Ultimátní průvodce – Network Security Engineer – praktická učebnice sítí a bezpečnosti

OSI model

OSI model rozděluje síťovou komunikaci do sedmi vrstev. Každá vrstva má vlastní úlohu a komunikuje s vrstvou nad sebou a pod sebou.

Vrstvy OSI modelu

1. L1 – Physical: fyzický přenos bitů pomocí kabelu, optiky nebo rádiového signálu. Patří sem kabely, konektory, síťové adaptéry, huby a repeatery.
2. L2 – Data Link: komunikace zařízení v jedné lokální síti. Pracuje s MAC adresami, Ethernet rámci, VLAN, STP a switchingem. Na této vrstvě běžně pracuje switch.
3. L3 – Network: komunikace mezi různými sítěmi. Pracuje s IP adresami, pakety, routingem a protokolem ICMP. Na této vrstvě pracuje router nebo L3 switch.
4. L4 – Transport: přenos dat mezi aplikacemi. Patří sem TCP, UDP, porty, TCP handshake, retransmise a řízení toku.
5. L5 – Session: vytváření, udržování a ukončování komunikačních relací mezi zařízeními nebo aplikacemi.
6. L6 – Presentation: převod dat do vhodného formátu, jejich kódování, komprese a šifrování.
7. L7 – Application: síťové služby používané aplikacemi. Patří sem například HTTP, HTTPS, DNS, SMTP, IMAP, FTP a SSH.

Rychlé zapamatování

Kabel = L1, MAC = L2, IP = L3, TCP/UDP = L4, HTTP = L7, switch = L2, router = L3.

Zapouzdření dat

Při odesílání dat procházejí informace vrstvami shora dolů. Aplikační data se na transportní vrstvě rozdělí na TCP segmenty nebo UDP datagramy, na síťové vrstvě se zabalí do IP paketů a na linkové vrstvě do Ethernet rámců. Na přijímajícím zařízení probíhá opačný proces, tedy rozbalování dat od L1 směrem k L7.

TCP/IP stack

TCP/IP je praktický síťový model používaný v reálných počítačových sítích a na internetu. Na rozdíl od sedmivrstvého OSI modelu se obvykle skládá ze čtyř vrstev.

Vrstvy TCP/IP modelu

1. Link Layer: zajišťuje fyzický přenos a komunikaci v lokální síti. Patří sem Ethernet, Wi-Fi, MAC adresy, ARP, switche a síťová média. Odpovídá přibližně vrstvám L1 a L2 OSI modelu.
2. Internet Layer: zajišťuje adresování a přenos paketů mezi různými sítěmi. Patří sem IPv4, IPv6, ICMP, routing a routery. Odpovídá L3 OSI modelu.
3. Transport Layer: zajišťuje komunikaci mezi konkrétními aplikacemi pomocí TCP nebo UDP a používá čísla portů. Odpovídá L4 OSI modelu.
4. Application Layer: zahrnuje aplikační protokoly a funkce vrstev Session, Presentation a Application. Patří sem HTTP, HTTPS, DNS, DHCP, SMTP, IMAP, FTP a SSH. Odpovídá vrstvám L5 až L7 OSI modelu.

Příklad otevření webové stránky

Uživatel zadá do prohlížeče adresu https://google.com.

Application Layer

• DNS přeloží doménové jméno google.com na IP adresu serveru.
• Prohlížeč připraví HTTPS požadavek, například HTTP metodu GET.
• TLS zajistí šifrovanou komunikaci mezi prohlížečem a webovým serverem.

Transport Layer

• TCP naváže spojení pomocí three-way handshaku.
• Klient používá dočasný zdrojový port a server cílový port 443.
• TCP rozdělí data na segmenty a zajišťuje jejich správné pořadí a případné opakované doručení.

Internet Layer

• TCP segment se zabalí do IP paketu.
• Paket obsahuje zdrojovou a cílovou IP adresu.
• Routery podle svých routovacích tabulek rozhodují, kudy paket odešlou dál.

Link Layer

• IP paket se v lokální síti zabalí do Ethernet rámce.
• Rámec obsahuje zdrojovou a cílovou MAC adresu.
• Switch rámec odešle správným portem směrem k cílovému zařízení nebo default gateway.
• Data jsou následně přenesena po kabelu, optice nebo Wi-Fi.

Na cílovém serveru se data rozbalují v opačném pořadí: Ethernet rámec → IP paket → TCP segment → aplikační data. Odpověď serveru poté projde stejnými vrstvami zpět k uživateli.

OSI model vs. TCP/IP model

OSI je především referenční model používaný pro výuku, návrh a troubleshooting sítí. TCP/IP je praktický model odpovídající protokolům používaným v reálných sítích a na internetu.

IPv4 adresace

IPv4 (Internet Protocol version 4) slouží k jednoznačné identifikaci zařízení v počítačové síti. Každé zařízení, které komunikuje pomocí IPv4, musí mít vlastní IP adresu. IPv4 adresa má délku 32 bitů a zapisuje se jako čtyři desetinná čísla (oktety) oddělená tečkami. Každý oktet může nabývat hodnot od 0 do 255.

Příklad IPv4 adresy:

192.168.1.25

Binární zápis

Počítače pracují pouze s jedničkami a nulami. Adresa 192.168.1.25 se ve skutečnosti zapisuje takto:

11000000.10101000.00000001.00011001

Network ID a Host ID

Každá IPv4 adresa se skládá ze dvou částí.

• Network ID (síťová část) určuje, do které sítě zařízení patří.
• Host ID (host část) určuje konkrétní zařízení v dané síti.

Hranici mezi těmito částmi určuje maska sítě nebo zápis CIDR.

Příklad:

192.168.1.25/24

Znamená:

• prvních 24 bitů tvoří Network ID
• posledních 8 bitů tvoří Host ID

V tomto případě:

192.168.1 | 25
^^^^^^^^^^   ^^
Network ID   Host ID

Počítače 192.168.1.25 a 192.168.1.80 mají stejné Network ID, a proto jsou ve stejné síti. Pokud má zařízení adresu 192.168.2.15, nachází se již v jiné síti a komunikace mezi nimi bude probíhat přes router.

Network Address

První adresa v každé síti představuje samotnou síť a nelze ji přiřadit zařízení.

192.168.1.0/24

Tato adresa označuje síť 192.168.1.0.

Broadcast Address

Poslední adresa v síti je broadcast adresa. Paket odeslaný na tuto adresu obdrží všechna zařízení ve stejné síti.

192.168.1.255

Použitelné IP adresy

V síti 192.168.1.0/24 lze zařízením přidělit adresy:

192.168.1.1
...
192.168.1.254

Adresa .0 představuje síť a adresa .255 broadcast, proto je nelze použít pro běžná zařízení.

Typy IPv4 adres

Veřejná (Public IP)

Veřejná IP adresa je celosvětově unikátní a je směrovatelná na Internetu. Přiděluje ji poskytovatel internetu (ISP).

Příklad:

8.8.8.8

Na veřejnou IP adresu se lze z Internetu připojit, pokud to dovoluje firewall nebo jiná bezpečnostní pravidla.

Soukromá (Private IP)

Soukromé IP adresy slouží pouze pro komunikaci uvnitř lokálních sítí. Na Internetu se neroutují a běžně se používají v domácích i firemních sítích.

Vyhrazené rozsahy jsou:

10.0.0.0/8

172.16.0.0 – 172.31.255.255 (/12)

192.168.0.0/16

Zařízení používající soukromé IP adresy komunikují s Internetem prostřednictvím technologie NAT.

Shrnutí

• IPv4 adresa má 32 bitů (4 × 8 bitů).
• Zapisuje se jako čtyři oktety s hodnotami 0–255.
• Každá IP adresa obsahuje Network ID a Host ID.
• Hranici mezi nimi určuje maska sítě nebo CIDR.
• První adresa v síti je Network Address.
• Poslední adresa je Broadcast Address.
• Veřejné IP adresy jsou routovatelné na Internetu.
• Soukromé IP adresy slouží pouze pro lokální sítě.

Subnetting (CIDR a masky sítě)

Subnetting (podsítě) je rozdělení jedné větší IP sítě na více menších logických sítí. Díky subnettingu lze efektivněji využívat IP adresy, oddělit jednotlivé části sítě a omezit velikost broadcast domény. V podnikových sítích se subnetting používá téměř vždy.

Maska sítě

Maska sítě určuje, která část IP adresy představuje Network ID a která část představuje Host ID. Maska má stejně jako IPv4 adresa délku 32 bitů.

Příklad:

IP adresa:    192.168.1.25
Maska:        255.255.255.0
CIDR:         /24

Maska 255.255.255.0 znamená, že prvních 24 bitů patří síťové části a zbývajících 8 bitů části hosta.

CIDR

CIDR (Classless Inter-Domain Routing) je zkrácený zápis masky sítě. Číslo za lomítkem udává počet bitů, které patří síťové části adresy.

Počet použitelných hostů se vypočítá podle vzorce:

2^(počet host bitů) − 2

Odečítají se dvě adresy, protože první představuje Network Address a poslední Broadcast Address.

Příklad subnettingu

Mějme síť:

192.168.1.0/24

Obsahuje celkem 256 adres:

• Network Address: 192.168.1.0
• Použitelné adresy: 192.168.1.1 – 192.168.1.254
• Broadcast Address: 192.168.1.255

Pokud síť rozdělíme na dvě podsítě pomocí masky /25, vzniknou:

Každá podsíť má vlastní Network Address, vlastní Broadcast Address i vlastní rozsah použitelných IP adres.

Výhody subnettingu

• lepší využití IP adresového prostoru,
• menší broadcast domény,
• vyšší výkon sítě,
• snazší správa a zabezpečení,
• oddělení jednotlivých oddělení nebo VLAN do samostatných sítí.

Shrnutí

• Subnetting rozděluje jednu síť na více menších podsítí.
• Maska určuje hranici mezi Network ID a Host ID.
• CIDR je zkrácený zápis masky sítě.
• První adresa podsítě je vždy Network Address.
• Poslední adresa podsítě je vždy Broadcast Address.
• Počet použitelných hostů je 2^{host bity} − 2.

Private vs. Public IP adresy

Každé zařízení připojené do počítačové sítě používá IP adresu. Z pohledu internetu rozlišujeme dva základní typy IPv4 adres – veřejné (Public) a soukromé (Private). Hlavní rozdíl spočívá v tom, zda je adresa dostupná z internetu nebo pouze uvnitř lokální sítě.

Public IP (veřejná IP adresa)

Veřejná IP adresa je celosvětově unikátní a lze ji směrovat (routovat) po internetu. Přiděluje ji poskytovatel internetového připojení (ISP) nebo registr internetových adres. Díky této adrese mohou zařízení komunikovat s ostatními zařízeními po celém internetu.

Příklad veřejné IP adresy:

8.8.8.8

Pokud má server veřejnou IP adresu a firewall povolí příslušný provoz, mohou se k němu připojit uživatelé odkudkoliv z internetu.

Private IP (soukromá IP adresa)

Soukromé IP adresy jsou určeny pouze pro použití v lokálních sítích (LAN). Tyto adresy nejsou na internetu směrovány a mohou se opakovat v libovolném počtu domácích nebo firemních sítí.

Vyhrazené rozsahy soukromých IPv4 adres jsou:

10.0.0.0/8
172.16.0.0/12
192.168.0.0/16

Například miliony domácích routerů po celém světě používají adresu 192.168.1.1. Nevadí to, protože tyto adresy nikdy neopustí lokální síť.

Jak spolu komunikují?

Zařízení se soukromou IP adresou nemůže komunikovat přímo s internetem. Komunikaci zajišťuje router pomocí technologie NAT (Network Address Translation), která překládá soukromou IP adresu na veřejnou IP adresu přidělenou poskytovatelem internetu.

Příklad domácí sítě:

Notebook
192.168.1.25
        │
        ▼
Router
LAN: 192.168.1.1
WAN: 85.163.24.51
        │
        ▼
Internet

Notebook komunikuje pomocí adresy 192.168.1.25, ale webový server na internetu vidí pouze veřejnou adresu routeru 85.163.24.51.

Výhody soukromých IP adres

• šetří omezený počet veřejných IPv4 adres,
• umožňují připojit velké množství zařízení za jednu veřejnou IP adresu,
• zvyšují bezpečnost, protože zařízení nejsou přímo dostupná z internetu.

Výhody veřejných IP adres

• umožňují přímou komunikaci přes internet,
• jsou nezbytné pro provoz veřejně dostupných serverů,
• každá veřejná IP adresa je celosvětově unikátní.

Srovnání

Shrnutí

• Public IP je veřejně směrovatelná a unikátní na internetu.
• Private IP slouží pouze pro komunikaci v lokální síti.
• Soukromé IP adresy se na internetu nikdy přímo neroutují.
• Router pomocí NAT překládá soukromé IP adresy na veřejnou IP adresu.
• Jednu veřejnou IP adresu může sdílet mnoho zařízení s různými soukromými IP adresami.

NAT (Network Address Translation)

NAT (Network Address Translation) je technologie používaná na routerech a firewallech, která překládá jednu IP adresu na jinou. Nejčastěji slouží k tomu, aby zařízení používající soukromé (Private) IP adresy mohla komunikovat s internetem pomocí jedné nebo více veřejných (Public) IP adres. NAT také umožňuje publikovat interní servery do internetu nebo skrýt vnitřní strukturu sítě.

Jak funguje NAT

Při odchozí komunikaci router nebo firewall změní zdrojovou IP adresu paketu. Místo soukromé adresy zařízení odešle svoji veřejnou IP adresu. Při příchozí odpovědi provede opačný překlad a paket doručí správnému zařízení v lokální síti.

Příklad:

Notebook
192.168.1.25
        │
        ▼
Router (NAT)
LAN: 192.168.1.1
WAN: 85.163.24.51
        │
        ▼
Internet

Webový server na internetu nikdy neuvidí adresu 192.168.1.25. Uvidí pouze veřejnou adresu routeru 85.163.24.51.

SNAT (Source NAT)

SNAT mění zdrojovou (Source) IP adresu paketu. Používá se především při komunikaci z lokální sítě do internetu.

Příklad:

Před NAT

Source:      192.168.1.25
Destination: 8.8.8.8

↓

Po SNAT

Source:      85.163.24.51
Destination: 8.8.8.8

SNAT je nejčastěji používaný typ NAT v domácích i firemních sítích.

DNAT (Destination NAT)

DNAT mění cílovou (Destination) IP adresu paketu. Používá se tehdy, když chceme zpřístupnit interní server z internetu.

Příklad:

Příchozí spojení

Destination: 85.163.24.51

↓

Firewall provede DNAT

Destination: 192.168.1.100

Typickým příkladem je publikování webového nebo mailového serveru za firewallem.

PAT (Port Address Translation)

PAT je rozšíření SNAT. Kromě IP adresy překládá také čísla portů. Díky tomu může velké množství zařízení sdílet jednu veřejnou IP adresu.

Příklad:

Přestože všechna zařízení používají stejnou veřejnou IP adresu, router je rozlišuje podle různých portů.

Port Forwarding

Port forwarding je praktické využití DNAT. Firewall přesměruje provoz přicházející na určitý port veřejné IP adresy na konkrétní zařízení v lokální síti.

Příklad:

85.163.24.51:443

↓

192.168.1.100:443

Díky tomu je možné zpřístupnit například webový server běžící uvnitř firemní sítě.

Výhody NAT

• šetří veřejné IPv4 adresy,
• umožňuje připojit stovky zařízení přes jednu veřejnou IP adresu,
• skrývá interní IP adresy před internetem,
• umožňuje publikovat interní služby pomocí DNAT.

Nevýhody NAT

• komplikuje některé síťové protokoly,
• znesnadňuje přímou komunikaci mezi zařízeními,
• může vyžadovat speciální konfiguraci některých aplikací nebo VPN.

Srovnání

Shrnutí

• NAT překládá IP adresy mezi různými sítěmi.
• SNAT mění zdrojovou IP adresu.
• DNAT mění cílovou IP adresu.
• PAT překládá IP adresy i čísla portů.
• Bez NAT by většina domácích a firemních sítí potřebovala veřejnou IP adresu pro každé zařízení.

DHCP

DHCP (Dynamic Host Configuration Protocol) automaticky přiděluje zařízením síťovou konfiguraci. Bez DHCP by bylo nutné na každém zařízení ručně nastavit IP adresu, masku sítě, výchozí bránu a DNS servery.

DHCP se běžně používá v domácích, firemních i bezdrátových sítích. DHCP serverem může být router, firewall, Windows Server, Linux server nebo jiné síťové zařízení.

Jaké údaje DHCP přiděluje

• IPv4 adresu,
• masku sítě,
• výchozí bránu,
• DNS servery,
• dobu platnosti adresy,
• případně další parametry sítě.

Proces DORA

Přidělení adresy probíhá ve čtyřech základních krocích označovaných jako DORA.

Klient                     DHCP server
  │                              │
  │──── DHCP Discover ──────────▶│
  │◀──── DHCP Offer ─────────────│
  │──── DHCP Request ───────────▶│
  │◀──── DHCP Acknowledge ───────│
  │                              │

• Discover – klient hledá dostupný DHCP server.
• Offer – server nabídne IP adresu a další konfiguraci.
• Request – klient požádá o použití nabídnuté adresy.
• Acknowledge – server přidělení potvrdí.

DHCP lease

IP adresa není klientovi obvykle přidělena natrvalo. Je zapůjčena na určitou dobu, která se označuje jako lease time. Před vypršením této doby se klient pokusí pronájem obnovit.

Díky tomu lze stejnou IP adresu později přidělit jinému zařízení, pokud ji původní klient již nepoužívá.

DHCP pool

DHCP server přiděluje adresy z předem definovaného rozsahu, který se označuje jako DHCP pool.

Síť:          192.168.1.0/24
Gateway:      192.168.1.1
DHCP pool:    192.168.1.100 – 192.168.1.200
DNS server:   192.168.1.1

DHCP rezervace

DHCP rezervace zajistí, že konkrétní zařízení dostane vždy stejnou IP adresu. Rezervace se obvykle vytváří podle MAC adresy zařízení.

Používá se například pro tiskárny, kamery, přístupové body nebo jiné prvky, které mají mít stabilní adresu, ale mají zůstat spravované přes DHCP.

DHCP relay

DHCP požadavky jsou zpočátku odesílány jako broadcast a běžně nepřecházejí přes router. Pokud se DHCP server nachází v jiné síti, používá se DHCP relay.

Klient ve VLAN 10
        │
        ▼
Router nebo L3 switch
DHCP relay
        │
        ▼
DHCP server ve VLAN 100

Relay převezme DHCP požadavek klienta a předá jej DHCP serveru v jiné síti.

Porty DHCP

Shrnutí

• DHCP automaticky přiděluje síťovou konfiguraci.
• Základní proces se nazývá DORA.
• Adresa se klientovi zapůjčuje na omezenou dobu.
• DHCP rezervace přiděluje zařízení vždy stejnou adresu.
• DHCP relay umožňuje obsloužit klienty v jiné síti.

Default Gateway

Default gateway neboli výchozí brána je zařízení, kterému host předává pakety určené mimo jeho vlastní síť. Nejčastěji jde o router nebo firewall.

Komunikace ve stejné síti

Pokud mají dvě zařízení stejné Network ID, mohou komunikovat přímo bez použití routeru.

PC1: 192.168.1.10/24
PC2: 192.168.1.20/24

Obě zařízení patří do sítě 192.168.1.0/24. PC1 proto odešle rámec přímo na MAC adresu PC2.

Komunikace do jiné sítě

Pokud cílová IP adresa neleží ve stejné síti, zařízení odešle paket na výchozí bránu.

PC
192.168.1.25/24
Gateway: 192.168.1.1
        │
        ▼
Router
192.168.1.1
        │
        ▼
Internet nebo jiná síť

Cílová IP adresa paketu zůstává adresou vzdáleného serveru. Na linkové vrstvě je však cílovou MAC adresou MAC adresa výchozí brány.

Chybějící gateway

Zařízení bez správně nastavené gateway může komunikovat pouze v rámci své lokální sítě. Nedokáže odeslat provoz do jiné podsítě ani do internetu.

Shrnutí

• Gateway přebírá provoz určený mimo lokální síť.
• Ve stejné podsíti se zařízení komunikují přímo.
• Do jiné podsítě se paket odesílá přes router.
• Gateway musí být dosažitelná v lokální síti zařízení.

DNS

DNS (Domain Name System) překládá doménová jména na IP adresy. Lidé si snadněji pamatují názvy jako example.com, zatímco síťová komunikace používá IP adresy.

Princip překladu

Uživatel zadá:
www.example.com

DNS vrátí:
93.184.216.34

Po získání IP adresy může klient navázat spojení s cílovým serverem.

Průběh DNS dotazu

Klient
  │
  ▼
Lokální DNS resolver
  │
  ▼
Root DNS server
  │
  ▼
TLD server pro .com
  │
  ▼
Autoritativní DNS server
  │
  ▼
Výsledná IP adresa

V praxi bývá velká část odpovědí uložena v cache, takže není nutné celý proces opakovat při každém dotazu.

DNS resolver

Resolver přijme dotaz klienta a zajistí nalezení výsledku. Může být provozován poskytovatelem internetu, firmou nebo veřejnou službou.

Autoritativní DNS server

Autoritativní server obsahuje oficiální DNS záznamy konkrétní domény a poskytuje konečnou odpověď na dotaz.

Běžné DNS záznamy

DNS cache

Výsledky DNS dotazů se ukládají do cache po dobu určenou hodnotou TTL. Cache zrychluje překlad a snižuje zatížení DNS serverů.

Port DNS

DNS běžně používá port 53. Pro většinu dotazů používá UDP. TCP se používá například při větších odpovědích nebo při přenosu DNS zón.

Shrnutí

• DNS překládá názvy na IP adresy.
• Resolver vyhledává odpověď za klienta.
• Autoritativní server obsahuje platné záznamy domény.
• Cache zrychluje opakované dotazy.
• DNS používá port 53 přes UDP i TCP.

ARP

ARP (Address Resolution Protocol) slouží v IPv4 síti k převodu IP adresy na MAC adresu. Používá se pouze uvnitř lokální broadcast domény.

Proč je ARP potřeba

IP paket obsahuje cílovou IP adresu, ale Ethernet rámec potřebuje cílovou MAC adresu. Odesílající zařízení proto musí zjistit, jaká MAC adresa odpovídá cílové IPv4 adrese.

ARP Request a ARP Reply

PC1: Kdo má IP 192.168.1.20?
     Pošli odpověď na 192.168.1.10.

Broadcast ARP Request
        │
        ▼
Všechna zařízení v síti

PC2: IP 192.168.1.20 mám já.
     Moje MAC je AA:BB:CC:DD:EE:FF.

Unicast ARP Reply

ARP tabulka

Zařízení si zjištěné dvojice IP a MAC adres ukládá do ARP tabulky.

192.168.1.1    00:11:22:33:44:55
192.168.1.20   AA:BB:CC:DD:EE:FF

Záznamy v tabulce jsou obvykle dočasné a po určité době se odstraní.

ARP při komunikaci do jiné sítě

Pokud je cíl mimo lokální síť, zařízení nehledá MAC adresu vzdáleného serveru. Pomocí ARP zjistí MAC adresu své výchozí brány.

Cílová IP:   8.8.8.8
Cílová MAC:  MAC adresa routeru

ARP spoofing

ARP nemá vlastní mechanismus ověřování. Útočník může posílat falešné ARP odpovědi a vydávat se například za router. Tato technika se označuje jako ARP spoofing nebo ARP poisoning.

Shrnutí

• ARP převádí IPv4 adresu na MAC adresu.
• ARP Request je obvykle broadcast.
• ARP Reply je obvykle unicast.
• Získané údaje se ukládají do ARP tabulky.
• Při cestě mimo síť se zjišťuje MAC adresa gateway.

ICMP

ICMP (Internet Control Message Protocol) slouží k přenosu diagnostických a chybových zpráv v IP sítích. Nepřenáší běžná aplikační data jako TCP nebo UDP.

Ping

Nástroj ping používá zprávy ICMP Echo Request a Echo Reply.

Klient                         Server
  │──── ICMP Echo Request ────▶│
  │◀──── ICMP Echo Reply ──────│

Ping ověřuje, zda je zařízení dosažitelné, a měří dobu odezvy.

Traceroute

Traceroute zobrazuje jednotlivé routery na cestě k cíli. Využívá postupně zvyšovanou hodnotu TTL.

Když TTL klesne na nulu, router paket zahodí a odešle zprávu ICMP Time Exceeded.

Běžné ICMP zprávy

Blokování ICMP

ICMP bývá někdy blokován firewallem. To však může komplikovat diagnostiku a některé důležité síťové mechanismy. Samotná neúspěšná odpověď na ping proto nemusí znamenat, že je zařízení vypnuté.

Shrnutí

• ICMP slouží k diagnostice a hlášení chyb.
• Ping používá Echo Request a Echo Reply.
• Traceroute využívá TTL a zprávy Time Exceeded.
• ICMP nepoužívá TCP ani UDP porty.

TCP vs. UDP

TCP a UDP jsou transportní protokoly pracující na čtvrté vrstvě OSI modelu. Oba používají porty, ale liší se způsobem přenosu dat.

TCP

TCP (Transmission Control Protocol) je spojově orientovaný a spolehlivý protokol. Před přenosem dat nejprve naváže spojení.

• kontroluje doručení dat,
• zajišťuje správné pořadí segmentů,
• ztracená data odešle znovu,
• používá potvrzování pomocí ACK,
• má větší režii a může být pomalejší.

UDP

UDP (User Datagram Protocol) je nespojovaný protokol. Data odesílá bez předchozího navázání spojení a bez potvrzení doručení.

• nezaručuje doručení,
• nezaručuje správné pořadí,
• neprovádí retransmise,
• má malou režii,
• je vhodný pro rychlou komunikaci.

Srovnání

Příklad ztraceného paketu

TCP:
1 ──▶ 2 ──▶ X ──▶ 4
          paket 3 ztracen
          paket 3 odeslán znovu

UDP:
1 ──▶ 2 ──▶ X ──▶ 4
          paket 3 ztracen
          přenos pokračuje

Shrnutí

• TCP poskytuje spolehlivý přenos.
• UDP poskytuje rychlý přenos s menší režií.
• TCP kontroluje pořadí a doručení.
• UDP nechává případné řešení ztrát na aplikaci.

TCP Three-Way Handshake

TCP před přenosem aplikačních dat navazuje spojení pomocí procesu označovaného jako Three-Way Handshake.

Průběh handshaku

Klient                          Server
  │                               │
  │──── SYN ─────────────────────▶│
  │◀─── SYN, ACK ─────────────────│
  │──── ACK ─────────────────────▶│
  │                               │
  │      Spojení navázáno          │

SYN

Klient odešle segment s příznakem SYN. Tím žádá o navázání spojení a posílá své počáteční sekvenční číslo.

SYN-ACK

Server odpoví segmentem s příznaky SYN a ACK. Potvrdí přijetí klientova SYN a současně odešle vlastní počáteční sekvenční číslo.

ACK

Klient potvrdí serverovu odpověď segmentem ACK. Poté je TCP spojení navázáno a může začít přenos dat.

Sekvenční a potvrzovací čísla

TCP používá sekvenční čísla k udržení správného pořadí dat. Potvrzovací číslo označuje, které další bajty příjemce očekává.

Ukončení TCP spojení

TCP spojení se běžně ukončuje pomocí příznaků FIN a ACK.

Klient                          Server
  │──── FIN ───────────────────▶│
  │◀─── ACK ────────────────────│
  │◀─── FIN ────────────────────│
  │──── ACK ───────────────────▶│

Shrnutí

• TCP spojení se navazuje pomocí SYN, SYN-ACK a ACK.
• Handshake synchronizuje sekvenční čísla.
• Po navázání spojení může začít přenos dat.
• Řádné ukončení používá FIN a ACK.

TCP Flags

TCP flags jsou řídicí příznaky v TCP hlavičce. Určují stav spojení a význam konkrétního segmentu.

SYN

SYN slouží k zahájení TCP spojení a synchronizaci sekvenčních čísel.

ACK

ACK potvrzuje přijetí dat nebo jiného TCP segmentu.

FIN

FIN signalizuje, že odesílající strana již nemá další data a chce spojení korektně ukončit.

RST

RST okamžitě resetuje TCP spojení. Používá se například při pokusu o připojení na uzavřený port nebo při neočekávaném stavu spojení.

PSH

PSH žádá, aby příjemce předal přijatá data aplikaci bez zbytečného čekání na naplnění bufferu.

URG

URG označuje, že segment obsahuje urgentní data. V moderní komunikaci se používá jen zřídka.

Přehled TCP flags

Flags při TCP handshaku

1. Klient → Server: SYN
2. Server → Klient: SYN, ACK
3. Klient → Server: ACK

Shrnutí

• TCP flags řídí stav TCP spojení.
• SYN zahajuje spojení.
• ACK potvrzuje přijetí.
• FIN spojení korektně ukončuje.
• RST spojení okamžitě resetuje.

Běžné síťové porty

Port identifikuje konkrétní síťovou službu nebo aplikaci na zařízení. IP adresa určuje cílové zařízení a port určuje, které službě mají být data předána.

192.168.1.100:443
│             │
IP adresa     Port HTTPS

Rozsahy portů

Přehled běžných portů

Zdrojový a cílový port

Server obvykle naslouchá na známém portu. Klient používá dočasný zdrojový port.

Klient:
192.168.1.25:53142

Server:
93.184.216.34:443

Shrnutí

• Port rozlišuje jednotlivé služby na zařízení.
• Server obvykle používá známý port.
• Klient obvykle používá dočasný vysoký port.
• Port může používat TCP, UDP nebo oba protokoly.

