Firewall e Defesa em Camadas

Provedor é alvo grande: ASN público, prefixos visíveis no BGP, OLT exposta. Regras soltas no Mikrotik viram backdoor. Defesa precisa ser projetada, não empilhada.

O que é firewall em contexto de ISP

Não é só "bloquear porta 22 do mundo". Em provedor, firewall protege a infra (gerência, RADIUS, monitoramento, banco), separa segmentos (cliente residencial não acessa rede corporativa, IoT não acessa câmera), aplica políticas por VLAN/VRF, e amortece ataques de borda antes que cheguem no core.

O que a RASYS faz com firewall

  • Hardening de borda — ACL de infra (gerência só de IP autorizado, deny default no plano de controle), uRPF strict pra prevenir spoofing, limites de control-plane (CoPP).
  • Isolamento por VLAN/VRF — segmentação de rede de gerência, RADIUS/banco, cliente residencial, cliente corporativo, IoT, câmeras. L3 firewall entre segmentos.
  • NAT e port forwarding — pra serviços internos que precisam exposição (web, e-mail, VPN), com policy clara.
  • Anti-DDoS de borda — rate limit por flow, drop de protocolos abusivos (NTP amplification, DNS recursivo aberto), RTBH BGP integrado.
  • VPN site-to-site — IPSec ou WireGuard entre PoPs ou pra cliente corporativo. L2TP/SSTP pra acesso remoto.
  • Hardening de RADIUS, banco, gerência — fail2ban, IP whitelist, MFA onde aplicável.
  • Logging e alerta — Syslog centralizado, alerta de blocked traffic spike, integração com SIEM caso o provedor tenha.

Equipamentos com que trabalhamos

Mikrotik RouterOS, FortiGate, pfSense, OPNsense, iptables/nftables em Linux, IPSec/WireGuard. Em borda grande, integração com módulo de serviço de roteador Huawei/Juniper.

Quando faz sentido falar com a gente

Você tem regras de firewall acumuladas há anos sem ninguém revisar; gerência da OLT está na internet pública; sofreu DDoS recente e não tinha mitigação; quer separar rede corporativa da residencial mas não sabe por onde começar; precisa de VPN site-to-site pra cliente.

Fale com a gente. Veja também: BGP (RTBH anti-DDoS), Monitoramento.