فایروال (Firewall) یا دیوار آتش، یک سامانه امنیتی است که مانند یک دژ نظامی در ورود و خروجی شبکه عمل می‌کند. این سیستم، بسته به قوانین تعریف‌شده توسط مدیر شبکه، دسترسی داده‌ها را تجزیه و تحلیل کرده و جریانات ناشناس یا مخرب را مسدود می‌سازد. بدون وجود فایروال، تمامی سرورها، سیستم‌های محاسباتی و داده‌های حساس در برابر حملات اسکن پورت، بریدن پسورد، حملات DDoS و نفوذ مستقیم هکرها کاملاً بدون دفاع باقی می‌مانند.

فایروال‌ها بر اساس بررسی لایه‌های مختلف مدل OSI کار می‌کنند. فایروال‌های سنتی بیشتر در لایه‌های ۳ و ۴ (Network و Transport) به بازرسی IPها و پورت‌ها می‌پرداختند؛ در حالی که سیستم‌های امروزی امکان تحلیل کامل لایه ۷ (Application) را نیز دارند. برای درک بهتر لایه‌های شبکه و اجرای صحیح زیرساخت، مطالعه بخش خدمات پسیو شبکه توصیه می‌شود تا بسترهای فیزیکی انتقال داده بدون افت کیفیت اجرا شوند.

انتخاب صحیح نوع فایروال ارتباط مستقیم با وسعت شبکه، تعداد کاربران، حجم ترافیک و حساسیت داده‌های شما دارد. به طور کلی فایروال‌ها به سه دسته اصلی تقسیم می‌شوند:

💻 ۱. فایروال‌های نرم‌افزاری (Software Firewalls)

این فایروال‌ها روی سیستم‌عامل‌های رایج مانند لینوکس یا سیستم‌عامل‌های اختصاصی بر پایه سرور نصب می‌شوند. ابزارهایی مانند iptables، UFW، pfSense و Sophos XG نسخه نرم‌افزاری از این دسته‌اند. این فایروال‌ها هزینه‌های تجهیزاتی را کاهش داده اما پردازش آن‌ها از منابع اصلی سرور استفاده می‌کند.

🧱 ۲. فایروال‌های سخت‌افزاری (Hardware Firewalls)

دستگاه‌های مستقل پردازشی هستند که مجهز به سخت‌افزار اختصاصی مانند ASIC یا پردازنده‌های شبکه پیشرفته می‌باشند. برندهای معتبری مانند Fortinet (FortiGate)، Cisco (ASA/Firepower)، Mikrotik و Palo Alto در این بخش قرار دارند. برای پیاده‌سازی این تجهیزات در اتاق سرور استاندارد، از متدهای استانداردسازی و تجهیز اتاق سرور استفاده می‌شود.

🔥 ۳. فایروال‌های نسل جدید (NGFW – Next-Generation Firewalls)

فایروال‌های NGFW تلفیقی از سیستم‌های بازرسی عمیق بسته (DPI)، سیستم‌های جلوگیری از نفوذ (IPS)، آنتی‌ویروس شبکه، مسدودسازی بدافزار و کنترل برنامه‌های کاربردی لایه ۷ هستند. این تجهیزات می‌توانند دقیقاً تشخیص دهند چه کاربر و چه نرم‌افزاری در حال ارسال چه نوع داده‌ای است.

پیش از آغاز فرایند نصب، باید سناریو و نقشه معماری شبکه مشخص باشد. نصب بدون برنامه‌ریزی می‌تواند منجر به قطعی شبکه یا بروز روزنه‌های امنیتی جدید شود.