Routing

Routing je proces výběru cesty, kterou bude IP paket odeslán do cílové sítě. Routing provádí router, firewall nebo L3 switch.

Routovací tabulka

Router rozhoduje podle routovací tabulky. Ta obsahuje známé cílové sítě a informace o tom, kam se má provoz odeslat.

Cílová síť       Next hop        Rozhraní
192.168.1.0/24   přímo           LAN1
192.168.2.0/24   10.0.0.2        WAN1
0.0.0.0/0        10.0.0.1        WAN1

Next hop

Next hop je další router na cestě k cílové síti. Paket nemusí být doručen do cíle jedním krokem. Může projít přes více routerů.

Longest Prefix Match

Pokud routovací tabulka obsahuje více odpovídajících cest, router vybere nejkonkrétnější síť, tedy cestu s nejdelší maskou.

10.0.0.0/8
10.10.0.0/16
10.10.20.0/24

Pro cíl 10.10.20.50 se použije cesta 10.10.20.0/24.

Přímo připojené sítě

Jakmile má router na rozhraní nastavenou IP adresu a rozhraní je aktivní, příslušná síť se obvykle automaticky objeví jako přímo připojená.

Statický a dynamický routing

• Statický routing – cesty zadává administrátor ručně.
• Dynamický routing – routery si informace vyměňují pomocí protokolů jako OSPF nebo BGP.

Shrnutí

• Routing zajišťuje přenos paketů mezi sítěmi.
• Router používá routovací tabulku.
• Next hop označuje další zařízení na cestě.
• Nejkonkrétnější odpovídající cesta má přednost.

Static Routing

Static routing je ruční vytváření záznamů v routovací tabulce. Administrátor určí cílovou síť a next hop nebo výstupní rozhraní.

Příklad dvou sítí

LAN A                           LAN B
192.168.1.0/24                 192.168.2.0/24
       │                              │
       ▼                              ▼
Router A ───── 10.0.0.0/30 ───── Router B
10.0.0.1                        10.0.0.2

Router A potřebuje cestu do sítě 192.168.2.0/24 přes adresu 10.0.0.2.

Cíl:       192.168.2.0/24
Next hop:  10.0.0.2

Router B potřebuje opačnou cestu.

Cíl:       192.168.1.0/24
Next hop:  10.0.0.1

Obousměrná komunikace

Pro úspěšnou komunikaci musí existovat cesta tam i zpět. Pokud má cestu pouze jeden router, odpověď se nemusí vrátit ke zdroji.

Výhody

• jednoduchá konfigurace v malých sítích,
• předvídatelné chování,
• žádná režie dynamického routovacího protokolu,
• plná kontrola nad cestou.

Nevýhody

• ruční správa každé cesty,
• špatná škálovatelnost,
• automaticky nereaguje na změny topologie,
• vyšší riziko chyby administrátora.

Shrnutí

• Statická trasa se nastavuje ručně.
• Obsahuje cílovou síť a next hop.
• Komunikace vyžaduje cestu v obou směrech.
• Je vhodná hlavně pro menší a stabilní sítě.

VLAN

VLAN (Virtual Local Area Network) logicky rozděluje jednu fyzickou přepínanou síť na více samostatných sítí.

Zařízení v různých VLAN jsou oddělena, i když jsou připojena ke stejnému fyzickému switchi.

Příklad rozdělení firmy

VLAN 10 – Management
VLAN 20 – Zaměstnanci
VLAN 30 – Hosté
VLAN 40 – Servery

Broadcast doména

Každá VLAN tvoří vlastní broadcast doménu. Broadcast odeslaný ve VLAN 10 se běžně nedostane do VLAN 20.

VLAN a IP podsítě

Každá VLAN by měla běžně používat vlastní IP podsíť.

VLAN 10: 192.168.10.0/24
VLAN 20: 192.168.20.0/24
VLAN 30: 192.168.30.0/24

Komunikace mezi VLAN

Zařízení v různých VLAN nemohou komunikovat pouze přes L2 switch. Je potřeba routing pomocí routeru, firewallu nebo L3 switche.

VLAN 10
   │
   ▼
Router nebo L3 switch
   │
   ▼
VLAN 20

Tento proces se označuje jako inter-VLAN routing.

Výhody VLAN

• oddělení jednotlivých skupin zařízení,
• menší broadcast domény,
• lepší bezpečnost,
• snazší správa sítě,
• logické rozdělení nezávislé na fyzickém umístění.

Shrnutí

• VLAN logicky rozděluje switchovanou síť.
• Každá VLAN je samostatná broadcast doména.
• VLAN obvykle odpovídá samostatné IP podsíti.
• Komunikace mezi VLAN vyžaduje routing.

Access Port

Access port je port switche přiřazený do jedné konkrétní VLAN. Používá se pro připojení koncových zařízení, která běžně nerozumějí VLAN tagům.

Příklad

PC
 │
 ▼
Switch port 1
Access VLAN 20

Veškerý provoz přijatý na tomto portu je přiřazen do VLAN 20.

Untagged provoz

Rámec mezi koncovým zařízením a access portem se běžně přenáší bez VLAN tagu. Switch interně ví, do které VLAN port patří.

PC ── neoznačený rámec ──▶ Access port VLAN 20

Typická zařízení na access portu

• počítač,
• tiskárna,
• kamera,
• server,
• běžné koncové zařízení.

Voice VLAN

Na některých switchích může být access port nakonfigurován současně pro datovou VLAN a voice VLAN. Počítač používá datovou VLAN a IP telefon hlasovou VLAN.

Shrnutí

• Access port patří do jedné VLAN.
• Je určen hlavně pro koncová zařízení.
• Koncové zařízení obvykle posílá neoznačené rámce.
• Switch přiřadí provoz do VLAN podle konfigurace portu.

802.1Q Trunk

Trunk port přenáší provoz více VLAN přes jeden fyzický spoj. Standard IEEE 802.1Q přidává do Ethernet rámce VLAN tag.

Příklad propojení switchů

Switch A                       Switch B
VLAN 10, 20, 30               VLAN 10, 20, 30
     │                              │
     └────── 802.1Q trunk ──────────┘

Bez trunku by každá VLAN potřebovala samostatný fyzický kabel.

VLAN tag

802.1Q tag obsahuje mimo jiné číslo VLAN, které se označuje jako VLAN ID.

VLAN ID umožňuje přijímajícímu switchi určit, do které VLAN rámec patří.

Tagged a untagged provoz

• Tagged – rámec obsahuje 802.1Q tag.
• Untagged – rámec VLAN tag neobsahuje.

Native VLAN

Native VLAN je VLAN, jejíž provoz může být na trunku přenášen bez tagu. Native VLAN musí být na obou stranách trunku nakonfigurována shodně.

Allowed VLANs

Na trunku lze omezit, které VLAN přes něj smějí procházet.

Povolené VLAN:
10, 20, 30

Zakázané VLAN:
ostatní

Omezení snižuje zbytečný provoz a může zlepšit bezpečnost.

Trunk mezi switchem a routerem

Trunk lze použít také mezi switchem a routerem nebo firewallem. Jedno fyzické rozhraní potom obsluhuje více VLAN pomocí logických subrozhraní.

Shrnutí

• Trunk přenáší více VLAN přes jeden spoj.
• 802.1Q označuje rámce pomocí VLAN tagu.
• Access port běžně přenáší jednu VLAN, trunk více VLAN.
• Native VLAN může být přenášena bez tagu.
• Allowed VLANs určují povolené VLAN na trunku.

STP

STP (Spanning Tree Protocol) chrání ethernetovou síť před přepínacími smyčkami. Smyčka může vzniknout, pokud jsou switche propojeny více cestami bez vhodného mechanismu řízení.

Problém síťové smyčky

Switch A ───── Switch B
    │              │
    └── Switch C ──┘

Vícenásobné propojení zvyšuje redundanci, ale může způsobit nekonečné přeposílání broadcast rámců.

Broadcast storm

Ethernet rámce nemají TTL jako IP pakety. Pokud vznikne smyčka, broadcast rámec může sítí obíhat stále dokola.

Následkem může být:

• zahlcení linek,
• vysoké zatížení switchů,
• nestabilní MAC tabulky,
• výpadek celé sítě.

Princip STP

STP vytvoří logickou topologii bez smyček. Nadbytečné cesty ponechá jako záložní, ale některé porty dočasně zablokuje.

Switch A ───── Switch B
    │              │
    │              X  blokovaný port
    └── Switch C ──┘

Root Bridge

STP zvolí jeden switch jako Root Bridge. Všechny ostatní switche potom vypočítávají nejlepší cestu k tomuto switchi.

Root Bridge se vybírá podle Bridge ID, které obsahuje prioritu a MAC adresu.

Role portů

BPDU

Switche si vyměňují informace pomocí BPDU rámců. Na jejich základě volí Root Bridge a určují role portů.

RSTP

RSTP (Rapid Spanning Tree Protocol) je rychlejší varianta STP. Dokáže po změně topologie obnovit komunikaci výrazně rychleji než původní STP.

PortFast

PortFast umožňuje access portu přejít rychle do aktivního stavu. Používá se pouze na portech s koncovými zařízeními, ne mezi switchi.

BPDU Guard

BPDU Guard chrání access port před připojením neočekávaného switche. Pokud port přijme BPDU, může být automaticky deaktivován.

Shrnutí

• STP zabraňuje ethernetovým smyčkám.
• Volí jeden Root Bridge.
• Nadbytečné cesty může dočasně blokovat.
• BPDU slouží k výměně informací mezi switchi.
• RSTP obnovuje topologii rychleji.
• PortFast a BPDU Guard se používají hlavně na access portech.

Switching – L2 vs. L3 switch

Switch propojuje zařízení v lokální síti a rozhoduje, kterým portem má odeslat přijatý Ethernet rámec. Běžný switch pracuje především na druhé vrstvě OSI modelu, existují však také L3 switche, které dokážou vedle přepínání rámců provádět i routing mezi IP sítěmi.

L2 switch

L2 switch pracuje na druhé, linkové vrstvě OSI modelu. Při rozhodování používá především zdrojové a cílové MAC adresy obsažené v Ethernet rámcích.

Jeho základní úlohou je přeposílat rámce mezi zařízeními ve stejné lokální síti nebo VLAN.

PC1                         PC2
192.168.10.10               192.168.10.20
AA:AA:AA:AA:AA:10           BB:BB:BB:BB:BB:20
        │                         │
        └────── L2 switch ────────┘

Protože jsou obě zařízení ve stejné VLAN a stejné IP podsíti, switch doručí rámec podle cílové MAC adresy. Router není pro tuto komunikaci potřeba.

Co L2 switch běžně zajišťuje

• přeposílání Ethernet rámců podle MAC adres,
• učení MAC adres a vytváření CAM tabulky,
• oddělení collision domén,
• vytváření VLAN,
• access a trunk porty,
• ochranu proti smyčkám pomocí STP.

L3 switch

L3 switch kombinuje funkce klasického switche a routeru. Dokáže přepínat Ethernet rámce na L2 a současně směrovat IP pakety mezi různými VLAN nebo podsítěmi na L3.

VLAN 10                         VLAN 20
192.168.10.0/24                 192.168.20.0/24
        │                              │
        └──────── L3 switch ───────────┘
                Inter-VLAN routing

Každá VLAN může mít na L3 switchi vlastní virtuální rozhraní a IP adresu, která slouží jako default gateway pro zařízení v dané VLAN.

VLAN 10 gateway: 192.168.10.1
VLAN 20 gateway: 192.168.20.1

SVI

SVI (Switched Virtual Interface) je virtuální L3 rozhraní přiřazené ke konkrétní VLAN. Má vlastní IP adresu a může fungovat jako výchozí brána pro zařízení v této VLAN.

interface VLAN 10
IP adresa: 192.168.10.1/24

interface VLAN 20
IP adresa: 192.168.20.1/24

Pokud je na L3 switchi povolen routing, může směrovat provoz mezi těmito rozhraními.

L2 switch vs. L3 switch

Rozdíl mezi L3 switchem a routerem

L3 switch i router dokážou směrovat IP pakety. L3 switch je však obvykle optimalizován pro rychlé směrování mezi VLAN uvnitř lokální sítě. Router nebo firewall se častěji používá pro připojení k internetu, WAN sítím, VPN, NAT a pokročilé bezpečnostní funkce.

Shrnutí

• L2 switch přeposílá rámce podle MAC adres.
• L3 switch navíc směruje pakety podle IP adres.
• L2 komunikace probíhá uvnitř stejné VLAN.
• Komunikace mezi VLAN vyžaduje L3 zařízení.
• SVI může sloužit jako gateway konkrétní VLAN.

MAC adresa

MAC adresa (Media Access Control address) identifikuje síťové rozhraní na druhé vrstvě OSI modelu. Používá se při doručování Ethernet rámců uvnitř lokální sítě.

Standardní MAC adresa má délku 48 bitů, tedy 6 bajtů, a obvykle se zapisuje jako šest dvojic hexadecimálních znaků.

00:1A:2B:3C:4D:5E

Každá dvojice představuje jeden bajt a může obsahovat hodnotu od 00 do FF.

Struktura MAC adresy

MAC adresu lze zjednodušeně rozdělit na dvě části.

00:1A:2B | 3C:4D:5E
   OUI   | identifikátor rozhraní

• OUI – první část identifikuje výrobce síťového zařízení.
• Identifikátor rozhraní – druhá část rozlišuje konkrétní síťové rozhraní.

MAC adresa vs. IP adresa

Změna MAC adres při routingu

IP paket si při průchodu sítí běžně zachovává zdrojovou a cílovou IP adresu. Ethernet rámec je však na každém routovaném úseku vytvořen znovu, takže se jeho MAC adresy mění.

PC → Router

Source MAC:      MAC adresa PC
Destination MAC: MAC adresa routeru

Router → další router

Source MAC:      MAC adresa prvního routeru
Destination MAC: MAC adresa dalšího routeru

Unicast MAC adresa

Unicast MAC adresa identifikuje jedno konkrétní síťové rozhraní. Většina běžné komunikace mezi zařízeními používá unicast.

Broadcast MAC adresa

Broadcast rámec je určen všem zařízením ve stejné broadcast doméně. Používá cílovou MAC adresu:

FF:FF:FF:FF:FF:FF

Broadcast používá například ARP Request nebo počáteční DHCP komunikace.

Multicast MAC adresa

Multicast je určen skupině zařízení, která o daný provoz projevila zájem. Neodesílá se všem zařízením jako broadcast ani jednomu konkrétnímu zařízení jako unicast.

MAC spoofing

MAC adresu lze softwarově změnit nebo napodobit. Tato technika se označuje jako MAC spoofing. Z tohoto důvodu nelze samotnou MAC adresu považovat za spolehlivý důkaz identity zařízení.

MAC randomizace

Moderní mobilní zařízení a operační systémy mohou při připojování k Wi-Fi používat náhodně generované MAC adresy. Cílem je omezit sledování zařízení napříč různými bezdrátovými sítěmi.

Shrnutí

• MAC adresa pracuje na L2.
• Standardní MAC adresa má 48 bitů.
• Switch používá MAC adresy k přeposílání rámců.
• MAC adresy se při průchodu routerem mění.
• Broadcast MAC adresa je FF:FF:FF:FF:FF:FF.

CAM tabulka

CAM tabulka je tabulka, ve které switch uchovává vztah mezi MAC adresami a svými fyzickými nebo logickými porty. Označení CAM pochází z názvu Content Addressable Memory.

V dokumentaci se lze setkat také s názvy:

• MAC address table,
• forwarding table,
• bridging table.

Jak se switch učí MAC adresy

Switch se učí podle zdrojové MAC adresy každého přijatého rámce.

PC1
MAC: AA:AA:AA:AA:AA:10
        │
        ▼
     Port 1
      Switch

Když switch přijme rámec na portu 1, uloží si informaci:

AA:AA:AA:AA:AA:10 → port 1

Pokud později potřebuje odeslat rámec na tuto MAC adresu, ví, že jej má poslat portem 1.

Příklad CAM tabulky

Known unicast

Pokud switch zná cílovou MAC adresu, odešle rámec pouze příslušným portem.

Rámec pro BB:BB:BB:BB:BB:20
                │
                ▼
           pouze port 2

Unknown unicast

Pokud cílová MAC adresa není v CAM tabulce, switch neví, kde se zařízení nachází. Rámec proto odešle všemi porty ve stejné VLAN kromě portu, na kterém jej přijal.

Tento proces se označuje jako flooding.

Neznámá cílová MAC
          │
          ▼
Port 1 ─ Switch ─ Port 2
          ├────── Port 3
          └────── Port 4

Broadcast a multicast

Broadcast rámce switch běžně rozesílá všemi porty ve stejné VLAN kromě příchozího portu. Některý multicastový provoz může být bez dalších mechanismů zpracován podobně.

Aging

Dynamické záznamy v CAM tabulce nejsou uloženy trvale. Pokud switch po určitou dobu z dané MAC adresy neobdrží žádný rámec, záznam odstraní.

Tento proces umožňuje reagovat na situaci, kdy se zařízení odpojí nebo přesune na jiný port.

Statické MAC záznamy

Administrátor může vytvořit statický záznam, který pevně přiřadí MAC adresu ke konkrétnímu portu. Statické záznamy se automaticky neodstraňují.

CAM table overflow

CAM tabulka má omezenou kapacitu. Pokud je zaplněna velkým množstvím falešných MAC adres, switch může začít neznámý provoz rozesílat více porty.

Proti podobnému chování lze použít například omezení počtu MAC adres na portu nebo funkce port security.

Shrnutí

• CAM tabulka mapuje MAC adresy na porty switche.
• Switch se učí ze zdrojové MAC adresy.
• Známý unicast odešle pouze správným portem.
• Neznámý unicast rozesílá v rámci VLAN.
• Dynamické záznamy se po čase odstraní.

Broadcast a collision domain

Broadcast domain a collision domain popisují dvě odlišné oblasti ethernetové sítě. Broadcast domain určuje, kam se rozšíří broadcast provoz. Collision domain určuje, ve které části sítě může při sdíleném přenosu dojít ke kolizi rámců.

Broadcast domain

Broadcast domain je skupina zařízení, která obdrží stejný L2 broadcast rámec.

Cílová MAC:
FF:FF:FF:FF:FF:FF

Switch přepošle broadcast všemi porty patřícími do stejné VLAN, kromě portu, na kterém rámec přijal.

PC1 ─┐
PC2 ─┼── Switch ── PC3
PC4 ─┘

Jedna VLAN = jedna broadcast domain

Co odděluje broadcast domény

Broadcast domény odděluje zařízení nebo konfigurace pracující na L3.

• router,
• firewall,
• L3 switch,
• samostatné VLAN.

VLAN 10                    VLAN 20
Broadcast domain A         Broadcast domain B
       │                          │
       └────── L3 switch ─────────┘

Broadcast z VLAN 10 se běžně nepřenese do VLAN 20.

Collision domain

Collision domain je část sítě, ve které mohou dvě zařízení současně vysílat do stejného sdíleného média a způsobit kolizi.

Kolize byly běžné zejména ve starších sítích s huby a při použití half-duplex Ethernetu.

PC1 ─┐
PC2 ─┼── Hub
PC3 ─┘

Všechna zařízení sdílejí jednu collision domain

Switch a collision domény

Každý fyzický port switche tvoří samostatnou collision domain.

PC1 ─── port 1 ┐
PC2 ─── port 2 ├── Switch
PC3 ─── port 3 ┘

Každý port = samostatná collision domain

Moderní ethernetové sítě používají full-duplex komunikaci, při které zařízení mohou současně odesílat i přijímat data. V takové komunikaci ke klasickým ethernetovým kolizím nedochází.

Hub vs. switch vs. router

Broadcast storm

Příliš velké množství broadcast provozu může zahlcovat zařízení i síťové linky. Pokud je příčinou L2 smyčka, mohou se broadcast rámce množit a vytvářet broadcast storm.

Shrnutí

• Broadcast domain určuje dosah broadcast rámce.
• Každá VLAN vytváří samostatnou broadcast doménu.
• Router broadcast domény odděluje.
• Hub vytváří jednu společnou collision doménu.
• Každý port switche tvoří samostatnou collision doménu.
• V moderním full-duplex Ethernetu se klasické kolize nevyskytují.

MTU

MTU (Maximum Transmission Unit) určuje největší velikost datového paketu, který lze přenést přes konkrétní síťové rozhraní nebo linku bez rozdělení na menší části.

U běžného Ethernetu je standardní MTU obvykle:

1500 bajtů

Tato hodnota se vztahuje k maximální velikosti IP paketu přenášeného uvnitř Ethernet rámce, nikoli k celkové velikosti celého rámce na fyzickém médiu.

Ethernet a MTU

Ethernet rámec
┌─────────────────────────────────────────────┐
│ Ethernet hlavička │ IP paket │ FCS          │
│                   │ max. 1500 │              │
└─────────────────────────────────────────────┘

TCP MSS

MSS (Maximum Segment Size) určuje maximální množství TCP aplikačních dat v jednom TCP segmentu. MSS je menší než MTU, protože se od MTU odečítá velikost IP a TCP hlavičky.

U standardního IPv4 a TCP bez dalších voleb:

MTU:           1500 bajtů
IPv4 hlavička:   20 bajtů
TCP hlavička:    20 bajtů
MSS:           1460 bajtů

Fragmentace IPv4

Pokud je IPv4 paket větší než MTU následující linky, může být rozdělen na menší fragmenty. Fragmenty jsou následně složeny zpět na cílovém zařízení.

Paket 3000 bajtů
        │
        ▼
Linka s MTU 1500
        │
        ├── Fragment 1
        ├── Fragment 2
        └── Fragment 3

Fragmentace zvyšuje režii a může komplikovat přenos. Pokud se ztratí jeden fragment, nelze původní paket kompletně sestavit.

DF flag

IPv4 hlavička může obsahovat příznak DF (Don’t Fragment). Pokud je nastaven, router nesmí paket fragmentovat.

Jestliže je paket příliš velký pro další linku, router jej zahodí a může odeslat ICMP zprávu informující o nutnosti zmenšit velikost paketu.

Path MTU Discovery

Path MTU Discovery zjišťuje nejnižší MTU na celé cestě mezi zdrojem a cílem. Odesílatel pak může upravit velikost paketů tak, aby nebyla potřeba fragmentace.

MTU a VPN

VPN přidává k původnímu paketu další hlavičky a šifrovací informace. Tím zvětšuje jeho celkovou velikost.

Původní IP paket
        │
        ▼
VPN zapouzdření
        │
        ▼
Nová IP hlavička + VPN hlavička + původní paket

Proto může být na VPN rozhraní potřeba nastavit nižší MTU nebo upravit TCP MSS.

Jumbo frames

Některé lokální sítě podporují jumbo frames, jejichž MTU bývá například kolem 9000 bajtů. Mohou snížit režii při přenosu velkého množství dat, ale musí je podporovat všechna zařízení na dané cestě.

Projevy špatného MTU

• některé webové stránky se načtou jen částečně,
• malý ping funguje, ale přenos větších dat selhává,
• VPN spojení se naváže, ale aplikace nekomunikují správně,
• dochází k pomalému nebo nestabilnímu přenosu.

Shrnutí

• MTU určuje maximální velikost IP paketu na lince.
• Standardní ethernetová MTU je obvykle 1500 bajtů.
• MSS určuje velikost TCP dat bez IP a TCP hlaviček.
• Velké IPv4 pakety mohou být fragmentovány.
• VPN může vyžadovat nižší MTU nebo MSS.

TTL

TTL (Time To Live) je pole v IPv4 hlavičce, které omezuje počet routerů, přes které může paket projít. Přestože název odkazuje na čas, v moderních IP sítích se TTL používá především jako počítadlo přeskoků.

Jak TTL funguje

Odesílatel nastaví počáteční hodnotu TTL. Každý router, který paket zpracuje, tuto hodnotu sníží o jedna.

Zdroj
TTL 64
   │
   ▼
Router 1
TTL 63
   │
   ▼
Router 2
TTL 62
   │
   ▼
Cíl

TTL rovné nule

Pokud router sníží TTL na nulu, paket zahodí. Zpět ke zdroji obvykle odešle ICMP zprávu Time Exceeded.

Proč TTL existuje

TTL zabraňuje tomu, aby paket při chybě routingu obíhal sítí nekonečně dlouho.

Router A ──▶ Router B
   ▲             │
   └─────────────┘

Routovací smyčka

Bez TTL by paket mohl v této smyčce zůstávat neomezeně. TTL zajistí jeho odstranění po omezeném počtu přeskoků.

Traceroute

Nástroj traceroute využívá TTL k odhalení jednotlivých routerů na cestě.

1. Paket s TTL 1
   Router 1 vrátí ICMP Time Exceeded

2. Paket s TTL 2
   Router 2 vrátí ICMP Time Exceeded

3. Paket s TTL 3
   Router 3 vrátí ICMP Time Exceeded

Postupným zvyšováním TTL lze sestavit seznam routerů mezi zdrojem a cílem.

TTL v IPv6

IPv6 používá obdobné pole nazvané Hop Limit. Jeho funkce odpovídá TTL v IPv4.

TTL vs. DNS TTL

TTL v IP hlavičce nesmí být zaměňováno s TTL u DNS záznamů.

Shrnutí

• TTL omezuje počet L3 přeskoků.
• Každý router snižuje TTL o jedna.
• Paket s TTL nula je zahozen.
• TTL zabraňuje nekonečnému obíhání paketů.
• Traceroute využívá TTL a ICMP Time Exceeded.

VPN

VPN (Virtual Private Network) vytváří zabezpečené logické spojení přes nedůvěryhodnou nebo veřejnou síť, nejčastěji přes internet. VPN umožňuje propojit vzdálené sítě nebo připojit vzdáleného uživatele k firemní infrastruktuře.

VPN tunel

Při vytvoření VPN tunelu je původní síťový provoz zapouzdřen do nového paketu. Podle použité technologie může být obsah také šifrován a autentizován.

Původní paket:
192.168.10.20 → 192.168.20.30

        │
        ▼

VPN zapouzdření:
85.10.20.30 → 91.40.50.60
[šifrovaný původní paket]

Veřejná síť směruje vnější paket mezi veřejnými IP adresami VPN bran. Vnitřní soukromý paket zůstává ukryt uvnitř tunelu.

Základní cíle VPN

• Důvěrnost – provoz je šifrován a neměl by být čitelný pro třetí stranu.
• Integrita – změna přenášených dat může být detekována.
• Autentizace – ověřuje se identita protistrany nebo uživatele.
• Bezpečné propojení – umožňuje přenos interní komunikace přes veřejnou síť.

Site-to-Site VPN

Site-to-Site VPN propojuje dvě nebo více samostatných sítí. Tunel obvykle vytvářejí firewally nebo routery na hranicích jednotlivých lokalit.

Pobočka Praha                         Pobočka Brno
192.168.10.0/24                      192.168.20.0/24
        │                                    │
        ▼                                    ▼
    Firewall ═════ šifrovaný VPN tunel ═ Firewall
        │             Internet               │

Zařízení v obou lokalitách mohou komunikovat prostřednictvím soukromých IP adres, aniž by každé zařízení provozovalo vlastní VPN klient.

Remote Access VPN

Remote Access VPN připojuje jednotlivého uživatele nebo zařízení k firemní síti. Na počítači bývá nainstalován VPN klient, který vytvoří tunel k firemní VPN bráně.

Notebook zaměstnance
        │
        ▼
VPN klient
        │
        ║ šifrovaný tunel
        ▼
Firemní firewall
        │
        ▼
Interní síť

IPsec VPN

IPsec je sada protokolů pro zabezpečení IP komunikace. Často se používá pro Site-to-Site VPN, ale může sloužit i pro vzdálený přístup.

IPsec typicky zajišťuje:

• šifrování,
• integritu,
• autentizaci protistran,
• ochranu proti opakovanému přehrání paketů.

IKE

IKE (Internet Key Exchange) slouží k vyjednání bezpečnostních parametrů, ověření protistran a vytvoření šifrovacích klíčů pro IPsec tunel.

V praxi se používají verze IKEv1 a IKEv2. IKEv2 je novější a obvykle jednodušší a efektivnější.

IPsec transport mode

V transportním režimu je chráněna především datová část původního IP paketu. Původní IP hlavička zůstává použitá pro směrování.

Původní IP hlavička
        +
IPsec ochrana
        +
Původní data

IPsec tunnel mode

V tunelovém režimu je celý původní IP paket vložen do nového IP paketu. Tento režim se běžně používá u Site-to-Site VPN.

Nová IP hlavička
        +
IPsec ochrana
        +
Celý původní IP paket

SSL VPN

SSL VPN využívá TLS a běžně umožňuje vzdálený přístup uživatelů. Může fungovat jako plný síťový tunel nebo zpřístupňovat pouze vybrané aplikace prostřednictvím webového portálu.

Výhodou bývá snadnější průchod přes sítě, které dovolují běžný HTTPS provoz.

Full Tunnel

Při Full Tunnel režimu prochází veškerý síťový provoz uživatele VPN tunelem, včetně komunikace do internetu.

Notebook
   │
   ├── firemní provoz ─┐
   └── internet ───────┼── VPN tunel ── firemní firewall

Tento režim umožňuje centrální kontrolu provozu, ale zvyšuje zatížení VPN brány a internetového připojení firmy.

Split Tunnel

Při Split Tunnel režimu prochází firemní provoz VPN tunelem, zatímco běžný internetový provoz jde přímo přes lokální připojení uživatele.

Firemní síť ──▶ VPN tunel ──▶ Firma

Internet ─────▶ lokální připojení uživatele

Split Tunnel snižuje zatížení firemní infrastruktury, ale vyžaduje správně navržená bezpečnostní pravidla.

