Wdrożenia Firewall

Klasyczny firewall filtruje ruch na warstwie 3 i 4 modelu OSI — operuje na adresach IP, portach i protokołach (TCP/UDP). NGFW dodaje rozpoznawanie aplikacji niezależnie od portu (np. wykrywa Skype działający na porcie 443), identyfikację użytkownika z Active Directory, inspekcję SSL/TLS, IPS/IDS oraz sandboxing podejrzanych plików. To dziś standard dla firm objętych dyrektywą NIS2 lub przetwarzających dane wrażliwe.

Redundancja jest niezbędna, jeśli przestój sieci oznacza realne straty biznesowe — w produkcji ciągłej, e-commerce, sektorze finansowym, ochronie zdrowia. Para firewalli w trybie active/passive (VRRP, klasycznie 99,9% dostępności) lub active/active synchronizuje sesje i automatycznie przełącza ruch w razie awarii jednego urządzenia. Dla firm 10–30 osób bez krytycznych SLA pojedynczy firewall z dobrym backupem konfiguracji bywa wystarczający.

Inspekcja SSL/TLS polega na rozszyfrowaniu ruchu przy pomocy zaufanego certyfikatu firmy, analizie zawartości (np. wykrycie złośliwego pliku w pobranym ZIP-ie) i ponownym zaszyfrowaniu. Najpierw definiujemy wyłączenia kategorii prywatnych — bankowość, zdrowie, finanse osobiste — które omijają deszyfrowanie. Cały proces dokumentujemy w polityce bezpieczeństwa, którą podpisuje pracownik, i zgłaszamy do Inspektora Ochrony Danych. Bez tego inspekcja SSL może naruszać RODO.

Klasyczny IPSec site-to-site (IKEv2, RFC 7296) wystarcza dla 2–5 lokalizacji z jednym łączem WAN. SD-WAN wchodzi w grę przy 5+ oddziałach lub gdy chcemy łączyć dwa-trzy łącza (światłowód, LTE, MPLS) z automatycznym wyborem trasy w zależności od jakości — IPSLA, jitter, packet loss. SD-WAN dostarczają natywnie FortiGate, Palo Alto Prisma, Cisco Viptela. W projektach mieszanych dobieramy rozwiązanie po analizie ruchu i kosztów łączy.

NIS2 (art. 21 ust. 2) wymaga m.in. zarządzania ryzykiem, kontroli dostępu, kryptografii, ciągłości działania i obsługi incydentów. Firewall jako element architektury bezpieczeństwa realizuje bezpośrednio kontrolę dostępu sieciowego (lit. b), kryptografię w VPN (lit. h) i logowanie zdarzeń wspierające raportowanie incydentów (art. 23). Sam firewall to jednak nie pełna zgodność — potrzebne są też procedury, polityki, szkolenia personelu i audyt. Pomagamy zbudować kompletny program zgodności z NIS2.

Tak — minimalna segmentacja to oddzielenie sieci gościnnej (guest WiFi), sieci produkcyjnej i sieci serwerowej. Bez tego zainfekowany laptop gościa ma drogę do serwera księgowości. W praktyce dla 30-osobowej firmy wystarczają 3–5 VLAN-ów (LAN, guest, IoT/kamery, serwery, zarządzanie). To kilka godzin pracy, a poziom bezpieczeństwa rośnie diametralnie. Większa segmentacja (microsegmentation) ma sens przy 100+ użytkownikach i krytycznych aplikacjach.

Standardowe wdrożenie trwa 2–6 tygodni, w zależności od skali. Etapy bez przerwy w pracy: audyt, projekt, konfiguracja w laboratorium, testy. Sama migracja produkcyjna odbywa się w oknie serwisowym (zwykle 2–6 godzin nocą lub weekendem) — czasem z zachowaniem pełnej ciągłości pracy dzięki konfiguracji equal-cost między starym a nowym firewallem. Dla branż z SLA 99,99% (finanse, produkcja ciągła) projektujemy migrację zero-downtime z parą HA.

pfSense (i jego fork OPNsense) jest sprawdzonym rozwiązaniem produkcyjnym opartym na FreeBSD/HardenedBSD, używanym przez tysiące firm na świecie. Obsługuje IPSec, OpenVPN, Suricata IPS, BGP, OSPF, multi-WAN. Główne ograniczenia w stosunku do komercyjnych NGFW: brak gotowej integracji z dużymi systemami threat intelligence, mniej rozbudowane raportowanie poza pudełkiem, brak natywnej inspekcji SSL na dużą skalę. Dla firmy 10–80 osób bez restrykcyjnych compliance pfSense bywa rozwiązaniem optymalnym kosztowo i wystarczającym funkcjonalnie.

Po wdrożeniu klient wybiera jeden z trzech modeli: godzinowy (rozliczenie za faktyczny czas — dobry dla rzadkich zmian), abonament miesięczny (pełna opieka, monitoring, aktualizacje, kwartalny przegląd reguł, jeden punkt kontaktu) lub hybrydowy (stały abonament za monitoring i administrację plus pula godzin na projekty). Wycenę przygotowujemy po audycie środowiska. Dla branż regulowanych zalecamy abonament — gwarantuje stałe SLA i regularne audyty zgodności.

Nie. Najpierw eksportujemy istniejące reguły, analizujemy je pod kątem rzeczywistego użycia (logi 30–90 dni), usuwamy reguły martwe i nadmiarowe (zwykle 20–40% policy), grupujemy w czytelne sekcje. Dopiero potem mapujemy je na nową platformę z dokumentacją „dlaczego”. W trakcie projektu klient ma pełen wgląd w decyzje. Na koniec produkujemy runbook zmian i procedurę zatwierdzania nowych reguł.