O que fazemos · Rede: Managed firewalls de perímetro
Os serviços públicos em Atenas estão atrás de pares de firewalls redundantes e stateful, com uma política default-deny por host, bloqueio por threat intelligence e por país, e a opção de abrir um serviço apenas a um país. Cada regra tem o nome do host que protege, cada alteração passa por uma API com um backup prévio, e cada firewall reporta ao nosso logging central.
O que é
Um perímetro gerido: as firewalls à frente dos seus endereços públicos, operadas por nós como parte da rede e não como uma caixa que configura sozinho. Diz-nos o que cada serviço precisa de expor e a quem. Nós construímo-lo como política nomeada e documentada, mantemo-la atualizada e provamo-la a partir de fora.
Como o construímos
- Alta disponibilidade por desenho. As firewalls OPNsense correm como pares active e standby. Endereços virtuais CARP cobrem tanto o lado upstream como o seu gateway, e o pfsync replica o estado das ligações entre os nós, pelo que uma falha de nó é um stateful failover em menos de um segundo.
- Uma política que se documenta a si própria. Cada host integrado recebe o seu próprio alias nomeado e as suas próprias regras.
- Uma pilha de bloqueios ordenada. O tráfego encontra primeiro uma lista combinada de threat intelligence construída a partir de vários reputation feeds, depois uma lista unificada de bloqueio por país, depois um bloqueio de gamas de hosting abusivas, e só então as permissões por host. Se o seu público está num único país, pode em alternativa ter uma allow list do espaço de endereçamento desse país.
- Afinadas para ataques reais. O processamento de pacotes é distribuído pelos núcleos de CPU com contagens de threads ajustadas a cada appliance. Os serviços públicos com muito UDP são tratados de forma stateless para não esgotarem a tabela de ligações, e a defesa contra SYN flood usa cookies adaptativos e timeouts dimensionados a partir da aritmética da state table.
- Alteradas através da API, nunca à mão. Cada alteração é feita através da REST API do OPNsense e o resultado é verificado a partir de um ponto de observação externo.
- Caminhos de backup unidirecionais. A produção não tem qualquer caminho de rede para a infraestrutura de backup. Os sistemas de backup puxam; a produção nunca empurra. Isto é imposto com regras deny nas próprias appliances de firewall, não nos hosts.
- Logging que não pode ficar em silêncio. Um watchdog reafirma a configuração de logging de cada firewall num temporizador, pelo que uma firewall nunca pode deixar de reportar ao Graylog sem que se note.
Operamos tanto Cisco Firepower como OPNsense, e quando movemos um segmento de uma plataforma de firewall para outra seguimos um método escrito e faseado: a nova firewall entra no encaminhamento sem anunciar nada, e depois assume uma VLAN de cada vez com um cutover com script e um rollback automático condicionado por ping.
Do que o protege
- Tráfego de brute-force e de scanning a partir de fontes conhecidas como maliciosas, e de países onde não tem público.
- Uma falha de firewall que derrube todas as sessões.
- Esgotamento da tabela de ligações por UDP ou SYN floods.
- Regras não documentadas que ninguém se atreve a remover.
- Um log de segurança que vai silenciosamente para lado nenhum até ao dia em que precisa dele.
Na prática
Um CRM aberto a um único país. O CRM e o ambiente de testes de um cliente de retalho foram integrados com acesso web e de administração permitido apenas a partir do país que serve, tudo o resto negado, e verificados nos dois nós de firewall. Quando o negócio precisou de mais dois países, adicionámo-los no dia seguinte.
Porquê a EuroVPS
- Pares redundantes com stateful failover, não uma única firewall.
- Política default-deny por host, nomeada, que pode ler.
- Threat intelligence, bloqueio por país e allow lists de um único país como opções standard.
- Alterações apenas por API, e logging central que é ele próprio vigiado.
- Redes de backup que a produção não consegue alcançar, imposto na firewall.
Perguntas frequentes
Posso restringir o meu serviço a visitantes de um único país? Sim. Substituímos a pilha de bloqueios por omissão por uma allow list do espaço de endereçamento desse país, e podemos adicionar países mais tarde.
O que acontece se um nó de firewall falhar? O standby assume os endereços virtuais e o estado das ligações existentes, normalmente em menos de um segundo.
Posso ver ou pedir alterações às regras? Sim. As regras são nomeadas por host, pelo que podemos mostrar-lhe exatamente o que está aberto para cada serviço e alterá-lo a pedido.
Bloqueiam ataques automaticamente? Sim. As listas de threat intelligence, de países e de gamas abusivas são aplicadas antes das suas próprias regras e mantidas atualizadas.
Se quer os seus serviços públicos atrás de um perímetro construído e vigiado desta forma, fale com um engenheiro.
O seu próximo parceiro de infraestrutura
Vamos analisar a sua infraestrutura.
Diga-nos o que executa hoje e o que precisa de melhorar. Um engenheiro vai analisar o seu pedido e ajudar a planear o passo seguinte.
+357 222 32280
Comecemos pela sua infraestrutura.
Um pouco de contexto ajuda-nos a começar a conversa certa.