15. Межсетевые экраны уровня приложений

Межсетевые экраны приложений контролируют содержимое пакетов на уровне приложений. Они обеспечивают более высокий уровень безопасности. по сравнению с пакетными фильтрами, но за счет потери прозрачности для контролируемых служб. Межсетевые экраны приложения играют роль сервера для клиента и клиента для реального сервера, обрабатывая запросы реального сервера вместо пользователей, которых он защищает.

При использовании межсетевого экрана прикладного уровня все соединения проходят через него. Соединение начинается на системе-клиенте и поступает на внутренний интерфейс межсетевого экрана. Межсетевой экран принимает соединение, анализирует содержимое пакета и используемый протокол и определяет, соответствует ли данный трафик правилам политики безопасности. Если это так, то межсетевой экран инициирует новое соединение между своим внешним интерфейсом и системой-сервером.

Межсетевые экраны прикладного уровня используют модули доступа для входящих подключений. Модуль доступа в межсетевом экране принимает входящее подключение и обрабатывает команды перед отправкой трафика получателю. Таким образом, межсетевой экран защищает системы от атак, выполняемых посредством приложений.

Межсетевые экраны прикладного уровня содержат модули доступа для наиболее часто используемых протоколов, таких как HTTP, SMTP, FTP и telnet. Некоторые модули доступа могут отсутствовать. Если модуль доступа отсутствует, то конкретный протокол не может использоваться для соединения через межсетевой экран. Межсетевые экраны приложений могут осуществлять дополнительную проверку сообщений, которую простой фильтр пакетов не предусматривает. Они способны проверять на наличие вирусов и удалять с Web-страниц активное содержимое, например, Java-апплеры. Так как анализ трафика между Internet требует вычислительных затрат, то должен для этих целей выделен специальный компьютер. В отличие от пакетных фильтров, шлюзы приложений позволяют ограничить количество допустимых операций за одно соединение.

Недостатками межсетевые экраны приложений являются более низкая производительность по сравнению с пакетными фильтрами и более высокая, чем для пакетных фильтров стоимость; невозможность использовании протоколов RPC и UDP.

16. Шлюзы уровня соединений

Шлюзы уровня соединений аналогичны шлюзам приложений, однако они не могут разграничивать приложения. Они функционируют посредством коммутации TCP-соединений из доверенной сети в недоверенную. Это означает, что прямое соединение между клиентом и сервером никогда не устанавливается. Шлюзы уровня соединения нуждаются в информации о соединении от клиентов, которым она известна и которые запрограммированы на использование шлюза.

Основное их преимущество в том, что они предоставляют службы для многих протоколов и могут быть адаптированы к большому количеству соединений.

Недостатки:

- Необходимы клиенты, которые могут использовать именно шлюзы уровня соединений. Некоторые клиентские приложения нельзя модифицировать таким образом, чтобы они поддерживали шлюз уровня соединения, что ограничивает их возможности по обращению к внешним ресурсам.

- Шлюзы уровня соединения не допускают контроль на прикладном уровне. Это позволяет приложениям использовать порты TCP, которые были открыты для выполнения легальных задач.

В частности, областью применения шлюзов уровня соединения может быть организация так называемых виртуальных частных сетей (VPN - Virtual Private Network). Обычно локальные сети (например, головной организации и ее филиалов) связывают друг с другом при помощи глобальной сетевой службы, например арендованной линии или других выделенных средств для обеспечения надежного соединения между двумя точками. Развернув виртуальную частную сеть (VPN), компании могут создать соединение между межсетевыми экранами без дополнительных расходов на выделенные линии.