Kampyuter Tarmoqlari fanidan

Tarmoq qatlamini filtrlash


Kiruvchi va chiquvchi paketlarni filtrlash TCP va IP paket sarlavhalarining quyidagi maydonlarida joylashgan ma'lumotlar asosida amalga oshiriladi: jo'natuvchining IP manzili; qabul qiluvchining IP manzili; jo'natuvchi port; qabul qiluvchi port.


Filtrlash muayyan kompyuterlar yoki portlarga ulanishni blokirovka qilish uchun turli usullar bilan amalga oshirilishi mumkin. Masalan, ishonchsiz deb hisoblangan kompyuterlar va tarmoqlarning muayyan manzillaridan keladigan ulanishlarni bloklashingiz mumkin.


nisbatan past narx;


filtrlash qoidalarini belgilashda moslashuvchanlik;


paketlarning o'tishida kichik kechikish.


Kamchiliklari:


parchalangan paketlarni yig'maydi;


paketlar orasidagi munosabatlarni (ulanishlarni) kuzatishning hech qanday usuli yo'q.?
Seans darajasini filtrlash

Faol ulanishlarni kuzatishga qarab, xavfsizlik devorlari quyidagilar bo'lishi mumkin:

fuqaroligi bo'lmagan(oddiy filtrlash), ular joriy ulanishlarni kuzatmaydi (masalan, TCP), lekin ma'lumotlar oqimini faqat statik qoidalar asosida filtrlaydi;

davlat, statistik paket tekshiruvi (SPI)(kontekst asosida filtrlash), joriy ulanishlarni kuzatish va faqat tegishli protokollar va ilovalarning mantiqiy va algoritmlarini qondiradigan paketlarni o'tkazib yuborish.

SPI bilan xavfsizlik devorlari sizga turli xil DoS hujumlari va ba'zi tarmoq protokollaridagi zaifliklarni samaraliroq hal qilish imkonini beradi. Bundan tashqari, ular H.323, SIP, FTP va boshqalar kabi protokollarning ishlashini ta'minlaydi, ular statik qoidalar bilan tavsiflash qiyin bo'lgan va ko'pincha standart, fuqaroligi bo'lmagan xavfsizlik devori bilan mos kelmaydigan qabul qiluvchilar o'rtasida ma'lumotlarni uzatish uchun murakkab sxemalardan foydalanadilar.

Ushbu filtrlashning afzalliklari quyidagilardan iborat:

paket tarkibini tahlil qilish;

7-qatlam protokollarining ishlashi haqida hech qanday ma'lumot talab qilinmaydi.

Kamchiliklari:

dastur darajasidagi ma'lumotlarni tahlil qilish qiyin (ehtimol ALG - Application level shlyuzidan foydalanish).

Ilova darajasidagi shlyuz, ALG (ilova darajasidagi shlyuz) - dastur protokolini tushunadigan NAT routerining komponenti va ushbu protokol paketlari u orqali o'tganda ularni NAT ortidagi foydalanuvchilar protokoldan foydalanishlari mumkin bo'lgan tarzda o'zgartiradi.

ALG xizmati tarmoq manzillarini tarjima qilishga ruxsat berilmagan dastur qatlami protokollarini (masalan, SIP, H.323, FTP va boshqalar) qo'llab-quvvatlaydi. Ushbu xizmat interfeysdan keladigan paketlardagi dastur turini aniqlaydi ichki tarmoq va tashqi interfeys orqali ular uchun manzil/port tarjimasini mos ravishda bajaring.

SPI texnologiyasi (Stateful Packet Inspection) yoki davlat paketlarini tekshirish texnologiyasi bugungi kunda transportni boshqarishning ilg'or usuli hisoblanadi. Ushbu texnologiya har bir himoyalangan protokol yoki tarmoq xizmati uchun alohida vositachi yoki proksi-ilovani talab qilmasdan, maʼlumotlarni dastur darajasigacha boshqarish imkonini beradi.

Tarixan, xavfsizlik devorlari umumiy maqsadli paketli filtrlardan paydo bo'lgan, keyin individual protokollar uchun vositachi dasturlar paydo bo'la boshlagan va nihoyat, davlat tekshiruvi texnologiyasi ishlab chiqilgan. Oldingi texnologiyalar faqat bir-birini to'ldirdi, lekin ulanishlar ustidan har tomonlama nazoratni ta'minlamadi. Paket filtrlari xavfsizlik bo'yicha yakuniy qarorni qabul qilish uchun zarur bo'lgan ulanish va dastur holati ma'lumotlariga kirish imkoniga ega emas. Brokerlar faqat dastur darajasidagi ma'lumotlarni qayta ishlaydilar, bu ko'pincha tizimni buzish uchun turli imkoniyatlarni keltirib chiqaradi. Davlat tekshiruvi arxitekturasi noyobdir, chunki u shlyuz mashinasi orqali o'tadigan barcha ma'lumotlarni manipulyatsiya qilish imkonini beradi: paketdan olingan ma'lumotlar, ulanish holati ma'lumotlari, ilova uchun zarur bo'lgan ma'lumotlar.

Mexanizmga misolDavlatga tegishliTekshirish. Xavfsizlik devori dastur darajasida ma'lumotlarni tekshirish orqali FTP seansini nazorat qiladi. Mijoz serverdan teskari ulanishni ochishni so'raganda (FTP PORT buyrug'i), xavfsizlik devori so'rovdan port raqamini chiqaradi. Ro'yxatda mijoz va server manzillari, port raqamlari saqlanadi. FTP-ma'lumotlar ulanishini o'rnatishga urinish aniqlanganda, xavfsizlik devori ro'yxat bo'ylab o'tadi va ulanish haqiqatan ham haqiqiy mijoz so'roviga javob ekanligini tekshiradi. Netlist dinamik ravishda saqlanadi, shuning uchun faqat zarur portlar FTP. Seans yopilishi bilanoq portlar bloklanadi, bu esa yuqori darajadagi xavfsizlikni ta'minlaydi.

Guruch. 2.12. Davlat tekshiruvi mexanizmi FTP protokoli bilan qanday ishlashiga misol

Ilova qatlamini filtrlash

Paket filtrlashiga xos bo'lgan bir qator zaifliklarni himoya qilish uchun xavfsizlik devorlari Telnet, HTTP, FTP kabi xizmatlarga ulanishlarni filtrlash uchun ilovalardan foydalanishi kerak. Bunday dastur proksi-servis deb ataladi va proksi-serverni boshqaradigan xost dastur sathi shlyuzi deb ataladi. Bunday shlyuz vakolatli mijoz va tashqi xost o'rtasidagi to'g'ridan-to'g'ri aloqani yo'q qiladi. Shlyuz dastur sathida barcha kiruvchi va chiquvchi paketlarni filtrlaydi (ilova qatlami - tarmoq modelining yuqori qatlami) va HTTP xabaridagi URL yoki FTP xabaridagi buyruq kabi ma'lumotlar mazmunini tahlil qilishi mumkin. . Ba'zan ma'lumotlarning o'zida mavjud bo'lgan ma'lumotlar asosida paketlarni filtrlash samaraliroq bo'ladi. Paket filtrlari va havola qatlami filtrlari filtrlash qarorlarini qabul qilishda axborot oqimining mazmunidan foydalanmaydi, lekin buni amaliy qatlam filtrlash yordamida amalga oshirish mumkin. Ilova darajasidagi filtrlar paket sarlavhasidagi ma'lumotlardan, shuningdek, ma'lumotlar tarkibi va foydalanuvchi ma'lumotlaridan foydalanishi mumkin. Administratorlar foydalanuvchi identifikatori va/yoki foydalanuvchi bajarishga harakat qilayotgan muayyan vazifaga asoslangan kirishni boshqarish uchun dastur qatlamini filtrlashdan foydalanishi mumkin. Ilova darajasidagi filtrlarda siz dastur tomonidan berilgan buyruqlar asosida qoidalarni o'rnatishingiz mumkin. Misol uchun, administrator ma'lum bir foydalanuvchining FTP yordamida ma'lum bir kompyuterga fayllarni yuklab olishiga to'sqinlik qilishi yoki foydalanuvchiga FTP orqali bir xil kompyuterga fayllarni yuklashiga ruxsat berishi mumkin.

