Брандмауер, фаервол, файрвол: одна технологія

Одна технологія — щонайменше п'ять назв: брандмауер, фаервол, міжмережевий екран, файрвол, firewall. Через це здається, ніби постачальник пропонує один продукт, нормативний документ вимагає інший, а на комп'ютері працює третій. Наслідки бувають дорогі: у вимогу закладають одне, а отримують зовсім не те. Насправді різниця тільки в мові походження та способі передавання слова. Розберімо, звідки взявся кожен варіант, який доречний у документах, а який — у розмові, і які схожі поняття справді означають інше.

Звідки взялися назви

Firewall. Англійське «вогняна стіна». Спершу так називали протипожежну перегородку, що не дає полум'ю перекинутися на сусіднє приміщення; згодом термін перейшов і на перегородку між двигуном та салоном автомобіля. Мережевого значення слово набуло наприкінці 1980-х — на початку 1990-х, коли з'явилися перші фільтри пакетів на межі корпоративних мереж, а за ними й комерційні рішення.
Брандмауер. Та сама «протипожежна стіна», лише з німецької (Brand — пожежа, Mauer — стіна). Слово давно живе в будівельній лексиці, а в ІТ прижилося через локалізацію Windows: вбудований компонент десятиліттями підписаний саме так, тому мільйони людей знають технологію під цією назвою. Пара «firewall — брандмауер» — це просто дві мови про ту саму стіну.
Фаервол і файрвол. Транслітерації англійського слова. Другий варіант ближчий до вимови оригіналу, перший звичніший побутовій мові. Обидва прийнятні, проте належать до розмовного шару.
Міжмережевий екран. Термін, який вживають у стандартах, нормативних документах і технічних завданнях. Він єдиний описує не метафору, а суть: засіб екранує одну мережу від іншої.

Отже, firewall, міжмережевий екран, брандмауер — це назви одного засобу контролю трафіку. Що він робить і від чого захищає — у статті Firewall: що це і від чого захищає, а за якими правилами ухвалює рішення — у матеріалі як влаштована фільтрація трафіку.

Чому назв стільки

Жодна з них не витіснила решту, бо кожна прийшла своїм шляхом:

англійська дала оригінальний термін — технологію створили в англомовному середовищі;
німецька — через будівельну лексику, яка була в обігу задовго до появи мереж;
розмовна практика — через транслітерацію: людям зручніше вимовляти слово рідними звуками;
нормативна мова — через потребу мати питомий відповідник у документах, де латиниця незручна;
маркетинг — виробники вигадують власні назви для того самого набору функцій, аби вирізнятися.

Жодного стандарту, який зобов'язував би всіх до однієї назви, просто немає. Додає плутанини й середовище. В інтерфейсі Windows ви побачите одне слово, у хмарного провайдера ту саму роль виконують «security groups», а в Linux правила задають утилітами на кшталт nftables чи ufw — і жодного перекладу термін там не має. Технологія при цьому та сама, змінюється лише вивіска.

Назва не описує можливостей

Ще одна пастка: за тридцять років зміст слова помітно розширився. Спершу так називали простий фільтр пакетів, який знав тільки адреси й порти. Сьогодні під тією самою вивіскою продають рішення, що розпізнають застосунки, перевіряють користувачів і виявляють вторгнення.

Практичний висновок: назва в комерційній пропозиції не каже майже нічого про можливості. Дивитися треба на специфікацію — на якому рівні працює фільтрація, чи є контроль вихідного трафіку, чи вміє засіб розбирати вебзапити. Два продукти з однаковою назвою можуть відрізнятися так само, як замок у дверях і охоронець на прохідній.

Те саме з масштабом: персональний засіб на ноутбуці й пристрій на периметрі компанії — різні класи рішень, хоч слово в описі однакове.

