نحوه راه اندازی گوشی های هوشمند و رایانه های شخصی. پرتال اطلاعاتی

چرا به فایروال در روتر نیاز دارید؟ حفاظت مبتنی بر سخت افزار از شبکه های کلاس SOHO با استفاده از فایروال ها

07.05.2019 اینترنت، وای فای، شبکه های محلی

فایروال - مسدود کردن ترافیک از منابع غیرمجاز - یکی از قدیمی‌ترین فناوری‌های امنیت شبکه است، اما فروشندگان فایروال همچنان به توسعه رویکردهای جدیدی می‌پردازند که به مقابله مؤثرتر با تهدیدات مدرن در یک محیط شبکه در حال تغییر کمک می‌کند و از منابع فناوری اطلاعات شرکت محافظت می‌کند. فایروال های نسل بعدی به شما این امکان را می دهند که با استفاده از طیف وسیع تری از داده های متنی، خط مشی هایی را ایجاد و اجرا کنید.

تکامل فایروال ها (FW) راه طولانی را طی کرده است. آنها برای اولین بار در اواخر دهه 80 توسط DEC توسعه یافتند و عمدتاً در چهار لایه اول مدل OSI کار می کردند و ترافیک را رهگیری می کردند و بسته ها را برای مطابقت با قوانین مشخص تجزیه و تحلیل می کردند. سپس نقطه چکفایروال های پیشنهادی با تراشه های کاربردی خاص (ASIC) برای تجزیه و تحلیل عمیق هدر بسته ها. این سیستم های پیشرفته می توانند جدولی از اتصالات فعال را حفظ کرده و آن را در قوانین بازرسی بسته های دولتی (SPI) فعال کنند. فناوری SPI به شما امکان می دهد آدرس های IP مبدا و مقصد و پورت های نظارت را تأیید کنید.

یک قدم بزرگ رو به جلو ایجاد FW هایی است که در سطح برنامه عمل می کنند. اولین چنین محصولی توسط SEAL در سال 1991 منتشر شد و دو سال بعد راه حل منبع باز Firewall Toolkit (FWTK) از Trusted Information Systems ظاهر شد. این فایروال ها بسته ها را در هر هفت لایه بازرسی می کردند، که امکان استفاده از اطلاعات پیشرفته را در مجموعه قوانین (خط مشی ها) - نه تنها در مورد اتصالات و وضعیت آنها، بلکه در مورد عملیات با استفاده از یک پروتکل برنامه خاص نیز فراهم می کرد. در اواسط دهه 90، فایروال ها توانایی نظارت بر پروتکل های محبوب در سطح برنامه را به دست آوردند: FTP، Gopher، SMTP و Telnet. این محصولات پیشرفته (Application-Aware) فایروال های نسل بعدی (NGFW) نامیده می شوند.

TIS نسخه تجاری FWTK - Gauntlet Firewall را منتشر کرده است. با احراز هویت کاربر، فیلتر URL، ضد بدافزار و قابلیت های امنیتی در سطح برنامه، این محصول اولین فایروال "نسل بعدی" محسوب می شود. بنابراین، محصولات NGFW به طور رسمی در حال حاضر بیش از 15 سال قدمت دارند، اگرچه امروزه این اصطلاح معنای متفاوتی دارد.

تغییر نسل ها

تحلیلگران Frost & Sullivan چهار نسل از فایروال ها را تشخیص می دهند. اولین (1985-1990) محصول DEC بود. دوم (1996-2002) - ظهور محصولات SPI (Check Point) و کار در سطح برنامه (Gauntlet)، ادغام توابع IPsec VPN، استفاده از ASIC های اختصاصی برای افزایش عملکرد (Lucent، NetScreen). سوم (2003-2006) - کاربرد توابع بسته عمیقبازرسی و ادغام عملکردهای حفاظتی (Fortinet)؛ نسل چهارم (از سال 2007 تا کنون) - تضمین امنیت ترافیک بر اساس شناسایی برنامه ها و کاربران (پالو آلتو) و معرفی فناوری های جدید توسط فروشندگان بزرگ.

بنابراین، منشاء اصطلاح NGFW به معنای امروزی آن به شبکه های پالو آلتو نسبت داده می شود. این شرکت محصولات خود را «فایروال‌های نسل بعدی» می‌نامد که امکان کنترل دقیق دسترسی کاربران به برنامه‌ها و اینترنت را فراهم می‌کند. اساسا، NGFW چندین عملکرد - FW، IPS و دروازه های امنیتی وب - را در یک پلت فرم ترکیب می کند. مشتریان این فرصت را دارند که «ورود» و «خروج» از شبکه را کنترل کنند. در NGFW، خط‌مشی‌ها برای هر برنامه تنظیم می‌شوند، نه فقط برای پورت و آدرس IP.

در مقایسه با فایروال‌های Cisco، Check Point Software Technologies و Juniper Networks، محصولات Palo Alto Networks نظارت آسان‌تری و محافظت قوی‌تری از ترافیک با استفاده از شبکه‌های اجتماعی، Google Gmail یا Skype ارائه می‌کنند. محبوبیت روزافزون برنامه های کاربردی وب به توسعه تجارت این فروشنده کمک زیادی کرده است که در سال 2005 وارد بازار شد. Forrester Research محصول اصلی خود را انقلابی می نامد.

امروزه، بازار فایروال ها (شکل 1 و 2 را ببینید) یا فایروال ها تعدادی از بخش ها را پوشش می دهد: SOHO، SMB، محصولات برای شرکت های بزرگو ارائه دهندگان عملکرد جدید NGFW به محافظت از شبکه های شرکتی با معرفی فناوری های جدید و مدل های محاسباتی (محاسبات ابری و سیار) کمک می کند. گسترش عملکرد منجر به ایجاد پلتفرم های یکپارچه (Unified Threat Management، UTM) شد که امروزه به طور گسترده مورد استفاده قرار می گیرند.

اگرچه مرز شبکه تار می شود، حفاظت محیطی با FW باقی می ماند عامل مهمو عنصر ضروریسیستم امنیتی چند سطحی دیمیتری کوراشف، مدیر Entensys می‌گوید ظهور دستگاه‌های تلفن همراه و ظهور مفهوم BYOD تأثیر زیادی بر امنیت دارد، اما این امر اهمیت محیط شبکه را افزایش می‌دهد، زیرا تنها در محدوده آن می‌توان داده‌ها نسبتاً ایمن باشد.

دیمیتری اوشاکوف، رئیس بخش آماده سازی و اجرای راه حل های فنی در Stonesoft روسیه، خاطرنشان می کند: "اگر در مورد عملکردهای مدرن و محبوب صحبت کنیم، فایروال ها عمدتاً به عنوان فایروال های کلاسیک استفاده می شوند." - البته، قابلیت‌های آن‌ها در حال حاضر با آن‌هایی که در دهه‌های 80 و 90 مورد استفاده قرار می‌گرفت، متفاوت است، به‌عنوان مثال، فیلتر متنی حالت و تجزیه برنامه (قابلیت ردیابی اتصالات مرتبط). اما در عمل، عمدتاً این توابع کلاسیک هستند که مورد تقاضا هستند."

به گفته تحلیلگران Frost & Sullivan، در حالی که فایروال‌های سنتی یک ابزار امنیتی اساسی باقی می‌مانند، اما در محافظت در برابر حملات شبکه پیچیده ناکارآمد هستند.. توسعه فناوری‌ها و برنامه‌های کاربردی منجر به باز شدن روزنه‌های بیشتر و بیشتر برای مهاجمان می‌شود اجرای عملیسیستم های امنیتی پیچیده تر می شوند. برای مبارزه با تهدیدات در حال تحول، تولیدکنندگان باید توسعه روش‌های جدید را برای شناسایی و جلوگیری از حملات و جلوگیری از حملات ناخواسته تسریع کنند. ترافیک شبکه. به گفته کارشناسان گارتنر، بازار فایروال وارد دوره ای از "تکامل پویا" شده است و نرخ رشد بالا در سال های آینده ادامه خواهد داشت (شکل 3 را ببینید).
شکل 3.پیش بینی رشد بازار جهانی فایروال از طرف Frost & Sullivan.

"نسل جدید" امروز

فناوری اصلی NGFW همچنان به صورت دانه‌بندی و قابل تنظیم در سطح برنامه کنترل می‌شود، اما «پشتیبانی برنامه» در فایروال‌های امروزی به‌طور قابل‌توجهی با آنچه 20 سال پیش ارائه شده بود متفاوت است. فناوری فایروال به طور قابل توجهی تکامل یافته است و راه حل های تخصصی را شامل می شود که تجزیه و تحلیل عمیق ترافیک و شناسایی برنامه ها را انجام می دهد. محصولات سریعتر هستند و از مجموعه قوانین پیچیده تری نسبت به نسخه های قبلی خود پشتیبانی می کنند.

تحلیلگران گارتنر خاطرنشان می‌کنند که در دو تا سه سال گذشته، تقاضای فزاینده‌ای برای پلتفرم‌های NGFW وجود داشته است که می‌توانند حملات پیچیده را شناسایی و مسدود کنند، سیاست‌های امنیتی (با درجه بالایی از جزئیات) را در سطح برنامه تنظیم کنند و نه فقط پورت‌ها و پروتکل ها عملکرد و عملکرد فایروال ها باید الزامات بیشتری را برآورده کند تعامل پیچیدهبا برنامه ها، و خود دستگاه ها توان عملیاتی بالایی دارند و از مجازی سازی پشتیبانی می کنند. انتخاب راه حل توسط عواملی مانند هزینه، سهولت مدیریت، سهولت و سرعت استقرار تعیین می شود. البته لیست به همین جا ختم نمی شود.

«هنگام مقایسه یا توسعه روشی برای انتخاب فایروال ها، تحلیلگران با چندین ده معیار (گاهی تا صد و نیم) عمل می کنند که باید هنگام انتخاب راه حل در نظر گرفته شوند. الکسی لوکاتسکی، کارشناس سیسکو در زمینه امنیت شبکه تاکید می کند که هر مشتری اولویت ها را به روش خود تعیین می کند - هیچ دستور العمل یا سناریوی جهانی وجود ندارد و نمی تواند وجود داشته باشد.