Ushbu filtrlashning afzalliklari quyidagilardan iborat:

oddiy filtrlash qoidalari;

ko'p sonli tekshiruvlarni tashkil qilish imkoniyati. Ilova qatlamini himoya qilish ko'p sonli qo'shimcha tekshiruvlarni o'tkazish imkonini beradi, bu esa dasturiy ta'minotdagi "teshiklar" yordamida xakerlik ehtimolini kamaytiradi;

dastur ma'lumotlarini tahlil qilish qobiliyati.

Kamchiliklari:

nisbatan yomon ishlash paketli filtrlash bilan solishtirganda;

proksi o'z protokolini tushunishi kerak (noma'lum protokollar bilan foydalanish mumkin emas)?;

qoida tariqasida, u murakkab operatsion tizimlar nazorati ostida ishlaydi.

Mahalliy tarmoqqa tashqaridan (ya'ni Internetdan) turli xil hujumlardan himoya qilish uchun juda ko'p turli xil professional dasturiy vositalar bilan ularning barchasida bitta jiddiy kamchilik bor - yuqori narx. Va agar biz SOHO sinfidagi kichik tarmoqlar haqida gapiradigan bo'lsak, unda qattiq paketlarni sotib olish - bu arzon hashamatdir. Shu bilan birga, shuni ta'kidlash kerakki, kichik tarmoqlar uchun bunday paketlarning imkoniyatlari hatto ortiqcha bo'lishi mumkin. Shu sababli, SOHO sinfidagi kichik tarmoqlarni himoya qilish uchun arzon apparat yechimlari - xavfsizlik devori keng qo'llanilgan. Dizayni bo'yicha xavfsizlik devorlari alohida yechim sifatida amalga oshirilishi yoki SOHO sinfidagi marshrutizatorlarning, xususan, simsiz routerlarning ajralmas qismi bo'lishi mumkin, bu ular asosida simli va simsiz LAN segmentlarini birlashtirishga imkon beradi.

Ushbu maqolada biz SOHO sinfidagi marshrutizatorlarga o'rnatilgan va kichik mahalliy tarmoqlarni himoya qilish uchun foydalaniladigan zamonaviy apparat xavfsizlik devorlarining asosiy xususiyatlarini ko'rib chiqamiz
Faervollar marshrutizatorlarning ajralmas qismi sifatida

Routerlar ichki va tashqi tarmoqlar chegarasida o'rnatilgan tarmoq qurilmalari bo'lgani uchun va tarmoq shlyuzi vazifasini bajaradi, shuning uchun ular dizayni bo'yicha kamida ikkita portga ega bo'lishi kerak. Ushbu portlardan biri ulanadi mahalliy tarmoq, va bu port ichki LAN portiga aylanadi. Tashqi tarmoq (Internet) ikkinchi portga ulanadi va uni tashqi WAN portiga aylantiradi. Qoida tariqasida, SOHO sinfidagi marshrutizatorlarda bitta WAN porti va bir nechta (birdan to'rttagacha) LAN portlari mavjud bo'lib, ular kalitga birlashtirilgan. Aksariyat hollarda kalitning WAN porti 10/100Base-TX interfeysiga ega va unga mos interfeysga ega xDSL modem yoki chekilgan tarmoq kabeli ulanishi mumkin.

Bundan tashqari, keng tarqalgan simsiz tarmoqlar simsiz routerlar deb ataladigan butun sinfning paydo bo'lishiga olib keldi. Ushbu qurilmalar WAN va LAN portlari bo'lgan klassik routerga qo'shimcha ravishda o'rnatilgan nuqtani o'z ichiga oladi simsiz ulanish, bu IEEE 802.11a/b/g protokolini qo'llab-quvvatlaydi. Simsiz segment kirish nuqtasini tashkil qilish imkonini beruvchi tarmoq yo'riqnoma o'rnidan ichki tarmoqni nazarda tutadi va shu ma'noda routerga simsiz ulangan kompyuterlar LAN portiga ulangan kompyuterlardan farq qilmaydi.

Har qanday router tarmoq sathi qurilmasi sifatida o'z IP manziliga ega. Routerga qo'shimcha ravishda WAN porti ham o'z IP manziliga ega.

Routerning LAN portlariga ulangan kompyuterlar routerning o'zi bilan bir xil quyi tarmoqda IP manziliga ega bo'lishi kerak. Bundan tashqari, ushbu shaxsiy kompyuterlarning tarmoq sozlamalarida siz yo'riqnoma IP manziliga mos keladigan standart shlyuz manzilini o'rnatishingiz kerak. Va nihoyat, tashqi tarmoqdan WAN portiga ulanadigan qurilma routerning WAN porti bilan bir xil quyi tarmoqdan IP manzilga ega bo'lishi kerak.

Router mahalliy tarmoq va Internet o'rtasida shlyuz vazifasini o'taganligi sababli, undan ichki tarmoqni ruxsatsiz kirishdan himoya qilish kabi funktsiyani kutish mantiqan to'g'ri. Shuning uchun, deyarli hammasi zamonaviy routerlar SOHO sinflarida o'rnatilgan apparat xavfsizlik devori mavjud bo'lib, ular xavfsizlik devori deb ham ataladi.

Xavfsizlik devori xususiyatlari

Har qanday xavfsizlik devorining asosiy vazifasi oxir-oqibat ichki tarmoqni himoya qilishdan iborat. Ushbu muammoni hal qilish uchun xavfsizlik devorlari himoyalangan tarmoqni maskalashi, ma'lum bo'lgan xakerlik hujumlarining barcha turlarini bloklashi, ichki tarmoqdan ma'lumotlarning sizib chiqishini bloklashi va tashqi tarmoqqa kiradigan ilovalarni boshqarishi kerak.

Ushbu funktsiyalarni amalga oshirish uchun xavfsizlik devorlari tashqi va ichki tarmoqlar o'rtasidagi barcha trafikni uning ma'lum belgilangan mezonlarga yoki trafikning bir tarmoqdan ikkinchisiga o'tish shartlarini belgilaydigan qoidalarga muvofiqligini tahlil qiladi. Agar trafik belgilangan mezonlarga javob bersa, xavfsizlik devori uni o'zi orqali o'tkazadi. Aks holda, ya'ni belgilangan mezonlar bajarilmasa, trafik xavfsizlik devori tomonidan bloklanadi. Xavfsizlik devorlari kiruvchi va chiquvchini filtrlaydi chiquvchi trafik va, shuningdek, sizga ma'lum kirishni nazorat qilish imkonini beradi tarmoq resurslari yoki ilovalar. Ular mahalliy tarmoq resurslariga ruxsatsiz kirishning barcha urinishlarini yozib olishlari va kirishga urinishlar haqida ogohlantirishlar berishi mumkin.

Maqsadiga ko'ra, xavfsizlik devorlari asosan himoyalangan ob'ektning nazorat punkti (nazorat punkti) ga o'xshaydi, bu erda hujjatlar ob'ekt hududiga kiruvchi va undan chiqib ketayotgan har bir kishi uchun tekshiriladi. Agar o'tish joyi tartibda bo'lsa, hududga kirishga ruxsat beriladi. Xavfsizlik devorlari xuddi shunday ishlaydi, faqat tarmoq paketlari nazorat punktidan o'tadigan odamlar sifatida ishlaydi va o'tish bu paketlar sarlavhalarining oldindan belgilangan qoidalar to'plamiga mos kelishidir.