• تعیین نقطه قرارگیری (In-Line placement): فایروال باید بین مودم/روتر اینترنت و سوئیچ اصلی شبکه قرار گیرد تا تمام ترافیک از آن عبور کند.
• دسته‌بندی شبکه‌ها (Segmentation): جداسازی شبکه داخلی (LAN)، شبکه سرورها، شبکه مهمان (Guest) و شبکه DMZ با VLAN بندی. پیشنهاد می‌شود راهنمای پیکربندی سوئیچ‌های سیسکو را در این رابطه بررسی کنید.
• مستندسازی IPها: تهیه لیست تمام IPهای استاتیک، رنج‌های DHCP و پورت‌های پرکاربرد.
• آماده‌سازی سیستم مجازی‌سازی: اگر قرار است فایروال نرم‌افزاری/مجازی مانند Sophos یا pfSense نصب شود، بستری پایدار ماننده ESXi لازم است. جهت آشنایی بیشتر مقاله نصب و کانفیگ VMware ESXi را مطالعه نمایید.

پیاده‌سازی فایروال چه از نوع سخت‌افزاری (مانند FortiGate یا Mikrotik) و چه نرم‌افزاری، مستلزم طی کردن مراحل منطقی و دقیق زیر است:

مرحله اول: اتصال فیزیکی و دسترسی اولیه Management

ابتدا کابل برق دستگاه را متصل کرده و پورت Management یا پورت LAN اولیه (مانند Port 1) را با کابل شبکه به لپ‌تاپ یا سیستم مدیر شبکه متصل می‌کنیم. اکثر فایروال‌ها دارای یک IP پیش‌فرض (مانند 192.168.1.1 یا 192.168.1.99) با نام کاربری و کلمه‌عبور کارخانه‌ای هستند.

مرحله دوم: تغییر اعتبارنامه‌های پیش‌فرض و به‌روزرسانی سیستم‌عامل

نخستین فرمان امنیتی، تغییر رمز عبور پیش‌فرض admin به یک رمز پیچیده شامل حروف، اعداد و نمادها است. سپس بلافاصله باید فریم‌ور (Firmware) یا سیستم‌عامل فایروال به آخرین نسخه پایدار بروزرسانی شود تا تمامی آسیب‌پذیری‌های کشف‌شده قبلی ترمیم گردند.

مرحله سوم: پیکربندی اینترفیس‌های اینترنت (WAN) و داخلی (LAN)

اینترفیس متصل به مودم یا لاین اینترنت روی حالت WAN تنظیم شده و آدرس IP استاتیک یا تنظیمات PPPoE/DHCP روی آن اعمال می‌گردد. اینترفیس‌های مربوط به شبکه داخلی نیز آدرس‌های IP Gateway شبکه local را دریافت می‌نمایند. برای مدیریت بهتر مودم‌ها و خطوط ارتباطی، بررسی آموزش کانفیگ روتر و مودم شبکه پیشنهاد می‌شود.

قلب تپنده هر فایروال، جدول قوانین (Rulebase) آن است. قوانین از بالا به پایین ارزیابی می‌شوند؛ به این معنی که اولین قانونی که با ترافیک مطابقت داشته باشد اعمال شده و بررسی باقی قوانین متوقف می‌گردد.

پارامترهای اصلی یک قانون فایروال:

• Source (مبدأ): IP، subnet یا اینترفیس ارسال‌کننده داده.
• Destination (مقصد): IP، subnet یا اینترفیس دریافت‌کننده داده.
• Service / Port (سرویس یا پورت): نوع پروتکل (TCP/UDP/ICMP) و شماره پورت (مانند HTTP 80, HTTPS 443, SSH 22).
• Action (اقدام): پذیرفتن (Allow/Accept)، رد کردن با پاسخ (Reject) یا نادیده گرفتن بدون پاسخ (Drop).

اگر در سازمان خود از روترهای میکروتیک به عنوان فایروال اصلی استفاده می‌کنید، مطالعه راهنمای اختصاصی آموزش کانفیگ فایروال میکروتیک اطلاعات کاملی از دستورات RouterOS در اختیار شما قرار می‌دهد.

تکنولوژی NAT (Network Address Translation) به سیستم‌های داخل شبکه غیرعمومی (Private IP) اجازه می‌دهد تا با یک یا چند آدرس عمومی (Public IP) به اینترنت متصل شوند.