تهدیدهای جدید و فناوری‌های وب 2.0 فروشندگان را مجبور می‌کنند تا پیشنهادات خود را به روز کنند - فایروال‌ها در حال تکامل هستند. آنها مجهز به توابع تحلیل ترافیک عمیق هستند و تنظیمات خط مشی انعطاف پذیری را ارائه می دهند و عملکرد آنها مطابق با رشد توان عملیاتی شبکه افزایش می یابد. NGFWها قادر به نظارت بر ترافیک شبکه در سطح برنامه و کاربر و مسدود کردن فعال تهدیدات هستند. آنها ممکن است شامل یک محدوده باشند وجوه اضافیاطمینان از امنیت و پشتیبانی از عملکردهای پیشرفته شبکه

شرکت های بزرگ و ارائه دهندگان خدمات به راه حل هایی با عملکرد بالا نیاز دارند. جدیدترین سیستم‌ها بر روی پلت‌فرم‌های سخت‌افزاری قدرتمند ساخته شده‌اند و ابزارها و عملکردهای امنیتی قبلاً متفاوت - IPS، تجزیه و تحلیل بسته‌های عمیق، احراز هویت کاربر و بسیاری موارد دیگر - به عنوان اجزای یکپارچه استفاده می‌شوند.با این حال، فایروال‌های درجه سازمانی نه با مجموعه خاصی از عملکردها، بلکه با مقیاس‌پذیری، مدیریت و قابلیت اطمینان که نیازهای شرکت‌های بزرگ را برآورده می‌کنند، مشخص می‌شوند.

فایروال‌های فروشندگان پیشرو، از جمله Check Point Software Technologies، Cisco Systems، Fortinet، Juniper Networks و Palo Alto Networks، جزئیات بیشتری را ارائه می‌دهند. تحلیل زمینهترافیک در سطح برنامه اما این تنها ویژگی NGFW نیست. به عنوان مثال، گارتنر بیش از سه سال پیش تعریف خود را ارائه کرد و بر ارتباط بین IPS و NGFW تأکید کرد. سایر تحلیلگران، توابع UTM را یکی از ویژگی های مهم NGFW می دانند. پالو آلتو و جونیپر به اصطلاحات خود پایبند هستند. با این حال، نکته در زبان نیست، بلکه در توابع NGFW است که سازمان ها می توانند برای محافظت از شبکه های خود از آنها استفاده کنند.

به گفته الکسی لوکاتسکی، سیسکو در حال بررسی است این سوالکمی گسترده تر از آنچه در سایر شرکت ها مرسوم است: "ما از مفهوم NGFW استفاده نمی کنیم، و آن را با Context-Aware FW جایگزین می کنیم، یعنی بین دیواره آتش، با در نظر گرفتن زمینه. متن نه تنها به عنوان پاسخی به این سوال درک می شود که "چه چیزی ممکن است؟" (یعنی تجزیه و تحلیل ترافیک در سطوح شبکه و برنامه)، اما همچنین به این سوال پاسخ می دهد که "چه زمانی ممکن است؟" (پیوند دادن تلاش دسترسی به زمان)، "WHERE and FROM?" (محل منابع و تجهیزاتی که درخواست از آن ارسال می شود)، "چه کسی می توانم؟" (که نه تنها به آدرس IP، بلکه به حساب کاربری متصل می شود)، "چگونه ممکن است؟" (از آن دسترسی به دستگاه مجاز است - شخصی یا شرکتی، دسکتاپ یا تلفن همراه). همه اینها به شما امکان می دهد تا با انعطاف پذیری بیشتری یک خط مشی دسترسی ایجاد کنید و نیازهای دائماً در حال تغییر یک شرکت مدرن را از نقطه نظر امنیت اطلاعات در نظر بگیرید.

NGFW دستگاهی است که عملکرد یک فایروال سنتی را از نظر گسترش می دهد خدمات اضافیدیمیتری اوشاکوف می گوید: بازرسی و کنترل کاربران و برنامه ها. وی تأکید می کند: «بر این اساس، فایروال نسل بعدی به طور کلی FW، IPS و سیستمی برای نظارت بر رفتار کاربر و برنامه است. و از این نظر، Stonesoft StoneGate FW چندین سال است که عملکردهای یک NGFW را انجام می دهد.

فایروال ها بیشتر از فیلتر کردن ترافیک ورودی انجام می دهند. برخی از NGFW ها می توانند فعالیت غیرعادی را در ترافیک خروجی نیز تشخیص دهند.به عنوان مثال، تعامل از طریق پورت 80 با یک سایت غیرمجاز یا ترافیک مطابق با یکی از امضاها. این به شناسایی و مسدود کردن ارتباطات خروجی، از جمله ارتباطاتی که توسط بدافزار آغاز شده اند، کمک می کند. «قابلیت‌های بیشتر و بیشتری که قبلاً روی فایروال‌های اختصاصی پیاده‌سازی شده بودند، در یک بسته سخت‌افزاری و نرم‌افزاری واحد ترکیب می‌شوند. برندان پترسون، مدیر ارشد مدیریت محصول در WatchGuard Technologies گفت: ما NGFW را به عنوان ترکیبی با کیفیت از محافظ استاندارد، کنترل برنامه و جلوگیری از نفوذ تصور می کنیم.

NGFW به شما امکان می دهد سیاست های امنیت اطلاعات را بر اساس طیف گسترده ای از داده های متنی ایجاد کنید و درجه بالاتری از حفاظت، مدیریت و مقیاس پذیری را ارائه دهید. ترافیک سرویس اینترنت (از پست الکترونیکبه پخش ویدئو و شبکه های اجتماعی) از طریق مرورگر عبور می کند تعداد محدودیپورت ها، و NGFW باید قادر به تجزیه و تحلیل جلسات (در سطوح مختلف جزئیات) باشد تا بسته به زمینه تصمیم گیری کند. یکی دیگر از ویژگی های NGFW پشتیبانی از شناسایی کاربر است (که هنگام ایجاد قوانین می توان از آن استفاده کرد) و برای این کار فایروال می تواند از اطلاعات خود استفاده کند یا به Active Directory دسترسی پیدا کند. توانایی تشخیص و تجزیه و تحلیل ترافیک برنامه های کاربردی به ویژه با ظهور برنامه های کاربردی وب که اکثر فایروال های SPI فقط می توانند آنها را به عنوان ترافیک HTTP در پورت 80 شناسایی کنند اهمیت پیدا کرده است.

خرید NGFW با هدف استفاده تنها از توابع فیلتر ترافیک آن توسط پورت غیرعملی است، اما همه به توابع کنترل برنامه گرانول نیاز ندارند. علاوه بر این، باید در نظر گرفت که آیا سازمان منابع واجد شرایط را برای پیکربندی و حفظ مجموعه پیچیده قوانین NGFW دارد یا خیر. ما نباید سرعت را فراموش کنیم. بهتر است NGFW را در پیکربندی و آزمایش کنید محیط کار. توان عملیاتی و سهولت مدیریت، معیارهای کلیدی برای ارزیابی دیوارهای آتش است. یک بخش جداگانه محصولات مدیریت خط مشی (مدیریت سیاست فایروال، FPM) است. گارتنر توصیه می‌کند زمانی که پیچیدگی محیط فناوری اطلاعات شما از قابلیت‌های کنسول مدیریت FW بیشتر است، از آنها استفاده کنید.

تحلیلگران گارتنر معتقدند که فایروال های سنتی SPI در حال حاضر وجود دارند تکنولوژی منسوخ شده، قادر به محافظت در برابر بسیاری از تهدیدات نیست و بسیاری از سازمان ها اکنون در حال استقرار NGFW هستند. گارتنر پیش‌بینی می‌کند که در سه سال آینده، 38 درصد از شرکت‌ها از NGFW استفاده خواهند کرد، در حالی که در سال 2011 تنها 10 درصد بود. در عین حال، تعداد مشتریانی که راه حل های ترکیبی (FW+IPS) را به کار می گیرند از 60 به 45 درصد و تعداد شرکت هایی که به طور انحصاری از فایروال استفاده می کنند از 25 به 10 درصد کاهش می یابد. در روسیه، ظاهرا، نتایج متفاوت خواهد بود.

دیمیتری اوشاکوف به یاد می آورد: "همانطور که تمرین نشان می دهد، فایروال های سنتی هنوز موفقیت بزرگی هستند." - این عمدتا به دلیل کنترل محدودبرای اجرای خدمات امنیتی توسط مقامات نظارتی و، متأسفانه، برای اطمینان از حفاظت از فناوری اطلاعات به صورت باقیمانده - ارزان تر و به حداقل ممکن. تعداد کمی از مردم به تهدیدات و عواقب آن فکر می کنند. بنابراین، مطمئناً جایی برای نمایشگرهای سنتی وجود دارد، اما آنها به عملکردهای جدیدی مجهز خواهند شد. به عنوان مثال، دستگاه‌هایی که علاوه بر FW سنتی، ابزارهایی برای تجزیه و تحلیل عمیق جریان‌های کار اینترنتی نیز دارند، در حال افزایش تقاضا هستند.

در همین حال، هنگام حل مشکلات پیچیده جدید، توسعه دهندگان گاهی اوقات مجبور به مصالحه می شوند. آزمایشگاه NSS به این نتیجه رسید که ویژگی‌های جدید NGFW، مانند کنترل سطح برنامه کاربردی، اغلب عملکرد و کارایی امنیتی را در مقایسه با ترکیبی از فایروال‌های سنتی و IPS کاهش می‌دهند.تنها نیمی از سیستم های آزمایش شده دارای راندمان حفاظتی بیش از 90٪ بودند.

مطالعه NSS همچنین نشان داد که IPS به ندرت بر روی سیستم‌های NGFW پیکربندی می‌شود؛ سیاست‌های پیش‌فرض فروشنده معمولاً پس از استقرار اعمال می‌شوند. این تاثیر منفی بر ایمنی دارد. و توان عملیاتی با میزان اعلام شده مطابقت ندارد: از هشت محصول، پنج محصول آن را کمتر داشتند. علاوه بر این، تمام NGFW های آزمایش شده دارای حداکثر اتصالاتی بودند که در مشخصات نبودند. آزمایش کنندگان آزمایشگاه NSS به این نتیجه رسیدند که NGFW ها برای استقرار در داخل آماده خواهند بود محیط های شرکتیتنها پس از افزایش بهره وری، و به طور کلی، فن آوری های NGFW نیاز به بهبود دارند - سیستم ها باید عملکرد پایدارتر و درجه بالایی از ایمنی را ارائه دهند.

در عین حال، اکثر فروشندگان با موفقیت کسب و کار خود را توسعه می دهند. به عنوان مثال، IDC به Check Point به عنوان یک فروشنده پیشرو فایروال/UTM اشاره کرد: در سه ماهه دوم سال گذشته، این کهنه کار بازار فایروال از نظر فروش در این بخش پیشتاز بود و بزرگترین فروشندگان تجهیزات شبکه را شکست داد. سهم Check Point از بازار جهانی FW/UTM بیش از 20٪ است و در اروپای غربی به 30٪ نزدیک می شود.

خط Check Point شامل هفت مدل از دستگاه‌های امنیتی با معماری «نرم‌افزار تیغه» است (شکل 4 را ببینید): مدل‌های 2200 تا 61000 (این دومی سریع‌ترین فایروال موجود امروزی است). عملکرد بالا دستگاه ها را بررسی کنید Point ترکیبی از فایروال، VPN، جلوگیری از نفوذ، کنترل دسترسی اپلیکیشن و موبایل، جلوگیری از نشت داده، پشتیبانی هویت، فیلتر URL، آنتی اسپم، آنتی ویروس و آنتی ربات است.