Xavfsizlik devorlari haqiqatan ham ishonchlimi?

Xavfsizlik devori foydalanuvchining tarmog'i yoki shaxsiy shaxsiy kompyuteri uchun 100% xavfsizlikni ta'minlaydi, deb aytish mumkinmi? Albatta yo'q. Agar umuman hech qanday tizim 100% xavfsizlik kafolati bermasa. Xavfsizlik devori, agar to'g'ri sozlangan bo'lsa, tajovuzkorning foydalanuvchining shaxsiy kompyuteriga kirish vazifasini sezilarli darajada murakkablashtiradigan vosita sifatida ko'rib chiqilishi kerak. Biz ta'kidlaymiz: faqat murakkablashtirish uchun, lekin mutlaq xavfsizlikni kafolatlamaslik uchun. Aytgancha, agar gap mahalliy tarmoqni himoya qilish haqida emas, balki Internetga kirish imkoni bo'lgan alohida shaxsiy kompyuterni himoya qilish haqida ketsa, Windows XP operatsion tizimiga o'rnatilgan ICF (Internet Connection Firewall) shaxsiy xavfsizligini ta'minlash bilan muvaffaqiyatli kurashadi. Shuning uchun, kelajakda biz faqat kichik tarmoqlarni himoya qilish uchun mo'ljallangan korporativ apparat xavfsizlik devorlari haqida gapiramiz.

Mahalliy tarmoqqa kirishda o'rnatilgan xavfsizlik devori tomonidan faollashtirilgan bo'lsa to'liq dastur(qoida tariqasida, bu standart sozlamalarga mos keladi), keyin u himoya qiladigan tarmoq butunlay o'tib bo'lmaydigan va tashqaridan kirish mumkin emas. Biroq, ichki tarmoqning bunday to'liq o'tkazilmasligi o'ziga xos xususiyatga ega teskari tomon. Gap shundaki, bu holda kompyuterda o'rnatilgan Internet xizmatlaridan (masalan, ICQ va shunga o'xshash dasturlardan) foydalanish imkonsiz bo'lib qoladi. Shunday qilib, xavfsizlik devorini o'rnatish vazifasi tajovuzkor uchun xavfsizlik devori bo'lgan dastlab bo'sh devorda derazalar qilishdir. foydalanuvchi dasturlari tashqaridan kelgan so'rovlarga javob berish va oxir-oqibat ichki tarmoqning tashqi dunyo bilan boshqariladigan o'zaro ta'sirini amalga oshirish. Biroq, bunday devorda bunday oynalar qanchalik ko'p paydo bo'lsa, tarmoqning o'zi shunchalik zaif bo'ladi. Shunday qilib, biz yana bir bor ta'kidlaymiz: hech qanday xavfsizlik devori o'zi himoya qiladigan mahalliy tarmoqning mutlaq xavfsizligini kafolatlay olmaydi.

Faervol tasnifi

Xavfsizlik devorlarining imkoniyatlari va ularning qanchalik aqlli ekanligi OSI mos yozuvlar modelining qaysi qatlamida ishlashiga bog'liq. Qanchalik baland OSI qatlami, xavfsizlik devori asoslangan bo'lsa, u ta'minlaydigan himoya darajasi shunchalik yuqori bo'ladi.

Shuni eslang OSI modeli (ochiq tizim Interconnection) tarmoq arxitekturasining etti darajasini o'z ichiga oladi. Birinchisi, eng pasti jismoniy qatlam. Undan keyin havola, tarmoq, transport, seans, taqdimot va amaliy yoki amaliy qatlamlar keladi. Trafikni filtrlashni ta'minlash uchun xavfsizlik devori kamida OSI modelining uchinchi qatlamida, ya'ni MAC manzillarini tarmoq manzillariga tarjima qilish asosida paketlar yo'naltiriladigan tarmoq sathida ishlashi kerak. TCP/IP protokoli nuqtai nazaridan bu qatlam IP (Internet Protocol) qatlamiga mos keladi. Tarmoq sathi haqida ma'lumot olish orqali xavfsizlik devorlari paketning manba va maqsad manzilini aniqlay oladi va ushbu manzillar o'rtasida trafik o'tishiga ruxsat berilganligini tekshiradi. Biroq, tarmoq sathi ma'lumotlari paket mazmunini tahlil qilish uchun etarli emas. OSI modelining transport qatlamida ishlaydigan xavfsizlik devorlari bir nechtasini oladi qo'shimcha ma'lumot paketlar haqida va shu ma'noda tarmoqlarni himoya qilish uchun yanada aqlli sxemalarni taqdim etishi mumkin. Ilovalar darajasida ishlaydigan xavfsizlik devorlariga kelsak, ular tarmoq paketlari haqida to'liq ma'lumotga ega bo'ladilar, ya'ni bunday xavfsizlik devorlari tarmoqning eng ishonchli himoyasini ta'minlaydi.

Xavfsizlik devorlari ishlaydigan OSI modeli darajasiga qarab, ushbu qurilmalarning quyidagi tasnifi tarixan rivojlangan:

paketli filtr (paket filtri);seans darajasidagi shlyuz (sxema darajasidagi shlyuz);amaliy darajadagi shlyuz (ilova darajasidagi shlyuz);Davlatga tegishli Paket tekshiruvi(SPI).

Eslab qoling bu tasnif faqat tarixiy qiziqish uyg'otadi, chunki barcha zamonaviy xavfsizlik devorlari eng ilg'or (tarmoq xavfsizligi nuqtai nazaridan) SPI xavfsizlik devorlari sifatida tasniflanadi.

Paket filtrlari

Paket filtri tipidagi xavfsizlik devorlari eng oddiy (eng kam aqlli). Ushbu xavfsizlik devorlari OSI modelining tarmoq qatlamida yoki TCP/IP protokoli stekining IP sathida ishlaydi. Bunday xavfsizlik devorlari har bir routerda majburiydir, chunki har qanday router kamida OSI modelining uchinchi qatlamida ishlaydi.

Paket filtrlarining vazifasi manba yoki maqsad IP manzili, shuningdek port raqamlari haqidagi ma'lumotlarga asoslanib paketlarni filtrlashdan iborat.

Paket filtrlari kabi xavfsizlik devorlarida har bir paket uzatish mezonlariga javob beradimi yoki uzatilishidan oldin uzatishni blokirovka qiladimi yoki yo'qligini tekshirish uchun tahlil qilinadi. Paketga va yaratilgan uzatish mezonlariga qarab, xavfsizlik devori paketni uzatishi, uni rad etishi yoki uzatish tashabbuskoriga bildirishnoma yuborishi mumkin.

Paket filtrlarini amalga oshirish oson va marshrutlash tezligiga deyarli ta'sir qilmaydi.

Seans darajasidagi shlyuzlar

Seans darajasidagi shlyuzlar - bu OSI modelining sessiya darajasida yoki TCP/IP protokoli stekining TCP (Transport Control Protocol) darajasida ishlaydigan xavfsizlik devori. Ushbu xavfsizlik devorlari TCP ulanishini (oxirgi mashinalar o'rtasida ma'lumot almashish seanslarini tashkil etish) o'rnatish jarayonini kuzatib boradi va sizga berilgan aloqa seansining qonuniy yoki yo'qligini aniqlash imkonini beradi. Seans darajasidagi shlyuz orqali tashqi tarmoqdagi masofaviy kompyuterga uzatiladigan ma'lumotlar uzatish manbasi haqida ma'lumotni o'z ichiga olmaydi, ya'ni hamma narsa ma'lumotlar ichki tarmoqdagi kompyuter tomonidan emas, balki xavfsizlik devorining o'zi tomonidan yuborilganga o'xshaydi. (himoyalangan) tarmoq. NAT protokoliga asoslangan barcha xavfsizlik devorlari seans sathi shlyuzlaridir (NAT protokoli quyida tavsiflanadi).

