Шлюзы сеансового уровня

Фильтрующие маршрутизаторы

Классификация межсетевых экранов

Принято выделять следующие классы защитных межсетевых экранов:

• фильтрующие маршрутизаторы;
• шлюзы сеансового уровня;
• шлюзы уровня приложений.

Осуществляют фильтрацию входящих и исходящих пакетов с использованием данных, которые содержатся в ТСР и IP-заголовках. Для отбора IP-пакетов применяются группы полей заголовка пакета:

• IP-адрес отправителя;
• IP-адрес получателя;
• порт отправителя;
• порт получателя.

Отдельные маршрутизаторы контролируют сетевой интерфейс маршрутизатора, с которого поступил пакет. Эти данные используются для более детальной фильтрации. Последняя может выполняться разными способами, прерывая соединения с определенными портами или ПК.

Правила фильтрации у маршрутизаторов составляются сложно. Нет возможности проверки корректности, за исключением медленного и трудоемкого тестирования вручную. Также к недостаткам фильтрующих маршрутизаторов можно отнести случаи, если:

• из Интернета видна внутренняя сеть;
• сложные правила маршрутизации требуют отличного знания ТСР и UDP;
• при взломе сетевого экрана становятся беззащитными или недоступными все компьютеры в сети.

Но фильтрующие маршрутизаторы имеют и ряд преимуществ:

• невысокая стоимость;
• гибкое определение правил фильтрации;
• невысокая степень задержки при работе с пакетами.

Это трансляторы ТСР-соединения. Шлюз обрабатывает запрос авторизованного клиента в отношении конкретных услуг. Проверяет правильность сеанса и выполняет соединение с внешним хостом. Затем шлюз копирует пакеты в обоих направлениях без фильтрации. Пункт назначения стандартно устанавливается заранее. Источников может быть несколько. Благодаря разнообразию портов можно настраивать различные конфигурации соединений. Используя шлюз, можно создавать транслятор ТСР для любого сервиса, который работает с ТСР-соединением.

Шлюз определяет допустимость запроса на сеанс связи по определенным правилам. Сначала авторизованный клиент делает запрос к доступу на определенный сервис. Шлюз принимает его и проверяет соответствие клиента основным параметрам фильтрации. Если все в порядке, шлюз устанавливает соединение с внешним хостом. Далее выполняется контроль за процедурой квитирования связи по ТСР. Если шлюз определил, что клиент и внешний хост авторизованы, идет соединение. В ходе передачи информации шлюз поддерживает таблицу установленных соединений и пропускает информацию, которая относится к одному из сеансов связи, прописанных в таблице. После окончания сеанса связь прерывается. Из таблицы стираются соответствующие данные.