در Magic Quadrant، تحلیلگران گارتنر Check Point و Palo Alto Networks را به عنوان رهبران بازار در بازار فایروال رتبه بندی کردند، در حالی که Fortinet، Cisco، Juniper Networks و Intel (McAfee) به عنوان رقبا معرفی شدند. مشخص شد که هفت فروشنده «بازیکنان خاص» بودند و حتی یک شرکت هم در بخش «روی پردازان» قرار نگرفت. با این حال، این مانع از اولویت دادن مشتریان به محصولات سیسکو نمی شود (شکل 5 را ببینید).

بازار به حرکت به سمت سیستم‌های NGFW ادامه می‌دهد که می‌توانند انواع حملات پیچیده را شناسایی و مسدود کنند و سیاست‌های سطح برنامه را اعمال کنند. در سال 2012، بازیگران تثبیت شده بازار به دنبال بهبود راه حل های NGFW خود بودند به طوری که از نظر توانایی های خود نسبت به محصولات تازه واردان صنعت پایین نماند و توسعه دهندگان سیستم های نوآور آنها را با کنترل تکمیل کردند و آنها را به سطح مارک های معتبر رساندند.

محرک های رشد و توسعه های جدید

اگرچه بازار جهانی فایروال اشباع شده است، اما هنوز راکد نیست. تقریباً همه فروشندگان عمده محصولات نسل جدید را با توابع اضافی. محرک های رشد بازار فایروال - تحرک، مجازی سازی و محاسبات ابری - نیاز به قابلیت های جدید ارائه شده توسط NGFW را تحریک می کنند. تحلیلگران گارتنر به تقاضای رو به رشد برای نسخه های نرم افزاری فایروال های مورد استفاده در مراکز داده مجازی اشاره می کنند (شکل 6 را ببینید). در سال 2012، سهم گزینه های مجازی NGFW از 2٪ تجاوز نکرد، اما طبق پیش بینی های گارتنر، تا سال 2016 به 20٪ افزایش خواهد یافت. نسخه های مجازی فایروال ها و راه حل های حفاظت از محتوا برای استقرار در محیط های ابری مناسب هستند.
شکل 6.بر اساس تحقیقات Infonetics، هزینه های شرکت های آمریکای شمالی برای تضمین امنیت اطلاعات برای مراکز داده در سال گذشته به شدت افزایش یافته است.

برای دفاتر راه دور و SMB ها، یک فایروال ابری نصب شده توسط یک ارائه دهنده خدمات اغلب یک راه حل جذاب است. به گفته برخی کارشناسان، با توسعه دسترسی به موبایل و معماری ابری، معماری امنیتی نیز باید تغییر کند: به جای NGFW، شرکت‌ها بیشتر از دروازه‌های وب تحت کنترل ارائه‌دهنده استفاده می‌کنند و سازمان‌های بزرگ وظایف خود را از هم جدا می‌کنند. دروازه‌های وب و فایروال‌ها برای بهبود عملکرد و مدیریت پذیری، اگرچه برخی از محصولات NGFW قادر به انجام توابع اصلی دروازه وب هستند.

دیمیتری کوراشف معتقد است که بهتر است تمام عملکردهای پردازش ترافیک را به دروازه های واقع در شرکت اختصاص دهید: "استفاده از خدمات ابری برای مدیریت و نظارت بر برنامه های کاربردی سرور و همچنین برای جمع آوری آمار و تجزیه و تحلیل صحیح تر است." الکسی لوکاتسکی می افزاید: "دیوار آتش باید به طور پیش فرض هم در ارائه دهنده ابر و هم در سمت مشتری خدمات ابری نصب شود." از این گذشته، بین آنها یک محیط محافظت نشده وجود دارد که می تواند به سکوی پرشی برای نفوذ به شبکه شرکت یا ابر بدافزار یا برای حملات متجاوزان تبدیل شود. بنابراین، اقدامات امنیتی شبکه همچنان ضروری است.»

مثال معمولی خدمات مدیریت شدهامنیت - مجموعه‌ای از خدماتی که اخیراً در روسیه برای محافظت از شبکه مشتری در برابر تهدیدات شبکه اصلی معرفی شده است که توسط Orange Business Services ارائه شده است. خدمات دفاع یکپارچه به شما امکان می دهد حفاظت ضد ویروس متمرکز را برای همه دستگاه های موجود در شبکه ارائه دهید، از صندوق پستی شرکت ها در برابر هرزنامه محافظت کنید و ترافیک اینترنت را فیلتر کنید، در صورت لزوم دسترسی کارمندان را به منابع شبکه خاصی در سطح سخت افزار محدود کنید. علاوه بر این، سیستم امنیتی شامل یک فایروال و همچنین ابزارهای تشخیص نفوذ و پیشگیری است.

Unified Defense بر اساس یک دستگاه فشرده UTM با عملکرد NGFW از Fortinet است که در شبکه مشتری نصب شده و توسط متخصصان Orange پشتیبانی می شود. این محصول در دو نسخه ارائه می شود - برای شبکه هایی که حداکثر 200 کاربر را پشتیبانی می کنند و سرعت کانال اینترنت از 20 مگابیت بر ثانیه تجاوز نمی کند (تجهیزات FortiGate 80C) و همچنین برای شبکه های طراحی شده برای 1000 کاربر و کانال 100 مگابیت / s (تجهیزات FortiGate 200B) (شکل 7 را ببینید). در حال حاضر این سرویس در اختیار مشتریان نارنجی قرار دارد و در آینده قرار است این سرویس در شبکه های ارائه دهندگان شخص ثالث ارائه شود.

دفاع یکپارچه با سخت افزار Fortinet به شرکت هایی با بودجه محدود فناوری اطلاعات اجازه می دهد تا از فناوری های امنیتی جدید استفاده کنند. یکی از عملکردهای پورتال مشتری، دسترسی به گزارش های منظم در مورد عملکرد سیستم، از جمله اطلاعات در مورد تهدیدات خنثی شده است.

تجزیه و تحلیل عمیق ترافیک به شما امکان می دهد برنامه هایی را که در حال تبادل داده ها از طریق شبکه هستند شناسایی کنید. با توجه به روندهای مدرن در انتقال برنامه های کاربردی به ابر و توسعه سرویس های SaaS، فقط می توان اطمینان حاصل کرد که فقط داده های مرتبط با سطح جزئیات بالاتری به شبکه شرکت می رسد.هر فروشنده هنگام ایجاد NGFW از رویکردهای خاص خود استفاده می کند. بسیاری از افراد روش امضا را انتخاب می کنند.

به عنوان مثال، آستارو (بخشی از Sophos از سال 2011) از پایگاه داده امضای برنامه شریک Vineyard Networks استفاده می کند. به لطف این، دروازه امنیتی آستارو می تواند بین برنامه های مختلف در حال اجرا در یک وب سایت تمایز قائل شود، سیاست های QoS، اولویت های ترافیک را اعمال کند و پهنای باند را به آنها اختصاص دهد. نسخه جدید دروازه امنیتی آستارو رابط مدیریتی را بهبود بخشیده است: با استفاده از نقشه شبکه، می‌توانید قوانین را در زمان واقعی تنظیم کنید و به سرعت به تهدیدات جدید پاسخ دهید. در نسخه های بعدی فایروال آستارو امکان انتقال بسته ها به متخصصان وجود خواهد داشت نوع ناشناختهبرای تحلیل بعدی آنها

سال گذشته، چک پوینت خط تولید خود را 90٪ به روز کرد. مدل های ارائه شده برای معماری تیغه نرم افزار Check Point بهینه شده اند و به گفته سازنده تقریباً سه برابر عملکرد بالاتری نسبت به نسل های قبلی دارند. ماژول جدیدشتاب امنیتی، با فناوری SecurityCore، عملکرد فایروال را با سرعت بخشیدن به عملیات کلیدی به طور قابل توجهی بهبود می بخشد. با توجه به چک پوینت، توان عملیاتی آن به 110 گیگابیت در ثانیه و تأخیر کمتر از 5 میکرو ثانیه است. به گفته این شرکت، این قدرتمندترین فایروال صنعت در فرم فاکتور 2U است.

کتابخانه AppWiki ایجاد شده توسط Check Point به شما امکان می دهد بیش از 5 هزار برنامه و 100 هزار ویجت را شناسایی کنید. این امضاها توسط تیغه های نرم افزار Check Point Application Control و Identity Awareness استفاده می شود. علاوه بر این، این نرم‌افزار با Active Directory یکپارچه می‌شود تا دستگاه‌های مشتری و کاربران نهایی را شناسایی کند و مدیران می‌توانند خط‌مشی‌های امنیتی را تنظیم کنند. کارمندان در زمان واقعی آموزش می بینند: هنگامی که شخصی یک خط مشی امنیتی را نقض می کند، برنامه کاربردی مامور مشتری Check Point UserCheck یک پنجره پاپ آپ را نمایش می دهد که نقض را توضیح می دهد و درخواست تأیید این عمل را می کند. توانایی ارسال درخواست به مدیر، فرآیند سفارشی سازی سیاست های امنیتی را برای برآورده کردن نیازهای کاربر ساده می کند.

انتشار نرم افزار R74.40 برای محصولات کلیدی امنیتی شبکه Check Point شامل بیش از 100 ویژگی جدید از جمله Anti-Bot Software Blade و نسخه به روز شده آنتی ویروس با فناوری Check Point ThreatCloud است: سرویس ابریاطلاعات تهدید را جمع آوری می کند و حفاظت از دروازه امنیتی را در زمان واقعی ارائه می دهد. Check Point Virtual Systems، یک راه حل جدید برای مراکز داده و ابرهای خصوصی، به شما امکان می دهد تا حداکثر 250 سیستم مجازی را در یک دستگاه ترکیب کنید.

سیسکو سال گذشته راه حل NGFW خود را منتشر کرد - نسل جدیدی از لوازم امنیتی تطبیقی ​​(ASA) که پاسخی به فناوری توسعه یافته توسط Palo Alto Networks بود. ASA CX یک فایروال آگاه از زمینه است، به این معنا که نه تنها آدرس های IP، بلکه برنامه ها، کاربران و دستگاه ها را می شناسد و بنابراین به شما امکان می دهد نحوه استفاده کارمند از برنامه های خاص را ردیابی کنید. تجهیزات مختلف، و از رعایت مقررات مربوطه اطمینان حاصل کنید.

