Трансляция сетевых адресов

Возможности

Выбор межсетевого экрана

Инспекторы состояния

Каждый из названных классов межсетевых экранов обладает рядом досто­инств и может применяться для защиты корпоративных сетей. Однако куда более эффективным было бы объединить все названные классы МСЭ в одном устройст­ве. Что и было сделано в инспекторах состояний, которые совмещают в себе все достоинства названных выше типов экранов, начиная анализ трафика с сетевого и заканчивая прикладным уровнями, что позволяет совместить в одном устройст­ве казалось бы несовместимые вещи — большую производительность и высокую защищенность. Эти межсетевые экраны позволяют контролировать:

• каждый передаваемый пакет — на основе имеющейся таблицы правил;

• каждую сессию — на основе таблицы состояний;

• каждое приложение — на основе разработанных посредников.

Действуя по принципу «продвинутого» шлюза сеансового уровня, инспектор состояния, тем не менее, не препятствует установлению соединения между двумя узлами, за счет чего производительность такого межсетевого экрана существенно выше, чем у шлюза сеансового и прикладного уровня, приближаясь к значениям, встречающимся только у пакетных фильтров. Еще одно достоинство межсетевых экранов с контролем состояния — прозрачность для конечного пользователя, не требующая дополнительной настройки или изменения конфигурации клиентского программного обеспечения.

Сейчас на рынке существует всего два класса межсетевых экранов — инспекторы состояний и пакетные фильтры.

Нельзя сделать однозначный выбор в пользу какого-либо из названных экранов. Лучше, если вы сможете использовать два межсетевых экрана, строя таким обра­зом эшелонированную оборону своей сети. Если один из экранов будет выведен из строя, то до тех пор, пока его работоспособность не будет восстановлена, весь удар примет на себя второй экран. Обычно используется комбинация «пакетный фильтр — инспектор состояния (или посредник прикладного уровня)». И эта ком­бинация хороша еще и тем, что вам не придется тратиться на приобретение па­кетного фильтра, уже встроенного в маршрутизатор, установленный на границе вашей сети.

Помимо фильтрации трафика межсетевые экраны позволяют выполнять и другие, не менее важные функции, без которых обеспечение защиты периметра было бы неполным.

Как показано ранее, для реализации многих атак злоумышленнику необхо­димо знать адрес своей жертвы. Чтобы скрыть эти адреса, а также топологию всей сети, межсетевые экраны выполняют очень важную функцию — трансля­цию сетевых адресов (network address translation). Трансляция может осуществ­ляться двумя способами — динамически и статически. В первом случае адрес выделяется узлу в момент обращения к межсетевому экрану. После завершения соединения адрес освобождается и может быть использован любым другим уз­лом корпоративной сети. Во втором случае адрес узла всегда привязывается к одному адресу МСЭ.

Дата добавления: 2014-01-15