Seans darajasidagi shlyuzlar ham marshrutlash tezligiga sezilarli ta'sir ko'rsatmaydi. Shu bilan birga, bu shlyuzlar alohida paketlarni filtrlashga qodir emas.

Ilova sathi shlyuzlari

Ilova sathi shlyuzlari yoki proksi-serverlar OSI modelining amaliy darajasida ishlaydi. Ilova qatlami tarmoqqa ilovalarga kirish uchun javobgardir. Ushbu darajadagi vazifalarga fayllarni uzatish, elektron pochta almashinuvi va tarmoqni boshqarish kiradi. Ilova sathida paketlar haqida ma'lumot olish orqali dastur sathi shlyuzlari kirishni bloklashni amalga oshirishi mumkin. muayyan xizmatlar. Masalan, agar dastur sathi shlyuzi Web proksi-server sifatida sozlangan bo'lsa, Telnet, FTP, Gopher protokollari bilan bog'liq har qanday trafik bloklanadi. Ushbu xavfsizlik devorlari dastur sathida paketlarni tahlil qilganligi sababli ular http:post, get va hokazo kabi maxsus buyruqlarni filtrlash imkoniyatiga ega. Bu xususiyat paketli filtrlar yoki seans darajasidagi shlyuzlar uchun mavjud emas. Ilova sathi shlyuzlaridan alohida foydalanuvchilar faoliyatini qayd qilish va aloqa seanslarini sozlash uchun ham foydalanish mumkin. Ushbu xavfsizlik devorlari seans darajasidagi shlyuzlar va paketli filtrlarga qaraganda tarmoqlarni himoya qilishning yanada mustahkam usulini taklif qiladi.

SPI xavfsizlik devorlari

Xavfsizlik devorlarining oxirgi turi - Statusli Paket Tekshirish (SPI) - paket filtrlari, seans darajasidagi shlyuzlar va dastur darajasidagi shlyuzlarning afzalliklarini birlashtiradi. Ya'ni, aslida, biz tarmoq, sessiya va dastur darajalarida bir vaqtning o'zida ishlaydigan ko'p darajali xavfsizlik devorlari haqida gapiramiz.

SPI xavfsizlik devorlari tarmoq sathida paketlarni filtrlashni amalga oshiradi, seans darajasidagi ma'lumotlar asosida aloqa seansini o'rnatishning qonuniyligini aniqlaydi va dastur sathi ma'lumotlari asosida paketlar tarkibini tahlil qiladi.

Ushbu xavfsizlik devorlari tarmoqlarni himoya qilishning eng ishonchli usulini ta'minlaydi va hozirda de-fakto standart hisoblanadi.

Xavfsizlik devori sozlamalari

Xavfsizlik devorlarini sozlash metodologiyasi va imkoniyatlari modelga qarab farq qiladi. Afsuski, yagona interfeysni o'rnatish uchun yagona qoidalar yo'q. Biz faqat kuzatilishi kerak bo'lgan ba'zi umumiy qoidalar haqida gapirishimiz mumkin. Aslida, asosiy qoida juda oddiy - tarmoqning normal ishlashi uchun zarur bo'lmagan hamma narsani taqiqlash kerak.

Ko'pincha xavfsizlik devorlarini sozlash variantlari oldindan belgilangan qoidalarni faollashtirish va jadval shaklida statik qoidalarni yaratishga to'g'ri keladi.

Misol sifatida Gigabyte GN-B49G routeriga kiritilgan xavfsizlik devorini sozlash imkoniyatlarini ko'rib chiqaylik. Ushbu router turli darajadagi ichki tarmoq xavfsizligini amalga oshirish imkonini beruvchi bir qator oldindan belgilangan qoidalarga ega. Ushbu qoidalarga quyidagilar kiradi:

Routerning konfiguratsiyasi va boshqaruviga WAN tomonidan kirish taqiqlangan. Ushbu funktsiyani faollashtirish tashqi tarmoqdan router sozlamalariga kirishni taqiqlaydi;LAN ichida Global-IP-dan Private-IP-ga kirish taqiqlangan. Bu xususiyat mahalliy tarmoq ichida global IP-manzillardan (agar mavjud bo'lsa) shaxsiy foydalanish uchun ajratilgan IP-manzillarga kirishni bloklash imkonini beradi;Router tarmog'idan tashqarida fayl va printer almashishni oldini oling. Funktsiya printerlar va ichki tarmoqdagi fayllarga tashqaridan umumiy kirishdan foydalanishni oldini oladi;Routerning mavjudligini WAN tomonidan aniqlab bo'lmaydi. Bu funksiya routerni tashqi tarmoqdan ko'rinmas holga keltiradi;Xizmatni rad etish (DoS) hujumlarining oldi olinadi. Ushbu funktsiya faollashtirilganda, DoS (Xizmatni rad etish) hujumlaridan himoyalanish amalga oshiriladi. DoS hujumlarining bir turi tarmoq hujumlari, bu tizim tomonidan taqdim etilgan xizmatni talab qiluvchi serverga so'rovlar to'plamini olishdan iborat. Server o'z resurslarini ulanishni o'rnatish va unga xizmat ko'rsatishga sarflaydi va ma'lum bir so'rovlar oqimi bilan u ularni bajara olmaydi. Ushbu turdagi hujumlardan himoya qilish odatdagi trafikka nisbatan haddan tashqari ko'p bo'lgan trafik manbalarini tahlil qilish va uni uzatishni taqiqlashga asoslangan.

Yuqorida aytib o'tganimizdek, ko'pgina xavfsizlik devorlari yuqorida sanab o'tilganlarga o'xshash, ammo boshqa nomlarga ega bo'lishi mumkin bo'lgan oldindan belgilangan qoidalarga ega.

Xavfsizlik devorini sozlashning yana bir usuli - bu tarmoqni nafaqat tashqi tomondan himoya qilish, balki mahalliy tarmoq foydalanuvchilari uchun tashqi tarmoqqa kirishni cheklash imkonini beruvchi statik qoidalarni yaratishdir. Qoidalarni yaratish imkoniyatlari juda moslashuvchan va deyarli har qanday vaziyatni amalga oshirishga imkon beradi. Qoida yaratish uchun siz manba IP-manzilini (yoki manzillar oralig'ini), manba portlarini, maqsad IP-manzillarini va portlarini, protokol turini, paketlarni uzatish yo'nalishini (ichki tarmoqdan tashqi tarmoqqa yoki aksincha) va amalni belgilaysiz. paket belgilangan xususiyatlarga ega aniqlanganda olinadi (paketni tashlab qo'ying yoki o'tkazib yuboring). Misol uchun, agar siz ichki tarmoq foydalanuvchilarining (IP manzillar diapazoni: 192.168.1.1-192.168.1.100) 64.233.183.104 tashqi IP manzilida joylashgan FTP serveriga (port 21) kirishiga yo'l qo'ymaslikni istasangiz, qoida bo'lishi mumkin. quyidagicha shakllantirilsin:

paketlarni yo'naltirish yo'nalishi: LAN-to-WAN;Manba IP manzillari: 192.168.1.1-192.168.1.100;manba porti: 1-65535;maqsad porti: 21;protokol: TCP;harakat: tushirish.

Yuqoridagi misol uchun xavfsizlik devori qoidasining statik konfiguratsiyasi rasmda ko'rsatilgan. bitta.

NAT protokoli xavfsizlik devorining ajralmas qismi sifatida

O'rnatilgan xavfsizlik devoriga ega barcha zamonaviy routerlar Tarmoqni tarjima qilish protokolini qo'llab-quvvatlaydi. NAT manzillari(Tarmoq manzili tarjimasi).

NAT protokoli xavfsizlik devorining bir qismi emas, lekin ayni paytda tarmoq xavfsizligini oshirishga yordam beradi. NAT protokolining asosiy vazifasi IP-manzillar etishmasligi muammosini hal qilishdan iborat bo'lib, bu kompyuterlar sonining ko'payishi bilan tobora dolzarb bo'lib bormoqda.

