Особенности фильтрации при использовании протокола UDP

Хотя для UDP нет понятия соединения, в сетевых экранах оно всегда используется: вводится виртуальное понятие соединения на уровне сетевого экрана.

При начале работы одна из сторон выступает в роли инициатора и отправляет первый пакет (хотя стороны считаются равноправными, не существует понятия клиента и сервера).

Если инициатор – узел с сетевым экраном (наш узел), то трафик легальный, потому что все программы находятся под полным контролем пользователя и им разрешено это делать. Программам, которые пытаются получить доступ извне, он запрещается.

– если идет исходящий пакет, сетевой экран запоминает этот факт как установку соединения и считает, что между компьютером пользователя (через определенный порт) и другой стороной с определенным IP-адресом и портом могут беспрепятственно передаваться данные в обоих направлениях;

– экран считает, что взаимодействие по UDP должно происходить постоянно. Длительного бездействия быть не должно: если в течение некоторого промежутка времени пакеты через соединение не передаются, то можно считать, что оно логически разорвано.

Для работы сетевого экрана с UDP вводится понятие логического соединения. Такое соединение разрывается при отсутствии пользовательской активности в течение некоторого времени. Этот подход аналогичен применяемому при работе NAT с UDP.

25. UDP hole punching («Проделывание дырок в UDP»)

Дата добавления: 2014-11-16