VPN autentizace

Přístup k VPN může být ověřován různými způsoby:

• uživatelské jméno a heslo,
• digitální certifikát,
• předsdílený klíč,
• vícefaktorové ověřování,
• externí identitní služba nebo adresář.

VPN routování

Po vytvoření tunelu musí síťová zařízení vědět, které cílové sítě mají směrovat do VPN. Nestačí tedy pouze vytvořit šifrovaný tunel; musí být správně nastaveny také routy a firewallová pravidla.

Cílová síť: 192.168.20.0/24
Cesta:       VPN tunel do pobočky Brno

VPN a NAT

Provoz mezi privátními sítěmi bývá často z běžného SNAT vyjmut. Pokud by firewall před vstupem do tunelu změnil zdrojovou IP adresu, vzdálená strana by nemusela správně rozpoznat interní síť.

V některých návrzích se naopak NAT uvnitř VPN používá záměrně, například při překrývajících se IP rozsazích.

Překrývající se sítě

Problém vzniká, pokud obě propojené lokality používají stejnou IP podsíť.

Pobočka A: 192.168.1.0/24
Pobočka B: 192.168.1.0/24

Zařízení pak nedokáže jednoduše určit, zda je cílová adresa lokální, nebo dostupná přes VPN. Řešením může být přečíslování sítě nebo speciální NAT konfigurace.

VPN a MTU

VPN přidává vlastní hlavičky a tím snižuje prostor dostupný pro původní paket. Nesprávné MTU nebo MSS může způsobit problémy s přenosem větších paketů.

VPN není automaticky důvěryhodná síť

VPN zabezpečuje přenos dat, ale sama o sobě nezaručuje, že je připojené zařízení bezpečné. Kompromitovaný notebook může prostřednictvím VPN přenést útok přímo do interní sítě.

Proto se VPN běžně kombinuje s:

• vícefaktorovým ověřováním,
• kontrolou stavu zařízení,
• omezenými přístupovými pravidly,
• segmentací sítě,
• monitoringem a logováním,
• principem nejnižších oprávnění.

Srovnání typů VPN

Shrnutí

• VPN vytváří zabezpečený logický tunel přes veřejnou síť.
• Site-to-Site VPN propojuje celé sítě.
• Remote Access VPN připojuje jednotlivé uživatele.
• IPsec se často používá pro propojení poboček.
• SSL VPN se často používá pro vzdálený přístup.
• Full Tunnel směruje přes VPN veškerý provoz.
• Split Tunnel posílá do VPN pouze vybrané sítě.
• Správná VPN vyžaduje šifrování, autentizaci, routing i firewallová pravidla.

IPsec

IPsec (Internet Protocol Security) je sada protokolů určená k zabezpečení IP komunikace. Pracuje na třetí vrstvě OSI modelu a může chránit prakticky libovolný provoz přenášený prostřednictvím IPv4 nebo IPv6.

IPsec se běžně používá pro Site-to-Site VPN mezi pobočkami, propojení cloudových sítí nebo vzdálený přístup uživatelů.

Co IPsec zajišťuje

• Důvěrnost – data jsou šifrována.
• Integritu – příjemce dokáže ověřit, zda nebyla data změněna.
• Autentizaci – ověřuje identitu protistrany.
• Ochranu proti replay útokům – brání opakovanému přehrání zachycených paketů.

Základní části IPsec

IPsec není jeden samostatný protokol. Jde o soubor mechanismů, které společně vytvářejí zabezpečené spojení.

ESP

ESP (Encapsulating Security Payload) je nejčastěji používanou částí IPsec. Dokáže šifrovat přenášená data a současně zajistit jejich integritu a autentizaci.

Původní paket
      │
      ▼
ESP zapouzdření
      │
      ▼
[ESP hlavička][šifrovaná data][ověřovací údaje]

ESP používá IP protokol číslo 50. Nepoužívá běžný TCP nebo UDP port.

AH

AH (Authentication Header) zajišťuje integritu a autentizaci, ale neposkytuje šifrování. Obsah paketu tedy může být čitelný, i když lze ověřit, že nebyl změněn.

AH používá IP protokol číslo 51. V běžných moderních VPN se používá podstatně méně než ESP.

Problém AH a NAT

AH chrání také některé části IP hlavičky. NAT však IP adresu mění, čímž by narušil kontrolu integrity. AH proto není vhodné pro provoz procházející přes NAT.

ESP v kombinaci s NAT Traversal je pro takové prostředí vhodnější.

Transport mode

V transportním režimu zůstává původní IP hlavička zachována a IPsec chrání především datovou část paketu.

┌──────────────────────────────────────────────┐
│ Původní IP hlavička │ IPsec │ Data aplikace │
└──────────────────────────────────────────────┘

Transport mode se používá především při zabezpečení komunikace přímo mezi dvěma koncovými zařízeními.

Tunnel mode

V tunelovém režimu je celý původní IP paket zapouzdřen do nového paketu. Přidá se nová vnější IP hlavička obsahující adresy VPN bran.

┌─────────────────────────────────────────────────────────┐
│ Nová IP hlavička │ IPsec │ Celý původní IP paket       │
└─────────────────────────────────────────────────────────┘

Tunnel mode se běžně používá při Site-to-Site VPN.

Příklad IPsec tunelu

Praha                                       Brno

LAN: 192.168.10.0/24                       LAN: 192.168.20.0/24
        │                                           │
        ▼                                           ▼
Firewall A ═════════ IPsec tunnel ═════════ Firewall B
85.10.10.10              Internet            91.20.20.20

Původní komunikace může vypadat následovně:

192.168.10.25 → 192.168.20.30

Na internetu je však přenášen zapouzdřený paket mezi veřejnými adresami firewallů:

85.10.10.10 → 91.20.20.20

IKE

IKE (Internet Key Exchange) zajišťuje vytvoření IPsec spojení. Protistrany pomocí IKE ověřují svoji identitu, vybírají kryptografické algoritmy a vytvářejí společné šifrovací klíče.

IKE běžně používá:

IKEv1 a IKEv2

Security Association

Security Association, zkráceně SA, je sada dohodnutých parametrů pro jednosměrnou zabezpečenou komunikaci.

SA obsahuje například:

• použitý šifrovací algoritmus,
• algoritmus integrity,
• šifrovací klíče,
• dobu platnosti spojení,
• identifikátor SPI,
• cílovou protistranu.

Protože je SA jednosměrná, obousměrná komunikace potřebuje nejméně dvě Security Association.

Phase 1 a Phase 2

U IKEv1 se proces tradičně popisuje pomocí dvou fází.

• Phase 1 – vytvoření bezpečného řídicího kanálu mezi VPN branami.
• Phase 2 – vyjednání parametrů pro vlastní přenos chráněných dat.

Phase 1:
Firewall A ═════ bezpečný IKE kanál ═════ Firewall B

Phase 2:
Firewall A ═════ chráněný IPsec provoz ═ Firewall B

U IKEv2 se používají názvy IKE SA a Child SA, princip je však podobný.

Autentizace protistran

IPsec může ověřovat protistrany několika způsoby.

• Pre-Shared Key – obě strany znají stejný sdílený klíč.
• Digitální certifikáty – každá strana se prokazuje certifikátem.
• EAP – používá se zejména u vzdáleného přístupu uživatelů.

NAT Traversal

NAT Traversal, označovaný jako NAT-T, umožňuje přenos IPsec provozu přes zařízení provádějící NAT.

ESP paket je vložen do UDP datagramu používajícího port 4500.

Původní ESP paket
        │
        ▼
UDP zapouzdření
        │
        ▼
UDP port 4500

Traffic selectors

Traffic selectors určují, který provoz má být chráněn IPsec tunelem.

Lokální síť:   192.168.10.0/24
Vzdálená síť:  192.168.20.0/24

Provoz mezi těmito sítěmi vstoupí do tunelu. Ostatní provoz může být směrován běžným způsobem mimo VPN.

Route-based IPsec

U route-based VPN vznikne virtuální tunelové rozhraní. Provoz se do VPN směruje pomocí routovací tabulky.

192.168.20.0/24
        │
        ▼
Rozhraní IPsec-Tunnel-1

Tento přístup je vhodný pro složitější sítě, více tras a použití dynamických routovacích protokolů.

Policy-based IPsec

U policy-based VPN je provoz vybírán podle bezpečnostních pravidel definujících lokální a vzdálené sítě.

Pokud:
Source      = 192.168.10.0/24
Destination = 192.168.20.0/24

Potom:
Použij IPsec tunel

Časté příčiny nefunkčního IPsec tunelu

• neshodné šifrovací algoritmy,
• neshodný Pre-Shared Key,
• neshodné lokální a vzdálené sítě,
• chybějící routa,
• blokovaný UDP port 500 nebo 4500,
• blokované ESP,
• nesprávně provedený NAT,
• překrývající se IP rozsahy,
• nesprávné MTU.

Shrnutí

• IPsec zabezpečuje komunikaci na L3.
• ESP poskytuje šifrování, integritu a autentizaci.
• AH poskytuje integritu, ale ne šifrování.
• IKE vyjednává parametry a vytváří klíče.
• Tunnel mode zapouzdřuje celý původní IP paket.
• NAT-T přenáší IPsec přes UDP port 4500.
• IPsec se často používá pro Site-to-Site VPN.

SSL VPN

SSL VPN je technologie vzdáleného přístupu využívající protokol TLS. Historický název SSL VPN se stále běžně používá, přestože moderní implementace používají především TLS, nikoli zastaralé verze SSL.

SSL VPN se nejčastěji používá pro bezpečné připojení zaměstnanců k firemní síti prostřednictvím internetu.

Základní princip

Notebook uživatele
        │
        ▼
Internet
        │
        ║ šifrované TLS spojení
        ▼
VPN firewall nebo concentrator
        │
        ▼
Interní firemní síť

Uživatel naváže TLS spojení s veřejnou adresou VPN brány. Po úspěšné autentizaci získá přístup k povoleným interním sítím nebo aplikacím.

Proč se používá port 443

SSL VPN často používá TCP port 443, který běžně slouží pro HTTPS. Tento port bývá povolen ve většině sítí, hotelů, letišť nebo veřejných Wi-Fi.

Některé implementace mohou pro zrychlení datového provozu používat také UDP.

Tunnel mode

V tunelovém režimu vytvoří VPN klient v operačním systému virtuální síťové rozhraní. Přes toto rozhraní lze směrovat provoz k více interním sítím a službám.

Notebook
  │
  ├── fyzické rozhraní: 192.168.1.50
  │
  └── VPN rozhraní:     10.250.10.25
                              │
                              ▼
                        Firemní sítě

Tunnel mode může uživateli poskytovat podobné možnosti jako přímé připojení do firemní LAN, přístup však zůstává omezen bezpečnostními pravidly.

Web portal mode

V portálovém režimu uživatel přistupuje přes webový prohlížeč pouze k vybraným službám. Nemusí získat plný síťový přístup.

Webový prohlížeč
        │
        ▼
SSL VPN portál
        │
        ├── interní webová aplikace
        ├── webmail
        └── vzdálená plocha

Portálový režim bývá bezpečnější pro omezený přístup externích pracovníků, protože nezpřístupňuje celou vnitřní síť.

SSL VPN klient

Plný síťový tunel zpravidla vyžaduje klientskou aplikaci. Klient zajišťuje:

• navázání TLS tunelu,
• autentizaci uživatele,
• vytvoření virtuálního síťového adaptéru,
• instalaci potřebných rout,
• řízení Full Tunnel nebo Split Tunnel režimu,
• případnou kontrolu stavu zařízení.

Autentizace

SSL VPN může uživatele ověřovat pomocí lokální databáze účtů nebo externí identitní služby.

• Active Directory nebo LDAP,
• RADIUS,
• SAML nebo cloudový Identity Provider,
• klientské certifikáty,
• vícefaktorové ověřování.

Vícefaktorové ověřování

MFA výrazně snižuje riziko zneužití odcizeného hesla. Uživatel musí kromě hesla potvrdit další faktor, například jednorázový kód, hardwarový token nebo přihlášení v mobilní aplikaci.

1. Uživatelské jméno a heslo
2. Druhý faktor
3. Vytvoření VPN tunelu

Full Tunnel

Při Full Tunnel režimu prochází VPN tunelem veškerý provoz uživatele, včetně běžného přístupu k internetu.

Interní provoz ─┐
                ├── SSL VPN ──▶ Firemní firewall
Internet ───────┘

Firma může provoz kontrolovat, filtrovat a logovat pomocí vlastních bezpečnostních nástrojů.

Split Tunnel

Při Split Tunnel režimu prochází VPN pouze provoz směřující do určených firemních sítí. Ostatní provoz jde přímo do internetu přes lokální připojení uživatele.

10.0.0.0/8 ─────────▶ SSL VPN tunel
192.168.100.0/24 ───▶ SSL VPN tunel
Veřejný internet ───▶ lokální gateway

Split DNS

Split DNS umožňuje používat pro interní domény firemní DNS servery a pro ostatní dotazy běžné veřejné nebo lokální DNS servery.

server.firma.local ──▶ firemní DNS přes VPN
example.com ─────────▶ běžný DNS server

Kontrola stavu zařízení

Některé SSL VPN systémy před připojením nebo během něj kontrolují bezpečnostní stav zařízení.

Kontrolovat lze například:

• aktuální operační systém,
• aktivní antivirus nebo EDR,
• zapnutý firewall,
• šifrování disku,
• firemní certifikát,
• členství zařízení v doméně,
• přítomnost zakázaného softwaru.

Oprávnění uživatelů

Úspěšné připojení k VPN by nemělo automaticky znamenat přístup ke všem interním systémům. Práva lze přidělovat podle uživatele, skupiny nebo zařízení.

Skupina IT:
SSH, RDP, administrace serverů

Skupina Finance:
účetní aplikace a souborový server

Externí dodavatel:
pouze jeden konkrétní server

SSL VPN vs. IPsec VPN

Bezpečnostní rizika SSL VPN

• zranitelnost samotné VPN brány,
• odcizené uživatelské účty,
• chybějící MFA,
• příliš široká přístupová oprávnění,
• zastaralý VPN klient,
• připojení kompromitovaného zařízení,
• nedostatečné logování a monitoring.

Shrnutí

• SSL VPN používá TLS pro vzdálený přístup.
• Často používá port TCP 443.
• Tunnel mode poskytuje síťový přístup.
• Portal mode zpřístupňuje pouze vybrané aplikace.
• SSL VPN by měla používat MFA a omezená oprávnění.
• Provoz může fungovat jako Full Tunnel nebo Split Tunnel.

GRE

GRE (Generic Routing Encapsulation) je jednoduchý tunelovací protokol, který umožňuje zapouzdřit jeden síťový protokol do jiného IP paketu.

GRE vytváří logický spoj mezi dvěma zařízeními, například routery. Samotné GRE však neposkytuje šifrování, autentizaci ani ochranu integrity.

Základní princip GRE

Původní paket
192.168.10.20 → 192.168.20.30
        │
        ▼
GRE zapouzdření
        │
        ▼
Nová IP hlavička
10.0.0.1 → 10.0.0.2
+
GRE hlavička
+
původní paket

Vnější IP adresy slouží k doručení tunelovaného provozu mezi koncovými body GRE tunelu.

GRE tunel mezi routery

LAN Praha                              LAN Brno
192.168.10.0/24                       192.168.20.0/24
       │                                     │
       ▼                                     ▼
Router A ═══════════ GRE tunel ═══════════ Router B
10.0.0.1                                 10.0.0.2

Z pohledu routingu se tunel může chovat podobně jako samostatné virtuální síťové rozhraní.

GRE není šifrování

GRE pouze zapouzdřuje provoz. Data uvnitř tunelu nejsou automaticky chráněna před čtením nebo změnou.

GRE:
Tunelování        Ano
Šifrování         Ne
Integrita         Ne
Autentizace       Ne

Pokud je potřeba důvěrnost a integrita, GRE se může kombinovat s IPsec.

GRE over IPsec

Kombinace GRE a IPsec využívá výhody obou technologií.

• GRE vytváří flexibilní virtuální tunel.
• IPsec zajišťuje šifrování a integritu.

Původní provoz
      │
      ▼
GRE zapouzdření
      │
      ▼
IPsec šifrování
      │
      ▼
Internet

Proč použít GRE s IPsec

GRE podporuje přenos multicastového a broadcastového provozu. To umožňuje přes tunel provozovat některé dynamické routovací protokoly.

Čistý policy-based IPsec bývá často omezen převážně na unicastový provoz mezi definovanými sítěmi.

GRE protokol

GRE používá přímo IP protokol číslo 47. Nejde o TCP ani UDP port 47.

IP Protocol Number: 47

Tato informace je důležitá při konfiguraci firewallů. Povolení TCP portu 47 by GRE provoz nepovolilo.

GRE a NAT

Protože GRE nepoužívá TCP ani UDP porty, některá NAT zařízení mohou mít problém rozlišit více GRE spojení mezi stejnými adresami.

Podpora GRE průchodu přes NAT závisí na konkrétním zařízení a jeho implementaci.

GRE a MTU

GRE přidává další IP a GRE hlavičku. Tím se zvětšuje celková velikost paketu a snižuje dostupná MTU pro původní provoz.

Ethernet MTU:      1500 bajtů
Vnější IP hlavička: -20 bajtů
GRE hlavička:       nejméně -4 bajty
Dostupná MTU:       přibližně 1476 bajtů

Při kombinaci GRE s IPsec je režie ještě vyšší.

Použití GRE

• propojení dvou sítí přes IP infrastrukturu,
• přenos dynamického routingu tunelem,
• přenos multicastového provozu,
• laboratorní a testovací topologie,
• kombinace s IPsec.

Shrnutí

• GRE je jednoduchý tunelovací protokol.
• Zapouzdřuje původní paket do nového IP paketu.
• Neposkytuje šifrování ani autentizaci.
• Používá IP protokol číslo 47, nikoli port 47.
• Může přenášet multicast a dynamický routing.
• Pro zabezpečení se často kombinuje s IPsec.

SD-WAN

SD-WAN (Software-Defined Wide Area Network) je způsob centrálního řízení rozsáhlé sítě propojující pobočky, datová centra, cloudové služby a vzdálené lokality.

SD-WAN odděluje logiku řízení sítě od samotného přenosu paketů a umožňuje spravovat velké množství zařízení prostřednictvím centrálního řídicího systému.

Klasická WAN

V tradiční WAN síti bývají jednotlivé routery konfigurovány samostatně. Pobočky mohou být propojeny pomocí MPLS, pronajatých linek nebo ručně spravovaných VPN tunelů.

Pobočka A ── MPLS ── Datové centrum
Pobočka B ── MPLS ── Datové centrum
Pobočka C ── MPLS ── Datové centrum

Změna pravidel může vyžadovat konfiguraci velkého množství zařízení.

Princip SD-WAN

                  SD-WAN Controller
                         │
               centrální konfigurace
                         │
        ┌────────────────┼────────────────┐
        ▼                ▼                ▼
    Pobočka A        Pobočka B        Pobočka C
    Edge zařízení    Edge zařízení    Edge zařízení

Centrální controller distribuuje politiky, sleduje stav spojů a určuje, jaký provoz má využít konkrétní WAN cestu.

Underlay a overlay

SD-WAN síť se skládá ze dvou základních vrstev.

• Underlay – fyzická přenosová infrastruktura.
• Overlay – logická síť a tunely vytvořené nad underlay sítí.

Overlay:
Šifrované SD-WAN tunely mezi pobočkami

Underlay:
MPLS, optika, xDSL, 5G, LTE, veřejný internet

Více WAN linek

SD-WAN zařízení může současně používat více typů připojení.

                   ┌── MPLS
Pobočka ─ SD-WAN ──┼── Internet
                   └── 5G/LTE

Jedna linka může být primární, další záložní, nebo lze provoz aktivně rozdělovat mezi více linek.

Application-aware routing

SD-WAN dokáže rozpoznat typ aplikace a vybrat pro ni vhodnou cestu podle aktuálních vlastností jednotlivých linek.

VoIP        → linka s nejnižší latencí a jitterem
Video       → linka s dostatečnou kapacitou
Záloha dat  → levnější internetová linka
ERP         → MPLS nebo stabilní šifrovaný tunel

Měření kvality linek

SD-WAN průběžně sleduje stav dostupných cest.

• latenci,
• jitter,
• ztrátovost paketů,
• dostupnou kapacitu,
• dostupnost linky.

Pokud kvalita linky překročí stanovený limit, provoz lze automaticky přesunout na jinou cestu.

Automatický failover

Primární internetová linka
             │
             X výpadek
             │
             ▼
Automatické přesměrování na LTE

Failover může proběhnout bez nutnosti ručního zásahu administrátora.

Local Internet Breakout

V tradiční síti může internetový provoz z pobočky nejprve procházet centrálním datovým centrem.

Pobočka → Datové centrum → Internet

SD-WAN může vybraný provoz poslat přímo do internetu z pobočky.

Pobočka → Internet

Tento přístup se označuje jako Local Internet Breakout a může zlepšit výkon cloudových aplikací.

Bezpečnost Local Internet Breakout

Přímý přístup k internetu vyžaduje bezpečnostní funkce přímo na pobočce nebo využití cloudové bezpečnostní služby.

• firewall,
• webový filtr,
• IPS,
• ochrana před malwarem,
• DNS security,
• SASE nebo Secure Web Gateway.

Zero-Touch Provisioning

Zero-Touch Provisioning umožňuje nasadit nové SD-WAN zařízení bez složité konfigurace na místě.

1. Zařízení se doručí na pobočku.
2. Připojí se k internetu.
3. Ověří se vůči controlleru.
4. Automaticky stáhne konfiguraci.
5. Vytvoří potřebné tunely.

SD-WAN a šifrování

Overlay tunely mezi SD-WAN zařízeními bývají šifrovány. Konkrétní způsob šifrování závisí na výrobci a použité platformě.

SD-WAN však není automaticky kompletní bezpečnostní řešení. Je nutné správně nastavit segmentaci, přístupová pravidla a ochranu internetového provozu.

Segmentace

SD-WAN může nad jednou fyzickou WAN infrastrukturou vytvářet více oddělených virtuálních sítí.

Segment 1: zaměstnanci
Segment 2: servery
Segment 3: IoT
Segment 4: hosté

Jednotlivé segmenty mohou mít vlastní routing, politiky a bezpečnostní pravidla.

Výhody SD-WAN

• centrální správa poboček,
• automatické vytváření tunelů,
• využití více WAN linek,
• řízení provozu podle aplikace,
• automatický failover,
• lepší využití levných internetových přípojek,
• rychlejší nasazení nových poboček.

Nevýhody SD-WAN

• závislost na centrálním řídicím systému,
• rozdílné vlastnosti podle výrobce,
• složitější návrh bezpečnostních politik,
• licenční náklady,
• riziko vendor lock-in,
• nutnost správně navrhnout underlay i overlay.

SD-WAN vs. klasická VPN

Shrnutí

• SD-WAN centrálně řídí propojení poboček a lokalit.
• Overlay síť běží nad fyzickým underlay připojením.
• SD-WAN může používat MPLS, internet i mobilní sítě.
• Application-aware routing vybírá cestu podle potřeb aplikace.
• SD-WAN podporuje automatický failover a Zero-Touch Provisioning.
• SD-WAN musí být doplněn správnými bezpečnostními pravidly.

QoS

QoS (Quality of Service) je soubor mechanismů pro řízení síťového provozu. Umožňuje upřednostnit důležité aplikace, omezit méně důležitý provoz a efektivně využívat dostupnou kapacitu linky.

QoS nevytváří novou přenosovou kapacitu. Pouze rozhoduje, jak se má existující kapacita rozdělit v okamžiku, kdy je síť nebo konkrétní linka zatížena.

Proč je QoS potřeba

Různé aplikace mají rozdílné požadavky na kvalitu přenosu.

Situace bez QoS

WAN linka: 100 Mb/s

Záloha dat:       90 Mb/s
VoIP hovory:      10 Mb/s
Nový požadavek:   další provoz

Výsledek:
fronty, zpoždění, ztráty paketů

Bez QoS může rozsáhlý přenos souborů negativně ovlivnit hlasové nebo videokonferenční služby.

Základní metriky

Bandwidth

Bandwidth neboli přenosová kapacita určuje množství dat, které lze za určitý čas přenést.

100 Mb/s
1 Gb/s
10 Gb/s

Latency

Latency je doba, kterou paket potřebuje k cestě od zdroje k cíli. Vysoká latence se projevuje zpožděním komunikace.

Jitter

Jitter je kolísání latence mezi jednotlivými pakety.

Paket 1: 20 ms
Paket 2: 22 ms
Paket 3: 85 ms
Paket 4: 21 ms

Velký jitter může způsobovat výpadky a zkreslení hlasu nebo videa.

Packet loss

Packet loss označuje ztrátu paketů během přenosu. U TCP mohou být ztracená data odeslána znovu, ale u real-time UDP provozu se retransmise často nepoužívá.

Klasifikace provozu

Prvním krokem QoS je rozpoznání jednotlivých typů provozu.

Klasifikovat lze například podle:

• zdrojové a cílové IP adresy,
• TCP nebo UDP portu,
• VLAN,
• DSCP hodnoty,
• konkrétní aplikace,
• uživatele nebo skupiny.

Marking

Marking znamená označení paketu hodnotou vyjadřující jeho prioritu. V IP sítích se často používá pole DSCP.

VoIP paket        → vysoká priorita
Běžný web         → standardní priorita
Zálohování        → nízká priorita

DSCP

DSCP (Differentiated Services Code Point) je hodnota uložená v IP hlavičce. Síťová zařízení podle ní mohou určit způsob zpracování paketu.

Trust boundary

Zařízení by nemělo automaticky důvěřovat všem značkám priority přijatým od koncových stanic. Uživatel by jinak mohl svůj provoz označit jako nejvyšší prioritu.

Trust boundary určuje bod, od kterého síť důvěřuje nastavenému QoS označení.

PC ──▶ IP telefon ──▶ Switch

Switch může důvěřovat telefonu,
ale nemusí důvěřovat značkám z PC.

Queuing

Pokud nelze všechny pakety okamžitě odeslat, zařízení je ukládá do front. QoS může provoz rozdělit do více front s rozdílnými prioritami.

Fronta 1: VoIP            vysoká priorita
Fronta 2: podnikové app   střední priorita
Fronta 3: běžný provoz    standardní priorita
Fronta 4: zálohování      nízká priorita

Priority Queue

Priority Queue je fronta obsluhovaná přednostně. Používá se například pro hlasový provoz.

Prioritní fronta musí být omezena, jinak by při nadměrném provozu mohla vytlačit všechny ostatní aplikace.

Congestion management

Congestion management určuje, v jakém pořadí budou pakety z jednotlivých front odesílány při přetížení linky.

Důležitý provoz může dostat garantovanou část kapacity nebo přednostní obsluhu.

Congestion avoidance

Congestion avoidance se snaží zabránit úplnému zaplnění fronty. Některé pakety mohou být preventivně zahozeny dříve, než dojde k úplnému přetížení.

TCP na ztrátu reaguje snížením rychlosti odesílání, čímž může dojít ke stabilizaci provozu.

Policing

Policing kontroluje, zda provoz nepřekračuje stanovený limit. Provoz nad limitem může být zahozen nebo přeznačen.

Povolená rychlost: 20 Mb/s
Skutečný provoz:   30 Mb/s

10 Mb/s nad limitem:
zahození nebo změna priority

Policing může způsobit okamžité ztráty paketů.

Shaping

Shaping také omezuje rychlost, ale provoz nad stanovenou hodnotou ukládá do fronty a odesílá později.

Příchozí provoz: 30 Mb/s
Nastavený limit: 20 Mb/s

Přebytečný provoz:
uložen do fronty

Shaping přenos vyhlazuje, ale může zvyšovat latenci.

Policing vs. Shaping

QoS funguje hlavně při přetížení

Pokud má linka dostatek volné kapacity, všechny pakety mohou být odeslány bez čekání. Rozdíly mezi prioritami se projeví zejména při vzniku fronty.

Linka bez přetížení:
všechny pakety odcházejí okamžitě

Linka přetížená:
QoS rozhoduje, co odejde první

QoS v obou směrech

QoS musí být navrženo pro odchozí i příchozí provoz. Organizace má největší kontrolu nad provozem, který sama odesílá ze svého rozhraní.

Pro příchozí internetový provoz může místní zařízení použít policing, ale nemůže přímo řídit pořadí paketů ještě před jejich příchodem na linku poskytovatele.

QoS a Wi-Fi

Bezdrátové sítě používají mechanismy jako WMM, které rozdělují provoz do prioritních kategorií, například hlas, video, best effort a background.

Shrnutí

• QoS řídí rozdělení existující síťové kapacity.
• Největší význam má při přetížení linky.
• Provoz se nejprve klasifikuje a případně označí.
• DSCP označuje prioritu v IP hlavičce.
• Fronty určují pořadí odesílání paketů.
• Policing zahazuje nebo přeznačuje provoz nad limitem.
• Shaping ukládá přebytečný provoz do fronty.

ACL

ACL (Access Control List) je uspořádaný seznam pravidel, která povolují nebo zakazují síťový provoz. ACL se používají na routerech, switchích, firewallech a dalších síťových zařízeních.

ACL může rozhodovat podle zdrojové nebo cílové IP adresy, protokolu, portu a dalších vlastností paketu.

Základní princip

Paket
  │
  ▼
Pravidlo 1 ── odpovídá? ── ano ──▶ permit nebo deny
  │ ne
  ▼
Pravidlo 2 ── odpovídá? ── ano ──▶ permit nebo deny
  │ ne
  ▼
Další pravidla

Pravidla se vyhodnocují postupně shora dolů. Jakmile paket odpovídá jednomu pravidlu, další pravidla se již běžně nekontrolují.

