Firewall SPI vs. NAT: Differenze Chiave Spiegate
Sebbene spesso combinati in un unico dispositivo, Stateful Packet Inspection (SPI) e Network Address Translation (NAT) sono meccanismi distinti che servono a scopi di sicurezza e networking diversi.
Firewall Stateful Packet Inspection (SPI)
Funzione Principale: Traccia lo stato delle connessioni attive (flussi TCP, flussi UDP) in una tabella di stato. Ispeziona intestazioni dei pacchetti e contesto del payload per garantire che ogni pacchetto appartenga a una sessione valida e stabilita.
- Blocca: Traffico in entrata non sollecitato, pacchetti malformati, anomalie flag TCP (es. scansioni NULL, XMAS), e tentativi di dirottamento di connessione.
- Punto di forza: Comprende protocolli a livello applicativo (FTP, SIP, ecc.) per aprire/chiudere dinamicamente porte per canali secondari.
- Costo: Maggior overhead CPU/memoria; tipicamente presente in firewall/UTM dedicati.
Firewall NAT (NAT Gateway)
Funzione Principale: Riscrive indirizzi IP e porte sorgente/destinazione per mappare più IP privati (RFC 1918) a uno o pochi IP pubblici.
- Effetto collaterale di sicurezza: Nasconde la topologia interna; blocca pacchetti in entrata non solleciti perché non esiste alcuna mappatura per loro (implicito "nega in entrata").
- Limiti: Non ispeziona payload o valida la logica del protocollo. Vulnerabile a spoofing IP, tunneling di protocolli e attacchi da connessioni in uscita stabilite.
- Problemi di compatibilità: Rompe protocolli che incorporano indirizzi IP nei payload (FTP, SIP, IPsec AH) senza ALG (Application Layer Gateways).
Riepilogo del Confronto
| Caratteristica | Firewall SPI | NAT |
|---|---|---|
| Obiettivo Primario | Applicazione della sicurezza | Conservazione indirizzi / connettività |
| Ispeziona Payload? | Sì (ispezione profonda dei pacchetti possibile) | No (solo riscrittura intestazione) |
| Traccia Stato Connessione? | Sì (tabella di stato completa) | Sì (tabella di mappatura) |
| Blocca Traffico in Entrata Non Sollecito? | Sì (policy esplicita) | Sì (implicito, nessuna mappatura) |
| Ferma DDoS / Scansioni? | Sì (limitazione velocità, rilevamento anomalie) | Parziale (oscura i target) |
| Rompe Alcune App? | Raramente | Sì (richiede ALG) |
Pratica Moderna
Quasi tutti i "firewall" (router) aziendali e consumer implementano entrambi: NAT per l'indirizzamento e SPI per la sicurezza. Un firewall SPI autonomo si trova al perimetro di rete dietro il gateway NAT in architetture più grandi.