Яку назву де вживати

Документи, політики, технічні завдання — міжмережевий екран (firewall у дужках, якщо потрібна цілковита однозначність). Так вимогу прочитають однаково й юрист, і аудитор.
Технічні тексти для фахівців — англійське написання латиницею: коротко, без розбіжностей у транслітерації.
Блог, розмова, листування — фаервол: слово впізнаване й не потребує пояснень.
Інструкції для користувачів Windows — брандмауер: саме так підписано компонент в інтерфейсі, і будь-яке інше слово змусить людину шукати неіснуючий пункт меню.

Правило просте: в одному тексті тримайтеся однієї назви, а решту згадайте один раз як синоніми. Практичні кроки з увімкнення й налаштування зібрано тут: Як налаштувати фаервол у Windows і на сервері.

Що синонімом не є

Ось тут різниця вже не в мові, а в суті — і саме на цьому найчастіше спотикаються:

WAF (Web Application Firewall) — не синонім, а різновид: спеціалізований засіб для вебзастосунків, який розуміє логіку HTTP-запитів. Класичний мережевий фільтр цього не вміє, тому сайту потрібні обидва рівні — докладно в статті WAF: що це і чому звичайного фаервола замало.
NGFW — теж різновид, а не окремий клас: та сама фільтрація плюс розпізнавання застосунків, контроль користувачів і виявлення вторгнень.
IDS/IPS — системи виявлення та запобігання вторгненням. Вони шукають ознаки атаки в трафіку, а доступ не розмежовують. Часто живуть в одному пристрої з фільтром, але завдання мають різні.
Проксі — посередник між клієнтом і сервером. Може виконувати роль фільтра прикладного рівня, проте сам собою це інструмент посередництва, а не політика доступу.
Маршрутизатор — пристрій, який спрямовує трафік. Фільтр у ньому зазвичай є, але це його додаткова функція, а не сутність.
UTM, шлюз безпеки (security gateway) — маркетингові парасольки для комплексів, де фільтрація трафіку йде в наборі з антивірусом, антиспамом і виявленням вторгнень. Це не інша технологія, а коробка з кількома.
VPN — про шифрований канал між точками, а не про політику доступу. Часто працює на тому самому пристрої, тому в описі рішень стоїть поруч — але це інша функція.
Антивірус — про вміст файлів, а не про мережеві з'єднання.

Чому це не просто філологія

Назва стає проблемою тоді, коли з неї починається технічна вимога. Класичний випадок: у завданні написано «потрібен фаервол для сайту», постачальник ставить мережевий фільтр на периметрі — формально вимогу виконано, а сайт лишається вразливим до атак на застосунок, бо насправді потрібен був WAF.

Дзеркальний випадок: у тендерній вимозі стоїть слово з інтерфейсу Windows — і постачальник цілком законно закриває її персональним засобом на кожному комп'ютері, хоча замовник мав на увазі пристрій на периметрі мережі.

Порада, яка знімає обидва ризики: формулюйте вимогу не назвою, а функцією. «Фільтрація вхідних з'єднань на периметрі з політикою за замовчуванням «заборонено все»» — таке формулювання неможливо закрити не тим засобом.

Так само в аудиті: якщо політика безпеки оперує розмовним словом, а нормативний документ — офіційним терміном, аудитору доводиться доводити, що йдеться про той самий захід. Тому в документах варто одразу писати офіційну назву, а розмовні лишити для листування.

Дрібниці, на яких спотикаються тексти

Назву технології пишуть з малої літери; з великої — лише коли це власна назва компонента чи продукту.
Абревіатури на кшталт МЕ поза вузьким колом фахівців нечитабельні — у публічних матеріалах їх краще уникати.
Сленгові «файр» чи «фаєр» у діловому листуванні виглядають недбало.
Назву технології варто відрізняти від назви продукту: конкретні бренди пишуть як власні назви, з великої літери.
Пишете інструкцію — цитуйте підпис із інтерфейсу дослівно: людина шукає очима те, що бачить у вікні програми.

Брандмауер, фаервол, файрвол: одна технологія — різні назви