Guida all'Installazione dell'Appliance Firewall: Dal Rack alle Regole
L'installazione di un appliance firewall hardware richiede configurazione fisica metodica, configurazione iniziale e hardening. Questa guida agnostica al venditore copre il flusso di lavoro universale.
Prerequisiti
- Rack/posizione sicura con ventilazione, alimentazione UPS
- Diagramma di rete: WAN, LAN, DMZ, VLAN di gestione
- Schema IP, VLAN, gateway, DNS, server NTP documentati
- Cavo console seriale (RJ45 o DB9), laptop con terminal (PuTTY, screen, minicom)
- Credenziali admin, chiavi di licenza, firmware USB
Installazione Fisica
- Monta nel rack (orecchie/scorrevoli); assicura il flusso d'aria
- Collega porta di gestione al laptop (seriale o Ethernet MGMT dedicata)
- Collega WAN → demarc ISP / router upstream
- Collega LAN → switch core / access layer
- Collega DMZ, HA, altri segmenti secondo il progetto
- Accendi; verifica POST, ventole, stato LED
Configurazione Iniziale (Console Seriale)
- Interruzione boot: Accedi al bootloader se necessario (raro)
- Wizard configurazione: Nome host, fuso orario, IP gestione/netmask/gateway
- Account admin: Password forte, MFA se supportata
- Config interfacce: Assegna zone (WAN, LAN, DMZ), IP, MTU
- Routing: Route di default, route statiche, dinamiche (OSPF/BGP) se necessario
- DNS/NTP: Inoltri DNS interni, NTP stratum 1–2
- HA (se coppia): Interfaccia sincronizzazione, IP peer, gruppi failover
Hardening di Sicurezza (Prima delle Policy)
- Disabilita HTTP/Telnet/SNMP v1/v2c su tutte le interfacce
- Attiva SSH v2, HTTPS, SNMPv3 (ACL ristretta)
- Limita accesso gestione: VLAN dedicata, jump host, ACL IP sorgente
- Certificato: Importa certificato firmato da CA per HTTPS/VPN
- Banner: Avviso legale secondo policy organizzativa
- Logging: Syslog (TLS), conservazione log locali, alert su critico
Implementazione Policy
- Default deny: Implicit deny all; explicit allow only
- Regole basate su zone: LAN→WAN (allow), WAN→LAN (deny), DMZ→LAN (restritto)
- App-ID / Layer 7: Identifica app, non solo porte
- SSL Decryption: In uscita (selettivo), in entrata (con certificati)
- Prevenzione Minacce: IPS, AV, blocco file, sicurezza DNS
- NAT: Source NAT (in uscita), Destination NAT (servizi in entrata)
- VPN: Sito-sito (IPSec), Accesso Remoto (SSL/IKEv2)
Checklist Post-Installazione
- ☐ Backup configurazione (crittografato, off-site)
- ☐ Firmware aggiornato all'ultima versione stabile
- ☐ Scansione vulnerabilità sul piano di gestione
- ☐ Test penetrazione / audit regole
- ☐ Documentazione: topologia, piano IP, rationale regole, runbook
- ☐ Monitoraggio: SNMP/NetFlow a SIEM, tuning alert
- ☐ Processo change management stabilito
Specifiche del venditore variano: Palo Alto, Fortinet, Check Point, Cisco, Sophos, OPNsense/pfSense hanno CLI/GUI e nomi funzionalità unici. Consulta sempre la guida di hardening del venditore.