Вы набираете в браузере secguide.ru, нажимаете Enter — и меньше чем через секунду видите страницу. Кажется, что ничего сложного не произошло. Но в эту секунду десятки устройств успели договориться между собой: найти нужный компьютер, понять, кому именно на нём адресовано обращение, проверить подлинность сервера и доставить данные обратно.

Почти все истории про утечки, взломы и защиту начинаются с этого невидимого пути. Пока он не понят, слова «открытый порт», «подмена DNS» и «перехват трафика» остаются заклинаниями. А когда понятен — становятся довольно простыми вещами, у которых есть причина и следствие.

Давайте разберём этот путь по шагам. Без формул и настроек — на уровне «почему так устроено».

Что происходит за секунду до загрузки страницы

Компьютер не понимает имя secguide.ru. Для него это просто набор букв. Чтобы отправить запрос, ему нужен числовой адрес — IP-адрес сервера. Поэтому первое, что происходит, — перевод имени в адрес. Этим занимается система доменных имён, DNS. Она работает как справочная: вы называете имя, вам говорят номер.

Получив адрес, компьютер формирует пакет — небольшой фрагмент данных с заголовком. В заголовке есть адрес получателя и, что важно, номер порта. Адрес приводит пакет к нужному серверу, порт показывает, какой именно службе на этом сервере он предназначен. Один сервер может одновременно обслуживать сайт, почту и SSH — и без портов они бы не смогли различить обращения.

Дальше пакет идёт через домашний роутер, провайдера, несколько маршрутизаторов и попадает на сервер. Сервер отвечает — и всё повторяется в обратном порядке. Когда соединение установлено, браузер и сервер договариваются о шифровании, и только потом по нему идёт страница.

Каждый из этих этапов — точка, где что-то может пойти не так. Поэтому защита сети — это не «поставить firewall», а понимание, на каком этапе и от кого мы защищаемся. Разберём этапы по порядку.

Адрес: почему у каждого устройства есть номер

IP-адрес — это номер устройства в сети. Он нужен, чтобы данные знали, куда идти. Аналогия с почтовым адресом здесь почти точная: без адреса письмо не доставят, а с неверным — доставят не туда.

Адреса бывают внешние и внутренние. Внешний адрес — тот, который виден в интернете. Внутренний — тот, который устройство получает внутри домашней или офисной сети. Домашний роутер обычно выдаёт устройствам адреса вида 192.168.…, а сам имеет один внешний адрес от провайдера. Когда вы открываете сайт, роутер подменяет внутренний адрес на внешний и запоминает, кому вернуть ответ. Эта подмена называется NAT, и она же объясняет, почему снаружи «не видно» ваши устройства: у них нет публичных адресов.

Из этого следует первый практический вывод. Если устройство не должно быть доступно из интернета, у него не должно быть публичного адреса и проброшенных портов. Большинство домашних взломов начинается не с «гениального взлома», а с того, что кто-то открыл доступ к камере, принтеру или домашнему серверу и забыл закрыть.

Второй вывод связан с географией. IP-адрес привязан к провайдеру и региону. Поэтому сайты могут ограничивать доступ по стране, а злоумышленники — маскироваться под другой регион через VPN или чужие устройства. Сам по себе IP не доказывает личность: за одним адресом может стоять целая сеть, а за NAT — сотни людей.

Порты: двери в одном доме

Если IP-адрес — это адрес дома, то порт — номер квартиры или двери, в которую нужно постучать. На одном сервере одновременно работают разные службы, и каждая слушает свой порт.

Веб-сайты обычно работают на портах 80 и 443. Первый — незашифрованный HTTP, второй — HTTPS. SSH, через который администраторы подключаются к серверу, традиционно живёт на 22-м порту. Почта — на 25, 465, 587. Базы данных — на своих портах, которые в норме вообще не должны быть видны из интернета.

Каждый открытый порт — это дверь. Не обязательно дыра: дверь может быть крепкой и с хорошим замком. Но чем больше дверей, тем больше вариантов, через которые можно попробовать войти. Поэтому первое, что делает специалист по защите, — смотрит, какие порты открыты наружу, и закрывает всё лишнее.

Отсюда распространённая атака — сканирование портов. Злоумышленник перебирает адреса и порты и смотрит, что отвечает. Сам по себе ответ не означает взлом, но он показывает, что дверь существует. Дальше начинается подбор пароля, проверка известных уязвимостей или поиск ошибки в настройках.

И здесь важно понять разницу между «порт открыт» и «сервис уязвим». Открытый SSH — нормальная ситуация для сервера. Плохо, когда SSH открыт для всего интернета, разрешает вход по паролю и принимает пароль 123456. Закрывать порт целиком не всегда нужно; часто достаточно ограничить, кто может к нему подключаться, и запретить слабые способы входа.

Межсетевой экран, или firewall, как раз и решает, каким дверям и кому открываться. Он не «делает интернет безопасным», а фильтрует: этот адрес и порт — можно, этот — нельзя. Если правило настроено неверно, firewall создаёт ощущение защиты, но пропускает то, что не должен.