Cisco ASA CX که بر روی تمام مدل‌های Cisco ASA 5500-X (از 5512-X تا 5585-X) کار می‌کند، قوانین الزام‌آور به حساب کاربری در Active Directory، کنترل بیش از 1100 برنامه (Facebook، LinkedIn، Skype، BitTorrent، iCloud) را ارائه می‌کند. ، Dropbox، Google Drive، MS Windows Azure، Salesforce CRM، Oracle e-Business Suite، MS Lync، Tor و غیره)، ردیابی زمان و ارسال درخواست دسترسی و همچنین حل بسیاری از مشکلات دیگر. که در آن Cisco ASA CX فقط یک پلتفرم چند گیگابیتی مستقل نیست، بلکه کاملاً با سایر راه حل های امنیتی سیسکو ادغام می شود.- سیستم جلوگیری از نفوذ IPS سیسکو، سیستم مجوز دسترسی و کنترل دسترسی به شبکه سیسکو ISE، سیستم حفاظت از ترافیک وب سیسکو امنیت وبو غیره.

همانطور که الکسی لوکاتسکی تاکید می کند، چنین فایروال ماهیت "فازی" محیط شبکه را نیز در نظر می گیرد. به عنوان مثال، به لطف ادغام با Cisco ISE و همه زیرساخت شبکهسیسکو، می‌تواند تشخیص دهد که ترافیک از آی‌پد شخصی یک کارمند می‌آید، و سپس، بسته به خط‌مشی امنیتی، به صورت پویا آن را مسدود می‌کند یا فقط به منابع داخلی خاصی اجازه دسترسی می‌دهد. اگر این دسترسی از یک دستگاه تلفن همراه شرکتی انجام شود، امتیازات آن را می توان گسترش داد.

در همان زمان، ASA CX نه تنها بر اساس اصل دوست / دشمن (شخصی / شرکتی) عمل می کند، بلکه سیستم عامل مورد استفاده در دستگاه تلفن همراه، نسخه آن، وجود به روز رسانی ها و سایر "وصله ها" را نیز در نظر می گیرد. و همچنین عملکرد آنتی ویروس و ارتباط پایگاه داده های آن و غیره. دسترسی نه از طریق آدرس های IP فرستنده و گیرنده، بلکه بسته به مجموعه کاملی از پارامترها فراهم می شود که اجرای یک سیاست انعطاف پذیر را ممکن می سازد. اتصال به منابع محافظت شده، صرف نظر از اینکه کاربر بیرون است یا داخل و از اتصال سیمی یا بی سیم، دستگاه شخصی یا شرکتی استفاده می کند.

فایروال دل SonicWALL از یک پایگاه داده امضا در حال گسترش برای شناسایی بیش از 3500 برنامه کاربردی و عملکرد آنها استفاده می کند.فناوری بازرسی بسته های عمیق ReassemblyFree SonicWALL (RFDPI) بسته ها را روی هر پروتکل و رابط اسکن می کند. کارشناسان تیم تحقیقاتی SonicWALL امضاهای جدیدی ایجاد می کنند که به طور خودکار به فایروال های موجود تحویل داده می شوند. در صورت لزوم، مشتریان می توانند خود امضا اضافه کنند. در پنجره‌های داشبورد تصویرسازی SonicWALL و مانیتور بلادرنگ، مدیران می‌توانند برنامه‌های خاص را در شبکه ببینند، همچنین می‌توانند چه کسی و چگونه از آنها استفاده می‌کنند. این اطلاعات برای پیکربندی خط‌مشی‌ها و عیب‌یابی مفید است.

Entensys همچنین عملکرد محصول خود را گسترش داده است. UserGate Proxy&Firewall نسخه 6.0 که در نوامبر 2012 منتشر شد، یک سرور VPN و سیستم IPS تمام عیار را معرفی کرد. این محصول UTM به صورت نرم افزاری یا سخت افزاری عرضه می شود. علاوه بر عملکردهایی که مستقیماً با امنیت مرتبط است، توسعه دهندگان توجه زیادی به فیلتر کردن محتوا و نظارت بر برنامه های کاربردی اینترنت داشتند. در سال 2012، عملکرد تجزیه و تحلیل مورفولوژیکی بهبود یافت اطلاعات منتقل شدهبرای فیلتر کردن ترافیک ورودی و خروجی، یک سرور فیلتر کننده محتوای سازنده و کاربردی UserGate Web Filter 3.0 منتشر شده است که می تواند همراه با هر راه حل UTM شخص ثالث استفاده شود.

Fortinet که معمولاً با UTM مرتبط است، سال گذشته FortiGate3240C را معرفی کرد، محصولی که احتمالاً به کلاس NGFW تعلق دارد.دستگاه های Fortinet FortiGate از رمزگشاهای پروتکل و رمزگشایی ترافیک شبکه برای شناسایی برنامه ها استفاده می کنند. توسعه دهندگان یک پایگاه داده نگهداری می کنند که در آن امضاهای برنامه های جدید را اضافه می کنند و با انتشار نسخه های جدید، امضاهای موجود را به روز می کنند. با این اطلاعات، محصولات Fortinet بین برنامه ها تفاوت قائل می شوند و قوانین مختلفی را برای هر یک اعمال می کنند. این شرکت ادعا می کند که محصولاتش در مقایسه با راه حل های رقیب از سطح عملکرد و یکپارچگی بالاتری برخوردار هستند، زیرا همه فناوری ها به طور مستقل توسعه یافته اند. F5 Networks و Riverbed همچنین توجه را به عملکردهای NGFW جلب کردند: همراه با McAfee (اینتل) و سایر ارائه دهندگان راه حل امنیت اطلاعات، آنها را در تجهیزات و نرم افزارهایی برای بهینه سازی ترافیک شبکه جهانی می سازند.

در Juniper Networks، توابع NGFW درگاه خدمات SRX در مجموعه برنامه‌های AppSecure پیاده‌سازی می‌شوند. جزء AppTrack همچنین از یک پایگاه داده از امضاهای برنامه ایجاد شده توسط Juniper استفاده می کند که توسط امضاهای ایجاد شده توسط مدیران مشتری تکمیل می شود. AppTrack برنامه ها را شناسایی می کند و اجزای AppFirewall و AppQoS اجرای سیاست و کنترل ترافیک برنامه را ارائه می دهند. به گفته سازنده، این پلت فرم بسیار مقیاس پذیر است و تا سرعت 100 گیگابیت بر ثانیه کار می کند.

McAfee، یک شرکت اینتل، از فناوری AppPrism برای تشخیص برنامه در McAfee Firewall Enterprise استفاده می کند، که هزاران برنامه را بدون توجه به پورت و پروتکل شناسایی می کند. در کنار این، از امضاهای توسعه یافته توسط کارشناسان McAfee Global Threat Intelligence استفاده می شود. با استفاده از AppPrism، ​​مدیران می توانند اجرای نه تنها خود برنامه ها، بلکه اجزای "خطرناک" آنها را نیز ممنوع کنند.- به عنوان مثال، عملکرد اشتراک گذاری فایل در اسکایپ را مسدود کنید و امکان ارسال پیام را فراهم کنید. مانند Juniper، McAfee فناوری اختصاصی و امضای برنامه های کاربردی خود را به مزایای راه حل خود نسبت می دهد.

فناوری App-ID شبکه های Palo Alto از چندین روش برای شناسایی برنامه ها استفاده می کند: رمزگشایی، کشف، رمزگشایی، امضا، اکتشاف و غیره.. که در شناسه های برنامهمی توان از هر ترکیبی از آنها استفاده کرد که به شما امکان می دهد تمام نسخه های برنامه و همچنین سیستم عاملی را که روی آن اجرا می شود شناسایی کنید. مطابق با App-ID برنامه، فایروال Palo Alto یک قانون یا قانون دیگر را در ترافیک خود اعمال می کند، به عنوان مثال، انتقال فایل را می توان مسدود کرد. علاوه بر این، App-ID را می توان با روش های جدید برای شناسایی و شناسایی برنامه ها با جاسازی آنها در مکانیسم های طبقه بندی تکمیل کرد.

Stonesoft خط فایروال های خود را در سال 2012 به روز نکرد، اما راه حل جدیدی به نام سیستم پیشگیری از فرار (EPS) را اعلام کرد. این ابزار برای شناسایی و جلوگیری از حملات سایبری که از تکنیک های فرار پویا استفاده می کنند، طراحی شده است(تکنیک فرار پیشرفته، AET - تکنیک هایی که همراه با حملات شبکه برای دور زدن سیستم های امنیتی استفاده می شود) و از آسیب پذیری ها در سیستم های امنیتی سوء استفاده می کنند. همانطور که دیمیتری اوشاکوف گفت، این محصول سطح امنیتی بیشتری را برای دستگاه‌های NGFW، IPS و UTM که قبلاً در سازمان‌هایی که در برابر AET آسیب‌پذیر هستند نصب شده‌اند، فراهم می‌کند. این دسته جدیدی از دستگاه‌ها است که برای مبارزه با تلاش‌های پیچیده مهاجمان برای نفوذ به شبکه یک سازمان طراحی شده‌اند.

«امروزه، کارفرمایان می‌دانند که کارمندانشان گاهی نیاز به دسترسی به سایت‌های ممنوعه (سایت‌های استخدام، شبکه‌های اجتماعی و غیره) و سیستم‌های پیام رسانی (اسکایپ، ICQ) دارند. در این راستا، برنامه های کاربردی از لیست های "سفید" (ممکن) و "سیاه" (غیر ممکن) به منطقه "خاکستری" منتقل می شوند (ممکن است تحت شرایط خاص یا در زمان مشخص). دیمیتری اوشاکوف می‌گوید: پیشنهاد می‌شود این سیاست‌های امنیت اطلاعات در قالب قوانین دسترسی تدوین شود.

به گفته الکساندر کوشنارف، مشاور فنی Rainbow Security (توزیع کننده WatchGuard Technologies)، WatchGuard نسخه های مجازی جدید محصولات XTMv و XCSv خود و همچنین پلتفرم های سخت افزاری نسل بعدی را "با عملکرد UTM پیشرو در بازار" معرفی کرد. سیستم‌های سخت‌افزار و نرم‌افزار WatchGuard XTM با استفاده از سرویس دفاع فعال شده شهرت WatchGuard، از کاربران در برابر وب‌سایت‌های مخرب محافظت می‌کنند و در عین حال بار شبکه را به میزان قابل توجهی کاهش می‌دهند. این سرویس درجه بالایی از محافظت در برابر تهدیدات وب، وبگردی سریعتر، مدیریت انعطاف پذیر و قابلیت های گزارش دهی گسترده را ارائه می دهد.

ما نیاز به دستگاه های UTM را در حال رشد می بینیم. آخرین نسل پلتفرم‌های سخت‌افزار WatchGuard می‌توانند ترافیک را با سرویس‌های UTM فعال شده با همان سرعتی که نسل‌های قبلی فقط می‌توانستند فیلتر کردن بسته‌های ساده را انجام دهند، پردازش کنند.برای تبدیل فایروال های WatchGuard به یک دستگاه UTM، به سادگی مجوز را فعال کنید. الکساندر کوشنارف می‌گوید: اگر مشتری فقط به فیلتر کردن بسته‌ها و سازماندهی تونل‌های VPN نیاز داشته باشد، یک فایروال به معنای کلاسیک برای او مناسب است.