Permit a deny

• Permit – odpovídající provoz je povolen.
• Deny – odpovídající provoz je zakázán.

permit tcp 192.168.10.0/24 → 192.168.20.10 port 443
deny   ip  192.168.10.0/24 → 192.168.20.0/24

První pravidlo povolí HTTPS provoz na konkrétní server. Druhé pravidlo zakáže ostatní IP komunikaci z dané sítě do cílové podsítě.

Implicit deny

Na konci ACL se běžně nachází neviditelné pravidlo, které zakazuje veškerý provoz, jenž neodpovídal žádnému předchozímu pravidlu.

deny any

Toto pravidlo se označuje jako implicit deny.

Pokud ACL obsahuje pouze jedno povolovací pravidlo, veškerý ostatní provoz bude implicitně zakázán.

Pořadí pravidel

Pořadí pravidel je zásadní. Konkrétnější pravidla musí být obvykle umístěna před obecnějšími.

Nesprávné pořadí

1. deny ip 192.168.10.0/24 → 192.168.20.0/24
2. permit tcp 192.168.10.50 → 192.168.20.10 port 443

Druhé pravidlo se nikdy nepoužije, protože provoz již odpovídá prvnímu zákazu.

Správné pořadí

1. permit tcp 192.168.10.50 → 192.168.20.10 port 443
2. deny ip 192.168.10.0/24 → 192.168.20.0/24

Standard ACL

Standardní ACL rozhoduje především podle zdrojové IP adresy. Nedokáže přesně rozlišit cílovou službu nebo port.

Povol:
Source = 192.168.10.0/24

Zakáz:
ostatní zdroje

Protože je méně přesná, bývá umístěna blíže k cíli, aby zbytečně neblokovala jiný provoz stejného zdroje.

Extended ACL

Rozšířená ACL může kontrolovat více údajů.

• zdrojovou IP adresu,
• cílovou IP adresu,
• protokol,
• zdrojový port,
• cílový port,
• některé TCP příznaky,
• ICMP typ.

permit tcp
source      192.168.10.0/24
destination 192.168.20.50
destination-port 443

Extended ACL se běžně umisťuje blíže ke zdroji, aby nežádoucí provoz nebyl zbytečně přenášen sítí.

Named ACL

ACL může být označena názvem místo číselného identifikátoru.

ACL name:
ALLOW-USERS-TO-WEB-SERVER

Popisný název zlepšuje čitelnost a usnadňuje správu konfigurace.

Wildcard mask

V některých síťových systémech se pro definování rozsahu IP adres používá wildcard mask. Wildcard maska je inverzní k běžné masce podsítě.

Hodnota 0 znamená, že příslušný bit musí odpovídat. Hodnota 1 znamená, že se daný bit nekontroluje.

Síť:
192.168.10.0/24

Wildcard:
0.0.0.255

Inbound a outbound ACL

ACL lze aplikovat na rozhraní v příchozím nebo odchozím směru.

Inbound

Inbound ACL kontroluje paket při příchodu na rozhraní ještě před routovacím rozhodnutím.

Paket ──▶ [Inbound ACL] ──▶ Routing

Outbound

Outbound ACL kontroluje paket před jeho odesláním výstupním rozhraním.

Routing ──▶ [Outbound ACL] ──▶ Paket ven

Příklad segmentace pomocí ACL

VLAN 10 – uživatelé
192.168.10.0/24

VLAN 20 – servery
192.168.20.0/24

Pravidla:
1. Povolit uživatelům HTTPS na webový server.
2. Povolit DNS na DNS server.
3. Zakázat ostatní přístup do serverové VLAN.

permit tcp 192.168.10.0/24 → 192.168.20.10 port 443
permit udp 192.168.10.0/24 → 192.168.20.53 port 53
permit tcp 192.168.10.0/24 → 192.168.20.53 port 53
deny   ip  192.168.10.0/24 → 192.168.20.0/24

ACL pro management zařízení

ACL může omezit, ze kterých sítí lze spravovat router, switch nebo firewall.

Povolit SSH:
192.168.100.0/24 → síťová zařízení port 22

Zakázat SSH:
ostatní sítě → síťová zařízení port 22

ACL a ICMP

ACL může povolit nebo zakázat konkrétní typy ICMP zpráv.

Povolit:
Echo Reply
Destination Unreachable
Time Exceeded

Zakázat:
ostatní ICMP

Úplné blokování ICMP může poškodit diagnostiku a mechanismy jako Path MTU Discovery.

Stateless ACL

Klasická ACL bývá bezstavová. Každý paket posuzuje samostatně a sama si nepamatuje stav spojení.

Pokud má být povolena komunikace i odpověď, může být nutné vytvořit pravidla pro oba směry.

Klient → Server:
povoleno

Server → Klient:
musí být povoleno samostatně

ACL vs. stateful firewall

Logování ACL

Některá zařízení umožňují logovat pakety odpovídající konkrétnímu pravidlu.

deny tcp any → 192.168.20.10 port 22 log

Logování pomáhá při diagnostice a detekci nechtěného provozu, ale při velkém množství paketů může zatížit zařízení nebo zaplnit logovací systém.

Čítače pravidel

ACL pravidla mohou obsahovat čítače odpovídajících paketů a bajtů. Díky nim lze zjistit, zda se pravidlo skutečně používá.

Rule 10 permit HTTPS:  152 410 paketů
Rule 20 permit DNS:     28 920 paketů
Rule 30 deny other:      3 421 paketů

Zásady návrhu ACL

• nejprve umístit konkrétní pravidla,
• obecná pravidla umístit níže,
• počítat s implicitním deny,
• povolit pouze potřebný provoz,
• používat popisné názvy a komentáře,
• kontrolovat správný směr aplikace,
• sledovat čítače a logy,
• změny nejprve otestovat,
• zajistit si přístup pro správu před aktivací ACL.

Časté chyby

• nesprávné pořadí pravidel,
• zapomenuté implicitní deny,
• záměna zdrojové a cílové adresy,
• záměna inbound a outbound směru,
• nesprávná wildcard maska,
• povolení pouze jednoho směru provozu,
• příliš široké pravidlo permit any,
• zablokování vlastního management přístupu.

Shrnutí

• ACL povoluje nebo zakazuje síťový provoz.
• Pravidla se vyhodnocují shora dolů.
• První odpovídající pravidlo rozhoduje.
• Na konci se nachází implicitní deny.
• Standard ACL kontroluje hlavně zdrojovou adresu.
• Extended ACL kontroluje adresy, protokoly i porty.
• ACL může být aplikována inbound nebo outbound.
• Klasická ACL je obvykle bezstavová.

Firewall – principy

Firewall je bezpečnostní zařízení nebo software, který kontroluje síťový provoz mezi různými sítěmi nebo bezpečnostními zónami. Rozhoduje, který provoz smí projít a který má být zablokován.

Firewall se typicky umisťuje mezi interní síť a internet, ale může oddělovat také jednotlivé VLAN, serverovou síť, DMZ, cloudové prostředí nebo síť pro hosty.

Internet
   │
   ▼
Firewall
   │
   ├── Interní síť
   ├── Serverová síť
   ├── DMZ
   └── Guest VLAN

Základní úloha firewallu

Firewall porovnává síťový provoz s nakonfigurovanými pravidly. Každé pravidlo určuje, zda má být konkrétní typ komunikace povolen nebo zakázán.

Rozhodování může být založeno například na:

• zdrojové IP adrese,
• cílové IP adrese,
• zdrojovém portu,
• cílovém portu,
• použitém protokolu,
• síťovém rozhraní,
• VLAN nebo bezpečnostní zóně,
• uživateli nebo skupině,
• aplikaci,
• stavu existujícího spojení.

Firewallová politika

Firewallová politika je pravidlo popisující, jaký provoz je povolen mezi dvěma částmi sítě.

Zdroj:       interní síť
Cíl:         internet
Služba:      HTTPS
Akce:        povolit
NAT:         zapnout
Logování:    zapnout

Toto pravidlo umožní uživatelům z interní sítě přistupovat na webové servery pomocí HTTPS.

Pravidla se vyhodnocují v pořadí

Firewall obvykle kontroluje pravidla shora dolů. Jakmile provoz odpovídá jednomu pravidlu, použije jeho akci a další pravidla se již nevyhodnocují.

1. Povolit administrátorům SSH na server
2. Zakázat ostatním SSH na server
3. Povolit běžný webový provoz
4. Zakázat ostatní provoz

Pořadí pravidel je proto zásadní. Konkrétní pravidla se obvykle umisťují nad obecná.

Implicitní zákaz

Na konci firewallových pravidel bývá implicitní pravidlo, které zakazuje veškerý provoz, jenž neodpovídal žádnému povolovacímu pravidlu.

Implicit rule:
deny all

Tento princip se často označuje jako default deny.

Default deny

Bezpečný firewall by měl povolovat pouze provoz, který je skutečně potřebný. Vše ostatní by mělo být zakázáno.

Povolit:
uživatelé → DNS server → port 53
uživatelé → internet → port 443
administrátoři → servery → port 22

Zakázat:
vše ostatní

Tento přístup je bezpečnější než opačný model, kdy je vše povoleno a blokují se pouze známé problémy.

Bezpečnostní zóny

Moderní firewally často pracují s bezpečnostními zónami. Zóna sdružuje síťová rozhraní nebo sítě se stejným bezpečnostním účelem.

Provoz mezi zónami

Firewall může řídit provoz mezi jednotlivými zónami.

LAN → WAN
Povoleno: HTTP, HTTPS, DNS

Guest → LAN
Zakázáno

Management → Server
Povoleno: SSH, RDP

WAN → DMZ
Povoleno: HTTPS na veřejný server

North-South a East-West provoz

North-South provoz označuje komunikaci mezi interní sítí a externím prostředím, například internetem.

Interní síť
    │
    ▼
Firewall
    │
    ▼
Internet

East-West provoz označuje komunikaci uvnitř organizace, například mezi VLAN uživatelů a serverovou sítí.

VLAN uživatelé
      │
      ▼
Interní firewall
      │
      ▼
Serverová VLAN

Moderní bezpečnostní návrhy nekontrolují pouze přístup k internetu, ale také pohyb útočníka uvnitř sítě.

Paketový filtr

Nejjednodušší firewall kontroluje jednotlivé pakety podle základních údajů v jejich hlavičkách.

Může kontrolovat například:

• zdrojovou IP adresu,
• cílovou IP adresu,
• TCP nebo UDP port,
• typ protokolu,
• směr komunikace.

Samotný paketový filtr nemusí rozumět tomu, zda paket patří do již navázaného spojení.

Stateful inspection

Moderní firewally často sledují stav jednotlivých síťových spojení. Vytvářejí si tabulku relací a dokážou rozpoznat, zda paket patří do povolené komunikace.

Klient → Server:
SYN

Firewall vytvoří záznam relace.

Server → Klient:
SYN-ACK

Firewall pozná, že jde o odpověď
na povolené spojení.

Application firewall

Pokročilejší firewall může rozpoznávat aplikace nezávisle na portu. Dokáže například odlišit běžný HTTPS provoz od konkrétní cloudové služby, sociální sítě nebo vzdáleného administrativního nástroje.

To je důležité, protože mnoho aplikací používá stejný port 443.

Port 443:
běžný web
Microsoft 365
YouTube
cloudové úložiště
VPN tunel
vzdálená správa

Next-Generation Firewall

Next-Generation Firewall, zkráceně NGFW, kombinuje klasické firewallové funkce s pokročilou inspekcí provozu.

Může obsahovat například:

• application control,
• IPS,
• antivirovou kontrolu,
• web filtering,
• DNS filtering,
• SSL inspection,
• řízení uživatelů,
• sandboxing,
• VPN,
• centrální logování.

Firewall není pouze zařízení na hranici sítě

Firewall může být fyzický, virtuální nebo softwarový.

Host firewall

Host firewall běží přímo na koncovém zařízení. Chrání konkrétní počítač nebo server bez ohledu na to, ve které síti se nachází.

Příkladem je Windows Defender Firewall nebo firewall na Linux serveru.

Network firewall

Síťový firewall kontroluje provoz mezi sítěmi. Chrání více zařízení současně a bývá umístěn na důležitých bodech síťové infrastruktury.

Firewall a NAT

Firewall často provádí také NAT. NAT mění IP adresy, zatímco firewallová politika rozhoduje, zda je provoz povolen.

Tyto dvě funkce spolu souvisejí, ale nejsou totožné.

Firewall policy:
Povolí provoz z LAN do internetu

NAT:
Změní soukromou zdrojovou IP
na veřejnou IP firewallu

Firewall a routing

Firewall musí znát cestu k cílové síti. Ani správně nastavené povolovací pravidlo nepomůže, pokud zařízení nemá odpovídající routu.

1. Paket přijde na firewall.
2. Firewall zkontroluje pravidla.
3. Firewall vyhledá cestu v routovací tabulce.
4. Provede případný NAT.
5. Odešle paket výstupním rozhraním.

Firewall a logování

Firewall může zaznamenávat povolený i zakázaný provoz.

Log může obsahovat například:

• čas události,
• zdrojovou IP adresu,
• cílovou IP adresu,
• zdrojový a cílový port,
• protokol,
• použité pravidlo,
• akci permit nebo deny,
• počet přenesených bajtů,
• uživatele,
• detekovanou aplikaci.

Action:        deny
Source:        192.168.10.25
Destination:   192.168.20.10
Service:       SSH
Policy:        Block-User-To-Server-SSH

Proč jsou logy důležité

Logy pomáhají při:

• řešení problémů s konektivitou,
• analýze bezpečnostního incidentu,
• detekci skenování portů,
• kontrole neobvyklého provozu,
• ověřování správnosti firewallových pravidel,
• odesílání událostí do SIEM.

Pravidlo any-any

Pravidlo označované jako any-any povoluje veškerý provoz z libovolného zdroje na libovolný cíl.

Source:      any
Destination: any
Service:     any
Action:      permit

Takové pravidlo výrazně snižuje bezpečnost a mělo by být používáno pouze výjimečně a dočasně.

Princip nejnižších oprávnění

Firewallová pravidla by měla povolovat pouze minimální rozsah přístupu potřebný pro provoz služby.

Příliš široké pravidlo

Uživatelé → všechny servery → všechny služby

Přesnější pravidlo

Uživatelé → webový server → HTTPS

Časté chyby při konfiguraci firewallu

• příliš široká pravidla,
• špatné pořadí pravidel,
• chybějící logování,
• ponechaná dočasná pravidla,
• nepoužívaná a zastaralá pravidla,
• povolení managementu z internetu,
• záměna zdrojové a cílové sítě,
• špatně nastavený NAT,
• chybějící zpětná routa,
• nezdokumentované změny.

Shrnutí

• Firewall kontroluje provoz mezi sítěmi a zónami.
• Rozhoduje podle nakonfigurovaných bezpečnostních pravidel.
• Pravidla se obvykle vyhodnocují shora dolů.
• Na konci bývá implicitní zákaz veškerého ostatního provozu.
• Firewall může sledovat stav spojení, aplikace i uživatele.
• Firewall často kombinuje filtrování, NAT, VPN a bezpečnostní inspekci.
• Bezpečný návrh vychází z principu default deny a nejnižších oprávnění.

Stateful vs. Stateless firewall

Stateful a stateless firewall se liší především tím, zda si pamatují stav síťových spojení. Stateless firewall posuzuje každý paket samostatně. Stateful firewall sleduje průběh komunikace a ví, zda paket patří do již povoleného spojení.

Stateless firewall

Stateless firewall kontroluje každý paket nezávisle na předchozím provozu.

Při rozhodování používá zejména:

• zdrojovou IP adresu,
• cílovou IP adresu,
• zdrojový port,
• cílový port,
• protokol,
• směr komunikace.

Paket 1:
192.168.10.20:53000 → 93.184.216.34:443

Paket 2:
93.184.216.34:443 → 192.168.10.20:53000

Stateless firewall vyhodnotí
každý paket samostatně.

Stateless pravidla pro oba směry

Protože stateless firewall nesleduje spojení, může být nutné vytvořit pravidla zvlášť pro odchozí provoz a zvlášť pro odpovědi.

Pravidlo 1:
povolit klientům odchozí HTTPS

Pravidlo 2:
povolit serverům odpovědi
na vysoké klientské porty

To může vést k širším pravidlům, než je žádoucí.

Příklad stateless ACL

permit tcp
source      192.168.10.0/24
destination any
destination-port 443

permit tcp
source      any
source-port 443
destination 192.168.10.0/24
destination-port 49152-65535

Druhé pravidlo povoluje odpovědi ze serverového portu 443 na dočasné klientské porty. Firewall však sám neověřuje, zda jde skutečně o odpověď na předchozí spojení.

Výhody stateless firewallu

• jednodušší princip,
• nižší nároky na paměť,
• rychlé zpracování jednoduchých pravidel,
• vhodný pro základní filtraci na routerech a switchích,
• dobře předvídatelné chování.

Nevýhody stateless firewallu

• nezná stav spojení,
• každý paket posuzuje samostatně,
• může vyžadovat pravidla pro oba směry,
• hůře rozlišuje legitimní odpověď od neočekávaného paketu,
• často vyžaduje širší rozsahy povolených portů.

Stateful firewall

Stateful firewall sleduje stav aktivních síťových spojení. Při povolení nové komunikace vytvoří záznam v tabulce relací.

Klient                      Server
  │                           │
  │──── SYN ─────────────────▶│
  │                           │
Firewall vytvoří stav:
192.168.10.20:53000
→ 93.184.216.34:443
TCP state: SYN_SENT

Když se vrátí odpověď SYN-ACK, firewall ji spojí s existující relací a povolí ji.

Klient                      Server
  │                           │
  │◀── SYN-ACK ───────────────│
  │                           │
Firewall pozná:
odpověď patří do povoleného spojení

Session table

Stateful firewall uchovává informace o aktivních spojeních v session table nebo state table.

Co session table obsahuje

Záznam může obsahovat například:

• zdrojovou IP adresu,
• cílovou IP adresu,
• zdrojový port,
• cílový port,
• protokol,
• TCP stav,
• čas vytvoření relace,
• timeout,
• použité firewallové pravidlo,
• NAT překlad,
• počet paketů a bajtů.

Stateful zpracování TCP

U TCP může firewall sledovat jednotlivé fáze spojení.

SYN
   ↓
SYN-ACK
   ↓
ACK
   ↓
ESTABLISHED
   ↓
FIN nebo RST
   ↓
CLOSED

Paket, který neodpovídá očekávanému stavu, může být zahozen jako neplatný nebo podezřelý.

Stateful zpracování UDP

UDP nemá skutečné navázání spojení. Stateful firewall proto vytváří dočasnou relaci na základě prvního UDP datagramu.

Klient → DNS server:
UDP dotaz na port 53

Firewall vytvoří dočasnou session.

DNS server → Klient:
UDP odpověď

Odpověď je povolena,
pokud dorazí před vypršením session.

Stateful zpracování ICMP

Firewall může sledovat i některé ICMP komunikace.

ICMP Echo Request
        │
        ▼
Dočasný stav
        │
        ▼
ICMP Echo Reply

Odpověď je povolena, pokud odpovídá předchozímu požadavku.

Návratový provoz

Největší praktickou výhodou stateful firewallu je automatické povolení návratového provozu pro povolené spojení.

Pravidlo:
LAN → Internet
HTTPS
permit

Výsledek:
odchozí spojení je povoleno
a odpovědi jsou povoleny automaticky

Není potřeba vytvářet samostatné široké pravidlo pro všechny návratové pakety.

Nové a existující spojení

Stateful firewall rozlišuje mezi novým spojením a provozem patřícím do již existující relace.

Related connection

Některé protokoly vytvářejí více souvisejících spojení. Stateful firewall může pomocí aplikačního pomocníka rozpoznat, že nové spojení souvisí s již povolenou relací.

Typickým historickým příkladem je FTP, které používá oddělené řídicí a datové spojení.

Stateful firewall a asymetrický routing

Stateful firewall očekává, že oba směry komunikace projdou stejným zařízením nebo stejným clusterem.

Odchozí provoz:
Klient → Firewall A → Server

Návratový provoz:
Server → Firewall B → Klient

Pokud Firewall B nezná relaci vytvořenou na Firewallu A, může odpověď zahodit.

Tento problém se označuje jako asymetrický routing.

State synchronization

Ve firewallovém clusteru mohou zařízení synchronizovat session table. Pokud aktivní firewall selže, druhý člen clusteru může převzít existující spojení.

Firewall A
aktivní sessions
      ║
      ║ synchronizace stavu
      ▼
Firewall B
záložní

Session timeout

Každá relace má omezenou dobu platnosti. Pokud přes ni po určitou dobu neprochází provoz, firewall ji odstraní.

Timeout se může lišit podle protokolu.

• TCP established – delší timeout,
• UDP – kratší timeout,
• ICMP – velmi krátký timeout.

State exhaustion

Stateful firewall má omezenou kapacitu session table. Útočník se může pokusit vytvořit velké množství spojení a tabulku zaplnit.

Tisíce nebo miliony SYN paketů
        │
        ▼
Velké množství nedokončených sessions
        │
        ▼
Vyčerpání paměti nebo výkonu

Ochrana může zahrnovat limity relací, SYN cookies, DoS policies a rate limiting.

Stateful neznamená automaticky bezpečný

Stateful firewall rozpozná stav spojení, ale nemusí poznat škodlivý obsah uvnitř povoleného provozu.

Povolené HTTPS spojení
        │
        ▼
může obsahovat:
legitimní web
malware
phishing
únik dat
C2 komunikaci

Pro hlubší kontrolu jsou potřeba další funkce, například IPS, antivirus, application control nebo SSL inspection.

Stateless vs. Stateful

Příklad rozdílu

Klient z interní sítě naváže HTTPS spojení na internet.

Stateless firewall

Pravidlo 1:
LAN → Internet
TCP port 443
permit

Pravidlo 2:
Internet → LAN
TCP source port 443
destination high ports
permit

Je nutné povolit návratový provoz zvláštním pravidlem.

Stateful firewall

Pravidlo:
LAN → Internet
TCP port 443
permit

Firewall vytvoří session a odpovědi povolí automaticky.

Kdy se používá stateless filtrace

• ACL na routerech,
• ACL na L3 switchích,
• základní ochrana síťových rozhraní,
• jednoduché předfiltrování provozu,
• prostředí s extrémními požadavky na výkon,
• části infrastruktury, kde není potřeba sledovat relace.

Kdy se používá stateful firewall

• ochrana přístupu k internetu,
• segmentace interních sítí,
• řízení přístupu mezi VLAN,
• VPN brány,
• datová centra,
• cloudové sítě,
• ochrana serverů a aplikací.

Shrnutí

• Stateless firewall posuzuje každý paket samostatně.
• Stateful firewall sleduje průběh síťových spojení.
• Stateful firewall ukládá aktivní komunikaci do session table.
• Návratový provoz povoleného spojení je automaticky povolen.
• Stateful firewall má vyšší nároky na výkon a paměť.
• Asymetrický routing může způsobit problémy se stavovou kontrolou.
• Stateful inspection sama o sobě nekontroluje škodlivý obsah uvnitř spojení.

FortiGate – základy

FortiGate je síťové bezpečnostní zařízení společnosti Fortinet. Patří do kategorie Next-Generation Firewall, tedy NGFW. Vedle klasického filtrování síťového provozu může zajišťovat také NAT, VPN, IPS, antivirovou kontrolu, filtrování webu, řízení aplikací, segmentaci sítě a další bezpečnostní funkce.

FortiGate může být provozován jako fyzické zařízení, virtuální appliance nebo cloudová instance.

Internet
   │
   ▼
FortiGate
   │
   ├── LAN
   ├── Server VLAN
   ├── Guest VLAN
   ├── DMZ
   └── VPN

FortiOS

Operační systém zařízení FortiGate se nazývá FortiOS. Poskytuje grafické webové rozhraní, příkazovou řádku a rozhraní pro automatizaci.

FortiGate lze spravovat několika způsoby:

• pomocí webového GUI,
• pomocí CLI přes konzoli nebo SSH,
• centrálně pomocí FortiManageru,
• pomocí API a automatizačních nástrojů.

Základní funkce FortiGate

Síťová rozhraní

FortiGate pracuje s fyzickými a logickými síťovými rozhraními. Každé rozhraní může mít vlastní IP adresu, roli, administrativní přístup a další nastavení.

port1:
WAN
Veřejná IP adresa

port2:
LAN
192.168.10.1/24

port3:
Serverová síť
192.168.20.1/24

Mezi běžné typy rozhraní patří:

• fyzický Ethernet port,
• VLAN interface,
• loopback interface,
• IPsec tunnel interface,
• software switch,
• aggregate interface tvořený více linkami,
• redundant interface.

Role rozhraní

Rozhraní může být v GUI označeno rolí, která pomáhá určit jeho účel.

Role rozhraní sama o sobě nenahrazuje bezpečnostní pravidla. Provoz je řízen Security Policies.

Administrativní přístup

Na každém rozhraní lze určit, jaké služby mohou být použity pro správu samotného FortiGate.

Povolit lze například:

• HTTPS,
• SSH,
• ping,
• SNMP,
• FortiManager Access,
• Security Fabric Connection.

LAN interface:
HTTPS povoleno
SSH povoleno
Ping povoleno

WAN interface:
HTTPS zakázáno
SSH zakázáno
Ping podle potřeby

Administrativní přístup z internetu by měl být omezen nebo zcela zakázán. Pokud je vzdálená správa nutná, je vhodnější použít VPN a omezení důvěryhodných zdrojových adres.

Administrative Distance a routing

FortiGate používá routovací tabulku podobně jako router. Než může paket správně odeslat, musí znát cestu k cílové síti.

Routy mohou být:

• přímo připojené,
• statické,
• získané dynamickým routovacím protokolem,
• vytvořené přes VPN nebo SD-WAN.

Cílová síť       Gateway        Rozhraní
192.168.10.0/24  přímo          port2
192.168.20.0/24  přímo          port3
0.0.0.0/0        203.0.113.1    port1

Výchozí trasa

Pro přístup k internetu FortiGate obvykle potřebuje default route.

Destination: 0.0.0.0/0
Gateway:     IP adresa poskytovatele
Interface:   WAN

Pokud chybí správná trasa, paket nebude doručen, i když existuje povolující Security Policy.

Security Policies

Security Policies určují, jaký provoz smí procházet mezi jednotlivými rozhraními nebo zónami.

Incoming Interface:  LAN
Outgoing Interface:  WAN
Source:              LAN subnet
Destination:         all
Service:             HTTP, HTTPS, DNS
Action:              accept
NAT:                 enabled

FortiGate je stateful firewall. Pokud pravidlo povolí nové spojení, odpovědi patřící do této relace jsou obvykle povoleny automaticky.

Objekty

FortiGate používá objekty, které usnadňují tvorbu a správu pravidel.

Mezi nejběžnější patří:

• Address Objects,
• Address Groups,
• Service Objects,
• Service Groups,
• Virtual IP objekty,
• Schedule Objects,
• Security Profiles.

Místo opakovaného zadávání IP adresy lze vytvořit objekt s popisným názvem.

Název objektu:
WEB-SERVER-01

IP adresa:
192.168.20.10

Security Profiles

Security Profile rozšiřuje základní firewallové pravidlo o pokročilou kontrolu obsahu.

K Security Policy lze připojit například:

• Antivirus Profile,
• Web Filter Profile,
• DNS Filter Profile,
• Application Control Profile,
• IPS Profile,
• File Filter,
• SSL/SSH Inspection Profile.

Security Policy:
LAN → Internet
HTTPS povoleno

Security Profiles:
Web Filter
Application Control
Antivirus
SSL Inspection

Inspection mode

FortiGate může podle konfigurace používat různé způsoby kontroly provozu. Zjednodušeně lze rozlišit flow-based a proxy-based inspection.

Flow-based inspection

FortiGate kontroluje provoz průběžně během jeho průchodu. Tento režim bývá výkonnější a má nižší latenci.

Proxy-based inspection

FortiGate se chová více jako prostředník mezi klientem a serverem. Může provádět hlubší kontrolu některých protokolů, ale obvykle má vyšší nároky na výkon.

Session table

FortiGate ukládá aktivní spojení do tabulky relací. Každá session obsahuje informace o zdroji, cíli, portech, protokolu, firewallovém pravidle a případném NAT překladu.

Source:
192.168.10.25:53140

Destination:
93.184.216.34:443

Policy ID:
12

State:
established

NAT:
203.0.113.10:62001

První pakety nového spojení jsou porovnány s pravidly. Jakmile je session vytvořena, další pakety stejné komunikace jsou zpracovávány podle existujícího záznamu.

FortiGate a NAT

FortiGate může provádět zdrojový i cílový NAT.

• Source NAT se používá například při přístupu interních zařízení k internetu.
• Destination NAT se používá například pro zpřístupnění interního serveru z internetu.

Zdrojový NAT může být zapnut přímo v Security Policy nebo řešen pomocí Central SNAT.

Cílový NAT se často vytváří pomocí objektu Virtual IP.

Logování

FortiGate může zaznamenávat informace o síťovém provozu, bezpečnostních profilech, administrativních změnách a systémových událostech.

Logy lze ukládat například:

• do lokální paměti zařízení,
• na interní disk,
• na FortiAnalyzer,
• na syslog server,
• do SIEM platformy,
• do cloudové logovací služby.

Traffic log

Traffic log může obsahovat:

• zdrojovou a cílovou IP adresu,
• zdrojový a cílový port,
• použité rozhraní,
• policy ID,
• akci accept nebo deny,
• aplikaci,
• množství přenesených dat,
• dobu trvání relace,
• NAT adresu,
• výsledek bezpečnostní kontroly.

FortiView

FortiView poskytuje grafický pohled na provoz a události. Umožňuje zobrazit například nejaktivnější zdroje, cíle, aplikace, webové kategorie, hrozby a využití rozhraní.