Gap shundaki, IPv4 protokolining joriy versiyasida IP-manzilni aniqlash uchun to'rt bayt ajratilgan, bu esa tarmoq kompyuterlarining to'rt milliarddan ortiq manzillarini shakllantirish imkonini beradi. Albatta, o'sha kunlarda Internet go'zallik davrida, qachondir IP-manzillar soni etarli bo'lmasligi mumkinligini tasavvur qilish ham qiyin edi. IP-manzillar etishmasligi muammosini qisman hal qilish uchun bir vaqtlar tarjima protokoli taklif qilingan tarmoq manzillari NAT.

NAT protokoli RFC 1631 tomonidan belgilanadi, u tarmoq manzilini tarjima qilish qanday amalga oshirilishini belgilaydi.

Ko'pgina hollarda, NAT qurilmasi mahalliy tarmoqlarda shaxsiy foydalanish uchun ajratilgan IP manzillarni umumiy IP manzillarga tarjima qiladi.

Shaxsiy manzil maydoni RFC 1918 tomonidan boshqariladi. Bu manzillar quyidagi IP diapazonlarini o'z ichiga oladi: 10.0.0.0-10.255.255.255, 172.16.0.0-172.31.255.255, 192.168.0.0-1925.251.

RFC 1918 ga ko'ra, shaxsiy IP-manzillardan WAN tarmog'ida foydalanish mumkin emas, shuning uchun ular faqat ichki maqsadlarda erkin foydalanishlari mumkin.

NAT protokolining ishlash xususiyatlariga o'tishdan oldin, keling, qanday ishlashini ko'rib chiqaylik tarmoq ulanishi ikkita kompyuter o'rtasida.

Tarmoqdagi bitta kompyuter boshqa kompyuter bilan aloqa o'rnatganida, manba IP manzili, manba porti, maqsad IP manzili, maqsad porti va tarmoq protokoli bilan aniqlangan rozetka ochiladi. IP-paket formati port raqamlari uchun ikki baytli maydonni taqdim etadi. Bu sizga aloqa kanallarining bir turi rolini o'ynaydigan 65 535 portni aniqlash imkonini beradi. 65 535 portdan birinchi 1023 tasi taniqli portlar uchun ajratilgan server xizmatlari Web, FTP, Telnet va boshqalar kabi. Boshqa barcha portlardan har qanday boshqa maqsadda foydalanish mumkin.

Agar, masalan, bitta tarmoq kompyuteri FTP serveriga (port 21) kirsa, u holda rozetka ochilganda, operatsion tizim seansga 1023 dan yuqori bo'lgan istalgan portni tayinlaydi. Masalan, bu port 2153 bo'lishi mumkin. Keyin IP-paket yuboriladi. Kompyuter tomonidan FTP-serverga manba IP-manzil, manba port (2153), maqsad IP-manzil va maqsad port (21) kiradi. Yuboruvchining IP manzili va porti serverning mijozga javobi uchun ishlatiladi. Turli xil tarmoq seanslari uchun turli portlardan foydalanish tarmoq mijozlariga bir vaqtning o'zida turli serverlar yoki bir xil server xizmatlari bilan bir nechta seanslarni o'rnatish imkonini beradi.

Endi ichki tarmoq va Internet chegarasida NAT routeridan foydalanganda sessiyani o'rnatish jarayonini ko'rib chiqamiz.

Ichki tarmoq mijozi tashqi tarmoq serveri bilan aloqa qilganda, xuddi ikkita shaxsiy kompyuter o'rtasida ulanish o'rnatilganda, manba IP manzili, manba porti, maqsad IP manzili, maqsad porti va tarmoq protokoli bilan aniqlangan rozetka ochiladi. Ilova ushbu rozetkaga ma'lumot yuborganda, manba parametrlari maydonlarida manba IP manzili va manba porti paketga kiritiladi. Belgilangan parametr maydonlarida server IP manzili va server porti bo'ladi. Masalan, IP manzili 192.168.0.1 bo'lgan ichki tarmoq kompyuteri 64.233.188.104 IP manzilli WAN veb-serveriga kirishi mumkin. Bunday holda, mijozning operatsion tizimi tayinlashi mumkin tashkil etilgan sessiya port 1251 (manba port), maqsad port esa Web servis porti, ya'ni 80. Keyin yuborilgan paket sarlavhasida quyidagi atributlar ko'rsatiladi (2-rasm):

manba porti: 1251;Belgilangan IP manzil: 64.233.183.104;maqsad porti: 80;Protokol: TCP.

NAT qurilmasi (marshrutizator) ichki tarmoqdan chiquvchi paketni tutib oladi va uning ichki jadvaliga maqsad IP manzili, maqsad porti, NAT qurilmasining tashqi IP manzili, tashqi port yordamida paketning manba va maqsadli portlarining xaritasini kiritadi. , tarmoq protokoli va mijozning ichki IP-manzili va porti.

Faraz qilaylik, yuqoridagi misolda NAT router 195.2.91.103 (WAN port manzili) tashqi IP manziliga ega va belgilangan seans uchun NAT qurilmasining tashqi porti 3210. Bu holda ichki port. Paketning manba va maqsadli portlarini xaritalash quyidagi ma'lumotlarni o'z ichiga oladi:

Manba IP manzili: 192.168.0.1;manba porti: 1251;tashqi IP manzili

NAT qurilmalari: 195.2.91.103;

NAT qurilmasining tashqi porti: 3210;Belgilangan IP manzil: 64.233.183.104;maqsad porti: 80;Protokol: TCP.

Keyin NAT qurilmasi paketdagi manba maydonlarini tarjima qilish orqali paketni "tarjima qiladi": mijozning ichki IP manzili va porti NAT qurilmasining tashqi IP manzili va porti bilan almashtiriladi. Ushbu misolda aylantirilgan paket quyidagi ma'lumotlarni o'z ichiga oladi:

Manba IP manzili: 195.2.91.103;manba porti: 3210;Belgilangan IP manzil: 64.233.183.104;maqsad porti: 80;Protokol: TCP.

O'zgartirilgan paket tashqi tarmoq orqali yuboriladi va oxir-oqibat belgilangan serverga etib boradi.

Paketni olgandan so'ng, server manba maydonlarida o'zining IP-manzilini va portini ko'rsatgan holda NAT qurilmasining (router) tashqi IP manzili va portiga javob paketlarini yuboradi (3-rasm). Ko'rib chiqilgan misolda, serverdan javob paketi sarlavhada quyidagi ma'lumotlarni o'z ichiga oladi:

manba porti: 80;Belgilangan IP manzil: 195.2.91.103;maqsad porti: 3210;Protokol: TCP.

Guruch. 3. Paketni tashqi tarmoqdan ichki tarmoqqa o'tkazishda NAT qurilmasining ishlash printsipi

NAT qurilmasi ushbu paketlarni serverdan oladi va ularning tarkibini port xaritalash jadvali asosida tahlil qiladi. Agar jadvalda manba IP manzili, manba porti, maqsad porti va kiruvchi paketdagi tarmoq protokoli masofaviy xostning IP manziliga mos keladigan port xaritasi topilsa, u holda masofaviy port va port xaritasida ko'rsatilgan tarmoq protokoli bilan NAT ishlaydi teskari transformatsiya: paketning maqsadli maydonlaridagi tashqi IP manzili va tashqi portni ichki tarmoq mijozining IP manzili va ichki porti bilan almashtiradi. Shunday qilib, ichki tarmoqqa uzatiladigan paket, yuqorida ko'rib chiqilgan misol uchun, quyidagi atributlarga ega bo'ladi:

Manba IP manzili: 64.233.183.104;manba porti: 80;Belgilangan IP manzil: 192.168.0.1;maqsad porti: 1251;Protokol: TCP.