او تأکید می کند که عملکردهای کنترل برنامه در NGFW اکنون تقاضای زیادی دارد: شرکت ها می خواهند دسترسی کارکنان به شبکه های اجتماعی و سایت های بازی را تنظیم کنند. ابزارهای فعلی UTM شامل فیلتر کردن URL با پشتیبانی از پایگاه داده سایت های روسی زبان و همچنین پشتیبانی کامل از تجمع و شهرت پورت است. منابع خارجی. دومی تشخیص با کیفیت بالا و مسدود کردن پیشگیرانه ترافیک از بات‌نت‌ها را تسهیل می‌کند. علاوه بر این، اکثر مشتریان به صرفه جویی در هزینه و تنظیمات پیکربندی ساده و راحت علاقه مند هستند، بنابراین راه حل های یکپارچه مانند WatchGuard XTM گزینه مناسبی برای آنهاست.

همین دو یا سه سال پیش، مشتریان در مورد NGFW ها شک داشتند، اما اکنون که بازار رقابتی بالایی دارد، می توانند از میان طیف وسیعی از محصولات با کیفیت بالا NGFW را انتخاب کنند. به گفته تحلیلگران Cyber ​​Security، تا سال 2018، بازار جهانی فایروال های کلاس سازمانی سالانه بیش از 11 درصد رشد خواهد کرد. با این حال، فایروال ها یک دارو نیستند. هنگام انتخاب راه حل، باید به وضوح مشخص کنید که کدام توابع مورد نیاز است، مطمئن شوید که آنهایی که توسط فروشنده اعلام شده است خواص حفاظتیمی تواند در یک محیط کاری خاص اجرا شود که شرکت (یا برون سپاری) منابع کافی برای مدیریت سیاست های امنیتی داشته باشد.

و البته، به خاطر داشته باشید که NGFW ها دستگاه های امنیتی محیطی باقی می مانند. آنها هنگام دسترسی به اینترنت عملکرد خود را به خوبی انجام می دهند، اما "امنیت تلفن همراه" به موارد بیشتری نیاز دارد. امروزه، NGFW ها باید با راه حل های امنیتی ابری و موبایلی تقویت شوند و بتوانند زمینه را تشخیص دهند. با گذشت زمان، این راه حل ها در دسترس تر، ساده تر، کاربردی تر و مدل ابریدر نحوه مدیریت آنها تغییراتی ایجاد خواهد کرد.

سرگئی اورلوف- سردبیر پیشرو مجله راه حل های شبکه / LAN. می توان با او تماس گرفت:

1590 روبل

TP-Link TP-LINK TD-W8961N(RU)

. با پشتیبانی ADSL2+. با پشتیبانی از Telnet تعداد پورت های سوئیچ 4 عدد است. با مسیریابی استاتیک. با روتر داخلی با عملکرد SPI. اجرا - خارجی. با پشتیبانی NAT با پشتیبانی Dynamic DNS. نوع مودم - ADSL. با پشتیبانی از SNMP با سرور DHCP دارای سوئیچ داخلی. رابط - اترنت. با رابط وب. با منطقه غیرنظامی (DMZ). ابعاد 130x195x35 میلی متر.

خرید V فروشگاه آنلاین TopComputer.RU

امکان وانت

بررسی ویدیوییعکس

1390 روبل

7٪ 1490 روبل.

مودم xDSL TP-LINK TD-W8901N

پشتیبانی VPN (گذر از VPN). روتر داخلی. سوئیچ داخلی. پشتیبانی از DNS پویا رابط وب. پشتیبانی از شبکه راه دور دارای 4 پورت سوئیچ SPI. دیواره آتش. سرور DHCP. NAT اجرا - خارجی. منطقه غیرنظامی (DMZ). رابط - اترنت. نوع مودم - ADSL. پشتیبانی از SNMP پشتیبانی از ADSL2+ با عمق: 128 میلی متر. با عرض: 35 میلی متر. با ارتفاع: 182 میلی متر.

خرید V فروشگاه آنلاین XcomShop

امکان وانت

بررسی ویدیوییعکس

790 روبل.

مودم UPVEL UR-104AN روتر +ADSL2 با 4 پورت اترنت 10/100 مگابیت بر ثانیه با پشتیبانی از تلویزیون IP

با مسیریابی استاتیک. با منطقه غیرنظامی (DMZ). با پشتیبانی NAT با سرور DHCP با پشتیبانی از تونل های VPN (VPN Endpoint). با پشتیبانی ADSL2+. با عملکرد SPI. با فایروال. تعداد پورت های سوئیچ 4 عدد است. رابط اترنت است. اجرا - خارجی. تعداد تونل های VPN پشتیبانی شده - 100. با روتر داخلی. با پشتیبانی از SNMP با پشتیبانی Dynamic DNS. با رابط وب. دارای سوئیچ داخلی. نوع مودم - ADSL. وزن: 180 گرم ابعاد 110x160x35 میلی متر.

خرید V فروشگاه آنلاین Oldi.ru

بررسی ویدیوییعکس

2261 روبل

مودم D-link DSL-2640U

پشتیبانی از SNMP پشتیبانی از ADSL2+ SPI. اجرا - خارجی. دیواره آتش. منطقه غیرنظامی (DMZ). نوع مودم - ADSL. پشتیبانی از تونل های VPN (VPN Endpoint). پشتیبانی VPN (گذر از VPN). رابط - اترنت. سرور DHCP. NAT رابط وب. مسیریابی استاتیک سوئیچ داخلی. پشتیبانی از DNS پویا روتر داخلی. با تعداد پورت سوئیچ 4. با وزن: 327 گرم.

V فروشگاه آنلاین price-com.ru

بررسی ویدیوییعکس

1890 روبل

TP-Link TP-LINK TD-W8968

نوع مودم - ADSL. با رابط وب. با سرور DHCP با پشتیبانی Dynamic DNS. با پشتیبانی از Telnet. با منطقه غیرنظامی (DMZ). با روتر داخلی با عملکرد SPI. با فایروال. با پشتیبانی NAT با مسیریابی استاتیک. رابط - اترنت. اجرا - خارجی. با پشتیبانی از SNMP تعداد پورت های سوئیچ 4 عدد است. با پشتیبانی ADSL2+. با پشتیبانی VPN (گذر از VPN). دارای سوئیچ داخلی. با عمق: 130 میلی متر. با عرض: 195 میلی متر. با ارتفاع: 36 میلی متر.

V فروشگاه آنلاین TopComputer.RU

امکان وانت

بررسی ویدیوییعکس

1590 روبل

مودم xDSL TP-LINK TD-W8961N

منطقه غیرنظامی (DMZ). سوئیچ داخلی. SPI. NAT اجرا - خارجی. پشتیبانی از ADSL2+ پشتیبانی از شبکه راه دور رابط - اترنت. دیواره آتش. پشتیبانی از SNMP پشتیبانی از DNS پویا سرور DHCP. رابط وب. با تعداد پورت سوئیچ 4. نوع مودم - ADSL. مسیریابی استاتیک روتر داخلی. عمق: 130 میلی متر عرض: 195 میلی متر. ارتفاع: 35 میلی متر.

V فروشگاه آنلاین XcomShop

امکان وانت

بررسی ویدیوییعکس

2075 روبل

مودم ADSL Upvel UR-203AWP

اجرا - خارجی. با پشتیبانی ADSL2+. با پشتیبانی از SNMP رابط - اترنت. نوع مودم - ADSL. با رابط وب. با مسیریابی استاتیک. با عملکرد SPI. با فایروال. با پشتیبانی از Telnet با روتر داخلی تعداد پورت های سوئیچ 3 است. با منطقه غیرنظامی (DMZ). با پشتیبانی NAT با سرور DHCP با پشتیبانی VPN (گذر از VPN). دارای سوئیچ داخلی. با پشتیبانی Dynamic DNS. با عرض: 175 میلی متر. با عمق: 115 میلی متر. با ارتفاع: 30 میلی متر. با وزن: 280 گرم

V فروشگاه آنلاین TopComputer.RU

امکان وانت

عکس

1790 روبل

مودم xDSL TP-LINK TD-W8960N

منطقه غیرنظامی (DMZ). سرور DHCP. پشتیبانی VPN (گذر از VPN). پشتیبانی از DNS پویا سوئیچ داخلی. پشتیبانی از SNMP SPI. دیواره آتش. NAT رابط - اترنت. پورت کنسول رابط وب. نوع مودم - ADSL. با 10 تونل VPN پشتیبانی شده. اجرا - خارجی. پشتیبانی از تونل های VPN (VPN Endpoint). پشتیبانی از ADSL2+ مسیریابی استاتیک روتر داخلی. با تعداد پورت سوئیچ 4. با عمق: 140 میلی متر. با ارتفاع: 28 میلی متر. با عرض: 200 میلی متر.

در مورد بخش نرم افزاری و سخت افزاری سیستم امنیت اطلاعات، باید تشخیص داد که مؤثرترین راه برای محافظت از اشیاء شبکه محلی (بخش شبکه) در برابر تأثیرات شبکه های باز (به عنوان مثال، اینترنت) شامل قرار دادن یک عنصر خاص است که نظارت می کند. و بسته های شبکه را که از آن عبور می کنند مطابق با قوانین داده شده فیلتر می کند. این عنصر نامیده می شود فایروال (دیوار آتش)یا فایروال، فایروال.

فایروال، فایروال، فایروال، فایروال- با نویسه گردانی اصطلاح انگلیسی فایروال تشکیل شده است.

فایروال (آلمانی: Brandmauer)- اصطلاحی که از زبان آلمانی به عاریت گرفته شده است، که مشابه "دیوار آتش" انگلیسی به معنای اصلی آن است (دیواری که ساختمان های مجاور را جدا می کند و از گسترش آتش محافظت می کند).

شبکه/فایروال (فایروال)- مجموعه‌ای از سخت‌افزار یا نرم‌افزار که بسته‌های شبکه‌ای را که از آن عبور می‌کنند با استفاده از پروتکل‌های مختلف مطابق با قوانین مشخص شده نظارت و فیلتر می‌کنند.

وظیفه اصلی یک فایروال محافظت از شبکه های کامپیوتری و/یا گره های فردی از دسترسی غیرمجاز است. گاهی اوقات فایروال نامیده می شود فیلترها، از آنجایی که وظیفه اصلی آنها عبور نکردن (فیلتر) بسته هایی است که معیارهای تعریف شده در پیکربندی را ندارند.