🌐 ۱. Masquerade / SNAT

در این حالت، تمام بسته‌های خروجی از شبکه داخلی، IP مبدأ خود را به IP وب فایروال تغییر می‌دهند تا امکان مسیریابی در وب فراهم شود.

🎯 ۲. DNAT و Port Forwarding

جهت دسترسی از اینترنت به سرورهای داخل شبکه (مانند وب‌سرور، اتوماسیون اداری یا دوربین‌ها)، درخواست‌های ورودی روی پورت مشخصی از IP عمومی به IP داخلی سرور هدایت می‌شوند. جهت برقراری سرویس‌های ویپ و ارتباطات تلفنی امن، حتماً راهنمای نصب و راه اندازی سیستم تلفنی ایزابل (VoIP) را مطالعه فرمایید.

🏕️ ۳. ایجاد منطقه عاری از نظامی‌گری (DMZ – Demilitarized Zone)

سرورهایی که باید خدمات عمومی به اینترنت ارائه دهند (مانند وب‌سرورها)، نباید مستقیماً در شبکه LAN قرار گیرند. DMZ منطقه‌ای مجزا است که اگر هکری توانست به وب‌سرور نفوذ کند، دسترسی به بقیه شبکه داخلی سازمان برای وی امکان‌پذیر نباشد.

دورکاری و دوردسترسی به منابع سازمان بدون بستر امن، ریسک‌های بزرگ امنیتی به همراه دارد. فایروال‌ها با ارائه قابلیت‌های تونل‌زنی رمزنگاری‌شده، ارتباطات امن برقرار می‌کنند:

• Site-to-Site VPN: اتصال امن دو یا چند دفتر یا شعبه شرکت به یکدیگر از طریق پروتکل‌های IPsec یا WireGuard.
• Client-to-Site VPN: اتصال کاربران دورکار به شبکه شرکت با استفاده از نرم‌افزارهای کلاینت (مانند FortiClient یا OpenVPN) و احراز هویت دو مرحله‌ای (2FA).

این فرایند ضمن رمزنگاری کامل داده‌ها، از سرقت اطلاعات حساس و حملات Man-in-the-Middle جلوگیری می‌نماید. برای بررسی جزئیات زیرساخت‌های شبکه‌ای شرکت، خدمات نصب و راه اندازی شبکه در کرج را مشاهده فرمایید.

نصب فایروال پایان کار نیست؛ بلکه آغاز یک روند مداوم پایش و ارزیابی است. عدم بررسی لایت لاگ‌ها و به‌روزرسانی نکردن رول‌ها می‌تواند امنیت شبکه را به چالش بکشد.

📌 چک‌لیست نگهداری فایروال:

1. پشتیبان‌گیری منظم (Backup): گرفتن نسخه پشتیبان از کانفیگ فایروال قبل از هرگونه تغییر یا به‌روزرسانی.
2. بررسی لاگ‌ها (Syslog Analysis): ارسال لاگ‌های فایروال به سرور Syslog یا متمرکزسازی با ابزارهای مانیتورینگ جهت تحلیل رفتارهای مشکوک.
3. تست نفوذ و اسکن آسیب‌پذیری: اجرای اسکن‌های دوره‌ای با ابزارهایی چون Nmap یا Nessus جهت اطمینان از بسته بودن پورت‌های غیرضروری.
4. پایش ترافیک و مانیتورینگ: استفاده از سیستم‌های مانیتورینگ جامع. برای کسب اطلاعات بیشتر می‌توانید مقاله راه اندازی سیستم مانیتورینگ شبکه را مطالعه نمایید.

همچنین جهت حفظ سلامت سخت‌افزارها و جلوگیری از قطعی‌های ناگهانی، بهره‌گیری از خدمات پشتیبانی و نگهداری شبکه امری ضروری برای تمامی بنگاه‌های اقتصادی است.