Como Segmentar sua Rede Corporativa em Zonas Isoladas com um Único NGFW

Em ambientes de rede corporativa onde a segmentação é inexistente, a compromisso de um único nó pode abrir um caminho direto para que um atacante acesse toda a infraestrutura. Servidores de contabilidade, sistemas de controle industrial (SCADA), aplicações web e estações de trabalho de estagiários coexistem no mesmo espaço de rede, sem distinção em termos de conectividade. A segmentação resolve este problema de forma arquitetônica: cada zona é isolada, o tráfego entre zonas passa apenas por um ponto de filtragem, e a compromisso de um segmento não concede acesso automático a outros. Este artigo detalha como isso é implementado no Ideco NGFW Novum versão 22, focando nos mecanismos subjacentes, e não apenas em descrições de marketing.

A rede plana (flat network) é uma arquitetura onde todos os nós residem no mesmo domínio de broadcast ou possuem conectividade não filtrada entre si. Historicamente, ela surge não como uma escolha deliberada, mas como resultado do crescimento orgânico da infraestrutura: adição de VLANs para conveniência, conexão de novos servidores, ou passagem de cabos adicionais. O problema não é a inconveniência da rede plana em si, mas sim que, em caso de compromisso de um nó, o atacante ganha um ponto de partida para movimento lateral (lateral movement). Escaneamento da rede interna, tentativas de autenticação em hosts vizinhos, exploração de vulnerabilidades em serviços que nunca deveriam ser acessíveis externamente – tudo isso se torna possível sem privilégios adicionais. Um exemplo clássico é um servidor web em uma DMZ comprometido através de uma vulnerabilidade na aplicação. Se não houver filtragem entre a DMZ e a rede interna, o atacante imediatamente ganha acesso a bancos de dados, servidores de arquivos e estações de trabalho. A segmentação com um Zone-Based Firewall (ZBF) interrompe esse caminho.

O modelo zonal difere dos firewalls tradicionais na aplicação de regras. Em um firewall clássico, as regras são aplicadas a interfaces ou sub-redes, permitindo ou negando tráfego entre IPs e portas específicos. Com o crescimento da infraestrutura, a tabela de regras se torna incontrolável: centenas de entradas difíceis de ler, ainda mais difíceis de auditar e quase impossíveis de modificar sem risco de consequências imprevistas. O Zone-Based Firewall (ZBF) muda esse paradigma: as regras são aplicadas a pares de zonas, não a interfaces. O tráfego da Zona A para a Zona B é tratado por uma política, e o tráfego da Zona B para a Zona A por outra. Uma zona é um grupo lógico de interfaces com o mesmo nível de confiança e os mesmos requisitos de proteção. Isso oferece vantagens práticas: a política é lida como uma intenção clara, como "apenas HTTPS na porta 443 é permitido da zona corporativa para a DMZ". Adicionar uma nova interface a uma zona existente aplica automaticamente todas as políticas vigentes a ela, sem a necessidade de copiar regras manualmente. A auditoria se resume à verificação das políticas interzonais, em vez de analisar milhares de linhas de ACLs.

No Ideco NGFW Novum, a arquitetura subjacente é baseada em VPP (Vector Packet Processing) e DPDK (Data Plane Development Kit). O VPP processa pacotes no espaço do usuário através de um grafo de funções, onde cada nó executa uma operação específica: comutação L2, roteamento, aplicação de ACLs, inspeção IPS. O DPDK fornece acesso direto às interfaces de rede, contornando o kernel do sistema operacional para minimizar latências. Para o Zone-Based Firewall, isso significa que políticas isoladas entre zonas são aplicadas sem a necessidade de executar DPI (Deep Packet Inspection) no tráfego inter-segmento local. Se o tráfego entre duas zonas internas não requer inspeção em nível de aplicação, ele passa pelo ZBF sem sobrecarregar os módulos de DPI e IPS. Isso é crucial para o desempenho em infraestruturas com alto volume de tráfego leste-oeste (east-west traffic). O desempenho em modo firewall, sem módulos de DPI, IPS e inspeção SSL ativados, pode atingir 200 Gbps em um único servidor (como na plataforma Ideco NGFW EX). Com os módulos de inspeção ativados, o desempenho é determinado pela configuração do servidor e pelo conjunto de funções ativas. O firewall compilado permite o processamento de tráfego com 100.000 regras e suporte a até 1 milhão de sessões TCP por segundo em uma configuração de alta performance. As zonas são criadas na interface como objetos aos quais as interfaces de rede são vinculadas. As políticas interzonais são definidas em termos de pares de zonas, especificando origem, destino, protocolo, porta e ação. O tráfego entre zonas sem uma regra explícita de permissão é negado por padrão (deny-by-default), o que elimina a abertura acidental de acesso.

