32. Тунелювання

Протоколи захищеного каналу, як правило, використовують у своїй роботі механізм тунелювання. За допомогою даної методики пакети даних транслюються через загальнодоступну мережу як за звичайним двохточковим з'єднанням. Між кожною парою «відправник – одержувач даних» встановлюється своєрідний тунель – безпечне логічне з'єднання, що дозволяє інкапсулювати дані одного протоколу в пакети іншого.

Технологія тунелювання дозволяє зашифрувати вихідний пакет повністю, разом із заголовком, а не тільки його поле даних. Такий зашифрований пакет поміщається в інший пакет з відкритим заголовком. Цей заголовок використовують для транспортування даних на ділянці загальної мережі. У граничній точці захищеного каналу витягується зашифрований заголовок, який буде використовуватися для подальшої передачі пакета. Як правило, тунель створюється тільки на ділянці мережі загального користування, де існує загроза порушення конфіденційності і цілісності даних. Крім захисту переданої інформації, механізм тунелювання використовують для забезпечення цілісності та автентичності (при цьому захист потоку реалізується більш повно).

Тунелювання застосовується також і для узгодження різних транспортних технологій, якщо дані одного протоколу транспортного рівня необхідно передати через транзитну мережу з іншим транспортним протоколом. Слід зазначити, що процес тунелювання не залежить від того, з якою метою він застосовується. Сам по собі механізм тунелювання не захищає дані від несанкціонованого доступу або від спотворень, він лише створює передумови для захисту всіх полів вихідного пакету. Для забезпечення секретності переданих даних, пакети на транспортному рівні шифруються і передаються транзитною мережею.

32. Що таке iptables? Основні можливості.

Iptables — утиліта командного рядка, стандартний інтерфейс керування роботою міжмережевного екрану (брандмауеру) Netfilter для ядер Linux від версії 2.4. Для використання утиліти iptables потрібні привілеї суперкористувача (root).

Основні можливості iptables:

-A ланцюжок правило - додати правило в кінець ланцюжка. Як параметр вказується ім'я ланцюжка INPUT, OUTPUT або FORWARD.

-D ланцюжок номер - видалити правило з вказаним номером із заданої ланцюжка

-R ланцюжок номер правило - замінити правило з вказаним номером в ланцюжку

-I ланцюжок номер правило - вставити правило у вказану першим аргументом ланцюжок під номером, заданим в другому параметрі. Якщо номер дорівнює 1, то правило стане першим в ланцюжку

-L ланцюжок - переглянути вміст зазначеної ланцюжка

-F ланцюжок - видалити всі правила з ланцюжка

-P протокол - визначає протокол, на який впливає правило

-I інтерфейс - визначає мережевий інтерфейс, з якого дані були отримані. Тут можна використовувати input, forward, postrouting

-O інтерфейс - задає інтерфейс, на який направляється пакет. Тут можна вказувати output, forward або postrouting

-J дія - операція, яка повинна бути виконана над пакетом. В якості аргументів можна вказати такі значення:

основні значення:

LOG - помістити в журнал запис про отримання пакета

REGET - відправнику буде направлено повідомлення про помилку

DROP - видалити пакет

BLOCK - блокувати пакети

-S адреса - IP-адреса відправника пакета. Після адреси можна задати маску у вигляді / mask і знак заперечення «!», Що буде відповідати будь-яким адресами, крім зазначених.

-D адреса - адреса призначення пакета