Capitolul 12 - Connection Tracking, FastTrack și Tabela RAW

Obiective

Dupa parcurgerea acestui capitol, vei fi capabil sa:

• Intelegi fundamentele teoretice ale inspecției stateful - de la mașina de stări TCP la arhitectura modernă a connection tracking-ului.
• Explici rolul connection tracking-ului in arhitectura firewall-ului stateful din RouterOS si sa intelegi de ce este fundatia pe care se construiesc NAT, filtrarea si QoS.
• Identifici cele 5 stari ale conexiunilor (new, established, related, invalid, untracked) si sa intelegi ciclul de viata al unei conexiuni TCP reflectat in tabela de stari.
• Configurezi FastTrack pentru a reduce consumul de CPU pe trafic mare, intelegand exact ce functionalitati sacrifici si ce castigi.
• Utilizezi tabela RAW pentru a exclude traficul din connection tracking, obtinand performanta maxima acolo unde filtrarea stateful nu este necesara.
• Optimizezi timeout-urile connection tracking si dimensiunea tabelei pentru scenarii reale - de la SOHO la ISP.

De Ce Conteaza

Există o metaforă simplă care surprinde esența acestui capitol: imaginează-ți un portar la intrarea unei clădiri de birouri. Un portar stateless verifică fiecare persoană care trece - angajat sau vizitator, intrare sau ieșire - cu aceeași rigoare, de fiecare dată. Nu ține minte pe nimeni. Un portar stateful, în schimb, ține o evidență: știe cine a intrat, de cât timp este în clădire, cu cine s-a întâlnit. Când cineva iese, portarul știe că este o plecare legitimă, nu o tentativă de evadare. Când un curier vine cu un pachet, portarul verifică dacă cineva din clădire a comandat ceva - dacă da, îl lasă să treacă; dacă nu, îl refuză.

Aceasta este diferența fundamentală dintre un firewall stateless și unul stateful. Și la baza oricărui firewall stateful se află un singur mecanism: connection tracking.

Connection tracking este mecanismul invizibil care face posibil tot ceea ce un administrator considera „normal” intr-un firewall modern: NAT-ul functioneaza pentru ca routerul stie care pachet apartine carei conexiuni. Firewall-ul stateful functioneaza pentru ca poate distinge un raspuns legitim de un pachet suspect. Queue-urile cu connection-bytes functioneaza pentru ca exista un contor per conexiune.

Fara connection tracking, RouterOS devine un filtru stateless - fiecare pachet este evaluat izolat, fara context. NAT-ul nu poate functiona. Firewall-ul pierde capacitatea de a permite automat traficul de raspuns. Queue-urile pierd granularitatea per conexiune.