Функции межсетевого экранирования.
МЭ не является симметричным. Для него отдельно задаются правила, (ограничивающие доступ из внутренней сети во внешнюю сеть и наоборот. В общем случае работа межсетевого экрана основана на динамическом выполнении двух групп функций:
фильтрации проходящих через него информационных потоков;
посредничества при реализации межсетевых взаимодействий.
В зависимости от типа экрана эти функции могут выполняться с различной полнотой. Простые межсетевые экраны ориентированы на выполнение только одной из данных функций. Комплексные экраны обеспечивают совместное выполнение указанных функций защиты. Собственная защищенность МЭ достигается с помощью тех же средств, что и защищенность универсальных систем.
Полнота и правильность управления требуют, чтобы комплексный МЭ имел возможность анализа и использования следующих элементов:
информации о соединениях — информации от всех семи уровней в пакете;
истории соединений — информации, полученной от предыдущих соединений. Например, исходящая команда PORT сессии FTP должна быть сохранена для того, чтобы в дальнейшем можно было проверить входящее соединение FTP data;
состояния уровня приложения — информации о состоянии, полученной из других приложений. Например, аутентифицированному до настоящего момента пользователю можно предоставить доступ через МЭ только для авторизованных видов сервиса;
агрегирующих элементов — вычислений разнообразных выражений, основанных на всех вышеперечисленных факторах.
1. Фильтрация трафика
Фильтрация информационных потоков состоит в их выборочном пропускании через экран, возможно, с выполнением некоторых преобразований и извещением отправителя о том, что его данным в пропуске отказано. Фильтрация осуществляется на основе набора правил, предварительно загруженных в экран и являющихся выражением сетевых аспектов принятой политики безопасности.
2. Выполнение функций посредничества
Программа-посредник проверяет допустимость запрошенного межсетевого взаимодействия и при его разрешении сама устанавливает отдельное соединение с требуемым компьютером. Далее обмен информацией между компьютерами внутренней и внешней сети осуществляется через программного посредника, который может выполнять фильтрацию потока сообщений, а также осуществлять другие защитные функции.
МЭ с посредниками позволяют также организовывать защищенные виртуальные сети (Virtual Private Network — VPN), например, безопасно ; объединить несколько локальных сетей, подключенных к Internet, в одну виртуальную сеть.
3. Особенности межсетевого экранирования на различных уровнях модели osi
МЭ поддерживают безопасность межсетевого взаимодействия на различных уровнях модели OSI. При этом функции защиты, выполняемые на разных уровнях эталонной модели, существенно отличаются друг от друга. Поэтому комплексный межсетевой экран удобно представить в виде совокупности неделимых экранов, каждый из которых ориентирован на отдельный уровень модели OSI. Чаще всего комплексный экран функционирует на сетевом, сеансовом и прикладном уровнях эталонной модели. Соответственно различают такие неделимые МЭ (рис. 1.3), как экранирующий маршрутизатор, экранирующий транспорт (шлюз сеансового уровня), а также экранирующий шлюз (шлюз прикладного уровня).
Типы межсетевых экранов, функционирующих на отдельных уровнях модели OSI
