Controle de Perímetro

O Controle de Perímetro é o conjunto de técnicas, dispositivos e políticas destinados a proteger a fronteira entre redes de níveis de confiança distintos — tipicamente entre a rede interna corporativa e a Internet. É um dos pilares da defesa em profundidade: embora não seja a única camada de defesa, é historicamente a primeira barreira que o tráfego externo precisa transpor para alcançar ativos internos.

Esta seção reúne os conceitos fundamentais que sustentam a construção de perímetros seguros: firewalls, roteadores com ACL, DMZ, port forwarding, NAT e segmentação.

1. Conceito de Borda (Perímetro)

A borda de rede é o ponto onde termina o domínio administrativo da organização e começa o de outra parte — geralmente o provedor de Internet (ISP). É neste ponto que se concentram os controles de:

• Filtragem de pacotes (L3/L4);
• Inspeção de estado das conexões TCP/UDP;
• Tradução de endereços (NAT/PAT);
• Aplicação de políticas L7 (NGFW);
• Detecção e prevenção de intrusão (IDS/IPS);
• Mitigação de DDoS e anti-spoofing (BCP 38 / RFC 2827).

Modelo de Zonas de Confiança

2. Componentes Típicos do Perímetro

              Internet
                 |
        +--------+--------+
        |  Anti-DDoS /   |  <- Scrubbing center (Cloudflare, Arbor)
        |  ISP Edge      |
        +--------+--------+
                 |
        +--------+--------+
        |  FW de Borda   |  <- NGFW (Palo Alto / Fortinet / Cisco)
        |  (L3-L7)       |
        +--------+--------+
                 |
        +--------+--------+
        |     DMZ         |  <- Web, Mail, DNS (acessíveis externamente)
        +--------+--------+
                 |
        +--------+--------+
        |  FW Interno    |  <- Microsegmentação L7 entre VLANs
        +--------+--------+
                 |
        +--------+--------+
        |    Intranet     |
        +-----------------+

3. Firewalls

O firewall é o elemento ativo central do controle de perímetro. Funciona como uma barreira lógica que inspeciona o tráfego que atravessa a borda e decide, com base em regras, o que é permitido ou negado. A evolução histórica contempla quatro gerações:

Detalhamento completo dos tipos e modelos de implantação encontra-se no arquivo 01 - Firewall.md desta mesma pasta.

4. Roteadores com ACL

Em muitos designs, o roteador de borda (CE — Customer Edge) também executa filtragem via Access Control Lists (ACL). Embora não substitua um NGFW, o roteador com ACL complementa a borda com:

• Filtro anti-spoofing (RFC 2827/BCP 38): descarta tráfego de origem incompatível com a subnet esperada.
• Filtro de bogons: bloqueia prefixos não alocados pela IANA (RFC 6890).
• TCP hardening: bloqueio de fragmentos inválidos, TCP NULL/XMAS/FIN scan.
• Rate-limiting por prefixo: mitigação básica de DDoS volumétrico.

Exemplo de ACL Cisco (anti-spoofing inbound)

ip access-list extended EDGE-IN
 ! Bloquear RFC 1918 entrando da Internet (anti-spoofing)
 deny   ip 10.0.0.0 0.255.255.255 any
 deny   ip 172.16.0.0 0.15.255.255 any
 deny   ip 192.168.0.0 0.0.255.255 any
 deny   ip 127.0.0.0 0.255.255.255 any
 deny   ip 169.254.0.0 0.0.255.255 any
 deny   ip 224.0.0.0 15.255.255.255 any
 permit tcp any any established
 permit icmp any any echo-reply
 permit tcp any any eq 443
 deny   ip any any log

5. DMZ (Zona Desmilitarizada)

A DMZ é um segmento de rede isolado, posicionado entre o firewall externo e o interno, destinado a hospedar serviços que devem ser acessíveis pela Internet (web, e-mail, DNS externo). A vantagem principal é o isolamento: se um servidor web da DMZ for comprometido, o atacante ainda assim enfrenta o firewall interno para alcançar a Intranet.