Os contextos virtuais (VCE, Virtual Context Engine) são um mecanismo para executar múltiplos instâncias independentes do Ideco NGFW Novum em uma única instalação. Cada contexto recebe redes isoladas, políticas de segurança e recursos computacionais dedicados, como núcleos de CPU lógicos específicos e memória RAM. A base arquitetônica para contextos de alta performance (VCE VPP) é a pilha VPP, que garante o processamento de tráfego no espaço do usuário. O isolamento do processamento de tráfego é implementado através da vinculação do VPP e DPDK a vCPUs dedicados de cada contexto – os recursos são alocados para cada contexto; a degradação do desempenho do contexto pode ocorrer se os recursos alocados forem esgotados. Funcionalmente, isso é análogo ao VDOM no Fortinet FortiGate, mas com uma diferença arquitetônica fundamental: na versão 22, todo o tráfego do usuário é processado diretamente no Data Plane VPP do contexto, e não através de uma pilha legada. O Management Plane permanece compartilhado e isolado do Data Plane. Cenários típicos de uso do VCE incluem a separação de contornos corporativos e tecnológicos em uma planta industrial, onde ambos operam no mesmo dispositivo físico, mas com políticas totalmente independentes e logicamente isoladas. Administradores do contexto do sistema mantêm acesso à configuração dos VCEs filhos. A separação de ambientes de produção e teste garante que testes de novas políticas não afetem o tráfego de produção. Cenários MSSP (Managed Security Service Provider) permitem que um provedor atenda múltiplos clientes a partir de um único nó físico, fornecendo a cada um um contexto independente com suas próprias políticas e logs. Ao fornecer contextos para organizações externas, é importante notar que o isolamento administrativo completo do VCE não é implementado; o VCE não é uma solução de multitenancy, e o isolamento administrativo entre contextos não é total. Os requisitos mínimos para criar um contexto são 2 núcleos lógicos e 8 GB de RAM para um contexto clássico (VCE NGFW), e 4 núcleos e 8 GB para um contexto de alta performance (VCE VPP).

O Ideco NGFW Novum suporta VLAN (802.1Q) para segmentação lógica de tráfego em nível L2 e LACP (Link Aggregation Control Protocol) para agregação de interfaces físicas, incluindo 10G SFP+, 25G e 40G. O LACP permite combinar múltiplos links físicos em um único link lógico, somando a largura de banda e fornecendo failover automático em caso de falha de um dos links. Para conexões de alta densidade, como ao conectar múltiplos switches de acesso, isso elimina a necessidade de equipamentos de agregação separados. A combinação de VLAN e LACP permite construir uma topologia de rede em camadas em um único NGFW: diferentes VLANs em interfaces agregadas, cada VLAN vinculada à zona de segurança correspondente, com políticas aplicadas no nível das zonas. A segmentação zonal define qual tráfego é permitido entre as zonas, enquanto o roteamento determina para onde esse tráfego é direcionado. No Ideco NGFW Novum, ambos os mecanismos trabalham em conjunto. Protocolos de roteamento dinâmico suportados incluem OSPF, BGP e EIGRP, garantindo a integração com redes de operadoras e infraestruturas de data center sem a necessidade de configurar rotas manualmente em caso de mudanças na topologia. O PBR (Policy-Based Routing) permite gerenciar o direcionamento do tráfego não com base no endereço de destino, mas em condições definidas: endereço de origem, tipo de tráfego, zona. Isso possibilita a separação explícita de fluxos, como direcionar o tráfego de contratados através de um canal separado, sem alterar as políticas para usuários principais. O processamento de pacotes ocorre sequencialmente através de cinco níveis: conectado diretamente, PBR, roteamento estático, roteamento dinâmico (BGP, OSPF) e roteamento de redes externas. Ao encontrar uma rota nas tabelas de PBR, roteamento estático ou roteamento de redes externas, o pacote é transferido para o SD-WAN para seleção do próximo salto (next hop) com verificação de sua disponibilidade.

