sicura, è necessario innanzi tutto individuare quali sono i sistemi che devono erogare un servizio verso la rete insicura. Poiché questi devono erogare un servizio, essi devono necessariamente essere raggiungibili dalla rete insicura, mentre gli altri sistemi possono non esserlo affatto. Quindi si può pensare di inserire due screening router in cascata, in modo da individuare tre reti distinte: quella insicura, quella mediamente sicura (in cui ci sono i server che erogano un servizio verso la rete insicura) e quella sicura (v. fig. 25.5).

Figura 25.5: Utilizzo di due firewall come screening router.

La rete mediamente sicura che si è venuta così a delineare è detta anche DMZ (De-Militarized Zone) e funge da rete perimetrale tra la rete insicura e quella sicura. In questo modo un’eventuale intrusione attraverso lo screening router più esterno (exterior router) consente l’accesso ai soli server presenti sulla DMZ, mentre la rete sicura rimane protetta da un ulteriore screening router (interior router). Tale architettura, conosciuta anche con il nome di screened subnet (sottorete controllata) è realizzabile anche per mezzo di un solo firewall con almeno tre interfacce di rete (v. fig. 25.6).

Figura 25.6: Utilizzo di un firewall con tre interfacce di rete.