Modelos de DMZ

• DMZ de único firewall (three-legged): um único firewall com três interfaces — external, internal, DMZ. Simples, mas single point of failure.
• DMZ de dois firewalls (back-to-back): dois firewalls em série com a DMZ entre eles. Maior profundidade de defesa, exige comprometimento de ambos os firewalls.

6. Port Forwarding (DNAT)

O Port Forwarding é uma técnica que redireciona conexões dirigidas a uma porta específica no IP público do firewall para um servidor interno na DMZ, usando NAT destino (DNAT). É amplamente usado para expor serviços internos sem expor a rede inteira.

# iptables: expor SSH interno na porta 2222 do IP público
iptables -t nat -A PREROUTING -p tcp --dport 2222 \
         -j DNAT --to-destination 192.168.10.5:22

iptables -A FORWARD -p tcp -d 192.168.10.5 --dport 22 -j ACCEPT

7. NAT (Network Address Translation)

A NAT (RFC 1631, revisada por RFC 3022) traduz endereços IP entre redes distintas. Embora tenha sido originalmente criada como mitigação para o esgotamento IPv4, tornou-se também uma ferramenta de obscurecimento (não confidencialidade) do endereçamento interno.

Tipos de NAT

Limitações do NAT

• Quebra end-to-end (Princípio Saltzer-Reed-Clark).
• Dificulta VoIP, FTP ativo, IPSec (precisa de NAT-T, RFC 3947).
• Incompatível com alguns protocolos peer-to-peer (STUN/TURN necessários).
• Em IPv6, NAT é desnecessário; o recomendado é usar endereçamento global direto (RFC 4864).

8. Segmentação Interna e Defesa em Profundidade

O conceito de perímetro evoluiu para além da fronteira física Internet/Intranet. Com a adoção de ambientes em nuvem, mobilidade e ameaças internas (insider threats), a microsegmentação torna-se tão importante quanto o perímetro externo:

• VLANs e sub-redes L3 para separar departamentos e classes de ativos.
• Microsegmentação L3/L7 com firewalls distribuídos (VMware NSX, Cisco ACI).
• VRF (Virtual Routing and Forwarding) para isolamento de tabelas de roteamento.
• Zero Trust Network Access (ZTNA): cada conexão é autenticada, autorizada e auditada, independentemente de estar "dentro" ou "fora".

Princípios de Defesa em Profundidade no Perímetro

1. Camada 1 — Física/ISP: anti-DDoS scrubbing, blackholing (RTBH - RFC 5635), FlowSpec (RFC 5575).
2. Camada 2 — Borda L3: roteador CE com ACL anti-spoofing e bogon filter.
3. Camada 3 — Firewall de borda: NGFW com IPS, AV, Application Control, SSL decryption.
4. Camada 4 — DMZ: servidores hardenizados com WAF à frente.
5. Camada 5 — Firewall interno: segmentação L7 entre zonas (Intranet ↔ DC, IoT ↔ Intranet).
6. Camada 6 — Host: EDR, host firewall, hardening SO, patching.

9. RFCs e Boas Práticas

10. Conclusão

O controle de perímetro moderno é uma arquitetura em camadas que combina firewalls tradicionais e NGFW, roteadores com ACL anti-spoofing, segmentação em DMZ/VLAN, NAT e port forwarding para isolar serviços expostos. A defesa em profundidade permanece o princípio norteador: cada camada adiciona uma verificação independente, de modo que a falha de uma não comprometa todo o sistema. Com a ascensão do Zero Trust e da nuvem, o conceito de "perímetro físico" perdeu força, mas a lógica de zonas de confiança e de controles explícitos entre elas tornou-se ainda mais crítica — agora aplicada não apenas na borda Internet, mas também entre cada microsegmento do datacenter e entre workloads em execução na nuvem.