Компоненты брандмауэра

Возможности брандмауэра

Брандмауэры позволяют маскировать IP -адреса хостов внутри локальной сети с помощью операции, называемой трансляцией сетевых адресов (NAT – Network Address Translation). Маскированные IP адреса становятся невидимыми для внешних пользователей. Брандмауэры позволяют управлять сетевым трафиком, проходящим внутри локальной сети. С помощью брандмауэров можно разделить локальную сеть на домены безопасности – группы компьютеров с одним уровнем защищенности. Наиболее конфиденциальная информация в таком случае хранится на компьютерах наиболее защищенного домена.

Брандмауэры состоят из набора аппаратных и программных компонентов, в числе которых:

· бастионный хост, представляющий собой компьютер, подсоединенный и к локальной и к глобальной сети. На бастионном компьютере устанавливаются все прочие компоненты брандмауэра;

· маршрутизатор с фильтрацией пакетов. Обычный маршрутизатор просто пересылает поступающие IP -пакеты по указанному адресу. Маршрутизатор с фильтрацией пакетов выполняет дополнительную функцию проверки поступающих IP -пакетов. Маршрутизаторы с фильтрацией пакетов называют защищенными маршрутизаторами. Следует учесть, что защищенные маршрутизаторы не проверяют содержимое пакетов, а имеют дело только с заголовочной информацией пакетов, контролируя IP-адреса источника и получателя пакета, используемые протоколы, службы, порты и другую информацию заголовка;

· шлюзы приложений (или прикладные шлюзы), которые исполняются на бастионном хосте и ограничивают подсоединения к отдельным приложениям, например, почтовым клиентам. Для этой цели используются службы-посредники, которые устанавливаются на шлюзе отдельно для каждого приложения, которому разрешено сетевое взаимодействие через брандмауэр. Только те сетевые службы, для которых установлены службы-посредники, могут получать и отправлять сетевой трафик через шлюзы приложений, причем службы-посредники можно настроить на разрешения доступа лишь к определенному, ограниченному набору средств приложения. Примером шлюза прикладного уровня является прокси-сервер, управляющий сетевым трафиком и выполняющий аутентификацию пользователей;

· канальные шлюзы. Они связывают сетевой компьютер с портами TCP/IP бастионного хоста. Такие шлюзы не выполняют никакой проверки сетевого трафика и используются для передачи исходящих сообщений от доверенных внутренних пользователей. Канальные шлюзы позволяют защитить сеть от вторжений и в то же время ускорить работу системы.

Бастионный хост должен быть спроектирован так, чтобы он мог эффективно противостоять атакам хакеров. Для этого может быть применен целый набор технических средств, например, защищенная версия ОС на бастионном хосте, отсутствие каких-либо служб, кроме самых необходимых, например, Telnet, DNS, FTP, SNMP и средств пользовательский аутентификации.

Дата добавления: 2014-01-15