Примеры политик безопасности
Менее строгая политика. Для входящих из Internet пакетов делается следующее:
индивидуально разрешается передачу пакетов с/на порты с номерами менее 1024 для служб, предоставляемых для внешнего доступа;
разрешается прохождение UDP-пакетов с DNS-серверов, номер порта для которых (вх./исх.) равняется 53;
запрещается прохождение TCP-пакетов с портом назначения менее 1024;
запрещается прохождение UDP-пакетов с портом назначения менее 1024.
Рис.1.9 показывает конфигурацию этой политики в фильтре пакетов
Рис.
1.9.
Более строгая политика. Для входящих из Internet пакетов делается следующее:
индивидуально разрешается передачу пакетов с/на порты с номерами менее 1024 для служб, предоставляемых для внешнего доступа;
разрешается прохождение UDP-пакетов с DNS-серверов, номер порта источника для которых равняется 53, и номер порта приемника превышает 1024;
разрешается прохождение UDP-пакетов с DNS-серверов, номер порта для которых (вх./исх.) равняется 53;
запрещается прохождение TCP-пакетов с портом назначения менее 1024;
запрещается установка соединения для TCP-пакетов для всех портов;
запрещаются UDP-пакеты для всех портов.
В качестве примера разрешения доступа к службам в ЛВС: чтобы разрешить доступ к вашему WWW-серверу, необходимо разрешить прохождение TCP-пакетов по адресу вашего WWW-сервера и порту 80 (в общем случае). Рис.1.10 показывает конфигурацию описанной выше политики в фильтре пакетов.
Рис. 1.10
Прокси-сервер
Прокси-сервер собирает данные из Internet и передает их по запросам браузерам в локальной сети. Эти данные также хранятся в разделяемом (общедоступном) кэше. Если эта же информация запрашивается снова, она берется из кэша. Поскольку кэш находится внутри ЛВС, передача данных происходит с соответствующей скоростью, гораздо быстрее, чем из Internet.
В основном, кэш увеличивает скорость доступа в Internet путем локального предоставления данных с уже посещенных сайтов, позволяя таким образом получать данные из Internet только с новых, еще не посещавшихся ни разу адресов. Результатом является улучшение производительности без изменения коммуникационных ресурсов.
Кроме того, прокси-сервер может использоваться для управления доступом к ресурсам Internet. Например, можно ограничить доступ определенному(ым) пользователю(ям) к определенным Web-сайтам. Запреты могут быть применены к отдельным пользователям, группам пользователей или отдельным URL.
Рис. 1.11
Настройка прокси-сервера осуществляется с помощью меню Settings => Proxy Server. Окно настроек изображено на рис.1.11. Остановимся подробнее на некоторых из основных настроек.
Proxy Port (Порт) – номер порта, используемого браузером для сообщения с прокси, по умолчанию - 3128. Предпочтительно использование значения по умолчанию.
Enable Logging (Разрешить журнал) – разрешить журнал URL адресов страниц, посещенных браузерами через прокси.
Cache Enabled (Кэш включен) – включить кэширование. Если эта функция выключена, данные всегда берутся только из Internet.
Cache Directory (Подкаталог кэша) – путь к подкаталогу прокси-кэша.
Cache Size (Размер кэша) – максимальный размер кэша в мегабайтах. Когда кэш превосходит этот лимит, происходит урезание наполнения кэша до 85% от лимита. Наиболее старые данные в кэше удаляются.
Continue Aborted (Продолжать закачку) – когда пользователь нажимает «стоп» или переходит к другой странице, не закончив загрузку текущей, прокси-сервер продолжает закачку данных с этой страницы. Если впоследствии пользователь вернется к этой странице, она будет предоставлена ему из кэша. Включение этой функции ускоряет открытие страниц.
Keep Aborted (Хранить незаконченные) – разрешает хранение объектов, закачка которых не закончена.
Cache FTP Directory Only (Разрешить кэширование только каталогов FTP) – вполне достаточно кэшировать структуру только каталогов FTP-сервера.
Time To Live (Время жизни) – это значение определяет, сколько дней объекты будут храниться в кэше. Если запрашивается объект, время хранения которого истекло, он закачивается из Internet.
Max. Object Size (Максимальный размер объекта) – все объекты, размер которых превосходит это значение, не будут записываться в кэш.
Рис.1.12
Закладка «Доступ» (рис.1.12) позволяет управлять доступом определенных пользователей (групп пользователей) к определенным адресам URL (группам адресов). В примере настроек, приведенном на рис.1.12, всем пользователям заблокирован доступ к основным баннерообменным сетям Рунета, что позволяет избавиться от надоедливой рекламы на веб-страницах и снизить ненужный трафик.
Дополнительные настройки (закладка «Advanced») позволяют указать адрес родительского прокси-сервера, на который будут перенаправляться запросы, позволяя начать выстраивание цепочек прокси-серверов.
Для работы браузеров клиентских машин с Internet через прокси-сервер необходимо указать в их настройках IP-адрес и номер порта прокси.
Например, в Internet Explorer, пункт меню Сервис => Свойства обозревателя => Подключение => Настройка сети. В открывшемся окне установить галочку «Использовать прокси-сервер» и указать его адрес и номер порта (обычно 3128).