A instalação de um appliance de firewall de hardware exige configuração física metódica, configuração inicial e hardening. Este guia agnóstico de fornecedor abrange o fluxo de trabalho universal.
Pré-requisitos
- Rack/local seguro com ventilação, energia UPS
- Diagrama de rede: WAN, LAN, DMZ, VLANs de gerenciamento
- Esquema de IP, VLANs, gateway, servidores DNS, NTP documentados
- Cabo console serial (RJ45 ou DB9), laptop com terminal (PuTTY, screen, minicom)
- Credenciais de admin, chaves de licença, firmware em USB
Instalação Física
- Montar no rack (orelhas/trilhos); garantir fluxo de ar
- Conectar porta de gerenciamento ao laptop (serial ou Ethernet MGMT dedicado)
- Conectar WAN → demarcador ISP / roteador upstream
- Conectar LAN → switch core / camada de acesso
- Conectar DMZ, HA, outros segmentos conforme design
- Ligar; verificar POST, ventoinha, status dos LEDs
Configuração Inicial (Console Serial)
- Interrupção de boot: Acessar bootloader se necessário (raro)
- Assistente de configuração: Hostname, fuso horário, IP de gerenciamento/máscara/gateway
- Conta admin: Senha forte, MFA se suportado
- Configuração de interfaces: Atribuir zonas (WAN, LAN, DMZ), IPs, MTU
- Roteamento: Rota padrão, rotas estáticas, dinâmico (OSPF/BGP) se necessário
- DNS/NTP: Forwarders DNS internos, NTP stratum 1–2
- HA (se par): Interface de sincronismo, IP do peer, grupos de failover
Hardening de Segurança (Faça Antes da Política)
- Desabilitar HTTP/Telnet/SNMP v1/v2c em todas as interfaces
- Habilitar SSH v2, HTTPS, SNMPv3 (ACL restrita)
- Restringir acesso de gerenciamento: VLAN dedicada, jump host, ACLs de IP de origem
- Certificado: Importar certificado assinado por CA para HTTPS/VPN
- Banner: Aviso legal conforme política da organização
- Logging: Syslog (TLS), retenção de log local, alerta em eventos críticos
Implementação de Políticas
- Negar por padrão: Negar tudo implicitamente; permitir explicitamente apenas o necessário
- Regras baseadas em zona: LAN→WAN (permitir), WAN→LAN (negar), DMZ→LAN (restrito)
- App-ID / Camada 7: Identificar aplicações, não apenas portas
- Descriptografia SSL: Saída (seletiva), entrada (com certificados)
- Prevenção de Ameaças: IPS, AV, bloqueio de arquivos, segurança DNS
- NAT: Source NAT (saída), Destination NAT (serviços de entrada)
- VPN: Site-a-site (IPSec), Acesso Remoto (SSL/IKEv2)
Checklist Pós-Instalação
- ☐ Backup de configuração (criptografado, off-site)
- ☐ Firmware atualizado para versão estável mais recente
- ☐ Varredura de vulnerabilidade no plano de gerenciamento
- ☐ Teste de penetração / auditoria de regras
- ☐ Documentação: topologia, plano de IP, justificativa das regras, runbooks
- ☐ Monitoramento: SNMP/NetFlow para SIEM, ajuste de alertas
- ☐ Processo de gestão de mudanças estabelecido
Especificidades do fornecedor variam: Palo Alto, Fortinet, Check Point, Cisco, Sophos, OPNsense/pfSense têm CLIs/GUIs e nomes de recursos únicos. Sempre consulte o guia de hardening do fornecedor.