Biroq, agar portni xaritalash jadvalida moslik bo'lmasa, u holda kiruvchi paket rad qilinadi va ulanish tugatiladi.

NAT marshrutizatori tufayli ichki tarmoqdagi har qanday shaxsiy kompyuter yo'riqnoma tashqi IP manzili va porti yordamida ma'lumotlarni WAN ga o'tkazishi mumkin. Shu bilan birga, ichki tarmoqning IP-manzillari seanslarga tayinlangan portlar sifatida tashqi tarmoqdan ko'rinmas qoladi.

Biroq, NAT routeri faqat ichki va tashqi tarmoqlardagi kompyuterlar o'rtasidagi aloqani faqat ichki tarmoqdagi kompyuterdan boshlagan bo'lsa, ruxsat beradi. Agar tashqi tarmoqdagi har qanday kompyuter o'z tashabbusi bilan ichki tarmoqdagi kompyuterga kirishga harakat qilsa, u holda bunday ulanish NAT qurilmasi tomonidan rad etiladi. Shu sababli, NAT IP-manzillarning etishmasligi muammosini hal qilishdan tashqari, ichki tarmoq xavfsizligiga ham hissa qo'shadi.

NAT qurilmalari bilan bog'liq muammolar

NAT qurilmalarining ko'rinib turgan soddaligiga qaramay, ular o'rtasidagi o'zaro ta'sirni tashkil qilishni qiyinlashtiradigan ba'zi muammolar bilan bog'liq. tarmoq kompyuterlari yoki hatto uning tashkil etilishiga to'sqinlik qiladi. Misol uchun, agar mahalliy tarmoq NAT qurilmasi bilan himoyalangan bo'lsa, ichki tarmoqdagi har qanday mijoz WAN serveri bilan aloqa o'rnatishi mumkin, lekin aksincha emas. Ya'ni, tashqi tarmoqdan siz NAT qurilmasi orqasidagi ichki tarmoqda joylashgan serverga ulanishni boshlay olmaysiz. Ammo ichki tarmoqda tashqi tarmoqdagi foydalanuvchilar foydalanishi kerak bo'lgan xizmat (masalan, FTP yoki veb-server) mavjud bo'lsa-chi? Ushbu muammoni hal qilish uchun NAT routerlari perimetr zonasi va portni yo'naltirish texnologiyalaridan foydalanadi, ular quyida batafsil tavsiflanadi.

NAT qurilmalaridagi yana bir muammo shundaki, ba'zi tarmoq ilovalari paketning ma'lumotlar qismidagi IP-manzil va portni o'z ichiga oladi. NAT qurilmasi bunday manzillarni tarjima qilishga qodir emasligi aniq. Natijada, agar tarmoq ilovasi paketning foydali qismiga IP-manzil yoki portni kiritsa, server NAT qurilmasining ichki jadvalida tegishli xaritalash yozuvi mavjud bo'lmagan ichki IP-manzil va port yordamida bunday paketga javob beradi. . Natijada, bunday paket NAT qurilmasi tomonidan tushiriladi va shuning uchun foydalaniladigan ilovalar bu texnologiya, NAT qurilmalari mavjud bo'lsa, ishlamaydi.

Ma'lumotlarni uzatishda bitta portdan (jo'natuvchi port sifatida) foydalanadigan, lekin boshqa portda javob kutadigan tarmoq ilovalari mavjud. NAT qurilmasi chiquvchi trafikni tahlil qiladi va manba portini xaritalaydi. Biroq, NAT qurilmasi javob boshqa portda kutilayotganini bilmaydi va tegishli xaritalashni amalga oshira olmaydi. Natijada, NAT qurilmasining ichki jadvalida mos kelmaydigan portga yuborilgan javob paketlari o'chiriladi.

NAT qurilmalari bilan bog'liq yana bir muammo - bir xil portga bir nechta kirish. NAT qurilmasi bilan tashqi tarmoqdan ajratilgan mahalliy tarmoqning bir nechta mijozlari bir xil foydalanishi mumkin bo'lgan vaziyatni ko'rib chiqing standart port. Masalan, u veb-xizmat uchun ajratilgan 80-port bo'lishi mumkin. Ichki tarmoqdagi barcha mijozlar bir xil IP-manzildan foydalanganligi sababli, savol tug'iladi: NAT qurilmasi tashqi so'rov ichki tarmoqdagi qaysi mijozga tegishli ekanligini qanday aniqlashi mumkin? Ushbu muammoni hal qilish uchun ichki tarmoqdagi faqat bitta mijoz bir vaqtning o'zida standart portga kirish huquqiga ega.

Statik portni yo'naltirish (portni xaritalash)

Ichki tarmoqdagi serverda ishlaydigan ba'zi ilovalarni (masalan, veb-server yoki FTP serveri) tashqi tarmoqdan foydalanish imkoniyatini yaratish uchun NAT qurilmasida ma'lum ilovalar va IP manzillar tomonidan ishlatiladigan portlar o'rtasida xaritalash o'rnatilishi kerak. ushbu ilovalar ishlaydigan intranet serverlari. Bunday holda ular portni xaritalash texnologiyasi haqida gapirishadi va ichki tarmoq serverining o'zi virtual server deb ataladi. Natijada, tashqi tarmoqdan ko'rsatilgan portdagi NAT qurilmasining (router) tashqi IP-manziliga har qanday so'rov avtomatik ravishda ko'rsatilgan ichki tarmoq virtual serveriga yo'naltiriladi.

Masalan, agar 192.168.0.10 IP-manzilli shaxsiy kompyuterda ishlaydigan ichki tarmoqda virtual FTP-server sozlangan bo'lsa, virtual serverni sozlashda virtual serverning IP-manzili (192.168.0.10), ishlatiladigan protokol (TCP) va dastur porti o'rnatiladi (21). Bunday holatda, 21-portda NAT qurilmasining tashqi manziliga (routerning WAN porti) kirishda, tashqi tarmoqdagi foydalanuvchi NAT protokolidan foydalanishga qaramay, ichki tarmoqdagi FTP serveriga kirishi mumkin. Haqiqiy NAT routerda virtual serverni sozlash misoli rasmda ko'rsatilgan. 4.


Odatda, NAT marshrutizatorlari bir nechta statik portlarni yo'naltirish imkonini beradi. Shunday qilib, bitta virtual serverda siz bir vaqtning o'zida bir nechta portlarni ochishingiz yoki turli IP manzilli bir nechta virtual serverlarni yaratishingiz mumkin. Biroq, statik portni yo'naltirish bilan siz bitta portni bir nechta IP manzillarga yo'naltira olmaysiz, ya'ni port bitta IP manzilga mos kelishi mumkin. Masalan, turli xil IP-manzillarga ega bir nechta veb-serverlarni sozlashning iloji yo'q - buning uchun siz standart veb-server portini o'zgartirishingiz kerak bo'ladi va 80-portga kirishda yo'riqnoma sozlamalarida o'zgartirilgan veb-server portini ko'rsating. Shaxsiy port serveri.

Ko'pgina marshrutizator modellari shuningdek, portlar guruhini statik qayta yo'naltirishni o'rnatishga, ya'ni bir vaqtning o'zida butun portlar guruhini virtual serverning IP manzili bilan bog'lashga imkon beradi. Agar siz foydalanadigan ilovalarning ishlashini ta'minlash kerak bo'lsa, bu xususiyat foydalidir katta miqdorda o'yin yoki audio/video konferentsiya kabi portlar. Yo'naltirilgan port guruhlari soni turli modellar marshrutizatorlar farq qiladi, lekin odatda kamida o'nta bo'ladi.

