Belajar Network Engineer - Firewall & Next-Gen Firewall

#Pendahuluan

Setelah di episode 17 kalian menjaga segmentasi di dalam cluster, sekarang kembali ke perangkat yang menjadi wajah keamanan jaringan: firewall. Tapi versi 2026-nya — karena firewall klasik yang hanya membaca port sudah kalah oleh aplikasi yang menyamar di 443. Di sinilah Next-Gen Firewall (NGFW) masuk.

Episode ini menata ulang pemahaman kalian dari dasar sampai NGFW: stateful inspection, zona keamanan, IDS/IPS, application control, ditutup praktik merancang rulebase yang bisa diaudit.

#Dari Packet Filter ke Stateful

#Packet Filter (Stateless)

Generasi pertama: tiap paket dinilai sendirian berdasarkan ACL — persis materi episode 9. Efisien, tapi buta konteks: mengizinkan trafik balik harus dibuat manual, dan attacker bisa meracik paket "setengah koneksi" untuk menembus.

#Stateful Firewall

Lompatan konseptualnya: keputusan dibuat per-koneksi, bukan per-paket, lewat tabel state:

tcp  6 431999 ESTABLISHED src=192.168.0.55 dst=203.0.113.10 sport=51514 dport=443
     [src=203.0.113.10 dst=198.51.100.1 sport=443 dport=51514]

Empat state inti yang wajib dikenali:

Pada Linux, mesin ini adalah conntrack — kalau kalian pernah memakai iptables/nftables (lihat series learn-iptables), state --state RELATED,ESTABLISHED ACCEPT adalah ekspresinya.

#Zona Keamanan: Kerangka Desain

NGFW modern tidak menulis rule "interface ke interface", melainkan antar zona — abstraksi tingkat kepercayaan:

Aturan aliran trafik yang disiplin:

• Untrust → DMZ: hanya port service publik (443).
• DMZ → Trust/SRV: ditolak default — server publik yang diretas tak boleh melangkah ke dalam.
• Trust → SRV: per-port sesuai kebutuhan aplikasi.
• Semua → Internet: keluar boleh, dicatat.
• Mgmt zone: hanya dari jump host — ingat episode 9.

Prinsip pembedanya: DMZ melayani internet; server internal tidak. Mencampur keduanya adalah kesalahan arsitektur klasik yang mahal saat insiden.

#Lapisan Tambahan NGFW

Yang membuat "next-gen" adalah kemampuan melampaui port & IP:

#Application Awareness (App-ID)

Identifikasi aplikasi dari perilaku L7 (signature + heuristik), bukan port: Slack di 443 tetap dikenali sebagai Slack. Manfaatnya nyata: kebijakan "izinkan Salesforce, blokir torrent" — meski keduanya HTTPS.

#IPS (Intrusion Prevention)

Database signature eksploit (misal log4shell) dieksekusi inline: trafik jahat dibuang sebelum sampai server. Bedakan dengan:

• IDS (detection, out-of-band): mendeteksi dan memberi tahu — copy trafik via SPAN/TAP.
• IPS (prevention, inline): di jalur langsung, mampu memblokir — dengan risiko false positive memutus bisnis.

#TLS Inspection

Mayoritas trafik kini terenkripsi — app-id tanpa dekripsi hanya melihat SNI. TLS inspection meneruskan sesi lewat CA internal agar NGFW bisa membaca isinya. Trade-off besar yang harus dikomunikasikan: privasi (traffic HR/pribadi), performa, sertifikat pinning (aplikasi bank akan gagal), dan kepatuhan legal. Terapkan selektif per-kategori, bukan global.

#Fitur Pendukung Lain

URL filtering berkategori, sandboxing file attachment, threat intelligence feed, dan integrasi identity (user-based policy, bukan sekadar IP). Banyak produk membundle semuanya sebagai UTM — istilah pasar untuk kotak serba-bisa level SMB.

