40. Firewall. Классификация firewall’ов

Firewall’ы(F) управляют потоком сетевого трафика между сетями с различными требованиями к безопасности. Корпоративные сети предприятия ставят F для ограничения соединений из и во внутренние сети, обрабатывающие информацию разного уровня безопасности. Предотвращают неавторизованный доступ к ресурсам внутри областей

F классифицируются по уровням OSI, которые F может анализировать. OSI является абстракцией сетевого взаимодействия между КС и сетевыми устройствами

Таблица 1.1. Стек протоколов модели OSI
Уровень 7	Application
Уровень 6	Presentation
Уровень 5	Session
Уровень 4	Transport
Уровень 3	Network
Уровень 2	Data Link
Уровень 1	Physical

1. Аппаратура физич соединения и среда, Ethernet

2. сетевой трафик передается по локальной сети LAN. можно идентифицировать отдельную машину. МАС –адреса, назначаемые на сетевые интерфейсы

3. отвечает за доставку сетевого трафика по WAN. Адреса уровня 3 – IP-адр

4. идентифицирует конкретное сетевое приложение и коммуникационную сессию в дополнение к сетевым адресам;

5. 5,6,7 - представляют приложения и системы конечного пользователя.

Стек протоколов TCP/IP соотносится с уровнями модели OSI следующим образом:

Таблица 1.2. Взаимосвязь уровней стека протоколов TCP/IP и OSI
Уровень 7	Application	Почтовые клиенты, web-браузеры
Уровень 4	Transport	ТСР-сессии
Уровень 3	Network	IP-адресация
Уровень 2	Data Link	Ethernet-адресация

Современные F функционируют на любом из перечисленных уровней. Возможность анализировать более высокие уровни позволяет F предоставлять сервисы, ориентированные на пользователя, - аутентификация. F, который функционирует на уровнях 2, 3 и 4, не имеет дело с подобной аутентификацией.

Независимо от архитектуры Fможет иметь дополнительные сервисы: Трансляцию сетевых адресов (NAT), поддержку протокола динамической конфигурации хоста (DHCP) и функции шифрования, являясь конечной точкой VPN-шлюза, и фильтрацию на уровне содержимого приложения. Могут функционировать как VPN-шлюзы. Организация посылает незашифрованный сетевой трафик от системы, расположенной позади F, к удаленной системе, расположенной позади корпоративного VPN-шлюза; F зашифрует трафик и перенаправит его на удаленный VPN-шлюз, который расшифрует его и передаст целевой системе.

Многие F также включают различные технологии фильтрации активного содержимого. Фильтрация прикладных данные на уровне 7 - скан на вирусы в файлах, присоединенных к почтовому сообщению; опасных технологий активного содержимого в web(Java, ActiveX); содержимого с целью ограничения доступа к неподходящим сайтам или доменам. Тем не менее, помимо фильтрации, встроенной в F, необходимо применять аналогичные фильтры при сжатии, шифровании..