← Referenční architektury / reference-architecture / design-guides

Zabezpečení hostovských Wi-Fi sítí

Mnoho organizací a firem nabízí svým zákazníkům, klientům, pacientům, studentům a návštěvníkům bezplatný bezdrátový přístup k internetu. V odvětvích, jako je pohostinství, bývá poskytování hostovské Wi-Fi často nezbytností. Pro vysoké školy a univerzity může spolehlivá a zabezpečená Wi-Fi síť představovat významný faktor při získávání budoucích studentů a návštěvníků.

Nabídka bezplatného bezdrátového připojení k internetu přináší několik výhod. Firmy využívají hostovskou Wi-Fi k posílení zapojení zákazníků tím, že je směrují na vstupní stránky marketingových kampaní nebo jim nabízejí kupóny. Řada systémů hostovské Wi-Fi navíc shromažďuje cenná analytická data o uživatelích, například e-mailové adresy, chování při procházení a dobu strávenou na konkrétních místech. Tyto údaje mohou ovlivnit rozhodnutí, jako je rozmístění produktů v obchodech, nebo posloužit jako podklad pro navazující e-mailové marketingové kampaně.

Poskytování hostovské Wi-Fi ale zároveň přináší rizika. Útočníci mohou vaši síť zneužít k nezákonné činnosti, například k přístupu na zakázaný obsah, nákupu nelegálního zboží nebo kyberkriminalitě. V některých případech čelily firmy jako hotely, kavárny nebo knihovny žalobám za to, že přes svou hostovskou Wi-Fi údajně umožnily nelegální stahování. Takové žaloby, často podané držiteli autorských práv, tvrdí, že firma svým nedostatečným dohledem nad obsahem, ke kterému hosté přistupovali nebo který stahovali, umožnila pirátství.

I když je nepravděpodobné, že by vaše organizace čelila trestnímu stíhání, může se stát součástí zdlouhavého vyšetřování, což může vést k právním výdajům a poškození pověsti. V tomto průvodci se dozvíte, jak vám Cloudflare může pomoci minimalizovat rizika, získat přehled o internetové aktivitě hostů a lépe zabezpečit vaši hostovanou bezdrátovou síť ↗.

Tato referenční architektura je určena pracovníkům IT a bezpečnostních týmů, kteří zvažují Cloudflare jako pomoc při zabezpečení hostovských bezdrátových sítí. Pro lepší základní porozumění Cloudflare doporučujeme následující zdroje:

• Co je Cloudflare? | Web ↗ (čtení na 5 minut) nebo video ↗ (2 minuty)
• Cloudflare Zero Trust | https://www.cloudflare.com/zero-trust/ ↗
• Architektura SASE s Cloudflare | /reference-architecture/architectures/sase/

Tento průvodce referenční architekturou pomůže čtenářům pochopit:

1. Cloudflare Gateway DNS: Naučte se, jak integrovat DNS zásady Cloudflare Gateway do běžných scénářů nasazení hostující bezdrátové sítě.
2. Osvědčené postupy pro zásady DNS: Objevte účinné postupy pro tvorbu DNS zásad pro hostující bezdrátovou síť, díky nimž vynutíte zásady přijatelného použití a zabráníte škodlivým aktivitám.
3. Rozšířená viditelnost a zabezpečení:

• Pomocí dashboardu Cloudflare Zero Trust získáte přístup k podrobným protokolům a analytice s přehledem o DNS dotazech, vzorcích provozu a potenciálních bezpečnostních hrozbách.
• Povolit Logpush k exportu protokolů do externích úložných řešení pro dlouhodobou analýzu nebo účely compliance.
• Propojte se s platformou SIEM (Security Information and Event Management) a korelujte protokoly Cloudflare s dalšími bezpečnostními daty. Zjednodušíte tak detekci incidentů a reakci na ně.

Cloudflare nabízí zákazníkům Zero Trust rozšířenou a chráněnou službu DNS resolveru. Tato služba využívá Anycast, směrovací technologii, díky které může více serverů nebo datových center sdílet stejnou IP adresu. Když je požadavek odeslán na anycast IP adresu, směrovače pomocí protokolu Border Gateway Protocol (BGP) nasměrují požadavek na nejbližší server. Díky tomu jsou dotazy DNS vždy směrovány do nejbližšího datového centra Cloudflare podle vaší polohy. S datovými centry ve více než 330 městech provozuje Cloudflare jednu z největší globální sítě ↗. Tato služba dokáže také posílit zabezpečení vaší organizace tím, že umožňuje vytvářet zásady pro filtrování DNS překladů potenciálně škodlivých, podezřelých nebo nevhodných cílů. Tento návod vysvětluje, jak tuto službu zapnout a nakonfigurovat prostředí tak, abyste zabezpečili hostinské bezdrátové sítě a snížili rizika pro svou organizaci.