FortiView je užitečný pro rychlou orientaci, zatímco detailní vyšetřování obvykle vyžaduje analýzu konkrétních logů a sessions.

VDOM

VDOM (Virtual Domain) umožňuje rozdělit jedno fyzické zařízení FortiGate na několik logicky oddělených virtuálních firewallů.

Fyzický FortiGate
   │
   ├── VDOM-Company-A
   ├── VDOM-Company-B
   └── VDOM-Management

Každý VDOM může mít vlastní:

• rozhraní,
• routovací tabulku,
• Security Policies,
• NAT konfiguraci,
• administrátory,
• VPN tunely.

High Availability

Více zařízení FortiGate lze spojit do HA clusteru. Cílem je omezit výpadek při poruše jednoho zařízení.

           ┌── FortiGate A – active
Internet ──┤
           └── FortiGate B – standby
                    │
                    ▼
                   LAN

V režimu active-passive zpracovává provoz primárně jedno zařízení. Druhé je připraveno převzít jeho roli.

Cluster může synchronizovat:

• konfiguraci,
• některé session informace,
• routy,
• stav zařízení a rozhraní.

FortiGuard

FortiGuard je soubor bezpečnostních služeb a databází společnosti Fortinet. FortiGate je využívá například pro:

• kategorizaci webových stránek,
• identifikaci aplikací,
• IPS signatury,
• antivirové signatury,
• DNS reputaci,
• reputaci IP adres,
• aktualizace hrozeb.

Configuration backup

Konfiguraci FortiGate je vhodné pravidelně zálohovat, zejména před větší změnou nebo aktualizací systému.

Záloha může obsahovat citlivé informace. Musí proto být bezpečně uložena a přístupná pouze oprávněným administrátorům.

Firmware

FortiOS je nutné pravidelně aktualizovat kvůli opravám chyb a bezpečnostních zranitelností. Upgrade by však měl být plánovaný.

Před aktualizací je vhodné:

• ověřit podporovanou upgrade cestu,
• přečíst release notes,
• zkontrolovat kompatibilitu funkcí,
• vytvořit zálohu konfigurace,
• naplánovat servisní okno,
• ověřit stav zařízení po aktualizaci.

Základní tok paketu přes FortiGate

1. Paket přijde na vstupní rozhraní.
2. FortiGate určí zdroj a cíl.
3. Vyhledá odpovídající Security Policy.
4. Ověří routu k cíli.
5. Provede případný NAT.
6. Aplikuje Security Profiles.
7. Vytvoří nebo aktualizuje session.
8. Odešle paket výstupním rozhraním.
9. Podle konfigurace vytvoří log.

Skutečné interní zpracování je složitější, ale tento model postačuje pro základní pochopení.

Základní kontrola při nefunkční komunikaci

Při řešení problémů je vhodné postupovat systematicky.

1. Je vstupní rozhraní aktivní?
2. Má zařízení správnou IP adresu a gateway?
3. Má FortiGate správnou routu k cíli?
4. Existuje odpovídající Security Policy?
5. Je správně nastaven zdroj, cíl a služba?
6. Není provoz blokován bezpečnostním profilem?
7. Je správně nastaven NAT?
8. Existuje zpětná cesta?
9. Co ukazují logy a session table?

Shrnutí

• FortiGate je Next-Generation Firewall používající FortiOS.
• Kombinuje firewall, routing, NAT, VPN a bezpečnostní inspekci.
• Provoz mezi rozhraními řídí Security Policies.
• FortiGate je stateful a uchovává aktivní spojení v session table.
• Pokročilou kontrolu zajišťují Security Profiles.
• FortiGate může pracovat jako fyzické, virtuální nebo cloudové zařízení.
• Při řešení problémů je nutné kontrolovat policy, routing, NAT, sessions a logy.

FortiGate Security Policies

Security Policy je základní pravidlo, které určuje, zda smí síťový provoz projít přes FortiGate mezi dvěma rozhraními nebo zónami.

Bez odpovídající povolující Security Policy FortiGate provoz mezi sítěmi obvykle zablokuje.

LAN
 │
 ▼
Security Policy
 │
 ▼
WAN

Základní části Security Policy

Pravidlo obsahuje několik podmínek a akcí.

Příklad pravidla LAN do internetu

Name:
LAN-TO-INTERNET

Incoming Interface:
LAN

Outgoing Interface:
WAN

Source:
LAN-SUBNET

Destination:
all

Schedule:
always

Service:
DNS, HTTP, HTTPS

Action:
accept

NAT:
enabled

Logging:
all sessions

Toto pravidlo umožní zařízením z LAN přistupovat k DNS a webovým službám na internetu.

Incoming Interface

Incoming Interface určuje rozhraní, na kterém paket vstoupí do FortiGate.

PC → port2 → FortiGate → port1 → Internet
     ▲
     Incoming Interface

Pokud paket přijde jiným rozhraním, pravidlo se nepoužije, i když ostatní podmínky odpovídají.

Outgoing Interface

Outgoing Interface je rozhraní, kterým FortiGate paket odešle podle routovací tabulky.

PC → port2 → FortiGate → port1 → Internet
                         ▲
                         Outgoing Interface

Security Policy musí odpovídat skutečnému směru provozu.

Rozhraní a routing

FortiGate nejprve potřebuje určit, kudy má být provoz směrován. Výstupní rozhraní vychází z routovací tabulky.

Pokud Security Policy očekává výstup přes WAN1, ale routa posílá paket přes WAN2, pravidlo nemusí odpovídat.

Source

Source určuje, odkud smí komunikace přicházet. Může obsahovat jeden nebo více Address Objects.

Source:
LAN-USERS
192.168.10.0/24

Zdroj lze dále omezit podle uživatele, skupiny nebo zařízení, pokud jsou použity identitní funkce.

Destination

Destination určuje cílovou adresu provozu.

Destination:
WEB-SERVER
192.168.20.10

Pro běžný přístup do internetu se často používá cíl all. V interní síti je však vhodnější používat přesné cílové objekty.

Service

Service určuje povolené protokoly a porty.

HTTPS:
TCP destination port 443

DNS:
UDP destination port 53
TCP destination port 53

FortiGate obsahuje předdefinované Service Objects a umožňuje vytvářet vlastní.

Service ALL

Hodnota ALL povoluje všechny podporované IP protokoly a porty.

Source:      LAN
Destination: Servers
Service:     ALL
Action:      Accept

Takové pravidlo je velmi široké. Mělo by být použito pouze tehdy, když je skutečně nutné.

Schedule

Schedule určuje, kdy je pravidlo aktivní.

Lze použít například:

• always,
• pracovní dobu,
• jednorázové časové období,
• opakující se plán.

Monday–Friday
08:00–18:00

Schedule lze použít například pro omezený přístup externího dodavatele.

Action Accept

Akce Accept povolí provoz, pokud odpovídá všem podmínkám pravidla.

To však neznamená, že paket vždy úspěšně projde. Stále může být zablokován například bezpečnostním profilem nebo může chybět routa.

Action Deny

Deny Policy explicitně blokuje odpovídající provoz.

Name:
BLOCK-GUEST-TO-LAN

Incoming:
Guest

Outgoing:
LAN

Source:
GUEST-SUBNET

Destination:
LAN-SUBNET

Service:
ALL

Action:
Deny

Explicitní deny pravidlo lze použít pro lepší přehlednost a logování. Na konci seznamu se navíc nachází implicitní deny.

Implicit Deny

Provoz, který neodpovídá žádné povolující Security Policy, je zablokován implicitním pravidlem.

Implicit policy:
Source:      all
Destination: all
Service:     all
Action:      deny

Implicitní policy nelze přesunout nad ostatní pravidla. Nachází se vždy na konci.

Pořadí Security Policies

FortiGate vyhodnocuje Security Policies v určeném pořadí. Obvykle se používá princip první odpovídající policy.

1. Povolit IT administrátorům SSH
2. Zakázat ostatním SSH
3. Povolit uživatelům HTTPS
4. Obecné pravidlo pro internet

Konkrétní pravidla mají být umístěna nad obecnými.

Příklad nesprávného pořadí

1. LAN → Servers, Service ALL, Accept
2. LAN → Database, MySQL, Deny

Druhé pravidlo se nepoužije, protože provoz již odpovídá prvnímu širšímu pravidlu.

Příklad správného pořadí

1. LAN → Database, MySQL, Deny
2. LAN → Servers, potřebné služby, Accept

Policy ID

Každá Security Policy má interní číselný identifikátor označovaný jako Policy ID.

Policy ID se objevuje například:

• v traffic logu,
• v session table,
• v diagnostických výstupech,
• v CLI konfiguraci.

policyid=17
policyname="LAN-TO-INTERNET"

Policy ID se nemusí shodovat s aktuální pozicí pravidla v GUI.

Stateful chování Security Policy

FortiGate je stateful firewall. Security Policy se aplikuje při vytváření nové session.

Klient → Server:
nové spojení
        │
        ▼
kontrola Security Policy
        │
        ▼
vytvoření session

Odpovědi patřící do stejné session jsou povoleny automaticky.

Server → Klient:
odpověď patří do existující session
        │
        ▼
není potřeba samostatná policy
v opačném směru

Samostatná policy pro opačný směr

Samostatné pravidlo je potřeba tehdy, pokud má druhá strana sama zahajovat nové spojení.

LAN → Server:
uživatel zahajuje HTTPS
potřeba policy LAN → Server

Server → LAN:
server zahajuje nové SSH spojení
potřeba samostatná policy Server → LAN

NAT v Security Policy

U odchozího provozu lze v policy zapnout Source NAT.

LAN source:
192.168.10.25

Po NAT:
203.0.113.10

FortiGate může použít IP adresu výstupního rozhraní nebo adresu z IP Poolu.

NAT není automaticky nutný mezi všemi interními sítěmi. Při routování mezi VLAN se obvykle nepoužívá, pokud není vyžadován konkrétním návrhem.

Security Profiles v policy

Po povolení provozu lze aplikovat další bezpečnostní kontrolu.

Policy:
LAN → Internet
Service HTTPS
Action Accept

Profiles:
Antivirus
Web Filter
Application Control
IPS
SSL Inspection

Security Profile může povolený provoz následně zablokovat, pokud detekuje zakázanou aplikaci, malware nebo jinou hrozbu.

SSL Inspection

Velká část provozu je šifrována pomocí TLS. Bez SSL Inspection má firewall omezený přehled o obsahu přenášeném uvnitř HTTPS spojení.

FortiGate může použít dvě základní úrovně kontroly:

• certificate inspection,
• deep inspection.

Certificate inspection

Kontroluje především certifikát a základní informace o TLS spojení. Neprovádí úplné dešifrování obsahu.

Deep inspection

FortiGate TLS spojení dešifruje, zkontroluje a znovu zašifruje. Tím získá přístup k obsahu komunikace.

Klient
  │ šifrované spojení
  ▼
FortiGate
  │ kontrola obsahu
  ▼
Server

Deep inspection vyžaduje správně distribuovaný důvěryhodný certifikát a musí respektovat právní, provozní a bezpečnostní požadavky organizace.

Log Allowed Traffic

Security Policy může zaznamenávat:

• pouze bezpečnostní události,
• všechny sessions,
• session při jejím ukončení,
• podle konfigurace také průběžné údaje.

Logování všech sessions zvyšuje přehled, ale také množství uložených dat.

Logování zakázaného provozu

Deny Policy může logovat blokované pokusy.

Action:      Deny
Source:      Guest VLAN
Destination: Server VLAN
Service:     SMB
Log:         Enabled

Log pomůže zjistit, kdo se pokoušel přistupovat k zakázané službě.

Address Groups

Více adresních objektů lze spojit do skupiny a použít v jedné policy.

Group:
INTERNAL-SERVERS

Members:
WEB-SERVER-01
DATABASE-01
FILE-SERVER-01

Změna členství ve skupině se projeví ve všech pravidlech, která skupinu používají.

Service Groups

Stejným způsobem lze spojovat síťové služby.

Group:
WEB-SERVICES

Members:
HTTP
HTTPS

Policy pro komunikaci mezi VLAN

Name:
USERS-TO-DNS

Incoming Interface:
VLAN-USERS

Outgoing Interface:
VLAN-SERVERS

Source:
USERS-SUBNET

Destination:
DNS-SERVER

Service:
DNS

Action:
Accept

NAT:
Disabled

Protože jde o interní routování mezi VLAN, Source NAT obvykle není potřeba.

Policy pro Guest VLAN

Policy 1:
Guest → Internet
DNS, HTTP, HTTPS
Accept
NAT enabled

Policy 2:
Guest → Internal Networks
ALL
Deny
Log enabled

Hosté mají přístup k internetu, ale ne do interních sítí.

Policy pro administraci serveru

Name:
IT-TO-SERVERS-SSH

Incoming:
Management VLAN

Outgoing:
Server VLAN

Source:
IT-ADMIN-PCs

Destination:
LINUX-SERVERS

Service:
SSH

Action:
Accept

Log:
Enabled

Pravidlo je omezeno na konkrétní zdroje, cíle a službu.

Policy s uživatelskou identitou

FortiGate může v některých scénářích povolovat provoz podle identity uživatele nebo skupiny.

Source:
LAN-USERS

User Group:
IT-Administrators

Destination:
Management-Servers

Service:
SSH, HTTPS

Tím lze spojit síťové podmínky s identitou uživatele.

Policy Comments

Každá policy by měla mít srozumitelný název a ideálně také komentář vysvětlující její účel.

Name:
ERP-USERS-TO-ERP-SERVER

Comment:
Přístup účetního oddělení k ERP aplikaci.
Schváleno změnovým požadavkem CHG-2026-0142.

Dokumentace usnadňuje audit, správu a pozdější odstranění nepotřebných pravidel.

Policy Hit Count

FortiGate může zobrazovat, kolikrát byla určitá policy použita a kdy naposledy odpovídala provozu.

To pomáhá identifikovat:

• nepoužívaná pravidla,
• špatně umístěná pravidla,
• pravidla, která neodpovídají provozu,
• velmi vytížené policies.

Disabled Policy

Policy lze administrativně vypnout bez jejího odstranění. To může být vhodné při testování nebo dočasné změně.

Dlouhodobě vypnutá pravidla by však neměla zůstávat bez dokumentace, protože komplikují konfiguraci.

Policy změny a existující sessions

Změna Security Policy se nemusí vždy okamžitě projevit na již existujících sessions. Existující spojení může pokračovat podle dříve vytvořeného session záznamu.

Při testování změny může být potřeba:

• počkat na vypršení session,
• ukončit spojení na klientovi,
• vymazat konkrétní session na FortiGate.

Central NAT a policy NAT

Pokud FortiGate používá běžný policy NAT režim, Source NAT se zapíná přímo v Security Policy.

Při použití Central NAT jsou NAT pravidla spravována odděleně od Security Policies.

Administrátor musí vědět, který model je na zařízení aktivní, protože způsob konfigurace se liší.

Základní princip návrhu policies

Pravidla by měla vycházet z principu nejnižších oprávnění.

Příliš široká policy

Source:      any
Destination: any
Service:     ALL
Action:      Accept

Přesnější policy

Source:
ACCOUNTING-USERS

Destination:
ERP-SERVER

Service:
ERP-TCP-8443

Action:
Accept

Časté chyby v Security Policies

• nesprávné Incoming Interface,
• nesprávné Outgoing Interface,
• špatná zdrojová nebo cílová adresa,
• chybějící služba,
• pravidlo umístěné pod příliš obecnou policy,
• zapnutý NAT mezi interními sítěmi bez důvodu,
• vypnuté logování,
• použití Service ALL,
• použití Source nebo Destination all bez potřeby,
• chybějící routa,
• zablokování provozu bezpečnostním profilem,
• testování přes existující session po změně policy.

Postup kontroly nefunkční policy

1. Ověřit zdrojovou a cílovou IP adresu.
2. Ověřit skutečné vstupní rozhraní.
3. Ověřit routu a výstupní rozhraní.
4. Ověřit pořadí policies.
5. Ověřit zdrojový a cílový Address Object.
6. Ověřit Service Object a port.
7. Ověřit schedule.
8. Ověřit NAT.
9. Ověřit Security Profiles.
10. Zkontrolovat traffic log.
11. Zkontrolovat session table.
12. Ověřit zpětnou cestu z cílového systému.

Praktický tok kontroly pravidla

Paket:
192.168.10.25:53000
→ 192.168.20.10:443

1. Přichází z VLAN-USERS?
2. Směřuje podle routy do VLAN-SERVERS?
3. Odpovídá Source objektu?
4. Odpovídá Destination objektu?
5. Odpovídá službě HTTPS?
6. Je pravidlo aktivní?
7. Je Action nastavena na Accept?
8. Nezablokoval provoz Security Profile?
9. Existuje správná zpětná cesta?

Shrnutí

• Security Policy řídí provoz mezi rozhraními nebo zónami FortiGate.
• Pravidlo obsahuje vstupní a výstupní rozhraní, zdroj, cíl, službu a akci.
• Policies se vyhodnocují v pořadí a první odpovídající pravidlo rozhoduje.
• Provoz bez odpovídající povolující policy blokuje implicitní deny.
• FortiGate je stateful, takže odpovědi v existující session nevyžadují opačné pravidlo.
• Security Profiles mohou provádět další kontrolu povoleného provozu.
• NAT lze podle režimu nastavit přímo v policy nebo odděleně.
• Správný návrh používá přesné objekty, omezené služby, logování a princip nejnižších oprávnění.

FortiGate NAT Policies

NAT Policies určují, jakým způsobem FortiGate mění zdrojové nebo cílové IP adresy síťové komunikace. NAT se používá zejména při přístupu interních zařízení k internetu a při zpřístupnění interních serverů z externí sítě.

FortiGate může používat dva základní modely konfigurace NAT:

• NAT nastavený přímo v Security Policy,
• Central NAT, kde jsou NAT pravidla oddělena od Security Policies.

Source NAT

Source NAT mění zdrojovou IP adresu paketu. Nejčastěji se používá při komunikaci soukromé interní sítě do internetu.

Původní paket:

Source:
192.168.10.25

Destination:
93.184.216.34

Po Source NAT:

Source:
203.0.113.10

Destination:
93.184.216.34

Internetový server vidí jako zdroj veřejnou IP adresu FortiGate nebo adresu z nakonfigurovaného IP Poolu.

Source NAT v Security Policy

V běžném policy-based NAT režimu se Source NAT zapíná přímo v Security Policy.

Name:
LAN-TO-INTERNET

Incoming Interface:
LAN

Outgoing Interface:
WAN

Source:
LAN-SUBNET

Destination:
all

Service:
HTTP, HTTPS, DNS

Action:
Accept

NAT:
Enabled

Pokud je NAT zapnut bez dalšího nastavení, FortiGate obvykle použije IP adresu výstupního rozhraní.

Use Outgoing Interface Address

Volba Use Outgoing Interface Address znamená, že FortiGate přeloží zdrojovou adresu na IP adresu rozhraní, kterým paket odchází.

LAN host:
192.168.10.25

WAN interface:
203.0.113.10

Po NAT:
203.0.113.10

Více interních zařízení může současně sdílet jednu veřejnou IP adresu pomocí PAT, tedy překladu portů.

PAT na FortiGate

FortiGate rozlišuje jednotlivá spojení pomocí zdrojových portů.

192.168.10.20:53001
        │
        ▼
203.0.113.10:62001

192.168.10.21:53002
        │
        ▼
203.0.113.10:62002

Jedna veřejná IP adresa tak může obsloužit velké množství interních klientů.

IP Pool

IP Pool je objekt obsahující jednu nebo více veřejných IP adres, které může FortiGate použít pro Source NAT.

IP Pool:
PUBLIC-NAT-POOL

Addresses:
203.0.113.20–203.0.113.25

Security Policy může místo adresy WAN rozhraní použít právě tento pool.

Typy IP Poolu

FortiGate podporuje několik způsobů použití IP Poolu.

Overload NAT

Overload je nejběžnější typ Source NAT. Umožňuje velkému množství klientů sdílet omezený počet veřejných IP adres.

Interní síť:
192.168.10.0/24

Veřejná adresa:
203.0.113.10

Výsledek:
všichni klienti používají 203.0.113.10
s různými zdrojovými porty

One-to-One Source NAT

One-to-One NAT vytváří pevný vztah mezi interní a veřejnou adresou.

192.168.10.10 ↔ 203.0.113.20
192.168.10.11 ↔ 203.0.113.21

Tento způsob se může použít, pokud má konkrétní interní systém vždy vystupovat pod vlastní veřejnou adresou.

Central SNAT

Pokud je povolen Central NAT, Source NAT se nekonfiguruje přímo v Security Policy. Používá se samostatná tabulka Central SNAT Rules.

Security Policy:
určuje, zda je provoz povolen

Central SNAT Rule:
určuje, jak se změní zdrojová adresa

Příklad Central SNAT pravidla

Incoming Interface:
LAN

Outgoing Interface:
WAN

Source Address:
LAN-SUBNET

Destination Address:
all

Protocol:
all

Translated Address:
203.0.113.10

Pořadí Central SNAT pravidel

Central SNAT pravidla se vyhodnocují v pořadí. Konkrétní pravidla musí být umístěna nad obecnými.

1. SERVER-01 → Internet → 203.0.113.20
2. LAN-SUBNET → Internet → 203.0.113.10

Pokud by obecné pravidlo bylo první, specifický server by mohl použít nesprávnou veřejnou adresu.

Policy NAT vs. Central NAT

Destination NAT

Destination NAT mění cílovou IP adresu paketu. Na FortiGate se nejčastěji realizuje pomocí objektu Virtual IP.

Paket z internetu:

Source:
198.51.100.25

Destination:
203.0.113.50

Po Destination NAT:

Source:
198.51.100.25

Destination:
192.168.20.10

NAT a Security Policy

NAT sám o sobě provoz nepovoluje. I když existuje překlad adresy, musí existovat také odpovídající Security Policy.

1. Virtual IP určí překlad veřejné adresy.
2. Security Policy povolí provoz.
3. Routing určí cestu k internímu serveru.

NAT mezi interními sítěmi

Při komunikaci mezi interními VLAN není Source NAT obvykle potřeba.

VLAN Users:
192.168.10.0/24

VLAN Servers:
192.168.20.0/24

Běžné nastavení:
routing ano
Security Policy ano
NAT ne

NAT by zakryl skutečné zdrojové adresy klientů a zhoršil logování nebo řízení přístupu.

NAT výjimka

Někdy je nutné určitý provoz z NAT vyjmout. Typickým příkladem může být komunikace přes Site-to-Site VPN.

LAN → Internet:
Source NAT zapnut

LAN → VPN remote network:
Source NAT vypnut

Pokud by byl interní provoz před vstupem do VPN přeložen, vzdálená strana by nemusela rozpoznat očekávanou zdrojovou síť.

NAT a návratová cesta

FortiGate uchovává NAT překlad v session table. Když dorazí odpověď, zařízení provede opačný překlad a doručí paket původnímu klientovi.

Odchozí session:

192.168.10.25:53000
        ↓ NAT
203.0.113.10:62000

Návratový paket:

203.0.113.10:62000
        ↓ reverse NAT
192.168.10.25:53000

Časté chyby NAT konfigurace

• NAT je zapnut mezi interními sítěmi bez důvodu.
• Security Policy používá nesprávný IP Pool.
• Chybí routa k přeloženému cíli.
• NAT pravidla jsou ve špatném pořadí.
• Je zaměněn Source NAT a Destination NAT.
• Administrátor neví, zda je aktivní Policy NAT nebo Central NAT.
• Překlad se testuje přes již existující session.
• Veřejná IP adresa není směrována poskytovatelem na FortiGate.

Kontrola nefunkčního NAT

1. Ověřit původní zdrojovou a cílovou adresu.
2. Ověřit odpovídající Security Policy.
3. Ověřit, zda je NAT skutečně zapnut.
4. Ověřit použitou IP adresu nebo IP Pool.
5. Ověřit routu k cíli.
6. Zkontrolovat session table.
7. Zkontrolovat traffic log.
8. Ověřit zpětnou cestu.
9. Při změně odstranit starou session.

Shrnutí

• Source NAT mění zdrojovou IP adresu.
• Destination NAT mění cílovou IP adresu.
• FortiGate může používat Policy NAT nebo Central NAT.
• IP Pool určuje adresy použité pro Source NAT.
• Overload NAT umožňuje sdílet jednu veřejnou adresu více klienty.
• NAT sám o sobě provoz nepovoluje; stále je potřeba Security Policy.
• Mezi interními VLAN se NAT běžně nepoužívá.

FortiGate Virtual IP (VIP)

Virtual IP, zkráceně VIP, je objekt FortiGate používaný především pro Destination NAT. Překládá veřejnou nebo jinou cílovou IP adresu na skutečnou adresu interního serveru.

VIP se běžně používá pro zpřístupnění webového serveru, mail serveru, VPN služby nebo jiné interní aplikace z externí sítě.

Internet
   │
   ▼
203.0.113.50
   │
   ▼
FortiGate VIP
   │
   ▼
192.168.20.10

Základní princip VIP

External IP:
203.0.113.50

Mapped IP:
192.168.20.10

Když paket dorazí na externí IP adresu, FortiGate přeloží jeho cíl na interní adresu serveru.

VIP neznamená automatické povolení provozu

Samotné vytvoření VIP objektu provoz nepovolí. VIP musí být použit jako Destination v odpovídající Security Policy.

Virtual IP:
203.0.113.50 → 192.168.20.10

Security Policy:
WAN → DMZ
Destination: WEB-SERVER-VIP
Service: HTTPS
Action: Accept

Static NAT VIP

Statický VIP překládá jednu externí adresu na jednu interní adresu.

203.0.113.50 ↔ 192.168.20.10

Pokud není zapnut port forwarding, může překlad platit pro všechny služby a protokoly, které povolí Security Policy.

Port Forwarding VIP

Port forwarding umožňuje přeložit pouze konkrétní port.

External:
203.0.113.50:443

Mapped:
192.168.20.10:443

Ostatní porty na stejné veřejné adrese nejsou tímto VIP automaticky přesměrovány.

Překlad portu

Externí a interní port nemusí být stejné.

External:
203.0.113.50:8443

Mapped:
192.168.20.10:443

Uživatel se připojí na port 8443, ale interní server přijme komunikaci na portu 443.

VIP pro více služeb

Na jedné externí IP adrese lze vytvořit více VIP objektů pro různé porty.

WEB-HTTPS-VIP:
203.0.113.50:443
→ 192.168.20.10:443

MAIL-SMTP-VIP:
203.0.113.50:25
→ 192.168.20.20:25

FortiGate rozliší provoz podle cílového portu.

External Interface

VIP lze svázat s konkrétním externím rozhraním.

External Interface:
WAN1

To znamená, že objekt se použije pro provoz přicházející přes dané rozhraní.

V některých konfiguracích může být použita hodnota any, ale přesné omezení na konkrétní rozhraní bývá přehlednější a bezpečnější.

External IP Address

External IP Address je adresa, na kterou se připojuje externí klient.

203.0.113.50

Tato adresa může být:

• IP adresou WAN rozhraní,
• další veřejnou adresou směrovanou na FortiGate,
• interní adresou použitou pro speciální NAT scénář.

Mapped IP Address

Mapped IP Address je skutečná adresa interního cílového zařízení.

192.168.20.10

FortiGate musí mít routu k této adrese a server musí mít správnou zpětnou cestu.

Security Policy s VIP

Name:
WAN-TO-WEB-SERVER

Incoming Interface:
WAN

Outgoing Interface:
DMZ

Source:
all

Destination:
WEB-SERVER-VIP

Service:
HTTPS

Action:
Accept

NAT:
Disabled

Destination v policy není interní Address Object serveru, ale VIP objekt.

Proč se Source NAT obvykle nezapíná

U běžného zveřejnění serveru není vhodné zapínat Source NAT směrem k serveru, protože server by pak místo skutečné IP klienta viděl pouze adresu FortiGate.

Bez Source NAT:

Server vidí:
198.51.100.25

Se Source NAT:

Server vidí:
192.168.20.1

Skutečná zdrojová adresa je důležitá pro logování, blokování a analýzu útoků.

Kdy může být Source NAT s VIP potřeba

Source NAT může být nutný například tehdy, když server nemá zpětnou cestu přes FortiGate nebo používá jinou default gateway.

Klient → FortiGate → Server

Server odpovídá přes jiný router
        │
        ▼
asymetrická komunikace

Source NAT vynutí návrat odpovědi přes FortiGate, ale skryje původní IP klienta. Vhodnější je obvykle opravit routing.

VIP a veřejná IP adresa

Pokud externí IP není přímo nastavena na WAN rozhraní, musí poskytovatel nebo nadřazený router směrovat tuto adresu na FortiGate.

Internet
   │
   ▼
Provider router
Route:
203.0.113.50 → FortiGate WAN

Bez správného směrování pakety k FortiGate vůbec nedorazí.

ARP odpověď pro VIP

Pokud se externí IP nachází ve stejné síti jako WAN rozhraní, FortiGate může pro tuto adresu odpovídat na ARP dotazy.

Tato funkce se často označuje jako ARP Reply.

Kdo má 203.0.113.50?

FortiGate:
Tato adresa je dosažitelná přes moji MAC adresu.

VIP rozsah

VIP může v některých případech mapovat rozsah externích adres na rozsah interních adres.

203.0.113.50–203.0.113.55
        ↓
192.168.20.10–192.168.20.15

VIP Group

Více VIP objektů lze spojit do VIP Group a použít společně v Security Policy.

VIP Group:
PUBLIC-SERVICES

Members:
WEB-SERVER-VIP
MAIL-SERVER-VIP
VPN-PORTAL-VIP

Hairpin NAT

Hairpin NAT, také označovaný jako NAT loopback, nastává tehdy, když interní klient přistupuje k internímu serveru přes jeho veřejnou IP adresu.