Dinamik portni yo'naltirish (maxsus dastur)

Statik portni yo'naltirish tashqi tarmoqdan NAT qurilmasi bilan himoyalangan mahalliy tarmoq xizmatlariga kirish muammosini qisman hal qilish imkonini beradi. Biroq, qarama-qarshi vazifa ham mavjud - mahalliy tarmoq foydalanuvchilariga NAT qurilmasi orqali tashqi tarmoqqa kirishni ta'minlash zarurati. Gap shundaki, ba'zi ilovalar (masalan, Internet-o'yinlar, videokonferentsiyalar, Internet-telefoniya va bir vaqtning o'zida ko'plab seanslarni o'rnatishni talab qiladigan boshqa ilovalar) NAT texnologiyasiga mos kelmaydi. Ushbu muammoni hal qilish uchun portni yo'naltirish individual tarmoq ilovalari darajasida o'rnatilganda dinamik portni yo'naltirish (ba'zan maxsus dastur deb ataladi) ishlatiladi.

Router qo'llab-quvvatlasa bu funksiya, ma'lum bir ilova bilan bog'langan ichki port raqamini (yoki port diapazonini) o'rnatishingiz kerak (odatda Trigger Port bilan belgilanadi) va raqamni o'rnatishingiz kerak. tashqi port Umumiy portga xaritalash uchun NAT qurilmasi (Ommaviy port).

Dinamik portni yo'naltirish yoqilganda, yo'riqnoma ichki tarmoqdan chiquvchi trafikni kuzatib boradi va ushbu trafikni keltirib chiqaradigan kompyuterning IP manzilini eslab qoladi. Ma'lumotlar mahalliy segmentga qaytib kelganida, portni yo'naltirish yoqiladi va ma'lumotlar ichkariga uzatiladi. O'tkazish tugallangandan so'ng, qayta yo'naltirish o'chiriladi va keyin har qanday boshqa kompyuter o'zining IP manziliga yangi yo'naltirishni yaratishi mumkin.

Dinamik portni yo'naltirish asosan qisqa muddatli so'rovlar va ma'lumotlarni uzatishni talab qiladigan xizmatlar uchun qo'llaniladi, chunki agar bitta kompyuter berilgan portni yo'naltirishdan foydalansa, bir vaqtning o'zida boshqa kompyuter ham xuddi shunday qila olmaydi. Agar siz portni uzoq vaqt davomida egallagan doimiy ma'lumotlar oqimiga muhtoj bo'lgan ilovalarning ishini sozlashni istasangiz, dinamik qayta yo'naltirish samarasiz bo'ladi. Biroq, bu holatda muammoning yechimi bor - bu qurolsizlantirilgan hududdan foydalanish.

DMZ zonasi

Demilitarizatsiya zonasi (DMZ) - bu NAT protokoli cheklovlarini chetlab o'tishning yana bir usuli. Bu xususiyat barcha zamonaviy routerlar tomonidan taqdim etiladi. DMZ-ga ichki LAN kompyuterini joylashtirganingizda, u NAT uchun shaffof bo'ladi. Aslida, bu ichki tarmoqdagi kompyuter xavfsizlik devori oldida deyarli joylashganligini anglatadi. DMZ zonasida joylashgan shaxsiy kompyuter uchun barcha portlar bitta ichki IP-manzilga yo'naltiriladi, bu tashqi tarmoqdan ichki tarmoqqa ma'lumotlarni uzatishni tashkil qilish imkonini beradi.

Agar, masalan, ichki mahalliy tarmoqda joylashgan 192.168.1.10 IP-manzilli server DMZ zonasida joylashgan bo'lsa va mahalliy tarmoqning o'zi NAT qurilmasi bilan himoyalangan bo'lsa, so'rov istalgan vaqtda qabul qilinganda. portni tashqi tarmoqdan WAN port manzili NAT qurilmalariga o'tkazsangiz, ushbu so'rov 192.168.1.10 IP manziliga, ya'ni DMZ zonasidagi virtual server manziliga yo'naltiriladi.

Qoida tariqasida, SOHO sinfidagi NAT routerlari DMZ zonasida faqat bitta kompyuterni joylashtirish imkonini beradi. DMZ zonasida kompyuterni sozlash misoli rasmda ko'rsatilgan. 5.


Guruch. 5. DMZ zonasidagi kompyuter konfiguratsiyasiga misol

DMZ zonasida joylashgan kompyuter tashqi tarmoqdan foydalanish mumkin bo'lganligi va hech qanday tarzda xavfsizlik devori bilan himoyalanmaganligi sababli, u tarmoq zaifligiga aylanadi. NAT protokoli cheklovlarini chetlab o'tishning boshqa usullari biron bir sababga ko'ra mos kelmasa, demilitarizatsiya zonasiga kompyuterlarni joylashtirishga faqat oxirgi chora sifatida murojaat qilish kerak.

NAT o'tish texnologiyasi

NAT protokoli cheklovlarini chetlab o'tish uchun biz sanab o'tgan usullar yangi boshlanuvchilar uchun biroz qiyin bo'lishi mumkin. Boshqaruvni osonlashtirish uchun NAT qurilmalarini sozlash uchun avtomatlashtirilgan texnologiya taklif qilingan. NAT Traversal texnologiyasi (NAT traversal) tarmoq ilovalariga NAT qurilmasi tomonidan himoyalanganligini aniqlash, tashqi IP-manzilni o'rganish va portni yo'naltirish imkonini beradi. avtomatik rejim. Shunday qilib, NAT Traversalning afzalligi shundaki, foydalanuvchi port xaritasini qo'lda sozlashi shart emas.

NAT Traversal texnologiyasi UPnP (Universal Plug and Play) protokollariga tayanadi, shuning uchun tez-tez ushbu texnologiyani faollashtirish uchun routerlarda UPnP & NAT opsiyasini tekshirish kerak bo'ladi.
Routerda nima uchun xavfsizlik devori kerak

Simsiz tarmoqni ehtiyotkorlik bilan himoya qilish kerak, chunki bu erda ma'lumotni ushlab turish uchun eng qulay imkoniyatlar yaratilgan. Shuning uchun, agar router (router) yordamida bir nechta kompyuterlar tarmoqqa ulangan bo'lsa, xavfsizlik devori o'rnatilishi va faqat har bir kompyuterda emas, balki routerda ham ishlatilishi kerak. Masalan, DI-XXX seriyali routerdagi xavfsizlik devori funksiyasi paketlarni qo'shimcha tekshirishni amalga oshiradigan SPI tomonidan amalga oshiriladi. Tekshiruv predmeti - paketlarning o'rnatilgan ulanishga tegishliligi.

Ulanish seansi paytida chet el paketlari hujum qilishga urinishi mumkin bo'lgan port ochiladi, buning uchun ayniqsa qulay vaqt sessiya tugashi va port yana bir necha daqiqa ochiq qoladi. Shunday qilib, SPI eslaydi Hozirgi holat sessiya va barcha kiruvchi paketlarni tahlil qiladi. Ular kutilganlarga mos kelishi kerak - so'rov yuborilgan manzildan kelib, ma'lum raqamlarga ega. Agar paket seansga mos kelmasa, ya'ni noto'g'ri bo'lsa, u bloklanadi va bu hodisa qayd qilinadi. Routerdagi boshqa xavfsizlik devori zararlangan kompyuterdan chiquvchi ulanishlarni bloklash imkonini beradi.

1 590 rub.

TP-Link TP-LINK TD-W8961N(EN)

. ADSL2+ qo'llab-quvvatlashi bilan. Telnet yordami bilan. Kommutator portlari soni - 4. Statik marshrutlash bilan. O'rnatilgan router bilan. BILAN SPI funktsiyasi . Bajarish - tashqi. NAT qo'llab-quvvatlashi bilan. Dinamik DNS qo'llab-quvvatlashi bilan. Modem turi - ADSL. SNMP qo'llab-quvvatlashi bilan. DHCP serveri bilan. O'rnatilgan kalit bilan. Interfeys - Ethernet. Veb-interfeys bilan. Demilitarizatsiya zonasi (DMZ) bilan. Olchamlari 130x195x35 mm.

sotib olish v onlayn do'kon TopComputer.RU

olish mumkin

video ko'rib chiqishSurat

1 390 rub.