به منظور ایمن سازی موثر یک شبکه، یک فایروال تمام داده های جریان یافته از طریق آن را نظارت و مدیریت می کند. برای اتخاذ تصمیمات کنترلی برای سرویس‌های TCP/IP (یعنی تلاش‌های اتصال به جلو، مسدود کردن یا ثبت‌نام)، فایروال باید اطلاعات دریافتی از تمام لایه‌های ارتباطی و سایر برنامه‌ها را دریافت، ذخیره، انتخاب و پردازش کند.

فایروال تمام ترافیک را از طریق خود عبور می دهد و برای هر بسته عبوری تصمیم می گیرد: به آن اجازه عبور داده شود یا نه. برای اینکه فایروال بتواند این عملیات را انجام دهد، باید مجموعه ای از قوانین فیلتر را تعریف کند. تصمیم گیری در مورد استفاده از فایروال برای فیلتر کردن بسته های داده مرتبط با پروتکل ها و آدرس های خاص بستگی به سیاست امنیتی اتخاذ شده توسط شبکه تحت محافظت دارد. در اصل، فایروال مجموعه ای از اجزایی است که برای پیاده سازی انتخاب شده پیکربندی شده اند سیاست های امنیتی. خط مشی امنیت شبکه هر سازمان باید شامل دو جزء باشد: یک خط مشی برای دسترسی به خدمات شبکه و یک خط مشی برای پیاده سازی فایروال ها.

با این حال، بررسی صرف بسته ها به صورت جداگانه کافی نیست. اطلاعات وضعیت اتصال به‌دست‌آمده از بازرسی اتصال گذشته و سایر برنامه‌های کاربردی، عامل اصلی تصمیم‌گیری کنترل هنگام تلاش برای ایجاد یک اتصال جدید است. هر دو حالت اتصال (مشتق شده از جریان داده های گذشته) و وضعیت برنامه (برگرفته از سایر برنامه ها) را می توان برای تصمیم گیری در نظر گرفت.

بنابراین، تصمیمات مدیریتی مستلزم دسترسی، تجزیه و تحلیل و استفاده از فایروال از عوامل زیر است:

  • اطلاعات اتصال - اطلاعات هر هفت لایه (مدل های OSI) در بسته.
  • تاریخچه اتصال - اطلاعات دریافت شده از اتصالات قبلی؛
  • وضعیت سطح برنامه - اطلاعات وضعیت اتصال دریافت شده از سایر برنامه ها.
  • دستکاری اطلاعات - محاسبه عبارات مختلف بر اساس همه عوامل فوق.
انواع فایروال ها

بسته به ویژگی های زیر انواع مختلفی از فایروال وجود دارد:

  • آیا سپر ارتباط بین یک گره و یک شبکه یا بین دو یا چند شبکه مختلف را فراهم می کند.
  • آیا کنترل جریان داده در لایه شبکه یا سطوح بالاتر مدل OSI انجام می شود.
  • آیا وضعیت اتصالات فعال نظارت می شود یا خیر.

بسته به پوشش جریان های داده کنترل شده، فایروال ها به موارد زیر تقسیم می شوند:

  • دیوار شبکه سنتی (یا فایروال).- یک برنامه (یا بخشی جدایی ناپذیر از سیستم عامل) در یک دروازه (دستگاهی که ترافیک بین شبکه ها را منتقل می کند) یا یک راه حل سخت افزاری که جریان داده های ورودی و خروجی را بین شبکه های متصل کنترل می کند (اشیاء شبکه توزیع شده).
  • فایروال شخصی- برنامه ای نصب شده بر روی رایانه کاربر و طراحی شده برای محافظت از این رایانه از دسترسی غیرمجاز.

بسته به سطح OSI که در آن کنترل دسترسی رخ می دهد، فایروال ها می توانند در موارد زیر عمل کنند:

  • سطح شبکههنگامی که فیلتر بر اساس آدرس فرستنده و گیرنده بسته ها، شماره پورت لایه انتقال مدل OSI و قوانین استاتیک مشخص شده توسط مدیر انجام می شود.
  • سطح جلسه(همچنین به عنوان شناخته شده است دولتی)، هنگامی که جلسات بین برنامه ها نظارت می شود و بسته هایی که مشخصات TCP/IP را نقض می کنند ارسال نمی شوند، اغلب در عملیات مخرب استفاده می شود - اسکن منابع، هک از طریق اجرای نادرست TCP/IP، اتصالات قطع شده/آهسته، تزریق داده.
  • سطح برنامه(یا سطح برنامه)، زمانی که فیلتر بر اساس تجزیه و تحلیل داده های برنامه ارسال شده در بسته انجام می شود. این نوع صفحه نمایش ها به شما امکان می دهند بر اساس سیاست ها و تنظیمات، انتقال اطلاعات ناخواسته و بالقوه مضر را مسدود کنید.

فیلتر کردن در سطح شبکه

فیلتر کردن بسته های ورودی و خروجی بر اساس اطلاعات مندرج در فیلدهای زیر هدر TCP و IP بسته ها انجام می شود: آدرس IP فرستنده. آدرس IP گیرنده؛ پورت فرستنده؛ پورت گیرنده

فیلتر کردن را می توان به روش های مختلفی برای مسدود کردن اتصالات به اجرا گذاشت کامپیوترهای خاصیا پورت ها به عنوان مثال، می توانید اتصالاتی را که از آنجا می آیند را مسدود کنید آدرس های خاصآن دسته از کامپیوترها و شبکه هایی که غیرقابل اعتماد در نظر گرفته می شوند.

  • هزینه نسبتا کم؛
  • انعطاف پذیری در تعریف قوانین فیلترینگ؛
  • تاخیر جزئی در عبور بسته ها.

ایرادات:

  • بسته های تکه تکه را جمع آوری نمی کند.
  • هیچ راهی برای ردیابی روابط (اتصالات) بین بسته ها وجود ندارد.

فیلتر در سطح جلسه

بسته به نظارت بر اتصالات فعال، فایروال ها می توانند:

  • بی تابعیت(فیلترسازی ساده)، که اتصالات فعلی را کنترل نمی کند (به عنوان مثال، TCP)، اما جریان داده را صرفاً بر اساس قوانین استاتیک فیلتر می کند.
  • بازرسی بسته حالت دار (SPI)(فیلتر کردن متن آگاه)، نظارت بر اتصالات جاری و ارسال تنها بسته هایی که منطق و الگوریتم های پروتکل ها و برنامه های مربوطه را برآورده می کنند.

فایروال‌های دارای SPI این امکان را فراهم می‌کنند که به طور مؤثرتری با انواع مختلف حملات DoS و آسیب‌پذیری‌های برخی از پروتکل‌های شبکه مبارزه کنند. علاوه بر این، آنها عملکرد پروتکل‌هایی مانند H.323، SIP، FTP و غیره را تضمین می‌کنند که از طرح‌های پیچیده انتقال داده بین گیرندگان استفاده می‌کنند، توصیف آنها با قوانین ثابت دشوار است و اغلب با فایروال‌های استاندارد و بدون حالت سازگار نیست.

مزایای چنین فیلتراسیون عبارتند از:

  • تحلیل محتوای بسته؛
  • هیچ اطلاعاتی در مورد عملکرد پروتکل های لایه 7 مورد نیاز نیست.

ایرادات:

  • تجزیه و تحلیل داده های سطح برنامه دشوار است (احتمالاً با استفاده از ALG - Application level gateway).

دروازه سطح برنامه، ALG (دروازه سطح برنامه)- جزء یک روتر NAT که برخی از پروتکل های کاربردی را درک می کند و هنگامی که بسته های این پروتکل از آن عبور می کنند، آنها را به گونه ای تغییر می دهد که کاربران پشت NAT بتوانند از پروتکل استفاده کنند.

سرویس ALG از پروتکل های سطح برنامه (مانند SIP، H.323، FTP و غیره) پشتیبانی می کند که ترجمه آدرس شبکه برای آنها مجاز نیست. این سرویسنوع برنامه را در بسته هایی که از رابط شبکه داخلی می آیند تعیین می کند و بر این اساس ترجمه آدرس/پورت را برای آنها از طریق رابط خارجی انجام می دهد.

تکنولوژی SPI(Stateful Packet Inspection) یا فناوری بازرسی بسته با در نظر گرفتن وضعیت پروتکل امروزه روشی پیشرفته برای کنترل ترافیک است. این فناوری به شما امکان می دهد تا بدون نیاز به داده ها تا سطح برنامه کنترل کنید برنامه جداگانهیک واسطه یا پروکسی برای هر پروتکل محافظت شده یا سرویس شبکه.

از لحاظ تاریخی، تکامل فایروال‌ها از فیلترهای بسته نشات می‌گرفت همه منظوره، سپس برنامه های واسطه ای برای پروتکل های فردی ظاهر شدند و در نهایت فناوری بازرسی حالتی توسعه یافت. فن آوری های قبلی فقط یکدیگر را تکمیل می کردند، اما کنترل جامعی بر روی اتصالات ارائه نمی کردند. فیلترهای بسته به اطلاعات اتصال و وضعیت برنامه که برای تصمیم گیری نهایی سیستم امنیتی ضروری است دسترسی ندارند. برنامه‌های میان‌افزار فقط داده‌های سطح برنامه را پردازش می‌کنند که اغلب فرصت‌های مختلفی برای هک کردن سیستم ایجاد می‌کند. معماری بازرسی حالتی منحصر به فرد است زیرا به شما امکان می دهد تمام اطلاعات ممکن را که از ماشین دروازه عبور می کند مدیریت کنید: داده های بسته، داده های مربوط به وضعیت اتصال، داده های مورد نیاز برنامه.

نمونه ای از نحوه عملکرد مکانیسم بازرسی دولتی. فایروال جلسه FTP را با بررسی داده ها در سطح برنامه نظارت می کند. هنگامی که یک کلاینت از سرور درخواست می کند که یک اتصال معکوس را باز کند (فرمان FTP PORT)، فایروال شماره پورت را از آن درخواست استخراج می کند. این لیست آدرس های سرویس گیرنده و سرور و شماره پورت را ذخیره می کند. هنگامی که تلاشی برای ایجاد اتصال FTP-داده شناسایی می شود، فایروال لیست را اسکن می کند و بررسی می کند که آیا اتصال واقعاً پاسخی به درخواست مشتری معتبر است یا خیر. لیست اتصال به صورت پویا نگهداری می شود به طوری که فقط پورت های FTP لازم باز هستند. به محض بسته شدن جلسه، پورت ها مسدود می شوند و سطح بالایی از امنیت را فراهم می کنند.