Cloudflare Lokality DNS představují soubor koncových bodů DNS, které lze namapovat na fyzické entity, jako jsou kanceláře, domácnosti nebo datacentra. Gateway identifikuje lokality různě podle protokolu DNS dotazu. Provoz IPv4 se identifikuje podle zdrojové IP adresy, ze které dotaz DNS vznikl. Provoz IPv6 lze identifikovat podle jedinečné IPv6 adresy resolveru vytvořené v dashboardu Cloudflare. Následující části popisují, jak zajistit, aby se dotazy DNS správně mapovaly na vaše fyzické lokality podle síťového prostředí a používaných protokolů. Dále v tomto dokumentu se dozvíte, jak IP adresu lokality použít jako atribut v zásadách Gateway DNS.

Cílem je směrovat DNS požadavky z vašich Wi-Fi sítí přes zabezpečenou službu DNS a secure web gateway od Cloudflare, kde vaše zásady DNS mohou požadavky filtrovat a blokovat ty, které považujete za rizikové. Tento návod prochází různými možnými síťovými architekturami pro hostovské sítě a ukazuje, jak pomocí Cloudflare zabezpečit zařízení v těchto hostovských Wi-Fi sítích.

Běžným způsobem, jak zajistit hostovský bezdrátový přístup, je vytvořit zcela samostatnou síť oddělenou od firemní nebo produkční sítě. Pobočka nebo prodejna může k tomuto účelu například použít jediný bezdrátový router. Ten by vysílal hostovský bezdrátový Service Set Identifier (SSID), přiděloval IP adresy připojeným zařízením a poskytoval připojení k internetu. Veřejná statická IPv4 adresa přidělená routeru pak může v dashboardu Cloudflare Zero Trust sloužit jako atribut umístění DNS. Pokud IP adresu routeru dynamicky přiděluje váš poskytovatel internetu, přečtěte si část „Vyhrazené IPv4 a IPv6 adresy DNS resolveru“.

Chcete-li směrovat veškeré dotazy DNS přes Cloudflare, upravte na rozhraní WAN routeru nastavení DNS tak, aby se používaly IP adresy resolveru Cloudflare. Konkrétní IP adresy resolveru pro Zero Trust najdete v nastavení lokality DNS v dashboardu Cloudflare. Podrobný postup úpravy rozhraní WAN naleznete v dokumentaci výrobce vašeho routeru. Zařízení připojená přes Wi-Fi obvykle jako svůj server DNS používají IP adresu routeru. Router pak jejich jménem předává dotazy DNS Cloudflare. Dotazy DNS z bezdrátových zařízení proto Cloudflare obdrží ze statické IP adresy přiřazené routeru.

Pro vyšší zabezpečení zabraňte hostům na bezdrátové síti v přístupu k jiným DNS službám tím, že na routeru vytvoříte (pokud to podporuje) firewallové pravidlo. Toto pravidlo by mělo povolit přístup pouze k DNS serverům Cloudflare a blokovat všechny ostatní cíle DNS na portu UDP/TCP 53. Některé pokročilé bezdrátové routery navíc podporují filtrování obsahu. Pokud je taková možnost k dispozici, povolte blokování DNS over TLS (DoT) nebo DNS over HTTPS (DoH), aby koncová zařízení nemohla obejít vámi nakonfigurované bezpečnostní nastavení DNS v Cloudflare.

Některé firmy nevyužívají jen spotřebitelské nebo poloprofesionální all in one bezdrátové routery, ale hostovský přístup Wi-Fi nasazují nad existujícím podnikovým síťovým řešením. Stejný hardware přístupového bodu Wi-Fi tak může vysílat jak interní podnikovou síť, tak i hostovskou síť.

Běžným přístupem k oddělení interní sítě a sítě pro hosty je použití odlišných SSID. Interní firemní SSID a hostovské bezdrátové SSID lze napojit na samostatné VLAN (Virtual Local Area Network) nebo Značky Dot1q ↗, čímž zajišťuje virtuální segmentaci mezi sítěmi.

V této konfiguraci:

1. Podsíť je přiřazena k hostovské bezdrátové VLAN.
2. Výchozí brána pro danou podsíť je nakonfigurována na rozhraní (nebo virtuálním rozhraní) nadřazeného síťového zařízení, jako je firewall nebo router.
3. Zařízení odděluje provoz hostovací sítě od provozu interní sítě a zároveň funguje jako zabezpečená brána do veřejného internetu.

