أمن الشبكات: الجدران والأنفاق والهجمات

طريقان إلى نفس الفكرة

قبل أن تبدأ

الفكرة الجوهرية

1السرية والسلامة والتوافر

كل إجراء أمني يحمي واحدًا من ثلاثة أشياء. السرية: لا يقرأ البيانات إلا صاحبها (التشفير). السلامة: لا يغيّرها أحد في الطريق (التوقيع والبصمة). التوافر: تبقى الخدمة تعمل (الحماية من الإغراق، والنسخ الاحتياطي، والوصلات الاحتياطية).

2قوائم التحكم بالوصول ACL

القائمة تُقرأ سطرًا سطرًا من الأعلى، وأول سطر يطابق ينفّذ ولا يُقرأ ما بعده. لهذا ضع القواعد الدقيقة أولًا والعامة أخيرًا. وتذكّر أن السطر الأخير غير المكتوب يمنع كل شيء.

انقل القاعدة الثالثة للأعلى وغيّرها إلى ("permit", "any", "any", None) وشاهد كيف يمر كل شيء.

import ipaddress

acl = [   # (action, source, destination, port) read top down, first match wins
    ("permit", "any",          "10.0.10.8/32", 443),
    ("deny",   "10.0.20.0/24", "10.0.10.8/32", 22),
    ("permit", "10.0.30.0/24", "any",          None),
]

def inside(addr, net):
    return net == "any" or ipaddress.ip_address(addr) in ipaddress.ip_network(net)

def check(src, dst, port):
    for n, (action, s, d, p) in enumerate(acl, start=1):
        if inside(src, s) and inside(dst, d) and p in (None, port):
            return f"{action} (rule {n})"
    return "deny (implicit)"

for packet in [("10.0.20.5", "10.0.10.8", 443), ("10.0.20.5", "10.0.10.8", 22),
               ("10.0.30.9", "8.8.8.8", 53), ("192.0.2.1", "10.0.10.8", 3389)]:
    print(packet, "->", check(*packet))

3VPN: نفق عبر شبكة لا تملكها

حين تعمل من مقهى، كل حزمة تمر بشبكة المقهى ومزوّده قبل الوصول لشركتك. VPN يغلّف الحزمة الأصلية كاملة داخل حزمة جديدة مشفّرة، فلا يرى أحد في الطريق إلا أنك تكلّم بوابة الشركة.

4هجمات كل طبقة، ودفاعها

كل طبقة لها نقاط ضعفها. الطبقة 2 مهمة خصوصًا لأنها تثق بكل من في الشبكة المحلية: جهاز واحد مخترق في القسم يستطيع أن يدّعي أنه البوابة.

ثلاث حمايات للطبقة 2 وإغلاق Telnet، كما تكتبها في Packet Tracer.

SW1(config)# interface range gi0/1 - 20
SW1(config-if-range)# switchport port-security maximum 2
SW1(config-if-range)# switchport port-security violation restrict
SW1(config)# ip dhcp snooping
SW1(config)# ip dhcp snooping vlan 10
SW1(config)# interface gi0/24
SW1(config-if)# ip dhcp snooping trust        ! only the uplink may answer DHCP
SW1(config)# ip arp inspection vlan 10
SW1(config)# line vty 0 4
SW1(config-line)# transport input ssh          ! no Telnet

مثال محلول

المسألة: شبكة ضيوف 10.0.30.0/24 يجب أن تصل للإنترنت فقط، لا لشبكة الموظفين 10.0.10.0/24. اكتب القواعد على واجهة الضيوف. الحل: قاعدة ممنوعة دقيقة أولًا ثم سماح عام: 10 deny ip 10.0.30.0 0.0.0.255 10.0.10.0 0.0.0.255 ثم 20 permit ip 10.0.30.0 0.0.0.255 any. لو عكست الترتيب لمرّ الضيوف لكل شيء، لأن القاعدة العامة تطابق أولًا. ولاحظ أن ACL في Cisco تكتب القناع المعكوس (wildcard): 0.0.0.255 بدل 255.255.255.0.

خرافة مقابل حقيقة

أين تقابله في العمل

اختبر فهمك

بطاقات مراجعة سريعة

تحقق من فهمك