فیلتر سطح برنامه

به منظور محافظت از تعدادی از آسیب پذیری های ذاتی در فیلتر کردن بسته ها، فایروال ها باید از برنامه های کاربردی برای فیلتر کردن اتصالات به سرویس هایی مانند Telnet، HTTP، FTP استفاده کنند. کاربرد مشابهتماس گرفت سرویس پروکسیو میزبانی که سرویس پروکسی روی آن اجرا می شود یک دروازه در سطح برنامه است. چنین دروازه ای تعامل مستقیم بین یک مشتری مجاز و یک میزبان خارجی را حذف می کند. دروازه تمام بسته های ورودی و خروجی را در لایه برنامه (لایه برنامه - لایه بالایی مدل شبکه) فیلتر می کند و می تواند محتوای داده ها را تجزیه و تحلیل کند، مانند URL موجود در یک پیام HTTP یا یک دستور موجود در یک پیام FTP. گاهی اوقات فیلتر کردن بسته ها بر اساس اطلاعات موجود در خود داده موثرتر است. فیلترهای بسته و فیلترهای سطح پیوند از محتویات جریان اطلاعات هنگام تصمیم گیری در مورد فیلتر استفاده نمی کنند، اما فیلتر در سطح برنامه می تواند این کار را انجام دهد. فیلترهای لایه برنامه می توانند از اطلاعات سربرگ بسته و همچنین محتوای داده و اطلاعات کاربر استفاده کنند. مدیران می توانند از فیلتر سطح برنامه برای کنترل دسترسی بر اساس هویت کاربر و/یا استفاده کنند وظیفه خاصکه کاربر در تلاش برای انجام آن است. در فیلترهای سطح برنامه، می توانید قوانینی را بر اساس دستورات صادر شده توسط برنامه تنظیم کنید. به عنوان مثال، یک مدیر می‌تواند از دانلود فایل‌ها توسط یک کاربر خاص در رایانه‌ای خاص با استفاده از FTP جلوگیری کند یا به کاربر اجازه دهد تا فایل‌ها را از طریق FTP در همان رایانه میزبانی کند.

مقایسه فایروال های سخت افزاری و نرم افزاری

برای مقایسه فایروال ها، آنها را به دو نوع تقسیم می کنیم: اول - سخت افزار و نرم افزار - سخت افزار و دوم - نرم افزار.

فایروال های سخت افزاری و نرم افزاری شامل دستگاه هایی هستند که در لبه شبکه نصب شده اند. فایروال های نرم افزاری آنهایی هستند که روی هاست های پایانی نصب می شوند.

جهت های اصلی ذاتی در هر دو نوع اول و دوم:

  • تضمین امنیت ترافیک ورودی و خروجی؛
  • افزایش قابل توجه امنیت شبکه و کاهش خطر برای میزبان های زیرشبکه هنگام فیلتر کردن سرویس های محافظت نشده شناخته شده.
  • توانایی کنترل دسترسی به سیستم های شبکه؛
  • اطلاع رسانی رویداد از طریق آلارم های مناسب که در صورت وقوع هر گونه فعالیت مشکوک (تلاش یا حملات کاوشگر) فعال می شوند.
  • ارائه یک راه حل امنیتی کم هزینه که پیاده سازی و مدیریت آن آسان است.

فایروال‌های سخت‌افزاری و نرم‌افزاری علاوه بر این از قابلیت‌هایی پشتیبانی می‌کنند که اجازه می‌دهد:

  • جلوگیری از هر گونه سرویس آسیب پذیر از به دست آوردن اطلاعات یا تزریق اطلاعات به زیرشبکه محافظت شده؛
  • ثبت تلاش های دسترسی و ارائه آمار لازم در مورد استفاده از اینترنت؛
  • وسایلی را برای تنظیم ترتیب دسترسی به شبکه فراهم می کند.
  • ارائه مدیریت متمرکز ترافیک

فایروال های نرم افزاری، علاوه بر حوزه های اصلی، اجازه می دهند:

  • کنترل راه اندازی برنامه ها در میزبانی که در آن نصب شده اند.
  • محافظت از جسم از نفوذ از طریق "دریچه" (درهای پشتی)؛
  • محافظت در برابر تهدیدات داخلی

فایروال یک دستگاه متقارن نیست. او بین مفاهیم "بیرون" و "درون" تمایز قائل می شود. فایروال ناحیه داخلی را از کنترل نشده و بالقوه خصمانه محافظت می کند محیط خارجی. در عین حال، فایروال به شما امکان می دهد دسترسی به اشیاء را محدود کنید شبکه عمومیاز سوی سوژه های شبکه حفاظت شده. اگر اقتدار نقض شود، کار موضوع دسترسی مسدود می شود و همه اطلاعات لازمدر مجله ثبت می شود.

فایروال ها همچنین می توانند در داخل شبکه های امن شرکتی استفاده شوند. اگر شبکه محلی دارای زیرشبکه هایی با درجات مختلف محرمانه بودن اطلاعات است، بهتر است چنین قطعاتی را با فایروال ها جدا کنید. در این مورد، صفحه نمایش داخلی نامیده می شود.

با داشتن طیف گسترده ای از ابزارهای نرم افزاری حرفه ای برای محافظت در برابر انواع مختلف حملات به یک شبکه محلی از خارج (یعنی از اینترنت)، همه آنها یک اشکال جدی دارند. هزینه بالا. و اگر ما در مورد شبکه های کوچک کلاس SOHO صحبت می کنیم، پس خرید بسته های جامد یک لوکس غیرقابل قیمت است. در عین حال، شایان ذکر است که برای شبکه های کوچک، قابلیت های چنین بسته هایی حتی ممکن است اضافی باشد. بنابراین، برای محافظت از شبکه های کوچک کلاس SOHO، راه حل های سخت افزاری ارزان قیمت - فایروال ها - به طور گسترده مورد استفاده قرار گرفته اند. با طراحی، فایروال ها می توانند به عنوان یک راه حل جداگانه پیاده سازی شوند یا به ویژه بخشی جدایی ناپذیر از روترهای کلاس SOHO باشند. روترهای بی سیم، که به شما امکان می دهد بخش های سیمی و بی سیم شبکه محلی را بر اساس آنها ترکیب کنید.
در این مقاله به کارکرد اصلی فایروال‌های سخت‌افزاری مدرن که در روترهای کلاس SOHO تعبیه شده‌اند و برای محافظت از شبکه‌های محلی کوچک استفاده می‌شوند، نگاه می‌کنیم.

فایروال ها به عنوان بخشی از روترها

از آنجایی که روترها دستگاه های شبکه ای هستند که در مرز بین شبکه های داخلی و خارجی نصب می شوند و عملکرد یک دروازه شبکه را انجام می دهند، از نظر طراحی باید حداقل دو پورت داشته باشند. LAN به یکی از این پورت ها متصل می شود و این پورت تبدیل به پورت LAN داخلی می شود. یک شبکه خارجی (اینترنت) به پورت دوم متصل می شود و آن را به یک پورت WAN خارجی تبدیل می کند. به عنوان یک قاعده، روترهای کلاس SOHO دارای یک پورت WAN و چندین (از یک تا چهار) پورت LAN هستند که در یک سوئیچ ترکیب می شوند. در اغلب موارد، پورت WAN سوئیچ دارای یک رابط 10/100Base-TX است و می توان یک مودم xDSL با رابط مناسب یا یک کابل شبکه اترنت به آن متصل کرد.

علاوه بر این، گسترده است شبکه های بی سیممنجر به ظهور یک کلاس کامل از روترهای به اصطلاح بی سیم شد. این دستگاه ها، علاوه بر یک روتر کلاسیک با پورت های WAN و LAN، حاوی یک نقطه دسترسی بی سیم یکپارچه هستند که از پروتکل IEEE 802.11a/b/g پشتیبانی می کند. بخش بی سیمشبکه ای که یک اکسس پوینت به شما امکان سازماندهی آن را می دهد، از دیدگاه روتر، به شبکه داخلی اشاره دارد و از این نظر، کامپیوترهایی که به صورت بی سیم به روتر متصل می شوند، تفاوتی با کامپیوترهای متصل به پورت LAN ندارند.

هر روتر، به عنوان یک دستگاه لایه شبکه، آدرس IP خاص خود را دارد. علاوه بر روتر، پورت WAN نیز آدرس IP مخصوص به خود را دارد.

رایانه های متصل به پورت های LAN روتر باید یک آدرس IP در همان زیرشبکه خود روتر داشته باشند. علاوه بر این، در تنظیمات شبکه این رایانه های شخصی، باید آدرس دروازه پیش فرض را مطابق با آدرس IP روتر تنظیم کنید. در نهایت، دستگاه متصل به پورت WAN از شبکه خارجی باید یک آدرس IP از همان زیرشبکه پورت WAN روتر داشته باشد.

از آنجایی که روتر به عنوان یک دروازه بین شبکه محلی و اینترنت عمل می کند، منطقی است که انتظار داشته باشیم عملکردهایی مانند محافظت از شبکه داخلی از دسترسی غیرمجاز را داشته باشیم. بنابراین، تقریباً تمام روترهای مدرن کلاس SOHO دارای فایروال های سخت افزاری داخلی هستند که به آنها فایروال نیز می گویند.

ویژگی های فایروال

هدف اصلی هر فایروال در نهایت به تضمین امنیت شبکه داخلی می رسد. برای حل این مشکل، فایروال ها باید بتوانند شبکه محافظت شده را بپوشانند و همه انواع شناخته شده را مسدود کنند حملات هکرهاجلوگیری از نشت اطلاعات از شبکه داخلی، کنترل برنامه های کاربردی دسترسی به شبکه خارجی.

به منظور اجرای این توابع، فایروال ها تمام ترافیک بین شبکه های خارجی و داخلی را برای انطباق با معیارها یا قوانین تعیین شده ای که شرایط عبور ترافیک از یک شبکه به شبکه دیگر را تعیین می کند، تجزیه و تحلیل می کنند. اگر ترافیک با معیارهای مشخص شده مطابقت داشته باشد، فایروال به آن اجازه عبور می دهد. در غیر این صورت، یعنی اگر معیارهای تعیین شده رعایت نشود، ترافیک توسط فایروال مسدود می شود. فایروال ها ترافیک ورودی و خروجی را فیلتر می کنند و همچنین به شما امکان می دهند دسترسی به منابع یا برنامه های خاص شبکه را کنترل کنید. آنها می توانند تمام تلاش های دسترسی غیرمجاز به منابع شبکه محلی را ضبط کنند و در مورد تلاش های نفوذ هشدار دهند.

از نظر هدف، فایروال ها بیش از همه یادآور یک ایست بازرسی (ایست بازرسی) یک مرکز حفاظت شده هستند، جایی که مدارک همه افرادی که وارد قلمرو تأسیسات می شوند و هرکسی که از آن خارج می شود بررسی می شود. اگر گذرنامه درست باشد، دسترسی به قلمرو مجاز است. فایروال ها دقیقاً به همین صورت عمل می کنند، تنها نقش افرادی که از نقطه بازرسی عبور می کنند بسته های شبکه است و پاس این است که هدر این بسته ها با مجموعه ای از قوانین از پیش تعریف شده مطابقت داشته باشد.

