4.2.3 Межсетевые экраны на уровне портов

Использование VLAN-ов может быть достаточно для грубой классификации пользователей сети. Но для реальной защиты ценных ресурсов к каждому пользователю должны применяться многосторонние политики управляемые сетевой инфраструктурой. Многие сетевые инженеры пришли к такому же заключению и начали использовать периметральные межсетевые экраны также и внутри сети для того чтобы применять политики безопасности не только в месте выхода в Интернет. Но существует много проблем использования межсетевых экранов внутри сети для исполнения политик безопасности, например:

1 Не проходят пакеты с аутентификационной информацией. Когда межсетевой экран, расположенный глубоко внутри сети, должен принимать решение о доступе, то возникает проблема того, что решение должно приниматься на крайне ненадежной информации (прежде всего на базе IP-адреса откуда пришел запрос) или надо будет ввести еще одну точку остановки для того, чтобы выполнить аутентификацию на этом межсетевом экране. Существует много пропраитарных (собственное ноу-хау вендоров) решений для обходы этих проблем, но типичный подход это использование VPN-ов с аутентифкацией и шифрованием. Это далеко не самый простой, гибкий и удобный способ.

2 Межсетевых экранов внутри сети всегда не хватает, т.к. часто мы имеем большие объемы трафика перетекающие от одной точки на границе сети к другой и пропускать все это через экраны внутри очень дорого. Контроль должен быть привязан к точке входа в сеть, это крайне важно. В настоящее время доступны технологии, такие как 802.1х (помните Стратегию 1) и мощные межсетевые экраны с высокой плотностью портов, что переводит цель применения политик безопасности на уровне портов в экономически обоснованную плоскость.

Существуют две основные проблемы реализации тонкого контроля доступа:

– управление процессом

– экономика:

Хотя уже сейчас есть производители коммутаторов LAN, которые производят недорогие свичи с поддержкой 802.1х на портах, например Cisco Systems.

Стратегии применения тонкого контроля доступа. Любая политика безопасности должна начинаться с определения политики. Хотя технологии решают много проблем, но сложность определения политики никогда не менялась и должна быть проработана в первую очередь. Если политика безопасности для внутренней части сети не может быть определена и согласована нет оснований для движения дальше. Политика безопасности должна основываться:

– на ролях и ресурсах,

– определять кто имеет право доступа и к каким ресурсам,

– как может пользователь получать доступ к ресурсам (чтение, запись, выкладывать туда что-то, получать отттуда что-то и т.п.)

– время суток, когда и к каким ресурсам пользователю разрешен доступ,

– местоположение пользователя.

Хороший рабочий подход состоит в том, чтобы формировать политику безопасности на уровне портов с использованием беспроводной сети доступа. Т.к. безопасность беспроводной сети основывается на идентификации пользователя и, при этом, пользователи не ассоциируются более с физическими портами. Современные решения для беспроводных сетей интегрируют функционал исполнения политик безопасности напрямую внутрь системы WLAN.

Это позволяет говорить о том, что использование технологии Wi-Fi, как основного безопасного, удобного и надежного доступа, логичнее и целесообразнее, чем проводного.