Правила фильтрации пакетов

Брандмауэры выполняют фильтрацию пакетов путем проверки заголовков входящих пакетов на предмет их удовлетворения определенным критериям, устанавливаемых с помощью правил фильтрации пакетов. Фильтрации подвергаются пакеты, поступающие как изнутри, так и извне локальной сети, причем фильтр работает асимметрично, различным образом обрабатывая входящие и исходящие пакеты.

При поступлении пакета в брандмауэр, входящий в его состав маршрутизатор с фильтрацией пакетов извлекает из пакета заголовки и выполняет синтаксический анализ и проверку заголовков. Как правило, при этом проверяются заголовки, относящиеся к протоколам TCP, IP, UDP. Далее к пакету последовательно применяются правила фильтрации пакетов, причем в том порядке, в котором они сохранены в списке ACL брандмауэра. Применение правил выполняется с учетом следующих принципов:

· если при просмотре списка ACL будет найдено правило, разрешающее прохождение пакета, он немедленно направляется по назначению;

· если будет найдено правило, запрещающее прохождение пакета, он немедленно отбрасывается;

· если при просмотре ACL окажется, что для данного пакета отсутствуют правила, разрешающее его прохождение, пакет автоматически отбрасывается.

Чтобы создать правило фильтрации пакетов, следует указать: действие, выполняемое при совпадении критериев правила с параметрами пакета, протокол обработки пакета и номер порта для приема пакета.

Самое главное, на что нужно обращать внимание при создании правил фильтрации пакетов – это порядок их записи в список ACL, от которого зависит функционирование брандмауэра. Некорректный порядок записи правил может привести к полному блокированию межсетевого соединения или к отбрасыванию корректных пакетов и разрешению некорректных.

Приведем пример важности очередности задания правил фильтрации. Допустим, вы написали 2 правила фильтрации:

Правило	Действие	Источник	Порт	Назначение	Порт	Комментарий
	Блокировать	Spammer	*	*	*	Блокирование соединений
	Разрешить	*	*	Mailer		Разрешение соединений

При таком порядке сначала будут отсекаться все попытки передачи пакета с хоста-источника «Spammer», а затем разрешается всем пакетам со всех исходных хостов поступать на SMPT-порт 25 почтового шлюза хоста Mailer.

Если изменить очередность этих правил, то это позволит всем хостам сети (включая Spammer) соединяться с почтовым шлюзом, поскольку правила немедленно применяются к поступившему пакету.

Сложность создания таких правил состоит в необходимости учета всех протоколов, служб и портов, используемых сетевыми хостами, без чего нельзя исключить риск атаки на эти хосты. Некоторые затруднения может причинить протокол FTP, поскольку номер порта для канала передачи данных заранее неизвестен. Поэтому обычно правила фильтрации пакетов создаются постепенно, по мере эксплуатации, системы и уточнения конфигурации брандмауэра.

Дата добавления: 2014-01-15