A DMZ (demilitarized zone) é uma zona isolada tanto da rede externa quanto da infraestrutura corporativa interna. Serviços na DMZ são acessíveis a partir da internet, mas o comprometimento de qualquer um deles não abre um caminho direto para a rede interna. No Ideco NGFW Novum, a publicação de serviços através da DMZ é realizada por um reverse proxy com suporte a HTTPS, TLS 1.3 e inspeção SSL. O tráfego da rede externa chega ao reverse proxy, passa pelo WAF (Web Application Firewall) e só então é direcionado ao recurso interno. O atacante vê apenas o endereço IP público do NGFW, e a topologia interna não é revelada. O WAF no reverse proxy opera em dois modos: detecção e bloqueio (requisições suspeitas são bloqueadas e logadas) ou apenas detecção (log apenas, sem bloqueio). Certificados para recursos publicados podem ser solicitados e instalados automaticamente via Let's Encrypt, desde que a publicação esteja corretamente configurada e a verificação ACME esteja acessível. Um único endereço IP externo permite publicar múltiplos recursos com diferentes caminhos de URL: requisições para um mesmo endereço são roteadas para diferentes servidores internos dependendo do caminho solicitado. Este é um cenário típico para publicar múltiplas aplicações através de um único ponto de entrada.

Um cenário prático envolve um escritório, um data center e uma DMZ em um único nó. Uma organização com múltiplas zonas funcionais pode ser configurada da seguinte forma: a zona corporativa contém estações de trabalho de usuários e recursos compartilhados; a zona do data center contém servidores de aplicações e bancos de dados; a DMZ contém um servidor web e um API gateway acessíveis pela internet; uma zona tecnológica (se aplicável) contém equipamentos de controle industrial, isolados do segmento corporativo. No Ideco NGFW Novum, quatro zonas são configuradas. Políticas explícitas operam entre as zonas: da zona corporativa para o data center, apenas protocolos de aplicações corporativas em portas específicas são permitidos; da DMZ para o data center, apenas requisições de banco de dados de servidores de aplicações específicos são permitidas; da internet para a DMZ, o tráfego passa por um reverse proxy com WAF; da zona tecnológica para a zona corporativa, o tráfego é permitido apenas em direções estritamente definidas. Um roteador dinâmico (OSPF) mantém rotas atualizadas entre as zonas em caso de mudanças na topologia. O PBR direciona o tráfego de contratados através de um canal separado. Um cluster active-passive garante alta disponibilidade: a falha de um nó não resulta na perda de sessões ativas, e o tempo de recuperação a partir de um backup é de aproximadamente 30 segundos. Adicionar um novo serviço se resume a colocá-lo na zona apropriada e definir as regras interzonais necessárias. As políticas existentes não são alteradas, permitindo que a arquitetura seja escalada sem risco de degradação da proteção.

A arquitetura zonal oferece benefícios práticos significativos. O comprometimento de um nó na DMZ não abre acesso ao data center, devido ao deny-by-default explícito entre as zonas. Um atacante que obtém controle do servidor web se depara com a política interzonal e não consegue avançar sem uma vulnerabilidade separada no próprio NGFW. O controle de tráfego é centralizado em um único ponto: todos os fluxos interzonais passam pelo NGFW, permitindo logging, inspeção IPS e aplicação de políticas. Isso simplifica a investigação de incidentes e a preparação para auditorias. A escalabilidade da infraestrutura não quebra a política de segurança. Um novo servidor em uma zona existente automaticamente herda todas as regras interzonais vigentes. Uma nova zona é adicionada com uma descrição explícita do que é permitido e do que não é. O desempenho não degrada com o aumento do número de regras. O firewall compilado na arquitetura VPP+DPDK garante o processamento com 100.000 regras sem aumento linear da latência. É possível visualizar o funcionamento no Ideco NGFW Novum e solicitar uma demonstração.