Фильтрующий маршрутизатор

Рис. 8

Фильтрующий маршрутизатор (packet-filtering router) на основе определенного набора правил принимает решение о том, передавать по сети поступивший пакет IP дальше или отвергнуть его. Обычно маршрутизатор настраивается таким образом, чтобы фильтровать пакеты, проходящие в обоих направлениях (как извне во внутреннюю сеть, так и из внутренней сети во внешний мир). Правила фильтрования основываются на значениях полей в заголовках IP и транспортного уровня (TCP или UDP), включая IP-адреса источника и адресата, поле IP-протокола (задающее транспортный протокол), а также номер порта TCP или UDP (определяющий приложение, например SNMP или TELNET).

Фильтр пакетов обычно представляется в виде списка правил, использующих значения полей заголовков IP и TCP. Если обнаруживается соответствие одному из правил, на основании этого правила принимается решение о том, можно ли передать пакет дальше или его следует отвергнуть. При несоответствии всем правилам выполняется операция, предусмотренная для использования умолчанию. Существуют следующие возможности.

· Default = discard. Все, что не разрешено, запрещено.

· Default = forward. Все, что не запрещено, разрешено.

Очевидно, что первая политика соответствует более консервативному подходу. Изначально все оказывается запрещенным, и добавление сервисов должно осуществляться для каждого из них в отдельности. В рамках этой политики по отношению к пользователям брандмауэр выступает как препятствие. Вторая политика в значительной степени облегчает работу конечных пользователей, но обеспечивает более низкий уровень защиты, поскольку в данном случае администратору системы защиты приходится принимать меры по каждой новой обнаруженной угрозе безопасности.

В табл. 1 представлены примеры наборов правил для брандмауэра, использующего фильтрацию пакетов. В каждом наборе правила применяются "сверху вниз". Символ "*" в поле обозначает соответствие любомy значению. Предполагается, что применяется политика default = discard.

Дата добавления: 2013-12-12