Podobně jako u jednodušších nastavení by měly být dotazy DNS ze zařízení v hostovské bezdrátové síti přesměrovány na resolvery IP adres Cloudflare. Toho lze dosáhnout takto:

• Přiřazení serverů Cloudflare DNS v rozsahu DHCP pro hostovská zařízení.
• Konfigurace upstream síťového zařízení pro proxování DNS dotazů do Cloudflare.

Mějte na paměti, že hostujícím zařízením můžete zpřístupňovat i některé interní prostředky, a proto můžete klienty nakonfigurovat tak, aby používaly interní DNS službu. Tuto službu lze zároveň nastavit tak, aby DNS požadavky směřující na internet přeposílala do Cloudflare.

Pro zvýšení zabezpečení nastavte odchozí pravidla internetového firewallu tak, aby povolovala dotazy DNS pouze na podnikové IP adresy resolveru Cloudflare na portu TCP/UDP 53.

Aby provoz hostů pocházel z jedinečné veřejné IPv4 adresy:

1. Na firewallu nebo edge zařízení vytvořte zásadu PAT (Port Address Translation) speciálně pro hostovský provoz.
   • PAT (neboli přetížení NAT) umožňuje více zařízením v místní síti přistupovat k internetu pomocí jediné veřejné IP adresy.
2. V nastavení firewallu definujte rozsah zdrojových adres jako podsíť pro hosty.
3. Zadejte přeloženou zdrojovou adresu, tedy veřejnou IPv4 adresu, která se použije pro veškerý provoz směřující do internetu z hostovské sítě.

Podrobné pokyny k nastavení pravidla PAT nebo NAT overload najdete v dokumentaci výrobce vašeho firewallu.

Jakmile je provozu hostovské sítě přiřazena jedinečná veřejná adresa IPv4, lze tuto adresu použít jako atribut v Cloudflare dashboardu k efektivnímu mapování vaší DNS lokality.

Pokud na svém edge zařízení nemůžete použít statickou veřejnou IP adresu, nabízí Cloudflare vyhrazené resolver endpointy IPv4 a IPv6, které lze přiřadit přímo vaší organizaci. V tomto scénáři může cílová adresa, na kterou se odesílají DNS dotazy, sloužit jako způsob mapování vaší fyzické polohy na endpoint Cloudflare DNS.

Cloudflare poskytuje jedinečné adresy koncových bodů resolveru IPv6 bezplatně prostřednictvím dashboardu Zero Trust. Vzhledem k omezené dostupnosti adres IPv4 jsou ale vyhrazené koncové body DNS pro IPv4 k dispozici pouze u plánů Cloudflare Enterprise.

Pokud váš hostovský bezdrátový router získává IPv6 adresu a IPv6 DNS server dynamicky od vašeho ISP, můžete například upravit adresu IPv6 DNS tak, aby odpovídala adrese endpointu IPv6 DNS nakonfigurované v nastavení Cloudflare DNS Location.

Nyní, když jsme probrali různé možnosti odesílání DNS dotazů na resolvery DNS Cloudflare a identifikace hostovské bezdrátové sítě vaší organizace (podle zdrojové IP adresy nebo vyhrazené adresy resolveru), jste připraveni vytvořit nové lokality v Zero Trust.

Chcete-li začít, přejděte na DNS Locations v dashboardu Zero Trust. Podrobný návod krok za krokem najdete v DNS Locations průvodce. Při použití filtrování endpointů IPv4 nebo IPv6 a párování lokalit můžete zdrojové IP adresy své lokality vyjádřit sítí a maskou podsítě v notaci CIDR. Například:

• Pokud všechny vaše bezdrátové sítě sdílejí veřejnou IP adresu ve stejné podsíti, můžete pomocí jediného objektu DNS location uplatnit zásadu na všechny lokality najednou.
• Chcete-li jednotlivým lokalitám přiřadit vlastní zásady, použijte pro každou lokalitu samostatně adresu hostitele končící na /32.

Chcete-li začít, přejděte v dashboardu Zero Trust do zásad firewallu a vyberte DNS. Podrobný postup krok za krokem najdete v DNS Policies návod.

Aby byly vaše zásady přehledné, doporučujeme používat výstižné názvy, které jasně vyjadřují jejich účel. Zásada s názvem Guest-Security-Block vyjadřuje:

• Hosté: Na koho se politika vztahuje.
• Security: Typ obsahu, který se hodnotí.
• Block: Prováděná akce.

