Un firewall Linux modern e mai mult decat iptables cu reguli statice. E un sistem care invata din amenintarile globale si raporteaza detaliat ce se intampla.
Componente esentiale
- nftables / iptables ruleset — default DROP, conntrack, stateful inspection, marcare pachete pe categorii
- GeoIP filtering — blocaj tari fara trafic legitim (CN, RU, KP, IR)
- IP reputation lists — CrowdSec community blocklist (actualizat zilnic), AbuseIPDB, Spamhaus DROP, Tor exit nodes
- fail2ban — ban automat pentru SSH brute force, HTTP scan, exploit attempts
- Rate limiting — protectie anti-DDoS L3/L4 de baza pe porturi expuse
- Port knocking — pentru servicii sensibile, mascarea porturilor de la scanere
Vizibilitate cu NetFlow / sFlow / IPFIX
Firewall fara vizibilitate = black box. Configuram export NetFlow v9 sau IPFIX catre colector. Recomandam nfdump + ntopng sau Elastic Stack pentru analiza.
- Top talkers (cine consuma banda)
- Conexiuni anormale (porturi rare, IP-uri suspecte outbound)
- Pattern-uri de exfiltrare (traffic dincolo de normal in mid-night)
- Atacuri in desfasurare (port scanning, brute force)
- Compliance reporting (cine acceseaza ce resurse)
De ce nu doar FortiGate
FortiGate e excelent pentru enterprise, dar costa. Pentru SMB sau hybrid, un Linux cu nftables + CrowdSec + Suricata IDS ofera acelasi nivel de protectie la 1/10 din pret, fara vendor lock-in.
Ce livram
Firewall configurat cu hardening complet, blocklist actualizat automat zilnic, dashboard Grafana cu trafic in timp real, alerting pe Telegram/email cand apar tipare suspecte, documentatie clara cu fiecare regula explicata.
Exemplu: ruleset + NetFlow
Blocare pe set de reputatie si export NetFlow catre un colector:
# nftables: default drop + GeoIP set + export NetFlow
nft add rule inet filter input ip saddr @blocklist drop
# NetFlow catre colector (softflowd -> nfdump/ntopng):
sudo apt -y install softflowd
sudo softflowd -i eth0 -n 10.0.0.50:2055