Interní klient:
192.168.10.25

Použitá cílová adresa:
203.0.113.50

Skutečný server:
192.168.20.10

FortiGate musí provoz přijmout, aplikovat VIP a odeslat jej zpět do interní sítě.

Split DNS jako alternativa

Místo hairpin NAT lze použít Split DNS.

Z internetu:

www.firma.cz
→ 203.0.113.50

Z interní sítě:

www.firma.cz
→ 192.168.20.10

Interní klienti komunikují přímo s interní adresou a provoz nemusí procházet přes veřejný překlad.

VIP a Security Profiles

Security Policy s VIP může používat IPS, antivirus, application control nebo SSL inspection.

U veřejně dostupných služeb je vhodné zvážit například:

• IPS profil zaměřený na serverové útoky,
• omezení zdrojových zemí nebo adres,
• DoS Policy,
• logování všech sessions,
• publikaci pouze potřebných portů,
• ochranu pomocí WAF u webových aplikací.

VIP vs. IP Pool

Časté chyby VIP konfigurace

• VIP není použit jako Destination v Security Policy.
• Security Policy používá interní adresu místo VIP objektu.
• Je nastaven nesprávný externí nebo interní port.
• Externí IP není směrována na FortiGate.
• FortiGate nemá routu k internímu serveru.
• Server používá jinou zpětnou cestu.
• Na serveru služba neposlouchá na očekávaném portu.
• Lokální firewall serveru příchozí provoz blokuje.
• Policy je umístěna pod jiným pravidlem.
• Testování probíhá přes starou session.

Postup kontroly nefunkčního VIP

1. Ověřit, zda paket dorazí na WAN rozhraní.
2. Ověřit externí IP adresu a port.
3. Ověřit mapped IP a mapped port.
4. Ověřit Security Policy WAN do interní sítě.
5. Ověřit, že Destination v policy je VIP objekt.
6. Ověřit routu k internímu serveru.
7. Ověřit stav služby na serveru.
8. Ověřit lokální firewall serveru.
9. Ověřit zpětnou cestu.
10. Zkontrolovat logy a session table.

Shrnutí

• VIP slouží především pro Destination NAT.
• Překládá externí cílovou adresu na interní server.
• VIP musí být použit v odpovídající Security Policy.
• Port forwarding může publikovat pouze konkrétní službu.
• Externí a interní port se mohou lišit.
• Source NAT u publikovaného serveru obvykle není vhodný.
• Pro správnou funkci je nutná routa a zpětná cesta.

FortiGate Address Objects

Address Object je pojmenovaný objekt reprezentující IP adresu, síť, rozsah adres, doménové jméno nebo jiný síťový cíl. Address Objects se používají v Security Policies, NAT pravidlech, VPN konfiguraci a dalších částech FortiGate.

Místo zapisování IP adres přímo do pravidel se používají popisné názvy objektů.

Název:
WEB-SERVER-01

Hodnota:
192.168.20.10/32

Výhody Address Objects

• lepší čitelnost pravidel,
• snadnější změna IP adresy,
• opakované použití v různých policies,
• jednodušší audit,
• možnost seskupování,
• nižší riziko překlepů.

Příklad bez objektů

Source:
192.168.10.0/24

Destination:
192.168.20.10/32

Příklad s objekty

Source:
USER-VLAN

Destination:
ERP-SERVER

Druhá varianta je výrazně srozumitelnější.

Subnet Address Object

Nejběžnější typ objektu reprezentuje jednu IP adresu nebo celou podsíť.

Name:
USER-VLAN

Type:
Subnet

IP/Netmask:
192.168.10.0/24

Host Object

Jednotlivý host se zadává pomocí masky /32.

Name:
DNS-SERVER-01

Address:
192.168.20.53/32

Maska /32 znamená přesně jednu IPv4 adresu.

IP Range Object

IP Range reprezentuje souvislý rozsah adres.

Name:
VPN-CLIENT-POOL

Start:
10.250.10.10

End:
10.250.10.100

Rozsah nemusí odpovídat celé podsíti.

FQDN Object

FQDN objekt reprezentuje doménové jméno.

Name:
MICROSOFT-LOGIN

FQDN:
login.microsoftonline.com

FortiGate překládá jméno pomocí DNS a ukládá získané IP adresy.

Omezení FQDN objektů

FQDN objekt závisí na správné DNS funkci a na tom, jaké adresy vrací autoritativní nebo distribuovaná infrastruktura služby.

Cloudové služby mohou:

• používat velké množství IP adres,
• adresy často měnit,
• vracet různé odpovědi podle lokality,
• sdílet IP adresy s jinými službami.

FQDN objekt proto nemusí být vhodný pro každé bezpečnostní omezení.

Wildcard FQDN

Wildcard FQDN může reprezentovat více subdomén.

*.example.com

Může odpovídat například:

mail.example.com
portal.example.com
api.example.com

Jeho chování závisí na způsobu, jakým FortiGate daný provoz a DNS informace zpracovává.

Geography Address Object

Geografický objekt reprezentuje IP adresy přiřazené určité zemi nebo oblasti.

Name:
COUNTRY-CZ

Type:
Geography

Country:
Czech Republic

Lze jej použít například k omezení administrativního přístupu nebo publikované služby.

Omezení geografických objektů

Geolokace IP adres není absolutně přesná. Uživatel může používat VPN, proxy nebo cloudovou infrastrukturu v jiné zemi.

Geografický objekt proto nemá být jediným bezpečnostním mechanismem.

Dynamic Address Object

Dynamický objekt může získávat členství z externího zdroje nebo bezpečnostní infrastruktury.

Může reprezentovat například:

• zařízení s konkrétním tagem,
• adresy z externího konektoru,
• kompromitované systémy,
• cloudové objekty,
• adresy spravované automatizací.

External Connector Address

FortiGate může získávat dynamický seznam adres z externího zdroje.

External feed:

198.51.100.10
198.51.100.25
203.0.113.77

Seznam může obsahovat například známé škodlivé IP adresy.

Address Group

Address Group spojuje více Address Objects do jednoho společného objektu.

Name:
WEB-SERVERS

Members:
WEB-SERVER-01
WEB-SERVER-02
WEB-SERVER-03

Skupinu lze použít v policy místo jednotlivých serverů.

Vnořené skupiny

Podle konfigurace a verze systému mohou skupiny obsahovat také jiné skupiny.

INTERNAL-SERVERS
   │
   ├── WEB-SERVERS
   ├── DATABASE-SERVERS
   └── FILE-SERVERS

Příliš hluboké vnoření však může zhoršit přehlednost.

Objekt all

Předdefinovaný objekt all reprezentuje všechny IPv4 adresy.

0.0.0.0/0

Je vhodný například pro běžný cíl internetového provozu, ale v interních policies může být příliš široký.

Interface Association

Address Object může být přiřazen ke konkrétnímu rozhraní nebo ponechán jako dostupný pro libovolné rozhraní.

Associated Interface:
VLAN-SERVERS

Přiřazení pomáhá omezit použití objektu a může zlepšit přehlednost konfigurace.

Názvy objektů

Název objektu by měl jasně vyjadřovat jeho účel.

Nevhodné názvy

server1
object25
network-new
test

Vhodnější názvy

ERP-SERVER-PRG-01
USER-VLAN-192.168.10.0-24
VPN-ADMIN-POOL
PUBLIC-DNS-SERVERS

Komentáře

Objekt by měl obsahovat komentář, pokud jeho účel není z názvu zcela zřejmý.

Name:
EXT-VENDOR-SUPPORT

Address:
198.51.100.25/32

Comment:
Veřejná IP externího dodavatele.
Schváleno do 31. 12. 2026.

Změna Address Object

Změna hodnoty objektu se projeví ve všech pravidlech, která jej používají.

WEB-SERVER-01:

Původně:
192.168.20.10

Nově:
192.168.20.15

Není nutné ručně měnit každou Security Policy.

Riziko změny sdíleného objektu

Protože objekt může být použit na více místech, neuvážená změna může ovlivnit mnoho pravidel.

Před změnou je vhodné zjistit:

• ve kterých policies je objekt použit,
• zda je členem skupin,
• zda jej používá VPN nebo NAT,
• jaký bude dopad změny.

Duplicate Objects

Ve větším prostředí mohou vznikat duplicitní objekty se stejnou adresou.

WEB01
192.168.20.10/32

WEB-SERVER
192.168.20.10/32

SERVER-20-10
192.168.20.10/32

Duplicity zhoršují správu a mohou vést k chybám. Je vhodné používat jednotnou jmennou konvenci.

Address Objects a IPv6

IPv6 adresy se obvykle spravují v samostatných IPv6 Address Objects.

Name:
IPV6-WEB-SERVER

Address:
2001:db8:20::10/128

Address Object vs. VIP

Příklad použití v policy

Name:
USERS-TO-ERP

Source:
ACCOUNTING-USERS

Destination:
ERP-SERVER

Service:
ERP-HTTPS

Action:
Accept

Všechny důležité části pravidla jsou reprezentovány pojmenovanými objekty.

Časté chyby Address Objects

• Nesprávná maska podsítě.
• Host je omylem zadán jako celá síť.
• Objekt obsahuje zastaralou IP adresu.
• Existuje více duplicitních objektů.
• Název objektu neodpovídá jeho skutečné hodnotě.
• Objekt je přiřazen k nesprávnému rozhraní.
• Skupina obsahuje nechtěného člena.
• FQDN objekt se kvůli DNS nerozkládá správně.
• Změna sdíleného objektu ovlivní více policies.

Shrnutí

• Address Object reprezentuje IP adresu, síť, rozsah nebo FQDN.
• Objekty zlepšují čitelnost a opakované použití konfigurace.
• Jednotlivý IPv4 host se zapisuje s maskou /32.
• Více objektů lze spojit do Address Group.
• FQDN objekty závisí na DNS a mohou mít omezení.
• Změna objektu se projeví ve všech místech jeho použití.
• Jednotná jmenná konvence výrazně usnadňuje správu.

FortiGate Service Objects

Service Object reprezentuje síťovou službu definovanou protokolem a číslem portu. Používá se v Security Policies k určení, jaký typ komunikace je povolen nebo zakázán.

HTTPS:

Protocol:
TCP

Destination Port:
443

Proč používat Service Objects

Místo zadávání portů přímo do každé policy se používá pojmenovaný objekt.

Destination Port:
8443

lze nahradit čitelnějším objektem:

ERP-HTTPS-8443

Předdefinované služby

FortiGate obsahuje řadu předdefinovaných Service Objects.

Custom Service Object

Pro vlastní nebo nestandardní aplikaci lze vytvořit Custom Service.

Name:
ERP-APP

Protocol:
TCP

Destination Port:
8443

TCP Service

TCP Service definuje jeden port nebo rozsah cílových TCP portů.

Name:
WEB-ADMIN

TCP Destination Port:
8443

UDP Service

UDP Service se používá pro aplikace běžící nad UDP.

Name:
CUSTOM-MONITORING

UDP Destination Port:
9999

TCP a UDP v jednom objektu

Jeden Service Object může podle potřeby obsahovat TCP i UDP porty.

Name:
CUSTOM-DNS

TCP:
5353

UDP:
5353

Rozsah portů

Service Object může obsahovat rozsah portů.

Name:
PASSIVE-FTP-RANGE

TCP Destination Ports:
50000-51000

Rozsahy by měly být co nejmenší, aby nedocházelo ke zbytečně širokému povolení.

Více portů v jednom objektu

Objekt může obsahovat také více oddělených portů nebo rozsahů.

Name:
APPLICATION-CLUSTER

TCP Ports:
8080
8443
9000-9010

Source Port

Service Object může omezit také zdrojový port, ale v běžných policies se nejčastěji kontroluje cílový port.

Klientské zdrojové porty jsou zpravidla dynamicky přidělované.

Klient:
192.168.10.25:53120

Server:
192.168.20.10:443

Cílový port 443 určuje službu. Zdrojový port 53120 se může při každém spojení změnit.

Proč bývá omezení zdrojového portu problematické

Pokud administrátor bezdůvodně nastaví konkrétní Source Port, běžný klientský provoz nemusí pravidlu odpovídat.

Nesprávně:

Source Port:
443

Destination Port:
443

HTTPS klient obvykle nepoužívá zdrojový port 443, ale náhodný vysoký port.

ICMP Service

Service Object může reprezentovat také ICMP komunikaci.

Lze omezit například:

• Echo Request,
• Echo Reply,
• Destination Unreachable,
• Time Exceeded.

IP Protocol Service

Některé služby nepoužívají TCP ani UDP. V takovém případě lze definovat přímo číslo IP protokolu.

GRE není TCP nebo UDP port 47. Je to IP protokol číslo 47.

Service Group

Service Group spojuje více Service Objects do jednoho společného objektu.

Name:
WEB-SERVICES

Members:
HTTP
HTTPS

Skupinu lze použít v jedné Security Policy.

Příklad aplikační skupiny

Name:
ACTIVE-DIRECTORY-SERVICES

Members:
DNS
KERBEROS
LDAP
LDAPS
SMB
GLOBAL-CATALOG

Skupina usnadňuje správu aplikace vyžadující více portů.

Riziko příliš široké skupiny

Service Group může časem obsahovat stále více členů. Každá policy používající tuto skupinu potom automaticky povolí i nově přidané služby.

Před změnou skupiny je vhodné zkontrolovat všechna místa jejího použití.

Předdefinovaný objekt ALL

Service ALL povoluje všechny IP protokoly a všechny porty.

Service:
ALL

Je velmi široký a měl by být používán jen tam, kde je skutečně nutný.

ALL_TCP a ALL_UDP

Podle konfigurace mohou být k dispozici také objekty pro všechny TCP nebo všechny UDP porty.

ALL_TCP:
TCP 1–65535

ALL_UDP:
UDP 1–65535

Tyto objekty jsou užší než ALL, ale stále povolují velmi široký rozsah komunikace.

Service Object vs. Application Control

Service Object rozhoduje především podle transportního protokolu a portu. Application Control se snaží rozpoznat skutečnou aplikaci.

Service Object:
TCP port 443

Application Control:
Microsoft Teams
YouTube
Dropbox
SSH over HTTPS

Více různých aplikací může používat stejný port 443.

Port neznamená automaticky aplikaci

Povolení portu 443 neznamená, že je povolen pouze běžný webový provoz. Jakákoli aplikace může teoreticky používat tento port.

Pro hlubší kontrolu se používá například:

• Application Control,
• IPS,
• SSL Inspection,
• Web Filter.

Příklad vlastní služby

Name:
ERP-TCP-8443

Protocol:
TCP

Destination Port:
8443

Comment:
Produkční ERP aplikace.

Příklad policy s Service Object

Name:
ACCOUNTING-TO-ERP

Source:
ACCOUNTING-USERS

Destination:
ERP-SERVER

Service:
ERP-TCP-8443

Action:
Accept

Logging:
Enabled

Jmenná konvence

Název služby by měl popisovat aplikaci, protokol a případně port.

Vhodné názvy

ERP-TCP-8443
MONITORING-UDP-9999
BACKUP-TCP-10000-10100
GRE-PROTOCOL-47

Méně vhodné názvy

service1
port-new
test
custom

Komentář a dokumentace

U vlastní služby je vhodné uvést, která aplikace ji používá a proč je potřebná.

Name:
VENDOR-REMOTE-APP

Protocol:
TCP

Port:
10443

Comment:
Vzdálená podpora výrobce.
Schváleno do 30. 9. 2026.

Změna Service Object

Změna portu v jednom Service Object se projeví ve všech policies, které objekt používají.

Původně:
ERP-TCP-8443

Nově:
ERP-TCP-9443

Taková změna může mít rozsáhlý dopad a musí být předem zkontrolována.

Duplicitní služby

Ve větším prostředí mohou vzniknout různé objekty reprezentující stejný port.

APP-HTTPS
TCP 8443

CUSTOM-8443
TCP 8443

ERP-WEB
TCP 8443

Některé duplicity mohou mít smysl kvůli odlišnému účelu, ale příliš mnoho podobných objektů komplikuje správu.

Časté chyby Service Objects

• Záměna TCP a UDP.
• Zadání zdrojového portu místo cílového.
• Příliš široký rozsah portů.
• Použití ALL bez skutečné potřeby.
• Záměna portu a IP Protocol Number.
• Název objektu neodpovídá skutečnému portu.
• Skupina obsahuje nepotřebné služby.
• Změna sdíleného objektu ovlivní více policies.
• Aplikace ve skutečnosti používá další dynamické porty.

Kontrola nefunkční služby

1. Ověřit, zda aplikace používá TCP nebo UDP.
2. Ověřit skutečný cílový port.
3. Ověřit, zda je port uveden v Service Object.
4. Ověřit použití objektu ve správné Security Policy.
5. Ověřit pořadí policies.
6. Zkontrolovat logy a session table.
7. Ověřit, zda služba na serveru skutečně poslouchá.
8. Ověřit lokální firewall cílového systému.

Shrnutí

• Service Object reprezentuje protokol a port služby.
• FortiGate obsahuje předdefinované i vlastní služby.
• Nejčastěji se kontroluje cílový port.
• Více služeb lze spojit do Service Group.
• ALL povoluje všechny protokoly a porty.
• Service Object nerozpoznává skutečnou aplikaci tak podrobně jako Application Control.
• GRE, ESP a AH používají čísla IP protokolů, nikoli TCP nebo UDP porty.
• Přesné a dobře pojmenované služby podporují princip nejnižších oprávnění.

FortiGate Zones

Zone je logický objekt, který sdružuje více síťových rozhraní FortiGate do jednoho společného celku. Rozhraní zařazená do stejné zóny lze následně používat ve firewallových pravidlech jako jeden objekt.

Zóny zjednodušují konfiguraci zejména v prostředí, kde více VLAN nebo fyzických rozhraní plní stejnou bezpečnostní funkci. Místo vytváření samostatných Security Policies pro každé rozhraní lze vytvořit jednu policy používající celou zónu. :contentReference[oaicite:0]{index=0}

FortiGate
   │
   ├── VLAN 10 – zaměstnanci ─┐
   ├── VLAN 11 – zaměstnanci ─┼── Zone: USERS
   └── VLAN 12 – zaměstnanci ─┘

Rozhraní bez zóny

Bez použití zóny by administrátor mohl potřebovat několik téměř totožných pravidel.

Policy 1:
VLAN-10 → WAN
HTTP, HTTPS, DNS
Accept

Policy 2:
VLAN-11 → WAN
HTTP, HTTPS, DNS
Accept

Policy 3:
VLAN-12 → WAN
HTTP, HTTPS, DNS
Accept

Rozhraní seskupená do zóny

Pokud jsou všechna rozhraní součástí zóny USERS, lze použít jedno pravidlo.

Policy:
USERS → WAN
HTTP, HTTPS, DNS
Accept

Tím se snižuje počet policies a zjednodušuje jejich správa.

Typické použití zón

Zone jako Incoming nebo Outgoing Interface

Zónu lze použít v Security Policy jako vstupní nebo výstupní rozhraní.

Name:
USERS-TO-INTERNET

Incoming Interface:
USERS

Outgoing Interface:
WAN

Source:
USER-NETWORKS

Destination:
all

Service:
DNS, HTTP, HTTPS

Action:
Accept

Pravidlo může odpovídat provozu z kteréhokoli rozhraní zařazeného do zóny USERS.

Komunikace mezi členy stejné zóny

Důležitou vlastností je možnost určit, zda spolu mohou komunikovat jednotlivá rozhraní uvnitř stejné zóny.

Zone: USERS

VLAN-10
VLAN-11
VLAN-12

Pokud je komunikace mezi členy zóny povolena, může být provoz například z VLAN-10 do VLAN-11 přenášen uvnitř zóny.

Pokud je komunikace mezi členy zakázána, jednotlivá rozhraní zůstávají vzájemně izolována, přestože jsou používána společně ve firewallových policies.

Intrazone komunikace

Komunikace mezi rozhraními ve stejné zóně se označuje jako intrazone traffic.

VLAN-10
   │
   ▼
Zone USERS
   │
   ▼
VLAN-11

Podle konfigurace může být intrazone komunikace:

• povolena,
• zakázána,
• řízena dalšími bezpečnostními pravidly podle konkrétního návrhu.

V bezpečnostně citlivém prostředí bývá vhodné rozhraní uvnitř zóny vzájemně nepropojovat, pokud jejich komunikace není skutečně potřebná.

Zóna není VLAN

Zone a VLAN nejsou stejné pojmy.

Zóna není Address Group

Zone seskupuje síťová rozhraní. Address Group seskupuje IP adresy nebo sítě.

Zone USERS:
VLAN-10
VLAN-11
VLAN-12

Address Group USER-NETWORKS:
192.168.10.0/24
192.168.11.0/24
192.168.12.0/24

V Security Policy mohou být použity oba objekty současně.

Incoming Interface:
USERS

Source Address:
USER-NETWORKS

Přidání rozhraní do zóny

Před přidáním rozhraní do zóny je nutné zkontrolovat jeho současné použití. Rozhraní může být použito například v:

• Security Policies,
• routingu,
• DHCP konfiguraci,
• VPN nastavení,
• SD-WAN,
• administrativních pravidlech,
• dalších objektech.

Zařazení rozhraní do zóny může vyžadovat úpravu existujících policies tak, aby místo původního rozhraní používaly zónu.

Odebrání rozhraní ze zóny

Při odebrání rozhraní ze zóny je nutné vytvořit nebo upravit Security Policies pro samostatné rozhraní.

Před změnou:

Zone USERS → WAN
Accept

Po odebrání VLAN-12:

Zone USERS → WAN
Accept

VLAN-12 → WAN
nová policy nutná

Zóny a princip nejnižších oprávnění

Do jedné zóny by měla být zařazena pouze rozhraní se skutečně podobnou úrovní důvěry a stejnými požadavky na přístup.

Nevhodné seskupení

Zone INTERNAL:

Employee VLAN
Guest VLAN
IoT VLAN
Server VLAN

Tyto sítě mají výrazně rozdílné bezpečnostní požadavky a neměly by být bez rozmyslu spravovány stejnými pravidly.

Vhodnější rozdělení

Zone USERS:
Employee VLAN 10
Employee VLAN 11

Zone GUEST:
Guest Wi-Fi

Zone IOT:
Cameras
Sensors
Printers

Zone SERVERS:
Application Servers
Database Servers

Výhody zón

• nižší počet Security Policies,
• jednodušší konfigurace,
• snadnější přidávání dalších rozhraní,
• jednotná bezpečnostní pravidla,
• lepší čitelnost konfigurace,
• jednodušší správa většího počtu VLAN nebo VPN tunelů.

Nevýhody zón

• příliš obecná pravidla mohou povolit více provozu, než bylo zamýšleno,
• rozdíly mezi členskými rozhraními mohou být méně viditelné,
• změna jedné policy může ovlivnit všechny členy zóny,
• nesprávně povolená intrazone komunikace může narušit segmentaci,
• řešení problémů může být složitější, pokud není jasné, které konkrétní rozhraní provoz použilo.

Příklad zóny pro IPsec tunely

Zone:
BRANCH-VPN

Members:
IPSEC-BRNO
IPSEC-OSTRAVA
IPSEC-PLZEN

Společná policy může povolit pobočkám přístup k centrálním službám.

Incoming Interface:
BRANCH-VPN

Outgoing Interface:
SERVER-ZONE

Source:
BRANCH-NETWORKS

Destination:
CENTRAL-SERVERS

Service:
REQUIRED-SERVICES

Action:
Accept

Časté chyby při práci se zónami

• Seskupení sítí s rozdílnou úrovní důvěry.
• Neúmyslné povolení komunikace mezi členy zóny.
• Ponechání starých Security Policies používajících původní rozhraní.
• Použití zóny společně s příliš širokým Source nebo Destination objektem.
• Předpoklad, že samotné členství v zóně automaticky povoluje provoz.
• Záměna zóny za VLAN nebo Address Group.
• Přidání nového rozhraní do zóny bez kontroly dopadu na existující policies.

Shrnutí

• Zone sdružuje více síťových rozhraní FortiGate.
• Zónu lze použít v Security Policy jako Incoming nebo Outgoing Interface.
• Zóny snižují počet potřebných firewallových pravidel.
• Rozhraní v jedné zóně by měla mít podobnou bezpečnostní funkci.
• Komunikaci mezi členy stejné zóny lze podle konfigurace povolit nebo zakázat.
• Zone není VLAN ani Address Group.
• Přidání nového člena zóny může ovlivnit všechna pravidla, která zónu používají.

FortiManager – základ

FortiManager je platforma pro centralizovanou správu Fortinet zařízení. Umožňuje spravovat větší množství FortiGate firewallů a dalších podporovaných prvků z jednoho administračního rozhraní.

Místo přihlašování na každý FortiGate samostatně může administrátor vytvářet, měnit, kontrolovat a distribuovat konfigurace centrálně. Fortinet FortiManager popisuje jako nástroj poskytující jednotný pohled na správu prostředí Fortinet Security Fabric. :contentReference[oaicite:1]{index=1}

                    FortiManager
                         │
            centrální konfigurace a správa
                         │
        ┌────────────────┼────────────────┐
        ▼                ▼                ▼
 FortiGate Praha   FortiGate Brno   FortiGate Ostrava

Proč používat FortiManager

Správa jednoho nebo dvou firewallů přímo přes jejich GUI může být relativně jednoduchá. Ve větším prostředí však vznikají problémy s konzistencí, dokumentací a řízením změn.

Bez FortiManageru:

Administrátor
   │
   ├── přihlášení na FortiGate A
   ├── přihlášení na FortiGate B
   ├── přihlášení na FortiGate C
   └── ruční opakování změny

S FortiManagerem:

Administrátor
   │
   ▼
FortiManager
   │
   └── řízená distribuce změn na zařízení

Základní funkce

• centrální správa zařízení,
• centrální správa Security Policies,
• správa objektů,
• instalace konfigurace na FortiGate,
• zálohování a revize konfigurací,
• správa firmware,
• šablony nastavení,
• řízení administrátorských oprávnění,
• automatizace změn,
• správa více zákazníků nebo organizačních celků.

FortiManager není firewall

FortiManager sám běžně nepřenáší a nefiltruje uživatelský síťový provoz. Slouží jako systém pro správu zařízení, která provoz skutečně zpracovávají.

Uživatelský provoz:
Klient → FortiGate → Internet

Administrativní provoz:
Administrátor → FortiManager → FortiGate

Device Manager

Device Manager slouží ke správě jednotlivých FortiGate zařízení a jejich konfigurace.

Administrátor zde může například:

• přidat FortiGate do správy,
• zobrazit stav zařízení,
• kontrolovat synchronizaci,
• spravovat síťová rozhraní,
• měnit systémovou konfiguraci,
• instalovat změny,
• provádět upgrade firmware.

Policy & Objects

Část Policy & Objects slouží k centrální správě firewallových pravidel a objektů.

Spravovat lze například:

• Security Policies,
• Address Objects,
• Service Objects,
• Virtual IP objekty,
• IP Pools,
• Security Profiles,
• DNS a webové filtry,
• Application Control profily.

Policy Package

Policy Package je soubor firewallových policies a souvisejících objektů, který lze přiřadit jednomu nebo více zařízením.

Policy Package:
BRANCH-OFFICES

Obsah:
LAN → WAN
LAN → DATACENTER
GUEST → WAN
GUEST → INTERNAL DENY

Policy Package umožňuje udržovat podobnou bezpečnostní konfiguraci na větším množství poboček.

Společná a specifická pravidla

Organizace může mít společná pravidla platná pro všechny pobočky a současně specifická pravidla pro konkrétní lokalitu.

Společná pravidla:
blokování známých rizikových služeb
povolení centrálního DNS
povolení monitoringu

Praha:
přístup k lokálnímu ERP serveru

Brno:
přístup k lokálnímu výrobnímu systému

ADOM

ADOM (Administrative Domain) umožňuje logicky oddělit spravovaná zařízení, konfigurace a administrátory.

FortiManager
   │
   ├── ADOM: Production
   ├── ADOM: Development
   ├── ADOM: Customer-A
   └── ADOM: Customer-B

ADOM může oddělovat například:

• různé zákazníky,
• různé části organizace,
• produkční a testovací prostředí,
• zařízení používající různé hlavní verze FortiOS.

Výhoda ADOM

Administrátor zákazníka A může mít přístup pouze k ADOM Customer-A a nemusí vidět zařízení zákazníka B.

Administrator-A
      │
      ▼
ADOM Customer-A

Administrator-B
      │
      ▼
ADOM Customer-B

Přidání FortiGate do FortiManageru

Zjednodušený proces přidání zařízení vypadá následovně:

1. FortiGate je nakonfigurován pro centrální správu.
2. FortiManager přijme nebo vyhledá zařízení.
3. Zařízení je autorizováno.
4. FortiManager načte jeho konfiguraci.
5. Zařízení je přiřazeno do ADOM.
6. Administrátor ověří stav synchronizace.

FortiGate lze řídit prostřednictvím on-premises FortiManageru nebo podporované cloudové varianty centrální správy. :contentReference[oaicite:2]{index=2}

Device Database

FortiManager uchovává vlastní databázi konfigurace spravovaných zařízení.

To znamená, že existují dvě důležité podoby konfigurace:

• konfigurace uložená ve FortiManageru,
• konfigurace aktuálně běžící na FortiGate.

FortiManager database
        │
        │ install
        ▼
FortiGate running configuration

Synchronizace konfigurace

FortiManager porovnává svoji databázi s konfigurací zařízení.

Stav může zjednodušeně znamenat například:

• zařízení je synchronizované,
• FortiManager obsahuje změny čekající na instalaci,
• na FortiGate byla provedena změna mimo FortiManager,
• konfigurace je ve stavu konfliktu nebo rozdílu.