DNS: телефонная книга интернета

DNS — это система, которая переводит понятные человеку имена в машинные адреса. Она устроена иерархически: есть корневые серверы, серверы зон .ru, .com и так далее, есть серверы конкретного домена и есть кэширующие резолверы, которые запоминают ответы, чтобы не спрашивать каждый раз заново.

Когда вы вводите адрес, компьютер спрашивает резолвер. Тот либо отвечает из кэша, либо идёт по цепочке выше. Ответ сохраняется на время, которое задаёт владелец домена, — это называется TTL. Через это время запись обновляется.

Теперь представьте, что кто-то может изменить ответ DNS. Вы вводите адрес банка, а вам сообщают адрес чужого сервера, который выглядит точно так же. Вы вводите пароль — и он уходит злоумышленнику. Это называется подменой DNS, и она опасна именно тем, что внешне всё выглядит нормально: адресная строка правильная, сайт знакомый.

Именно поэтому DNS — частая цель атак. Подменяют ответы на уровне роутера, заражают устройство, атакуют кэш резолвера, регистрируют похожие домены с опечаткой. Защита здесь строится на нескольких вещах: использовать доверенные DNS-серверы, включить шифрование DNS (DNS over HTTPS), следить за доменами-двойниками и не вводить пароли, если сертификат сайта вызывает сомнения.

Есть и обратная сторона: DNS-фильтрация — один из самых простых способов заблокировать вредоносные домены в компании. Если сотрудник пытается открыть сайт, который числится в списке плохих, запрос не доходит до сервера. Это не заменяет остальную защиту, но убирает целый класс атак.

Путь пакета: почему трафик можно перехватить

Пакет не летит по прямой. Он проходит через домашний роутер, оборудование провайдера, точки обмена трафиком, иногда через CDN и чужие сети. На каждом участке его могут видеть или изменять — в зависимости от того, защищён ли канал.

Если сайт работает по HTTP, данные идут открытым текстом. Провайдер, владелец Wi-Fi в кафе или человек с доступом к сети может увидеть, какие страницы вы открываете, а иногда и то, что вы вводите. HTTPS решает эту проблему: между браузером и сервером создаётся шифрованный канал, и по дороге видно только адрес сайта, но не содержимое.

Однако HTTPS не защищает от подмены самого сайта. Если злоумышленник получил сертификат на похожий домен, браузер покажет замок. Поэтому «есть замок» — не гарантия, что сайт тот, за кого себя выдаёт. Нужно смотреть на адрес, а не только на значок.

С маршрутом связана и другая практическая вещь: VPN. Он создаёт защищённый туннель до удалённой сети и меняет видимый IP. Это полезно, когда вы подключаетесь к рабочей сети из кафе или хотите скрыть трафик от местного провайдера. Но VPN не делает вас анонимным и не защищает от фишинга — он лишь меняет путь и добавляет шифрование на участке до сервера VPN.

Что это значит для защиты

Если свести всё к трём вопросам, которые стоит задавать при разборе любой сетевой истории, получится так.

Первый: куда идёт трафик и через какие сети? Если данные идут через открытый Wi-Fi без шифрования, их может увидеть кто угодно. Если через VPN — видит только VPN-сервер. Понимание маршрута помогает выбрать, где включать шифрование.

Второй: какие двери открыты наружу? Список открытых портов — это список того, что вообще можно попробовать атаковать. Его нужно знать и регулярно пересматривать. Открытый порт, о котором забыли, — классическая причина инцидента.

Третий: кому мы доверяем в DNS и в сертификатах? Если ответ DNS подменён, все дальнейшие проверки теряют смысл. Если сертификат выдан мошеннику, замок в браузере ничего не гарантирует. Доверие к инфраструктуре — такая же часть защиты, как пароли и firewall.

Из этих вопросов вырастает практика: сегментировать сеть, чтобы из гостевого Wi-Fi нельзя было достучаться до кассы; закрывать лишние порты; использовать шифрование; проверять, какие устройства вообще подключены; следить за доменами и сертификатами.

Главная мысль

Интернет не «летает» — он адресует, маршрутизирует и договаривается. Имя превращается в адрес, адрес приводит к серверу, порт указывает на службу, а шифрование защищает содержимое разговора. Каждый из этих шагов можно нарушить, и почти каждая атака эксплуатирует не «магию», а конкретное слабое место в этой цепочке.

Когда вы понимаете цепочку, защита перестаёт быть набором ритуалов. Вы начинаете видеть, зачем нужен firewall, почему нельзя оставлять открытым админский порт, чем опасна подмена DNS и почему HTTPS — не гарантия, а инструмент, который тоже нужно правильно понимать.

Дальше логично разобраться, как именно защищается содержимое канала — то есть перейти к шифрованию и электронной подписи. Это следующая ступенька после адресов и портов.

Что делать дальше