Cloudflare poskytuje řadu spravovaných kategorií, pomocí kterých můžete filtrovat širokou škálu různých typů hrozeb. Pokud například do zásady DNS přidáte kategorie zabezpečení Malware zabrání připojenému zařízení odeslat DNS požadavek na jakýkoli web, který Cloudflare označil jako součást známé malwarové kampaně nebo jako web, který by mohl malware hostovat. Kromě bezpečnostních kategorií máme také kategorie obsahu které identifikují stránky, jako jsou weby zaměřené na kryptoměny, sdílení P2P souborů nebo obsah pro dospělé. Cloudflare rovněž spravuje seznam aplikace, abyste mohli filtrovat přístup k veřejným cloudovým úložištím nebo stránkám pro sdílení souborů.

Cloudflare také umožňuje vlastní feedy kde se buď můžete přihlásit k odběru seznamu stránek k filtrování od jiného dodavatele, nebo použít některé z předdefinovaných vládních zdrojů hrozeb. Díky tomu si můžete velmi přesně zvolit, které stránky chcete filtrovat.

U zařízení, která odesílají požadavky ze známých DNS lokalit, je také možné tyto lokality přidat do zásad. Díky tomu můžete vytvořit odlišné zásady pro jednotlivé lokality hostovské Wi-Fi. To se hodí v situacích, kdy vám místní zákony ukládají povinnost zablokovat přístup ke konkrétnímu typu internetových stránek.

Zásada se může skládat z více pravidel, takže jediná zásada dokáže zabránit přístupu jak na rizikové weby, tak k nevhodnému obsahu.

Cloudflare doporučuje několik dalších zásad DNS, které najdete v Průvodce implementací zabezpečení internetového provozu. Tyto zásady mají posílit celkové zabezpečení vaší organizace a měli byste je zohlednit i při nastavování zásad pro interní produkční webový provoz.

Když je nyní provoz DNS směrován přes Cloudflare a vaše bezdrátové sítě jsou zabezpečené, můžete pomocí logů a pokročilých nástrojů pro protokolování získat podrobný přehled o internetové aktivitě svých hostů. Každý požadavek DNS je protokolováno v Cloudflare a náš dashboard nabízí jednoduché vyhledávací rozhraní. Tyto protokoly vám pomáhají pochopit, jak se vaše zásady uplatňují, a odhalovat trendy nebo vzorce v internetovém provozu hostů, což poskytuje užitečné podklady pro doladění bezpečnostní konfigurace.

Pro pokročilou telemetrii a bezproblémovou správu dat zvažte povolení Logpush ve vašem dashboardu Cloudflare. Odesílání těchto protokolů do externího zdroje, nejčastěji na platformu SIEM, přináší tyto výhody:

• Centralizovaná analýza: Sloučení logů z více služeb Cloudflare s dalšími firemními daty ve vašem SIEM pro komplexní přehled.
• Enhanced Threat Detection: Propojení DNS aktivity s dalšími bezpečnostními událostmi pro účinnější odhalování vzorců škodlivého chování.
• Připravenost na compliance a audit: Uložení DNS logů pro dlouhodobou archivaci, která splňuje regulatorní požadavky na compliance nebo podporuje audit incidentů.
• Výstrahy v reálném čase: Využijte integraci se SIEM ke spouštění automatizovaných upozornění a reakcí na základě podezřelé DNS aktivity.
• Provozní přehledy: Získejte hlubší přehled o chování hostů při procházení, abyste odhalili výkonnostní úzká místa nebo optimalizovali zásady filtrování obsahu.

Díky využití protokolů, Logpush a integrací se SIEM nejen získáte lepší přehled o internetové aktivitě hostů, ale zároveň posílíte celkovou bezpečnostní úroveň své organizace.

Všechny dosud zmíněné metody se točily kolem DNS. Je to hlavně proto, že většina provozu v hostovaných Wi-Fi sítích využívá DNS a tyto konfigurace nevyžadují instalaci žádných agentů ani certifikátů na zařízeních. Z tohoto důvodu jsou ochrany založené na DNS vždy doporučeným výchozím bodem při zabezpečování hostovaných Wi-Fi sítí. Bohužel existují způsoby, jak zabezpečení založené na DNS obejít, například:

• Ruční změna DNS resolveru
• Přístup na weby pomocí IP adresy (což může zahrnovat uložení mapování IP adres na plně kvalifikované doménové názvy v souboru hosts)
• Používání neschválených VPN klientů

Z těchto důvodů byste měli zvážit i vrstvené zabezpečení a doplnit ochranu poskytovanou přes DNS o vynucování na úrovni sítě.