#Merancang Rulebase yang Bisa Diaudit

Rulebase adalah dokumen hidup; disiplin penulisannya menentukan masa depan tim:

1. Urutan bermakna: spesifik di atas, general di bawah; first-match wins seperti ACL.
2. Nama aturan deskriptif: ALLOW-HR-to-SAP-tcp3200 bukan rule 47.
3. Tidak ada any-any: minimal satu dimensi dibatasi (source, dest, app, atau port). Rule any-any-any adalah utang insiden.
4. Log pada setiap deny, dan pada allow yang sensitif.
5. Review berkala (kuartalan): hit usage counter — rule tak terpakai dihapus, bukan diwariskan abadi.

Contoh potongan kebijakan generik (pseudokonfigurasi lintas vendor):

rules:
  - { name: ALLOW-WEB-PUB, from: untrust, to: dmz, dst: web-dmz, svc: [HTTPS], action: allow, log: true }
  - { name: DENY-DMZ-INBOUND, from: dmz, to: [trust, servers], svc: any, action: deny, log: true }
  - { name: ALLOW-USERS-SAP, from: trust, to: servers, app: [sap], action: allow }
  - { name: BLOCK-CRYPTO-MINING, from: trust, to: untrust, category: [cryptocurrency], action: deny, log: true }
  - { name: DEFAULT-DENY, from: any, to: any, svc: any, action: deny, log: true }

Perhatikan pola deny eksplisit di tengah (DENY-DMZ-INBOUND) — arsitektur niat yang dinyatakan, bukan bergantung urutan kebetulan.

#Praktik: Checklist Rollout NGFW Pertama

Saat kalian ditunjuk mengelola NGFW pertama, jalani urutan ini:

[ ] Gambar diagram zona + aliran trafik yang diizinkan (episode 2 & 25!)
[ ] Definisikan interface/zona + subinterface VLAN
[ ] Aktifkan NTP + logging ke syslog server (episode 10)
[ ] Buat objects (address/service/app group) - hindari IP mentah di rule
[ ] Tulis rulebase dari DEFAULT-DENY ke atas
[ ] Uji di mode monitor/log-only dulu bila tersedia
[ ] Validasi tiap alasan bisnis dengan uji trafik nyata
[ ] Backup konfigurasi otomatis harian (script episode 12)
[ ] Jadwalkan review rule kuartalan di kalender tim

#Common Pitfalls

• Firewall sebagai router saja — NGFW mahal dipakai NAT+default permit; nilai sesungguhnya ada di visibility & kontrol L7 yang tidak diaktifkan.
• IPS langsung blocking tanpa tuning — minggu pertama memblokir invoice resmi; mulai detect-only, analisa false positive, baru enforce bertahap.
• TLS inspection global tanpa sosialisasi — keributan privasi + aplikasi pinning gagal; definisikan scope & exempt list sejak desain.
• Rulebase museum — ratusan rule warisan tanpa pemilik; usage counter + review kuartalan menyelamatkan kalian dari audit yang memalukan.

#Penutup

Inti yang harus dibawa pulang:

• Stateful > stateless: tabel state (NEW/ESTABLISHED/RELATED/INVALID) adalah fondasi semua firewall modern, termasuk conntrack Linux.
• Zona (trust/untrust/DMZ/server/mgmt) memberi kerangka kebijakan yang bisa dibaca manusia; DMZ melayani internet, server internal tidak.
• Nilai NGFW ada di application awareness, IPS inline, TLS inspection selektif, dan identitas — bukan angka throughput brosur.
• Rulebase profesional: bernama jelas, tanpa any-any, log di deny, dan review berkala dengan data penggunaan.

Di episode 19 kita bahas jalur aman lintas internet: VPN dan secure remote access — IPsec fase 1/2, SSL VPN, WireGuard, hingga ZTNA yang menggantikan model VPN tradisional. Sampai jumpa!