Změny provedené přímo na FortiGate

Pokud je zařízení centrálně spravováno, změny by měly být prováděny řízeným způsobem přes FortiManager.

Administrátor 1:
změní policy ve FortiManageru

Administrátor 2:
změní stejnou policy přímo na FortiGate

Výsledek:
rozdíl konfigurací a možný konflikt

Přímé změny na FortiGate mohou být v některých situacích nutné, ale musí být následně správně importovány nebo synchronizovány.

Install Wizard

Změna vytvořená ve FortiManageru se obvykle neaktivuje na firewallu automaticky. Administrátor ji musí pomocí instalačního procesu odeslat na cílové zařízení.

1. Úprava Security Policy.
2. Kontrola změn.
3. Náhled instalační konfigurace.
4. Výběr cílového zařízení.
5. Instalace.
6. Kontrola výsledku.

Preview změn

Před instalací je důležité zkontrolovat, jaké příkazy a změny budou na FortiGate odeslány.

Náhled může odhalit například:

• nechtěné odstranění objektu,
• změnu pořadí policies,
• přepsání lokální konfigurace,
• nesprávný cílový firewall,
• větší rozsah změn, než administrátor očekával.

Revision History

FortiManager může uchovávat revize konfigurace. Administrátor může porovnávat starší a novější verze.

Revision 101:
stav před změnou

Revision 102:
přidána policy VPN-TO-ERP

Revision 103:
upraven Address Object ERP-SERVER

Revize pomáhají při auditu a řešení problémů po změně.

Workspace Mode

Workspace Mode pomáhá řídit souběžnou práci více administrátorů. Podle režimu může administrátor uzamknout celý ADOM nebo konkrétní část konfigurace.

Administrátor A:
upravuje Policy Package

Administrátor B:
nemůže současně přepsat uzamčenou část

Workflow a schvalování

Ve větším prostředí lze změny řídit formálním procesem.

1. Technik připraví změnu.
2. Senior administrátor ji zkontroluje.
3. Změna je schválena.
4. Konfigurace je instalována.
5. Výsledek je ověřen.

Tím se snižuje riziko, že jeden administrátor omylem nasadí nebezpečnou změnu bez kontroly.

Provisioning Templates

Šablony umožňují distribuovat společná nastavení na více zařízení.

Šablona může obsahovat například:

• DNS servery,
• NTP servery,
• SNMP nastavení,
• logovací servery,
• administrativní nastavení,
• SD-WAN konfiguraci,
• CLI příkazy.

Template:
STANDARD-BRANCH

NTP:
ntp.firma.local

DNS:
10.10.10.53
10.10.10.54

Syslog:
10.10.20.50

Metadata Variables

Jedna společná šablona může používat proměnné s odlišnými hodnotami pro každé zařízení.

Šablona:

LAN gateway:
$(LAN_GATEWAY)

Praha:
192.168.10.1

Brno:
192.168.20.1

Ostrava:
192.168.30.1

Administrátor tak nemusí vytvářet samostatnou šablonu pro každou pobočku.

Firmware Management

FortiManager může pomáhat s centrálním plánováním a prováděním aktualizací firmware.

Před aktualizací je nutné:

• zkontrolovat podporovanou upgrade cestu,
• ověřit kompatibilitu s FortiManagerem,
• zálohovat konfiguraci,
• zkontrolovat HA cluster,
• naplánovat servisní okno,
• ověřit funkčnost po upgradu.

FortiManager jako fyzické, virtuální a cloudové řešení

FortiManager může být nasazen v několika formách:

• fyzická appliance,
• virtuální appliance,
• cloudová služba,
• instance ve veřejném cloudu.

Role administrátorů

Administrátorská oprávnění lze omezit podle odpovědnosti.

FortiManager a FortiAnalyzer

FortiManager a FortiAnalyzer mají rozdílné hlavní úlohy.

FortiManager:
Co je na firewallu nakonfigurováno?

FortiAnalyzer:
Jaký provoz a události firewall zaznamenal?

Výhody FortiManageru

• jednotná správa mnoha firewallů,
• konzistentní bezpečnostní pravidla,
• nižší počet ručních změn,
• revize konfigurací,
• možnost schvalovacího procesu,
• centrální firmware management,
• oddělení zákazníků pomocí ADOM,
• automatizace opakovaných úloh.

Rizika a omezení

• chybná centrální změna může ovlivnit více zařízení současně,
• je nutné hlídat kompatibilitu verzí,
• administrátor musí rozumět rozdílu mezi databází a běžící konfigurací,
• přímé změny na FortiGate mohou způsobit stav out-of-sync,
• nesprávná oprávnění mohou poskytnout příliš široký přístup,
• výpadek management platformy může dočasně omezit centrální správu.

Časté chyby

• Instalace změn na nesprávné zařízení.
• Nekontrolovaný instalační preview.
• Současná správa přes FortiManager i přímo přes FortiGate.
• Nesprávné přiřazení zařízení do ADOM.
• Neověřená kompatibilita verzí FortiOS a FortiManageru.
• Příliš široká administrátorská oprávnění.
• Změna sdíleného objektu bez kontroly všech policies.
• Chybějící záloha před větší instalací.

Shrnutí

• FortiManager slouží k centrální správě Fortinet zařízení.
• Device Manager spravuje zařízení a jejich systémovou konfiguraci.
• Policy & Objects spravuje firewallová pravidla a objekty.
• Policy Package lze distribuovat na jedno nebo více zařízení.
• ADOM odděluje zařízení, konfigurace a administrátory.
• Změny vytvořené ve FortiManageru se instalují na cílové FortiGate.
• Revision History umožňuje sledovat a porovnávat konfigurace.
• FortiManager se zaměřuje na konfiguraci, nikoli primárně na analýzu logů.

FortiAnalyzer – základ

FortiAnalyzer je platforma pro centralizovaný sběr, ukládání, vyhledávání, analýzu a reportování logů z Fortinet prostředí.

Nejčastěji přijímá logy z FortiGate firewallů, ale může pracovat také s událostmi dalších podporovaných součástí Fortinet Security Fabric. FortiAnalyzer poskytuje centrální pohled na provozní i bezpečnostní události a podporuje jejich analýzu. :contentReference[oaicite:3]{index=3}

FortiGate Praha ───┐
FortiGate Brno ────┼──▶ FortiAnalyzer
FortiGate Ostrava ─┘          │
                              ├── logy
                              ├── analýza
                              ├── reporty
                              └── incidenty

Proč používat FortiAnalyzer

Logy uložené pouze na jednotlivých firewallech mohou mít omezenou historii a jsou rozdělené mezi více zařízení.

Bez FortiAnalyzeru:

FortiGate A → vlastní logy
FortiGate B → vlastní logy
FortiGate C → vlastní logy

S FortiAnalyzerem:

FortiGate A ─┐
FortiGate B ─┼──▶ centrální logovací platforma
FortiGate C ─┘

Základní funkce

• centrální příjem logů,
• dlouhodobé ukládání událostí,
• vyhledávání v provozních logách,
• analýza bezpečnostních událostí,
• tvorba dashboardů,
• automatické reporty,
• korelace souvisejících událostí,
• správa incidentů a event handlerů,
• export logů nebo jejich předávání dalším systémům.

Typy přijímaných logů

Traffic log

Traffic log popisuje síťové spojení zpracované FortiGate.

Source IP:
192.168.10.25

Destination IP:
203.0.113.80

Destination Port:
443

Action:
accept

Policy ID:
12

Application:
HTTPS

Bytes Sent:
12500

Bytes Received:
84500

Security log

Bezpečnostní log může obsahovat detekci konkrétní hrozby.

Event Type:
IPS

Source:
198.51.100.25

Destination:
192.168.20.10

Signature:
Web Application Exploit

Severity:
High

Action:
Blocked

Log View

Log View slouží k procházení a filtrování jednotlivých záznamů.

Vyhledávat lze například podle:

• zdrojové IP adresy,
• cílové IP adresy,
• uživatele,
• policy ID,
• aplikace,
• portu,
• akce accept nebo deny,
• závažnosti,
• časového období,
• konkrétního FortiGate zařízení.

Příklad hledání problému

Uživatel oznámí, že se nemůže připojit k serveru 192.168.20.10 na portu 443.

Filtr:

srcip = 192.168.10.25
dstip = 192.168.20.10
dstport = 443

Výsledek může ukázat:

Action:
deny

Policy ID:
0

Reason:
implicit deny

Z logu lze odvodit, že komunikace neodpovídala žádné povolující Security Policy.

Analytics logs

Pro pokročilé vyhledávání a reporting mohou být logy zpracovány do analytické databáze.

To umožňuje například:

• rychlejší dotazy nad větším množstvím dat,
• agregaci událostí,
• tvorbu datasetů,
• generování reportů,
• historické porovnání provozu.

Archive logs

Archivní logy uchovávají původní záznamy pro dlouhodobé uložení nebo pozdější použití.

Zjednodušeně lze rozlišit:

Analytics:
data připravená pro rychlou analýzu

Archive:
dlouhodobě uložená původní data

ADOM

Podobně jako FortiManager může FortiAnalyzer používat Administrative Domains.

FortiAnalyzer
   │
   ├── ADOM Production
   ├── ADOM Customer-A
   ├── ADOM Customer-B
   └── ADOM Testing

ADOM odděluje zařízení, logy a administrátorská oprávnění.

Dashboardy

Dashboard poskytuje rychlý vizuální přehled o prostředí.

Může zobrazovat například:

• nejčastější zdrojové IP adresy,
• nejnavštěvovanější cíle,
• nejpoužívanější aplikace,
• detekované hrozby,
• VPN přihlášení,
• množství přenesených dat,
• blokované webové kategorie,
• zařízení, která přestala odesílat logy.

Reports

FortiAnalyzer může generovat pravidelné nebo jednorázové reporty. Reporty mohou využívat předdefinované šablony nebo vlastní datasety a grafy. :contentReference[oaicite:4]{index=4}

Týdenní bezpečnostní report:

Top detekované hrozby
Nejaktivnější zdrojové adresy
Blokované aplikace
VPN přihlášení
Webové kategorie
Objem přenesených dat

Plánované reporty

Report může být automaticky generován například:

• každý den,
• každý týden,
• každý měsíc,
• po skončení auditního období.

Výsledek lze podle konfigurace uložit nebo odeslat oprávněným příjemcům.

Datasety

Dataset je dotaz určující, jaká data budou použita v reportu nebo grafu.

Příklad otázky datasetu:

Kolik IPS událostí s vysokou závažností
bylo zaznamenáno za posledních 7 dní?

Dataset může filtrovat, seskupovat a agregovat hodnoty z logů.

Event Handler

Event Handler sleduje logy a hledá události odpovídající stanoveným podmínkám.

Podmínka:

Více než 20 neúspěšných VPN přihlášení
z jedné IP adresy během 5 minut

Při splnění podmínky může FortiAnalyzer vytvořit událost nebo spustit další reakci.

Event a Incident

Jednotlivý log není automaticky bezpečnostní incident.

Log:
jeden záznam neúspěšného přihlášení

Event:
více souvisejících neúspěšných přihlášení

Incident:
vyhodnocená bezpečnostní situace
vyžadující šetření

Korelace pomáhá spojit více souvisejících záznamů do srozumitelnější bezpečnostní události.

IOC a Threat Intelligence

FortiAnalyzer může při analýze pracovat s indikátory kompromitace a informacemi o známých hrozbách.

Indikátorem může být například:

• škodlivá IP adresa,
• doména používaná pro Command and Control,
• hash malwaru,
• podezřelá URL,
• neobvyklá komunikace zařízení.

FortiView

FortiView poskytuje agregovaný pohled na síťový provoz a bezpečnostní události.

Top Sources
Top Destinations
Top Applications
Top Threats
Top Websites
Top VPN Users

Je vhodný pro rychlou orientaci, zatímco detailní vyšetřování vyžaduje práci s konkrétními logy.

FortiAnalyzer jako součást SOC

V bezpečnostním operačním centru může FortiAnalyzer pomáhat s:

• prvotním vyhledáním události,
• analýzou provozu před a po detekci,
• vyhledáním dalších zasažených zařízení,
• kontrolou činnosti uživatele,
• určením časové osy incidentu,
• tvorbou reportu o incidentu.

Příklad základního vyšetřování

1. IPS detekuje útok na webový server.
2. FortiGate odešle log do FortiAnalyzeru.
3. Analytik vyhledá zdrojovou IP.
4. Zkontroluje další spojení stejného zdroje.
5. Zjistí, zda byl provoz blokován.
6. Prověří další cílové systémy.
7. Vytvoří nebo aktualizuje incident.

Retention

Retention určuje, jak dlouho budou logy uchovávány.

Doba uchování závisí například na:

• dostupné kapacitě úložiště,
• množství logů za den,
• licenci a platformě,
• interních bezpečnostních pravidlech,
• právních a auditních požadavcích.

Log rate

Při návrhu je nutné odhadnout množství logů generovaných za sekundu nebo za den.

Více zařízení
×
více sessions
×
detailnější logování
=
vyšší objem logů

Nedostatečně dimenzovaný systém může mít krátkou historii dat nebo problémy s výkonem.

FortiAnalyzer a SIEM

FortiAnalyzer má řadu analytických a korelačních funkcí, ale v rozsáhlé organizaci může být zároveň zdrojem dat pro samostatný SIEM.

FortiGate
   │
   ▼
FortiAnalyzer
   │
   ▼
SIEM

SIEM může spojovat Fortinet logy s událostmi z dalších zdrojů, například:

• Active Directory,
• EDR,
• cloudových služeb,
• serverů,
• aplikací,
• e-mailové infrastruktury.

FortiAnalyzer a FortiManager

Administrátorská oprávnění

FortiAnalyzer podporuje administrátorské profily s různými úrovněmi přístupu. Lze omezit například přístup k určitým ADOM, zařízením nebo funkcím. Podporována může být lokální i externí autentizace a vícefaktorové ověřování. :contentReference[oaicite:5]{index=5}

Ochrana logů

Logy mohou obsahovat citlivé informace o uživatelích, zařízeních a interní síti.

Je proto nutné chránit:

• administrativní přístup,
• přenos logů,
• úložiště,
• zálohy,
• exportované reporty,
• účty analytiků a auditorů.

Časté chyby

• FortiGate neodesílá všechny potřebné typy logů.
• Security Policy nemá zapnuté logování.
• Nesprávně nastavená retention způsobí příliš krátkou historii.
• Zařízení je přiřazeno do nesprávného ADOM.
• Čas zařízení není synchronizován pomocí NTP.
• Analytik hledá podle nesprávného časového pásma.
• Příliš obecný filtr vrátí nepřehledné množství záznamů.
• Není sledováno, zda zařízení přestalo odesílat logy.
• Příliš mnoho logování zaplní dostupné úložiště.

Shrnutí

• FortiAnalyzer centrálně přijímá a ukládá logy.
• Log View umožňuje vyhledávat jednotlivé události a sessions.
• FortiView nabízí agregovaný pohled na provoz a hrozby.
• Reporty poskytují pravidelné přehledy o bezpečnosti a provozu.
• Event Handlers mohou rozpoznávat definované vzory událostí.
• ADOM odděluje zařízení, logy a administrátory.
• Retention určuje dobu uchování dat.
• FortiAnalyzer se zaměřuje na logy a analýzu, zatímco FortiManager na konfiguraci.

FortiClient

FortiClient je software instalovaný na koncové zařízení uživatele. Podle licence a způsobu nasazení může poskytovat VPN připojení, kontrolu bezpečnostního stavu zařízení, integraci s Fortinet Security Fabric a další endpointové bezpečnostní funkce.

FortiClient může být používán samostatně pro některé základní scénáře nebo centrálně spravován pomocí FortiClient EMS. EMS podporuje správu, monitoring, nasazování konfigurací a přehled o koncových zařízeních. :contentReference[oaicite:6]{index=6}

Notebook uživatele
        │
        │ FortiClient
        ▼
Internet
        │
        ▼
FortiGate
        │
        ▼
Firemní síť

Hlavní možnosti FortiClientu

Konkrétní dostupné funkce závisí na verzi, licenci a centrální konfiguraci.

• IPsec VPN,
• SSL VPN v podporovaných konfiguracích,
• Zero Trust Network Access,
• telemetrie zařízení,
• kontrola bezpečnostního stavu endpointu,
• webové filtrování,
• ochrana před škodlivým softwarem podle licence,
• integrace s FortiClient EMS,
• výměna informací s Fortinet Security Fabric.

FortiClient VPN

Jedním z nejčastějších použití FortiClientu je vzdálený přístup uživatele k firemní síti.

Domácí notebook
192.168.1.50
      │
      ▼
FortiClient VPN
      │
      ▼
Virtuální VPN adresa
10.250.10.25
      │
      ▼
Firemní servery

IPsec VPN

FortiClient může navázat IPsec VPN spojení s FortiGate.

Konfigurace může obsahovat například:

• adresu VPN brány,
• IKE verzi,
• metodu autentizace,
• Pre-Shared Key nebo certifikát,
• uživatelské jméno a heslo,
• nastavení Split Tunnel nebo Full Tunnel.

SSL VPN

FortiClient se tradičně používá také pro klientský SSL VPN tunnel mode, kdy je uživateli vytvořeno virtuální síťové rozhraní a přiděleny routy k firemním sítím. Dostupnost konkrétního typu vzdáleného přístupu závisí na použité verzi FortiOS, FortiClientu a zvoleném návrhu. Příklad full-tunnel připojení přes FortiClient je popsán v dokumentaci Fortinet. :contentReference[oaicite:7]{index=7}

FortiClient
     │
     ║ šifrovaný tunel
     ▼
FortiGate SSL VPN
     │
     ▼
Interní síť

VPN profil

VPN profil ukládá parametry připojení.

Profile Name:
COMPANY-VPN

Remote Gateway:
vpn.firma.cz

Authentication:
Username, Password, MFA

VPN Type:
IPsec nebo podporovaný SSL VPN režim

Autentizace uživatele

Uživatel může být ověřován například pomocí:

• lokálního účtu na FortiGate,
• LDAP nebo Active Directory,
• RADIUS,
• SAML Identity Provideru,
• klientského certifikátu,
• vícefaktorového ověřování.

MFA

VPN by neměla být chráněna pouze heslem. Vícefaktorové ověřování přidává další ověřovací krok.

1. Uživatelské jméno.
2. Heslo.
3. Potvrzení druhého faktoru.
4. Vytvoření VPN tunelu.

Full Tunnel

V režimu Full Tunnel prochází firemním VPN tunelem veškerý IP provoz uživatele.

Interní služby ─┐
                ├──▶ FortiClient VPN ──▶ FortiGate
Internet ───────┘

Výhody zahrnují:

• centrální bezpečnostní kontrolu,
• jednotné webové filtrování,
• lepší přehled o síťovém provozu,
• použití firemní veřejné IP adresy.

Nevýhodou je vyšší zatížení VPN brány a internetové linky organizace.

Split Tunnel

V režimu Split Tunnel prochází VPN pouze provoz směřující do definovaných firemních sítí.

10.0.0.0/8
   │
   └──▶ VPN tunel

192.168.100.0/24
   │
   └──▶ VPN tunel

Veřejný internet
   │
   └──▶ lokální internetová přípojka

Split Tunnel snižuje zatížení firemní sítě, ale část provozu neprochází centrální bezpečnostní kontrolou FortiGate.

FortiClient EMS

FortiClient EMS (Endpoint Management Server) slouží k centrální správě FortiClientů na koncových zařízeních.

                    FortiClient EMS
                          │
            centrální politiky a monitoring
                          │
        ┌─────────────────┼─────────────────┐
        ▼                 ▼                 ▼
Notebook 1          Notebook 2          Notebook 3
FortiClient         FortiClient         FortiClient

Funkce EMS

Podle licence a platformy může EMS zajišťovat například:

• centrální nasazení konfigurace,
• správu VPN profilů,
• monitoring endpointů,
• kontrolu verzí FortiClientu,
• správu bezpečnostních politik,
• telemetrii a inventář zařízení,
• řízení ZTNA tagů,
• karanténu nebo reakci na rizikové zařízení,
• správu Windows, macOS a Linux endpointů v podporovaných scénářích.

Endpoint Profile

EMS může přiřadit zařízení profil obsahující požadovaná nastavení.

Profile:
CORPORATE-LAPTOPS

VPN:
COMPANY-VPN

Web Filter:
Enabled

Telemetry:
Enabled

ZTNA:
Enabled

Update Policy:
Automatic

Skupiny endpointů

Zařízení lze rozdělit do skupin podle jejich účelu.

Endpoint Groups:

IT-ADMIN-LAPTOPS
FINANCE-LAPTOPS
SALES-LAPTOPS
EXTERNAL-CONTRACTORS
TEST-DEVICES

Každá skupina může dostat jinou konfiguraci a oprávnění.

Telemetry

Telemetry znamená, že FortiClient poskytuje centrálním systémům informace o stavu endpointu.

Může jít například o:

• identitu zařízení,
• operační systém,
• verzi FortiClientu,
• stav připojení,
• bezpečnostní tagy,
• stav vybraných bezpečnostních kontrol.

Security Fabric integrace

FortiClient může poskytovat informace o endpointu dalším součástem Fortinet prostředí.

FortiClient
     │
     ▼
FortiClient EMS
     │
     ▼
FortiGate / Security Fabric

Firewall může při rozhodování využít nejen IP adresu, ale také informace o identitě nebo bezpečnostním stavu zařízení.

Zero Trust Network Access

ZTNA nahrazuje princip „uživatel je ve VPN, proto má přístup do celé sítě“ přesnějším řízením přístupu ke konkrétním aplikacím.

Uživatel
   │
   ▼
Ověření identity
   │
   ▼
Kontrola zařízení
   │
   ▼
Přístup pouze ke konkrétní aplikaci

ZTNA tag

FortiClient EMS může zařízení přiřadit tag podle splnění určitých podmínek.

Tag:
COMPLIANT-CORPORATE-DEVICE

Podmínky:
firemní zařízení
podporovaný operační systém
aktuální FortiClient
požadované bezpečnostní nastavení

FortiGate může tento tag použít v přístupovém pravidle.

Povolit ERP aplikaci pouze pokud:

User Group:
Finance

ZTNA Tag:
COMPLIANT-CORPORATE-DEVICE

Posture Check

Posture Check ověřuje bezpečnostní stav zařízení před přístupem nebo během něj.

Kontrolovat lze například:

• verzi operačního systému,
• přítomnost konkrétního softwaru,
• stav ochranných funkcí,
• firemní certifikát,
• členství zařízení v doméně,
• verzi FortiClientu,
• další podporované vlastnosti endpointu.

Compliant a Non-Compliant zařízení

Compliant endpoint:
povolen přístup k interní aplikaci

Non-Compliant endpoint:
přístup zakázán
nebo omezen pouze na nápravné služby

Nápravnou službou může být například aktualizační server nebo portál s pokyny.

Web Filter na endpointu

Podle licence a profilu může FortiClient aplikovat webové filtrování přímo na zařízení.

Výhodou je možnost chránit notebook také mimo firemní síť.

Notebook v kanceláři:
chráněn FortiGate

Notebook mimo kancelář:
může být chráněn endpointovou politikou FortiClientu

Endpoint Protection

Licencované varianty mohou zahrnovat další bezpečnostní funkce pro koncové zařízení. Konkrétní možnosti se liší podle produktu, licence a verze.

Mohou zahrnovat například:

• ochranu před malwarem,
• kontrolu škodlivých webů,
• vulnerability scanning,
• kontrolu aplikací,
• integraci s endpoint detection funkcemi.

FortiClient VPN vs. spravovaný FortiClient

Distribuce konfigurace

Ve firemním prostředí by uživatel neměl ručně zadávat složitou konfiguraci VPN. Profil může být distribuován centrálně.

EMS profil
   │
   ▼
Automatické nastavení:

VPN gateway
certifikát
Split Tunnel sítě
DNS nastavení
bezpečnostní pravidla

Certifikáty

FortiClient může používat klientský certifikát k ověření zařízení nebo uživatele.

Uživatel zná:
heslo

Zařízení obsahuje:
klientský certifikát

Přístup vyžaduje:
oba prvky

Certifikát pomáhá rozlišit spravované firemní zařízení od neznámého počítače.

Always-Up VPN

V některých firemních scénářích může být VPN nastavena tak, aby se připojovala automaticky nebo zůstávala aktivní.

Cílem může být:

• trvalé uplatňování firemních politik,
• dostupnost interních služeb,
• centrální kontrola provozu,
• správa zařízení mimo kancelář.

VPN Before Logon

VPN Before Logon umožňuje v podporované konfiguraci vytvořit síťové spojení před přihlášením uživatele do operačního systému.

To může být důležité například pro:

• první doménové přihlášení,
• kontakt s Active Directory,
• aplikaci přihlašovacích politik,
• obnovu přístupu vzdáleného uživatele.

DNS přes VPN

FortiClient může po připojení používat firemní DNS servery.

Interní doména:

server.firma.local
        │
        ▼
DNS dotaz přes VPN
        │
        ▼
Firemní DNS server

Nesprávná DNS konfigurace je častou příčinou situace, kdy funguje připojení na IP adresu, ale ne na název serveru.

Routy instalované klientem

Po připojení může FortiClient přidat do operačního systému potřebné routy.

10.10.0.0/16
via FortiClient VPN adapter

10.20.0.0/16
via FortiClient VPN adapter

Pokud chybí správná routa, provoz bude odeslán přes lokální gateway místo VPN.

Překrývající se sítě

Problém může nastat, když domácí síť používá stejný rozsah jako firemní síť.

Domácí LAN:
192.168.1.0/24

Firemní síť:
192.168.1.0/24

Operační systém nemusí vědět, zda má provoz poslat do lokální sítě, nebo přes VPN.

Řešení může zahrnovat:

• změnu firemního adresního plánu,
• změnu domácí sítě,
• NAT ve VPN scénáři,
• přesnější host routes podle návrhu.

FortiClient logy

Klientské logy pomáhají při řešení problémů s připojením.

Mohou obsahovat například:

• čas pokusu o připojení,
• adresu VPN brány,
• výsledek autentizace,
• chybu certifikátu,
• stav IKE vyjednávání,
• přidělenou VPN adresu,
• instalované routy,
• důvod odpojení.

Základní kontrola nefunkční VPN

1. Ověřit internetové připojení klienta.
2. Ověřit správnou adresu VPN brány.
3. Ověřit překlad DNS jména.
4. Ověřit uživatelské jméno a heslo.
5. Ověřit MFA.
6. Ověřit platnost certifikátu.
7. Zkontrolovat kompatibilitu klienta a brány.
8. Zkontrolovat klientské logy.
9. Zkontrolovat VPN logy na FortiGate nebo FortiAnalyzeru.
10. Po připojení ověřit přidělenou IP adresu, DNS a routy.

VPN je připojená, ale služba nefunguje

Úspěšně vytvořený VPN tunel ještě neznamená, že má uživatel přístup ke všem interním systémům.

VPN tunnel:
Connected

Přístup k serveru:
Blocked

Je nutné zkontrolovat:

• Security Policy z VPN do cílové sítě,
• Address Objects,
• Service Objects,
• uživatelskou skupinu,
• ZTNA tag nebo posture check,
• routy,
• lokální firewall serveru,
• zpětnou cestu.

Bezpečnostní zásady

• Používat MFA.
• Pravidelně aktualizovat FortiClient.
• Nepovolovat přístup do celé sítě bez potřeby.
• Používat skupiny a princip nejnižších oprávnění.
• Kontrolovat stav zařízení.
• Odebírat přístup bývalým zaměstnancům.
• Chráníť klientské certifikáty.
• Monitorovat neúspěšná přihlášení.
• Centrálně spravovat konfiguraci ve větším prostředí.

Časté chyby

• Nesprávná VPN gateway.
• Neplatný nebo nedůvěryhodný certifikát.
• Chybné uživatelské oprávnění.
• Uživatel není členem správné VPN skupiny.
• Chybí Security Policy z VPN do LAN.
• Chybí routa k cílové síti.
• Split Tunnel neobsahuje potřebnou síť.
• Překrývání domácí a firemní podsítě.
• DNS servery nejsou dostupné přes tunel.
• Zastaralá nebo nekompatibilní verze FortiClientu.
• Endpoint nesplňuje posture check.

Shrnutí

• FortiClient je software instalovaný na koncovém zařízení.
• Může poskytovat IPsec VPN, podporované SSL VPN scénáře, ZTNA a endpointové funkce.
• FortiClient EMS zajišťuje centrální správu klientů.
• Full Tunnel posílá přes VPN veškerý provoz.
• Split Tunnel posílá přes VPN pouze definované sítě.
• Telemetry poskytuje informace o stavu endpointu.
• ZTNA může rozhodovat podle identity uživatele i stavu zařízení.
• Úspěšné připojení VPN samo o sobě nezaručuje přístup k interním službám.
• Při diagnostice je nutné kontrolovat autentizaci, certifikáty, routy, DNS, policies a klientské logy.

IPS – Intrusion Prevention System

IPS je bezpečnostní systém určený k detekci a aktivnímu blokování škodlivého nebo podezřelého síťového provozu. Zkratka IPS znamená Intrusion Prevention System.

Na rozdíl od běžného firewallu, který rozhoduje zejména podle IP adres, portů, protokolů a stavu spojení, IPS analyzuje obsah komunikace a hledá známky útoků, zneužití zranitelností nebo neobvyklého chování.

Klient
   │
   ▼
Firewall
   │
   ▼
IPS kontrola
   │
   ├── legitimní provoz → povolit
   └── detekovaný útok → zablokovat

Základní úloha IPS

IPS je umístěn přímo v cestě síťového provozu. To znamená, že každý kontrolovaný paket přes něj skutečně prochází.