7% 1490 rubl


TP-LINK xDSL modem TD-W8901N

VPN-ni qo'llab-quvvatlash (VPN orqali o'tish). O'rnatilgan router. O'rnatilgan kalit. Dinamik DNS-ni qo'llab-quvvatlash. Veb-interfeys. Telnet qo'llab-quvvatlash. 4 ta kommutator portlari bilan. SPI. Xavfsizlik devori. DHCP serveri. NAT. Bajarish - tashqi. Demilitarizatsiya zonasi (DMZ). Interfeys - Ethernet. Modem turi - ADSL. SNMP qo'llab-quvvatlash. ADSL2+ qo'llab-quvvatlash. Chuqurligi bilan: 128 mm. Kengligi bilan: 35 mm. Balandligi bilan: 182 mm.

sotib olish v onlayn do'kon xcomshop

olish mumkin

video ko'rib chiqishSurat

790 rub.

UPVEL UR-104AN ADSL2+ modem routeri, 4 ta Ethernet portlari 10/100 Mbit/s, IP-TV qo‘llab-quvvatlashi

Statik marshrutlash bilan. Demilitarizatsiya zonasi (DMZ) bilan. NAT qo'llab-quvvatlashi bilan. DHCP serveri bilan. VPN tunnellarini qo'llab-quvvatlash bilan (VPN Endpoint). ADSL2+ qo'llab-quvvatlashi bilan. SPI funktsiyasi bilan. Xavfsizlik devori bilan (xavfsizlik devori). Kommutator portlari soni - 4. Interfeys - Ethernet. Bajarish - tashqi. Qo'llab-quvvatlanadigan VPN tunnellari soni - 100. O'rnatilgan router bilan. SNMP qo'llab-quvvatlashi bilan. Dinamik DNS qo'llab-quvvatlashi bilan. Veb-interfeys bilan. O'rnatilgan kalit bilan. Modem turi - ADSL. Og'irligi: 180 g. O'lchamlari 110x160x35 mm.

sotib olish v onlayn do'kon oldi.ru

video ko'rib chiqishSurat

2 261 rub

Modem D-link DSL-2640U

SNMP qo'llab-quvvatlash. ADSL2+ qo'llab-quvvatlash. SPI. Bajarish - tashqi. Xavfsizlik devori. Demilitarizatsiya zonasi (DMZ). Modem turi - ADSL. VPN tunnellarini qo'llab-quvvatlash (VPN Endpoint). VPN-ni qo'llab-quvvatlash (VPN orqali o'tish). Interfeys - Ethernet. DHCP serveri. NAT. Veb-interfeys. statik marshrutlash. O'rnatilgan kalit. Dinamik DNS-ni qo'llab-quvvatlash. O'rnatilgan router. 4 ta kommutatorli.Og'irligi: 327g.

v onlayn do'kon price-com.ru

video ko'rib chiqishSurat

1 890 rub.

TP-Link TP-LINK TD-W8968

Modem turi - ADSL. Veb-interfeys bilan. DHCP serveri bilan. Dinamik DNS qo'llab-quvvatlashi bilan. Telnet yordami bilan. Demilitarizatsiya zonasi (DMZ) bilan. O'rnatilgan router bilan. SPI funktsiyasi bilan. Xavfsizlik devori bilan (xavfsizlik devori). NAT qo'llab-quvvatlashi bilan. Statik marshrutlash bilan. Interfeys - Ethernet. Bajarish - tashqi. SNMP qo'llab-quvvatlashi bilan. Kommutator portlari soni - 4. ADSL2+ ko'magida. VPN yordami bilan (VPN orqali o'tish). O'rnatilgan kalit bilan. Chuqurligi bilan: 130 mm. Kengligi bilan: 195 mm. Balandligi bilan: 36 mm.

v onlayn do'kon TopComputer.RU

olish mumkin

video ko'rib chiqishSurat

1 590 rub.

TP-LINK xDSL modem TD-W8961N

Demilitarizatsiya zonasi (DMZ). O'rnatilgan kalit. SPI. NAT. Bajarish - tashqi. ADSL2+ qo'llab-quvvatlash. Telnet qo'llab-quvvatlash. Interfeys - Ethernet. Xavfsizlik devori. SNMP qo'llab-quvvatlash. Dinamik DNS-ni qo'llab-quvvatlash. DHCP serveri. Veb-interfeys. 4 ta kommutatorli.Modem turi - ADSL. statik marshrutlash. O'rnatilgan router. Chuqurligi: 130 mm. Kengligi: 195 mm. Balandligi: 35 mm.

v onlayn do'kon xcomshop

olish mumkin

video ko'rib chiqishSurat

2 075 rub.

ADSL modem Upvel UR-203AWP

Bajarish - tashqi. ADSL2+ qo'llab-quvvatlashi bilan. SNMP qo'llab-quvvatlashi bilan. Interfeys - Ethernet. Modem turi - ADSL. Veb-interfeys bilan. Statik marshrutlash bilan. SPI funktsiyasi bilan. Xavfsizlik devori bilan (xavfsizlik devori). Telnet yordami bilan. O'rnatilgan router bilan. Kommutator portlari soni - 3. Demilitarizatsiya zonasi (DMZ) bilan. NAT qo'llab-quvvatlashi bilan. DHCP serveri bilan. VPN yordami bilan (VPN orqali o'tish). O'rnatilgan kalit bilan. Dinamik DNS qo'llab-quvvatlashi bilan. Kengligi bilan: 175 mm. Chuqurligi bilan: 115 mm. Balandligi bilan: 30 mm. Og'irligi bilan: 280 g.

v onlayn do'kon TopComputer.RU

olish mumkin

Surat

1 790 rub.

TP-LINK xDSL modem TD-W8960N

Demilitarizatsiya zonasi (DMZ). DHCP serveri. VPN qo'llab-quvvatlash (VPN orqali o'tish). Dinamik DNS-ni qo'llab-quvvatlash. O'rnatilgan kalit. SNMP qo'llab-quvvatlash. SPI. Xavfsizlik devori. NAT. Interfeys - Ethernet. konsol porti. Veb-interfeys. Modem turi - ADSL. 10 ta VPN tunnellari qo'llab-quvvatlanadi. Bajarish - tashqi. VPN tunnellarini qo'llab-quvvatlash (VPN Endpoint). ADSL2+ qo'llab-quvvatlash. statik marshrutlash. O'rnatilgan router. 4 ta kommutatorli. Chuqurligi: 140 mm. Balandligi bilan: 28 mm. Kengligi bilan: 200 mm.

D-Link mashhur dasturchi va qurilish uchun apparat yechimlari yetkazib beruvchi kompyuter tarmoqlari har qanday o'lchov. Mahsulot qatoriga tarmoqni tashqi tahdidlardan himoya qiluvchi qurilmalar ham kiradi: xavfsizlik devorlari va hujumlarni aniqlash tizimlari. Biz D-Link vakiliga AT xavfsizligini taʼminlash uchun apparat yechimlarida qanday texnologiyalar qoʻllanilishi, apparat yechimlari oʻzlarining dasturiy hamkasblaridan nimasi bilan farq qilishini va qaysi hollarda qaysi toifadagi mahsulotlar eng maqbul ekanligini aytib berishni soʻrab murojaat qildik. Suhbatning ma'lum bir qismi, shuningdek, Rossiya IT-xavfsizlik echimlari bozorining o'ziga xos xususiyatlariga, shuningdek, uning tendentsiyalari va istiqbollariga bag'ishlangan. D-Link loyihasi maslahatchisi Ivan Martynyuk bizning savollarimizga javob beradi