Merencanakan Jaringan dengan Firewall

Merencanakan sistem firewall pada jaringan,berkaitan erat dengan jenis fasilitas apa yang akan disediakan bagi parapemakai, sejauh mana level resiko-security yang bisa diterima, serta berapabanyak waktu, biaya dan keahlian yang tersedia (faktor teknis dan ekonomis). Firewall umumnya terdiri dari bagian filter(disebut juga screen atau choke) dan bagian gateway (gate).Filterberfungsi untuk membatasi akses, mempersempit kanal, atau untuk memblok kelastrafik tertentu. Terjadinya pembatasan akses, berarti akan mengurangi fungsijaringan. Untuk tetap menjaga fungsi komunikasi jaringan dalam lingkungan yangber-firewall, umumnya ditempuh dua cara:

Pertama, bila kita bayangkan jaringan kita beradadalam perlindungan sebuah benteng, komunikasi dapat terjadi melalui pintu-pintukeluar benteng tersebut. Cara ini dikenal sebagai packet-filtering,dimana filter hanya digunakan untuk menolak trafik pada kanal yang tidakdigunakan atau kanal dengan resiko-security cukup besar, sedangkan trafik padakanal yang lain masih tetap diperbolehkan.

Cara kedua, menggunakan sistem proxy,dimana setiap komunikasi yang terjadi antar kedua jaringan harus dilakukanmelalui suatu operator, dalam hal ini proxy server. Beberapa protokol,seperti telnet dan SMTP(Simple Mail Transport Protocol), akan lebihefektif ditangani dengan evaluasi paket (packet filtering), sedangkanyang lain seperti FTP (File Transport Protocol), Archie, Gopher dan HTTP(Hyper-Text Transport Protocol) akan lebih efektif ditangani dengansistem proxy. Kebanyakan firewall menggunakan kombinasi kedua teknik ini (packetfiltering dan proxy).

Ada banyak literatur yang membahas masalahsecurity & membagi arsitektur dasar firewall menjadi tiga jenis. Masingmasing adalah:
arsitektur dengan dual-homed host (kadang kadangdikenal juga sebagai dual homed gateway/ DHG)
screened-host (screened host gateway/ SHG)
screened subnet (screened subnet gateway/ SSG).

Sistem DHG menggunakan sebuah komputer dengan(paling sedikit) dua network-interface. Interface pertama dihubungkan denganjaringan internal dan yang lainnya dengan Internet. Dual-homed host nya sendiriberfungsi sebagai bastion host (front terdepan, bagian terpenting dalam firewall).

Pada topologi SHG, fungsi firewall dilakukan olehsebuah screening-router dan bastion host. Router ini dikonfigurasi sedemikian sehingga akanmenolak semua trafik kecuali yang ditujukan ke bastion host, sedangkan padatrafik internal tidak dilakukan pembatasan. Dengan cara ini setiap clientservis pada jaringan internal dapat menggunakan fasilitas komunikasi standarddengan Internet tanpa harus melalui proxy.

Firewall dengan arsitektur screened-subnet menggunakandua screening-router dan jaringan tengah (perimeter network) antarakedua router tersebut, dimana ditempatkan bastion host. Kelebihan susunan ini akanterlihat pada waktu optimasi penempatan server.

Selanjutnya, bagaimana relevansi arsitektur firewalltersebut terhadap level security? Suatu jaringan harus dapat menangani interaksiclient-server, tidak terkecuali dengan kehadiran firewall. Sejauh ini, untukoperasi client internal – server internal, atau client internal – servereksternal, tidak terlalu menimbulkan masalah. Jika kita akan membuat sistemfirewall untuk jaringan demikian, hanya dengan memasang proxy server padabastion host dalam arsitektur yang dipilih, kualitas proteksi firewall yang bersangkutanakan maksimal. Artinya ‘keselamatan’ seluruh jaringan, sekarang hanyatergantung pada baik-tidaknya atau seberapa ‘bagus’ firewall tersebut dan tidaktergantung pada program-program yang lain. Beda halnya bila jaringan kita akanmendukung operasi client eksternal – server internal, atau dengan kata lain:jaringan internal kita menyediakan layanan informasi yang dapat diakses dariluar. Dalam konteks ini, harus diperhitungkan metoda penempatan mesin yangmenjalankan program server, supaya mesin tersebut dapat dikenali dari internetdan sedemikian, komunikasi dengan client-nya dapat berlangsung dengan baiktanpa mengorbankan kepentingan security.

Arsitektur dual-homed menawarkan solusi sederhanadan murah. Satu-satunya mesin yang dikenal dari internet dalam sistem iniadalah dual-homed host-nya sendiri, dan dengan demikian ia menjadi satu-satunyamesin alternatif untuk menjalankan program server. Tetapi akan bermanfaat untukmengingat, bahwa semakin banyak layanan yang disediakan atau semakin banyakprogram yang berjalan pada bastion-host, maka peluang penyusupan ke komputertersebut semakin besar. Karena, seperti diyakini banyak orang, hampirdipastikan tidak ada program apapun yang bebas sama sekali dari bugs, apalagiuntuk program-program berukuran besar. Dan sekali bugs ini dapat dieksploitasioleh seseorang yang kemudian masuk ke dalam bastion-host, maka seluruh komputerdi jaringan kita akan menjadi terbuka! Jika faktor ekonomis memaksa kita untuktetap mengimplementasikan arsitektur DHG, maka ada beberapa nasihat yang patutdiperhatikan, diantaranya: menggunakan perangkat lunak server yang telah terujirelatif ‘aman’ serta berukuran kecil, mereduksi dan mengoptimasi jumlah programyang berjalan, kemudian tidak memberikan account reguler pada bastion-host.

Dua arsitektur lainnya, screened-host danscreened-subnet, menyediakan pilihan lebih banyak. Screening-router dapatdiatur untuk melakukan operasi packet filtering yang memungkinkan mesin-mesintertentu dapat dikenali dari luar. Mesin mesin ini, kemudian menjalankanprogram-program server yang dapat diakses dari internet. Resiko dengan metodaseperti ini adalah penambahan jumlah komputer yang mungkin untuk diserang,sehingga akan lebih baik jika sebelumnya kita menyiapkan mesin-mesin tersebut denganlevel security paling tidak sama dengan bastion-host atau kalau bisa, lebih.