Aby mohl Cloudflare provádět filtrování na úrovni sítě, musí se nacházet v cestě provozu, a ne pouze u dotazů DNS. Toho se dosahuje směrováním provozu určeného do internetu přes IPsec ↗ tunel ke Cloudflare. Cloudflare Cloudflare WAN (dříve Magic WAN) umožňuje zařízením třetích stran navazovat tunely IPsec nebo GRE do sítě Cloudflare. Stejně tak lze jednoduše nasadit náš Cloudflare One Appliance, předkonfigurované odlehčené síťové zařízení, které automaticky vytváří tunel zpět ke Cloudflare a lze jej spravovat vzdáleně. Jakmile provoz dorazí ke Cloudflare, lze na něj uplatnit řadu bezpečnostních kontrolních mechanismů, například:

• Cloudový síťový firewall (Cloudflare Network Firewall)
• Secure web gateway (Gateway)

Níže je znázorněn průběh provozu na vysoké úrovni odpovídající výše uvedenému diagramu:

1. Provoz směřující do internetu se z připojených hostovských sítí přesměruje do Cloudflare, což lze snadno zajistit směrováním na základě zásad (policy based route). Ve většině hostovských sítí Wi-Fi se od zařízení očekává pouze provoz směřující do internetu, takže obvykle postačí směrování na základě zásad s cílem ANY. Příklad: zdroj 192.168.53.0/24, cíl ANY, další skok tunel Cloudflare IPsec.
2. Jakmile provoz dorazí na okraj sítě Cloudflare, nejprve ho zkontroluje Cloudflare Network Firewall. Pomocí Cloudflare Network Firewall lze vytvářet bloky na síťové a transportní vrstvě, které správcům umožní omezit přístup k určitým cílovým IP adresám nebo portům. Běžnou zásadou může být blokování veškerého provozu DNS, který nesměřuje na DNS resolvery Cloudflare. Pomocí vlastních seznamů (custom lists) lze importovat existující seznamy, které již zákazníci mají. IDS lze povolit ke sledování, zda se hostující uživatelé z vaší hostovské sítě nepokoušejí spustit známé exploity. Spravované zdroje informací o seznamy umožňují využít automaticky aktualizované informace o hrozbách od Cloudflare k blokování známých hrozeb, jako jsou úložiště malwaru nebo botnety.
3. Provoz je poté předán do Cloudflare gateway. Na úrovni gateway lze pomocí stejných kategorií obsahu a bezpečnostních rizik jako u zásad založených na DNS vytvářet síťové zásady. Výhodou je, že když jsou tyto filtry uplatněny na síťové úrovni, platí i v případě, že uživatel obejde DNS, čímž vzniká vícevrstvá ochrana. Doporučuje se zrcadlit pravidla založená na DNS v souladu se zásadami přijatelného použití vaší organizace. Cloudflare Gateway zároveň funguje jako zabezpečený odchozí proxy server, a proto dokáže provádět SNAT soukromých adres na veřejné adresy směrovatelné na internetu. Adresy podle RFC 1918 se ve výchozím nastavení automaticky převádějí pomocí SNAT na sdílené výstupní IP adresy Cloudflare. Díky tomu není nutné spravovat PAT přímo na vašem hraničním zařízení a zároveň se zvyšuje soukromí, protože provoz při procházení internetových stránek pochází z IP adres vlastněných Cloudflare. K dispozici mohou být i vyhrazené výstupní IP adresy jedinečné pro váš účet, přičemž výběr výstupní IP adresy lze řídit pomocí zásad.
4. Provoz je nyní směrován do konečného cíle na internetu, přičemž zpáteční provoz se vrací přes okraj sítě Cloudflare zpět do odpovídajícího tunelu IPsec.

Díky uplatnění těchto strategií a využití Cloudflare Zero Trust mohou organizace svým hostům nabídnout bezpečné, spolehlivé a se zásadami souladné bezdrátové připojení. Tato opatření nejen chrání síť, ale zároveň zvyšují přehled o dění v ní a umožňují aktivně zmírňovat hrozby.

Pokud se chcete o Gateway nebo dalších aspektech platformy Cloudflare SASE dozvědět více, přečtěte si naši Knihovna referenčních architektur nebo naši Dokumentace pro vývojáře pro začátek.

• Přechod na architekturu SASE s Cloudflare
• Možnosti nasazení Cloudflare One Appliance · dokumentace Cloudflare Reference Architecture
• Zásady DNS - Cloudflare Zero Trust