Pokud IPS rozpozná útok, může například:

• zahodit konkrétní paket,
• ukončit celé spojení,
• zablokovat zdrojovou IP adresu,
• vytvořit bezpečnostní událost,
• odeslat upozornění administrátorovi,
• předat informace do SIEM nebo FortiAnalyzeru.

Inline umístění

IPS pracuje typicky v režimu inline. Je vložen přímo mezi zdroj a cíl komunikace.

Internet
   │
   ▼
IPS
   │
   ▼
Webový server

Výhodou je možnost provoz okamžitě blokovat. Nevýhodou je, že chyba IPS, přetížení nebo nesprávná konfigurace mohou ovlivnit dostupnost komunikace.

Firewall vs. IPS

Příklad rozdílu

Firewall povolí komunikaci na webový server přes port 443.

Source:
Internet

Destination:
Web server

Service:
HTTPS

Action:
Accept

Uvnitř povoleného HTTPS provozu se však může nacházet pokus o zneužití zranitelnosti webové aplikace. Firewall spojení povolil správně, protože služba má být dostupná. IPS následně kontroluje, zda obsah komunikace neodpovídá známému útoku.

Signaturní detekce

Nejběžnější způsob detekce využívá signatury. Signatura je pravidlo popisující známý vzor útoku nebo škodlivé komunikace.

Signatura může hledat:

konkrétní řetězec v požadavku
neobvyklou strukturu protokolu
známou posloupnost bajtů
pokus o zneužití konkrétní CVE
podezřelý příkaz

Pokud provoz odpovídá signatuře, IPS provede nastavenou akci.

Příklad signatury

Útok:
pokus o SQL injection

HTTP request:
GET /product?id=1' OR '1'='1

IPS:
detekce odpovídající signatury
akce: block

Výhody signaturní detekce

• dobrá přesnost u známých útoků,
• rychlá identifikace konkrétní techniky,
• možnost přiřadit CVE nebo název zranitelnosti,
• jednodušší rozhodování o reakci,
• pravidelné aktualizace databáze hrozeb.

Nevýhody signaturní detekce

• nemusí poznat nový nebo výrazně upravený útok,
• vyžaduje pravidelné aktualizace,
• může vytvářet false positive,
• šifrovaný provoz může skrývat obsah,
• některé útoky lze obfuskovat nebo fragmentovat.

Anomální detekce

Anomaly-based detekce hledá odchylky od běžného nebo očekávaného chování.

Běžný provoz:
100 požadavků za minutu

Aktuální provoz:
50 000 požadavků za minutu

Možná anomálie:
DoS útok nebo automatizované skenování

Anomální detekce může pomoci zachytit i dosud neznámé útoky, ale může mít vyšší počet falešných poplachů.

Protocol anomaly

IPS může kontrolovat, zda komunikace odpovídá standardu daného protokolu.

Může detekovat například:

• neplatné délky polí,
• neočekávané příkazy,
• poškozené hlavičky,
• neobvyklé pořadí zpráv,
• hodnoty mimo povolený rozsah.

Normální DNS dotaz:
odpovídá struktuře DNS protokolu

Podezřelý DNS paket:
obsahuje neplatnou délku pole
nebo neobvyklé množství dat

Behavioral detection

Behaviorální detekce sleduje chování zdroje nebo relace v čase.

Může identifikovat například:

• skenování velkého množství portů,
• opakované pokusy o přihlášení,
• komunikaci s velkým množstvím cílů,
• neobvyklý objem dat,
• pokusy o laterální pohyb.

IPS signatura

Každá signatura obvykle obsahuje více informací než jen samotný detekční vzor.

Závažnost signatur

Signatury mohou být klasifikovány podle závažnosti.

Závažnost signatury sama o sobě nemusí určovat skutečný dopad na konkrétní prostředí. Útok na neexistující službu může mít vysokou technickou závažnost, ale nulový reálný dopad.

Akce IPS

Monitor režim

Před aktivním blokováním lze IPS nejprve nasadit v monitorovacím režimu.

IPS detekce:
ano

Provoz:
nezablokován

Výsledek:
log pro vyhodnocení

Administrátor může sledovat, zda signatury nevytvářejí falešné detekce legitimního provozu.

Block režim

V block režimu IPS detekovaný útok aktivně zastaví.

Útok odpovídá signatuře
        │
        ▼
Paket zahozen
nebo session ukončena
        │
        ▼
Událost zaznamenána

IPS profil

Na FortiGate se IPS obvykle konfiguruje pomocí IPS Sensoru nebo IPS profilu. Tento profil se následně připojí k Security Policy.

Security Policy:
WAN → DMZ
HTTPS
Accept

IPS Sensor:
PUBLIC-WEB-SERVER-PROTECTION

Obsah IPS profilu

IPS profil může obsahovat:

• jednotlivě vybrané signatury,
• filtry signatur podle závažnosti,
• filtry podle operačního systému,
• filtry podle protokolu,
• filtry podle cílové aplikace,
• vlastní výjimky,
• nastavené akce,
• rate-based signatury.

Filtrování podle cíle

IPS profil by měl odpovídat chráněnému systému.

Webový Linux server:

relevantní:
Apache
Nginx
PHP
Linux
Web application attacks

méně relevantní:
útoky na Windows RDP
útoky na Microsoft SQL Server

Příliš široký profil může zvyšovat nároky na výkon a počet nerelevantních událostí.

Client protection a server protection

IPS může chránit klienty i servery.

Server protection

Internet
   │
   ▼
IPS
   │
   ▼
Veřejný webový server

IPS kontroluje pokusy o zneužití serverové služby.

Client protection

Pracovní stanice
   │
   ▼
IPS
   │
   ▼
Internet

IPS může kontrolovat škodlivé odpovědi přicházející z internetu směrem ke klientovi.

Směr provozu

IPS signatura může být relevantní pouze v určitém směru.

Client → Server:
pokus o zneužití serveru

Server → Client:
škodlivý soubor nebo exploit proti klientovi

Správné určení směru pomáhá snížit falešné detekce.

Rate-based signatury

Některé IPS mechanismy sledují počet událostí za určitý čas.

Zdroj:
198.51.100.25

Událost:
200 pokusů o připojení
na různé porty během 10 sekund

Vyhodnocení:
port scan

Threshold

Threshold určuje hranici, po jejímž překročení je chování považováno za podezřelé.

Threshold:
100 sessions

Interval:
10 sekund

Action:
Block source for 60 seconds

Quarantine

V některých scénářích může IPS nebo navazující automatizace umístit zdroj do dočasné karantény.

Detekovaný útočník:
198.51.100.25

Quarantine:
blokace na 30 minut

Karanténa musí být nastavena opatrně, aby útočník nemohl podvrženou zdrojovou adresou způsobit blokaci legitimního systému.

False positive

False positive znamená, že IPS označí legitimní provoz jako útok.

Legitimní aplikace:
používá neobvyklý požadavek

IPS:
požadavek odpovídá signatuře

Výsledek:
legitimní provoz je zablokován

Příčiny false positive

• příliš obecná signatura,
• nestandardní legitimní aplikace,
• testovací nebo vývojový provoz,
• nesprávně zvolený IPS profil,
• neaktuální signatura,
• kontrola provozu, pro který signatura není relevantní.

False negative

False negative znamená, že skutečný útok není detekován.

Může nastat například kvůli:

• neznámému zero-day útoku,
• zastaralé databázi signatur,
• šifrovanému provozu bez inspekce,
• obfuskovanému útoku,
• vypnuté signatuře,
• nesprávnému směru nebo profilu.

Tuning IPS

Tuning znamená úpravu IPS profilu podle skutečného prostředí.

Typický postup:

1. Nasadit relevantní signatury v monitorovacím režimu.
2. Sledovat detekce a false positive.
3. Ověřit používané systémy a aplikace.
4. Zakázat nerelevantní signatury.
5. Upravit výjimky nebo prahy.
6. Přepnout ověřené kritické signatury do block režimu.
7. Pravidelně profil kontrolovat.

Výjimka ze signatury

Pokud konkrétní legitimní provoz vyvolává false positive, lze někdy vytvořit výjimku.

Signatura:
WEB-ATTACK-X

Obecná akce:
Block

Výjimka:
Source = 192.168.10.50
Destination = 192.168.20.10
Action = Monitor

Výjimka má být co nejpřesnější. Úplné vypnutí signatury pro všechny zdroje může zbytečně snížit ochranu.

IPS a šifrovaný provoz

IPS nemůže plně kontrolovat obsah šifrovaného spojení, pokud FortiGate provoz nedešifruje.

Klient
   │ TLS
   ▼
FortiGate bez Deep Inspection
   │
   ▼
Server

IPS vidí:
IP adresy
porty
část metadat

IPS nevidí:
plný obsah HTTP požadavku

IPS s SSL Deep Inspection

Klient
   │ šifrovaný provoz
   ▼
FortiGate
   │ dešifrování
   │ IPS kontrola
   │ nové zašifrování
   ▼
Server

Deep Inspection zvyšuje možnosti detekce, ale také nároky na výkon, správu certifikátů, ochranu soukromí a kompatibilitu aplikací.

IPS a fragmentace

Útočník může rozdělit škodlivý obsah do více paketů. IPS proto často provádí normalizaci nebo rekonstrukci toku.

Paket 1:
část škodlivého řetězce

Paket 2:
další část řetězce

IPS:
sestaví obsah relace
a vyhodnotí celý vzor

Stream reassembly

U TCP může IPS rekonstruovat datový tok bez ohledu na to, jak byl obsah rozdělen mezi pakety.

To pomáhá odhalit pokusy o obejití detekce pomocí:

• fragmentace,
• změny pořadí segmentů,
• překrývajících se segmentů,
• malých paketů,
• neobvyklého TCP chování.

IPS a DoS Policy

IPS a DoS Policy nejsou totožné.

Obě funkce se mohou doplňovat.

IPS aktualizace

Databáze IPS signatur musí být pravidelně aktualizována.

Aktualizace mohou přidávat:

• nové signatury,
• opravy existujících signatur,
• nové informace o zranitelnostech,
• změny doporučených akcí,
• lepší detekci obfuskovaných útoků.

IPS log

IPS událost může obsahovat například:

Time:
2026-07-20 14:25:10

Source:
198.51.100.25

Destination:
192.168.20.10

Destination Port:
443

Signature:
Apache.Struts.Remote.Code.Execution

Severity:
Critical

Action:
Blocked

Policy ID:
25

Interpretace IPS logu

Při analýze je vhodné ověřit:

• zda byl útok pouze detekován, nebo skutečně blokován,
• zda cílový systém používá zranitelnou službu,
• zda odpovídá verze aplikace,
• zda byl útok úspěšný,
• zda zdroj útočil i na další cíle,
• zda po události následovalo neobvyklé spojení,
• zda jde o false positive.

Detekce neznamená úspěšný útok

IPS může zaznamenat pokus o zneužití, i když cílový systém není zranitelný.

Útočník:
zkouší exploit na Apache Struts

Cílový server:
používá jinou technologii

IPS:
detekuje pokus

Reálný dopad:
pravděpodobně žádný

Událost je však stále důležitá jako informace o nepřátelské aktivitě.

Úspěšná blokace neznamená konec šetření

I když IPS útok zablokoval, je vhodné ověřit:

• zda stejný zdroj nezkoušel jiné techniky,
• zda jiný útok nebyl povolen,
• zda server není zranitelný,
• zda není potřeba patching,
• zda nedošlo k předchozí kompromitaci.

Výkon IPS

Aktivní IPS kontrola spotřebovává procesorový výkon a paměť.

Výkon ovlivňuje například:

• množství provozu,
• počet aktivních signatur,
• velikost sessions,
• SSL Deep Inspection,
• typ protokolu,
• schopnosti konkrétního FortiGate modelu.

Propustnost firewallu vs. IPS throughput

Výrobce může uvádět různé hodnoty výkonu.

Pro návrh je důležité sledovat výkon při zapnutých funkcích, které budou skutečně používány.

Fail-open a fail-close

Pokud IPS pracuje jako samostatné inline zařízení, může návrh určit chování při jeho selhání.

Fail-open upřednostňuje dostupnost. Fail-close upřednostňuje bezpečnost. U integrovaného NGFW se chování řeší v rámci dostupnosti firewallu a HA návrhu.

IPS ve FortiGate Security Policy

Name:
WAN-TO-PUBLIC-WEB

Incoming:
WAN

Outgoing:
DMZ

Source:
all

Destination:
WEB-SERVER-VIP

Service:
HTTPS

Action:
Accept

IPS Sensor:
PUBLIC-WEB-SERVER-IPS

SSL Inspection:
Deep Inspection nebo vhodný profil

Logging:
All Sessions

Příklad odchozí ochrany klientů

Name:
USERS-TO-INTERNET

Incoming:
USERS

Outgoing:
WAN

Source:
USER-NETWORKS

Destination:
all

Service:
HTTP, HTTPS

Action:
Accept

IPS Sensor:
CLIENT-PROTECTION

Web Filter:
Enabled

Application Control:
Enabled

Časté chyby při konfiguraci IPS

• IPS profil není připojen k žádné Security Policy.
• Všechny signatury jsou zapnuty bez ohledu na chráněné systémy.
• Kritické signatury jsou pouze v monitor režimu.
• Profil blokuje legitimní provoz bez předchozího testování.
• Signatury nejsou aktualizovány.
• Šifrovaný provoz není dešifrován, ale očekává se plná kontrola.
• Událost je automaticky považována za úspěšný útok.
• Detekce se neodesílají do centrálního logování.
• Příliš široké výjimky snižují ochranu.
• Zařízení nemá dostatečný výkon pro zvolený profil.

Základní postup při IPS události

1. Ověřit čas, zdroj a cíl.
2. Ověřit název a závažnost signatury.
3. Zjistit, zda byla akce monitor nebo block.
4. Ověřit, zda je cílová služba skutečně přítomna.
5. Zkontrolovat verzi a stav patchování.
6. Vyhledat další aktivitu stejného zdroje.
7. Zkontrolovat provoz cílového systému po události.
8. Vyhodnotit možnost false positive.
9. Podle výsledku upravit IPS profil nebo zahájit incident response.

Shrnutí

• IPS znamená Intrusion Prevention System.
• IPS je umístěn inline a může útok aktivně blokovat.
• Detekuje útoky pomocí signatur, anomálií a protokolové analýzy.
• Na FortiGate se IPS profil připojuje k Security Policy.
• Monitor režim pouze loguje, block režim provoz zastaví.
• IPS musí být laděn podle skutečných systémů a aplikací.
• Šifrovaný provoz vyžaduje SSL inspection pro hlubší analýzu.
• IPS detekce neznamená automaticky úspěšnou kompromitaci.
• Aktivní IPS kontrola snižuje dostupnou propustnost zařízení.

IDS – Intrusion Detection System

IDS je bezpečnostní systém určený k detekci podezřelého nebo škodlivého provozu. Zkratka IDS znamená Intrusion Detection System.

IDS síťovou komunikaci sleduje, analyzuje a vytváří upozornění, ale standardně ji samo aktivně neblokuje.

Síťový provoz
      │
      ├──────────────▶ Cílový server
      │
      └── kopie ─────▶ IDS
                         │
                         ▼
                    detekce a alert

Základní úloha IDS

IDS pomáhá identifikovat:

• pokusy o zneužití zranitelností,
• skenování portů,
• malware komunikaci,
• podezřelé přihlašování,
• protokolové anomálie,
• laterální pohyb,
• neobvyklý síťový provoz,
• porušení bezpečnostních pravidel.

Pasivní umístění

Network IDS bývá připojen tak, aby dostával kopii provozu. Není přímo vložen do komunikační cesty.

Klient ───────────────▶ Server
             │
             │ kopie provozu
             ▼
            IDS

Proto výpadek IDS obvykle nepřeruší síťovou komunikaci. Současně však IDS nemůže samo paket jednoduše zahodit, protože originální provoz již pokračuje k cíli.

IDS vs. IPS

Příklad IDS detekce

Internetový klient
        │
        ▼
Webový server

Kopie provozu:
        │
        ▼
IDS detekuje:
SQL injection attempt

Výsledek:
alert vytvořen
provoz však mohl dorazit k serveru

Network IDS

Network Intrusion Detection System, zkráceně NIDS, sleduje provoz v síti.

Může být umístěn například:

• za internetovým firewallem,
• před DMZ servery,
• mezi uživatelskou a serverovou sítí,
• v datovém centru,
• na kritickém síťovém segmentu,
• u cloudového mirror portu.

Host IDS

Host Intrusion Detection System, zkráceně HIDS, běží přímo na koncovém zařízení nebo serveru.

Server
   │
   ├── operační systém
   ├── aplikace
   ├── soubory
   ├── logy
   └── HIDS agent

HIDS může sledovat například:

• změny systémových souborů,
• bezpečnostní logy,
• spuštěné procesy,
• změny konfigurace,
• přihlášení uživatelů,
• pokusy o eskalaci oprávnění,
• podezřelé síťové spojení zařízení.

NIDS vs. HIDS

SPAN port

IDS často přijímá kopii síťového provozu ze switch portu nakonfigurovaného jako SPAN nebo port mirror.

Switch
   │
   ├── port 1 → server
   ├── port 2 → klient
   └── mirror port → IDS

Switch kopíruje provoz z vybraných portů nebo VLAN na port připojený k IDS.

Výhody SPAN portu

• jednoduché nasazení,
• není nutné vložit IDS do přímé cesty,
• nízké riziko přerušení provozu,
• možnost sledovat více portů nebo VLAN.

Nevýhody SPAN portu

• při přetížení může switch některé kopie paketů zahodit,
• IDS nemusí vidět všechny chyby linkové vrstvy,
• nesprávná konfigurace může vynechat část provozu,
• velké množství kopírovaného provozu může přesáhnout kapacitu cílového portu.

Network TAP

Network TAP je zařízení určené k vytvoření kopie síťového provozu pro monitorovací nástroje.

Klient
   │
   ▼
Network TAP
   │
   ├── originální provoz → server
   └── kopie provozu → IDS

TAP bývá spolehlivější než SPAN port, ale vyžaduje další hardware a správné fyzické zapojení.

Asymetrická viditelnost

IDS by měl vidět oba směry komunikace.

Klient → Server:
IDS vidí

Server → Klient:
IDS nevidí

Pokud IDS vidí pouze jednu polovinu relace, může mít problém správně rekonstruovat stav spojení a vyhodnotit útok.

Packet loss

Pokud IDS nedostane všechny kopie paketů, může přehlédnout část útoku nebo vytvořit neúplnou analýzu.

Příčiny mohou být:

• přetížený mirror port,
• nedostatečný výkon senzoru,
• chybná konfigurace SPAN,
• příliš velké množství sledovaného provozu,
• chyba síťového TAPu.

Signaturní detekce IDS

IDS může stejně jako IPS používat databázi známých signatur.

Detekční pravidlo:
HTTP request obsahuje známý exploit pattern

Akce:
vytvořit alert
uložit paketová data

Anomální detekce IDS

IDS může hledat odchylky od normálního provozu.

Normální chování:
stanice komunikuje s 10 servery denně

Aktuální chování:
stanice komunikuje s 2 000 adresami za hodinu

Možné vysvětlení:
malware, skenování nebo chybná aplikace

Stateful analysis

Pokročilý IDS může rekonstruovat celé sessions a vyhodnocovat kontext komunikace.

1. TCP SYN
2. SYN-ACK
3. ACK
4. HTTP request
5. HTTP response

Díky tomu může rozlišit samostatný paket od útoku probíhajícího v rámci celé relace.

Deep Packet Inspection

IDS může provádět hlubokou kontrolu paketů a analyzovat aplikační obsah.

Může rozpoznávat například:

• HTTP požadavky,
• DNS dotazy,
• SMB komunikaci,
• e-mailové protokoly,
• databázové protokoly,
• známé malware protokoly.

IDS a TLS

Šifrovaný provoz výrazně omezuje viditelnost síťového IDS.

IDS může vidět:

zdrojovou a cílovou IP
port
TLS verzi
certifikát
část metadat
objem dat

IDS obvykle nevidí:

obsah HTTP požadavku
přenášený soubor
přihlašovací údaje
aplikační příkazy

Získání viditelnosti do šifrovaného provozu

Možnosti mohou zahrnovat:

• dešifrování na proxy nebo firewallu,
• odesílání dešifrované kopie provozu,
• monitoring na aplikačním serveru,
• HIDS nebo EDR agent,
• analýzu TLS metadat a chování bez dešifrování.

Alert

IDS při detekci vytváří upozornění.

Alert:

Time:
2026-07-20 14:40:00

Source:
198.51.100.25

Destination:
192.168.20.10

Signature:
Possible SQL Injection

Severity:
High

Obsah IDS alertu

Alert může obsahovat:

• čas události,
• zdrojovou a cílovou IP adresu,
• porty,
• protokol,
• název detekčního pravidla,
• závažnost,
• část paketových dat,
• identifikátor senzoru,
• odkaz na CVE nebo techniku útoku.

Alert není automaticky incident

IDS může generovat velké množství upozornění. Každý alert musí být posouzen v kontextu.

Alert:
Pokus o útok na Windows IIS

Cíl:
Linux server s Nginx

Vyhodnocení:
pokus byl zaznamenán,
ale technika pravděpodobně nebyla relevantní

False positive

False positive je legitimní aktivita, kterou IDS označí jako hrozbu.

Příklad:

Interní vulnerability scanner
        │
        ▼
skenuje servery
        │
        ▼
IDS vytvoří alert:
port scanning detected

Detekce je technicky správná, ale aktivita byla autorizována.

False negative

False negative je skutečný útok, který IDS nezachytí.

Důvodem může být:

• neznámá technika útoku,
• zastaralá signatura,
• šifrovaný obsah,
• ztracené pakety,
• chybějící viditelnost části sítě,
• špatně nastavené pravidlo,
• obfuskovaný provoz.

True positive

True positive znamená, že IDS správně detekoval skutečnou nebezpečnou aktivitu.

IDS alert:
C2 communication detected

Analýza:
stanice skutečně komunikuje
se známou malware doménou

Výsledek:
true positive

True negative

True negative znamená, že legitimní provoz nebyl označen jako škodlivý.

Tuning IDS

Tuning IDS je nutný pro snížení množství nerelevantních alertů.

Zahrnuje například:

• vypnutí nerelevantních pravidel,
• úpravu thresholdů,
• whitelist autorizovaných scannerů,
• nastavení citlivosti,
• výběr sledovaných sítí,
• doplnění informací o chráněných systémech,
• potlačení opakovaných identických událostí.

Alert fatigue

Alert fatigue znamená stav, kdy analytici dostávají tak velké množství upozornění, že jim přestávají věnovat dostatečnou pozornost.

10 alertů denně:
lze pečlivě analyzovat

100 000 alertů denně:
většina zůstane bez kontroly

Nesprávně naladěný IDS může být prakticky nepoužitelný, i když technicky detekuje velké množství událostí.

Prioritizace alertů

Alerty lze prioritizovat podle:

• závažnosti signatury,
• kritičnosti cílového systému,
• reputace zdrojové IP adresy,
• počtu opakování,
• zda je systém skutečně zranitelný,
• zda následovala další podezřelá aktivita,
• zda jde o interní nebo externí zdroj.

Kontext aktiva

Stejná detekce může mít různou prioritu podle cíle.

Alert:
Remote Code Execution attempt

Cíl A:
testovací odpojený server

Cíl B:
produkční doménový řadič

Priorita:
výrazně vyšší u cíle B

IDS a vulnerability management

Pokud IDS ví, jaké zranitelnosti jsou na cílovém systému přítomné, lze alert lépe vyhodnotit.

IDS:
detekuje exploit CVE-X

Vulnerability scanner:
cílový server není zranitelný

Výsledek:
nižší pravděpodobnost úspěchu

Naopak detekce proti potvrzeně zranitelnému systému má vyšší prioritu.

IDS a SIEM

IDS alerty se často odesílají do SIEM.

IDS alert
   │
   ▼
SIEM
   │
   ├── korelace s firewall logy
   ├── korelace s EDR
   ├── korelace s Active Directory
   └── vytvoření incidentu

Příklad korelace

IDS:
detekce exploit pokusu

Firewall:
následné odchozí spojení na neznámou IP

EDR:
spuštění podezřelého PowerShell procesu

SIEM:
spojí události do jednoho incidentu

IDS a packet capture

Některé IDS systémy ukládají část paketových dat nebo celý provoz kolem detekce.

To umožňuje:

• ověřit skutečný obsah komunikace,
• potvrdit false positive,
• rekonstruovat útok,
• získat IOC,
• analyzovat přenesený soubor.

Full Packet Capture

Full Packet Capture zaznamenává celý síťový provoz nebo jeho vybranou část.

Síťový provoz
      │
      ├──▶ IDS detekce
      └──▶ dlouhodobé PCAP úložiště

Výhodou je detailní zpětná analýza. Nevýhodou jsou velmi vysoké nároky na úložiště a ochranu citlivých dat.

IDS reakce bez přímé blokace

Přestože IDS není inline, může být propojen s dalšími systémy, které provedou aktivní reakci.

IDS detekuje útok
        │
        ▼
SOAR nebo automatizace
        │
        ▼
Firewall zablokuje zdrojovou IP

Tato reakce není tak okamžitá jako u IPS a musí být dobře zabezpečena proti chybným automatickým blokacím.

TCP reset z IDS

Některé IDS mohou při detekci odeslat podvržený TCP RST paket a pokusit se spojení ukončit.

Klient ←── TCP RST ── IDS
Server ←── TCP RST ── IDS

Tato metoda není stejně spolehlivá jako inline blokace. Původní pakety již mohly být doručeny a protistrany mohou reset ignorovat.

Umístění IDS za firewallem

Internet
   │
   ▼
Firewall
   │
   ├── kopie provozu → IDS
   ▼
Interní síť

Výhodou je, že IDS analyzuje pouze provoz, který firewall již povolil. Snižuje se množství internetového šumu.

Umístění IDS před firewallem

Internet
   │
   ├── kopie provozu → IDS
   ▼
Firewall
   │
   ▼
Interní síť

IDS vidí i útoky, které firewall následně zablokuje. To poskytuje širší přehled o aktivitě internetu, ale může výrazně zvýšit množství alertů.

IDS uvnitř sítě

Interní IDS může sledovat East-West provoz, který perimeter firewall vůbec nevidí.

User VLAN
    │
    ▼
Core switch
    │
    ├──▶ Server VLAN
    └── kopie provozu → IDS

To pomáhá detekovat laterální pohyb, interní skenování nebo kompromitovanou stanici.

IDS v DMZ

IDS může sledovat provoz veřejně dostupných serverů.

Firewall
   │
   ▼
DMZ switch
   │
   ├── Web server
   ├── Mail server
   └── IDS sensor

IDS v cloudu

V cloudovém prostředí lze využít kopírování provozu virtuálních síťových rozhraní nebo cloudové flow logy.

Omezení závisí na možnostech konkrétní cloudové platformy.

Výhody IDS

• neovlivňuje přímo dostupnost síťové komunikace,
• lze jej nasadit bez změny routingu,
• poskytuje přehled o útocích a anomáliích,
• pomáhá při forenzní analýze,
• může sledovat East-West provoz,
• umožňuje bezpečnější testování nových detekčních pravidel.

Nevýhody IDS

• standardně útok samo nezablokuje,
• může generovat velké množství alertů,
• závisí na kvalitě kopie provozu,
• šifrovaný provoz omezuje viditelnost,
• vyžaduje pravidelný tuning,
• může přehlédnout útok při ztrátě paketů,
• vyžaduje analytika nebo navazující automatizaci.

Časté chyby při nasazení IDS

• IDS nevidí oba směry komunikace.
• Mirror port je přetížený.
• Senzor nemá dostatečný výkon.
• Sleduje se nesprávná VLAN nebo port.
• Alerty nejsou odesílány do SIEM.
• Pravidla nejsou pravidelně aktualizována.
• Chybí tuning a vzniká alert fatigue.
• Šifrovaný provoz je mylně považován za plně viditelný.
• Každý alert je automaticky považován za skutečný incident.
• Není kontrolováno, zda IDS stále přijímá provoz.

Základní postup analýzy IDS alertu

1. Ověřit čas a zdroj alertu.
2. Ověřit zdrojovou a cílovou IP adresu.
3. Zkontrolovat název a logiku detekčního pravidla.
4. Ověřit, zda je cílová služba skutečně přítomna.
5. Zkontrolovat paketová data nebo související session.
6. Vyhledat další aktivitu stejného zdroje.
7. Zkontrolovat logy cílového systému.
8. Ověřit stav zranitelnosti cíle.
9. Rozhodnout, zda jde o true positive nebo false positive.
10. Podle výsledku eskalovat incident nebo upravit pravidlo.

Příklad SOC analýzy

IDS alert:
SMB exploit attempt

Source:
192.168.10.55

Destination:
192.168.20.15

Analýza:
zdroj je běžná uživatelská stanice
cíl je souborový server
zdroj nemá důvod provádět SMB exploit
EDR na zdroji hlásí malware

Vyhodnocení:
pravděpodobný true positive
a pokus o laterální pohyb

Shrnutí

• IDS znamená Intrusion Detection System.
• IDS detekuje podezřelý provoz a vytváří alerty.
• Network IDS obvykle dostává kopii provozu přes SPAN port nebo TAP.
• IDS není standardně vložen přímo do komunikační cesty.
• Na rozdíl od IPS obvykle paket samo nezablokuje.
• NIDS sleduje síťový provoz, HIDS sleduje konkrétní endpoint.
• Šifrovaný provoz výrazně omezuje síťovou viditelnost.
• Tuning je nutný pro snížení false positive a alert fatigue.
• IDS alert musí být analyzován v kontextu cílového systému a dalších událostí.
• IDS se často propojuje se SIEM, EDR, firewallem a automatizací.