آیا واقعاً فایروال ها تا این حد قابل اعتماد هستند؟

آیا می توان گفت که فایروال امنیت 100 درصدی را برای شبکه یا رایانه شخصی کاربر فراهم می کند؟ قطعا نه. فقط به این دلیل که هیچ سیستمی 100٪ تضمین امنیت نمی دهد. فایروال باید به عنوان ابزاری در نظر گرفته شود که اگر به درستی پیکربندی شود، می تواند به طور قابل توجهی وظیفه مهاجم را برای نفوذ به رایانه شخصی کاربر پیچیده کند. بگذارید تأکید کنیم: این فقط کارها را پیچیده می کند، اما به هیچ وجه ایمنی مطلق را تضمین نمی کند. به هر حال، اگر ما در مورد محافظت از یک شبکه محلی صحبت نمی کنیم، بلکه در مورد محافظت از یک رایانه شخصی با دسترسی به اینترنت صحبت می کنیم، پس از آن اطمینان حاصل کنیم. امنیت شخصیفایروال ICF (اینترنت فایروال اتصال) در اتاق عمل تعبیه شده است سیستم ویندوز XP. بنابراین، در آینده فقط در مورد فایروال های سخت افزاری شرکت ها با هدف محافظت از شبکه های کوچک صحبت خواهیم کرد.

اگر فایروال نصب شده در ورودی شبکه محلی به طور کامل فعال شود (به عنوان یک قاعده، این با تنظیمات پیش فرض مطابقت دارد)، پس شبکه ای که از آن محافظت می کند از بیرون کاملا غیر قابل نفوذ و غیرقابل دسترسی است. با این حال، چنین نفوذ ناپذیری کامل از شبکه داخلی نیز جنبه منفی خود را دارد. واقعیت این است که در این حالت استفاده از خدمات اینترنتی (به عنوان مثال، ICQ و برنامه های مشابه) نصب شده روی رایانه شخصی غیرممکن می شود. بنابراین، وظیفه راه‌اندازی فایروال، ایجاد پنجره‌هایی در دیوار خالی اولیه است که فایروال برای مهاجم نشان می‌دهد و به برنامه‌های کاربر اجازه می‌دهد به درخواست‌های خارج پاسخ دهند و در نهایت تعامل کنترل‌شده بین شبکه داخلی و دنیای بیرون را پیاده‌سازی کنند. با این حال، هر چه بیشتر چنین پنجره هایی در چنین دیواری ظاهر شوند، خود شبکه آسیب پذیرتر می شود. بنابراین اجازه دهید یک بار دیگر تاکید کنیم: هیچ فایروال نمی تواند امنیت مطلق شبکه محلی را که محافظت می کند تضمین کند.

طبقه بندی فایروال ها

قابلیت ها و هوشمندی فایروال ها به لایه ای از مدل مرجع OSI که در آن کار می کنند بستگی دارد. هر چه سطح OSI که فایروال بر روی آن ساخته شده است بالاتر باشد، سطح حفاظت بالاتری را فراهم می کند.

این را به شما یادآوری کنیم مدل OSI (سیستم باز Interconnection) شامل هفت لایه معماری شبکه است. اولین، پایین ترین، است لایه فیزیکی. پس از آن پیوند داده، شبکه، حمل و نقل، جلسه، ارائه، و لایه های برنامه یا برنامه وجود دارد. به منظور ارائه فیلتر ترافیک، یک فایروال باید حداقل در لایه سوم مدل OSI، یعنی در لایه شبکه، جایی که بسته ها بر اساس ترجمه آدرس های MAC به آدرس های شبکه مسیریابی می شوند، کار کند. از دیدگاه پروتکل TCP/IP، این لایه با لایه IP (پروتکل اینترنت) مطابقت دارد. با دریافت اطلاعات لایه شبکه، فایروال ها می توانند آدرس مبدا و مقصد یک بسته را تعیین کنند و بررسی کنند که آیا ترافیک بین این مقاصد مجاز است یا خیر. با این حال، اطلاعات لایه شبکه کافی برای تجزیه و تحلیل محتویات بسته وجود ندارد. فایروال‌هایی که در لایه انتقال مدل OSI کار می‌کنند اطلاعات کمی بیشتر در مورد بسته‌ها دریافت می‌کنند و از این نظر، می‌توانند طرح‌های حفاظتی شبکه هوشمندتری را ارائه دهند. در مورد فایروال هایی که در سطح برنامه کار می کنند، آنها به اطلاعات کامل در مورد بسته های شبکه دسترسی دارند، به این معنی که چنین فایروال هایی مطمئن ترین محافظت از شبکه را ارائه می دهند.

بسته به سطح مدل OSI که فایروال ها بر روی آن کار می کنند، از نظر تاریخی طبقه بندی زیر از این دستگاه ها ایجاد شده است:

  • فیلتر بسته؛
  • دروازه سطح جلسه (دروازه سطح مدار)؛
  • دروازه در سطح برنامه؛
  • بازرسی بسته دولتی (SPI).

توجه داشته باشید که این طبقه بندیتنها علاقه تاریخی دارد، زیرا تمام فایروال های مدرن به دسته پیشرفته ترین (از نظر حفاظت شبکه) فایروال های SPI تعلق دارند.

فیلترهای دسته ای

فایروال های نوع فیلتر بسته ابتدایی ترین (کمترین هوشمندترین) هستند. این فایروال ها در لایه شبکه مدل OSI یا در لایه IP پشته پروتکل TCP/IP کار می کنند. چنین فایروال هایی در هر روتر مورد نیاز است، زیرا هر روتر حداقل در لایه سوم مدل OSI کار می کند.

وظیفه فیلترهای بسته فیلتر کردن بسته ها بر اساس اطلاعات مربوط به آدرس IP مبدا یا مقصد و شماره پورت است.

در فایروال‌های نوع فیلتر بسته، هر بسته برای تعیین اینکه آیا معیارهای انتقال را برآورده می‌کند یا اینکه انتقال قبل از انتقال مسدود شده است، تجزیه و تحلیل می‌شود. بسته به بسته و معیارهای انتقال تولید شده، فایروال می تواند بسته را ارسال کند، آن را رد کند یا یک اعلان به آغازگر انتقال ارسال کند.

پیاده سازی فیلترهای بسته آسان است و عملاً هیچ تأثیری بر سرعت مسیریابی ندارند.

دروازه های جلسه

دروازه های لایه جلسه فایروال هایی هستند که در لایه نشست مدل OSI یا در لایه TCP (پروتکل کنترل حمل و نقل) پشته پروتکل TCP/IP کار می کنند. این فایروال ها روند ایجاد یک اتصال TCP (سازمان جلسات تبادل داده بین ماشین های پایانی) را نظارت می کنند و به شما امکان می دهند تعیین کنید که آیا یک جلسه ارتباطی مشروع است یا خیر. داده هایی که از طریق یک دروازه سطح جلسه به یک رایانه از راه دور در یک شبکه خارجی ارسال می شوند، حاوی اطلاعاتی در مورد منبع انتقال نیستند، یعنی همه چیز به نظر می رسد که داده ها توسط خود فایروال ارسال می شود و نه توسط رایانه ای در شبکه داخلی (محافظت شده). تمام فایروال های مبتنی بر پروتکل NAT دروازه های لایه جلسه هستند (پروتکل NAT در زیر توضیح داده خواهد شد).

دروازه های سطح جلسه نیز تأثیر قابل توجهی بر سرعت مسیریابی ندارند. در عین حال، این دروازه ها قادر به فیلتر کردن بسته های جداگانه نیستند.

درگاه های کاربردی

دروازه های لایه برنامه یا سرورهای پروکسی در لایه کاربردی مدل OSI کار می کنند. لایه برنامه مسئول دسترسی برنامه به شبکه است. وظایف در این سطح شامل انتقال فایل، تبادل است توسط ایمیلو مدیریت شبکه با دریافت اطلاعات در مورد بسته ها در سطح برنامه، دروازه های سطح برنامه می توانند مسدود کردن دسترسی به خدمات خاص را اجرا کنند. به عنوان مثال، اگر دروازه سطح برنامه به عنوان یک پروکسی وب پیکربندی شود، هرگونه ترافیک مربوط به پروتکل های Telnet، FTP، Gopher مسدود می شود. از آنجا که این فایروال ها بسته ها را در لایه برنامه تجزیه و تحلیل می کنند، می توانند دستورات خاصی مانند http:post، get و غیره را فیلتر کنند. این ویژگی برای فیلترهای بسته یا دروازه‌های لایه نشست در دسترس نیست. دروازه‌های سطح برنامه همچنین می‌توانند برای ثبت فعالیت تک تک کاربران و ایجاد جلسات ارتباطی بین آنها استفاده شوند. این فایروال ها راه قوی تری برای محافظت از شبکه ها نسبت به دروازه های لایه نشست و فیلترهای بسته ارائه می دهند.

فایروال های SPI

آخرین نوع فایروال، Stateful Packet Inspection (SPI)، مزایای فیلترهای بسته، دروازه های لایه جلسه و دروازه های لایه برنامه را ترکیب می کند. یعنی در واقع ما در مورد فایروال های چند سطحی صحبت می کنیم که به طور همزمان در سطوح شبکه، جلسه و برنامه کار می کنند.

فایروال های SPI بسته ها را در لایه شبکه فیلتر می کنند، مشروعیت یک جلسه ارتباطی را بر اساس داده های لایه جلسه تعیین می کنند و محتویات بسته ها را بر اساس داده های لایه کاربردی تجزیه و تحلیل می کنند.

این فایروال ها مطمئن ترین راه را برای محافظت از شبکه ها ارائه می دهند و در حال حاضر استاندارد واقعی هستند.

راه اندازی فایروال ها

متدولوژی و قابلیت های پیکربندی فایروال ها به این بستگی دارد مدل خاص. متأسفانه، هیچ قانون پیکربندی یکنواختی وجود ندارد، حتی یک رابط یکنواخت. ما فقط می توانیم در مورد برخی از قوانین کلی صحبت کنیم که باید رعایت شوند. در واقع، قانون اساسی بسیار ساده است: لازم است هر چیزی را که برای عملکرد عادی شبکه لازم نیست ممنوع کنید.

اغلب، توانایی پیکربندی فایروال ها به فعال کردن برخی از قوانین از پیش تعریف شده و ایجاد قوانین ایستا در قالب یک جدول خلاصه می شود.

بیایید به عنوان مثال گزینه های پیکربندی فایروال موجود در روتر Gigabyte GN-B49G را در نظر بگیریم. این روتر دارای تعدادی قوانین از پیش تعریف شده است که به شما امکان می دهد سطوح مختلف امنیت شبکه داخلی را پیاده سازی کنید. این قوانین شامل موارد زیر است:

  • دسترسی به پیکربندی و مدیریت روتر از سمت WAN ممنوع است. فعال کردن این عملکرد دسترسی به تنظیمات روتر از شبکه خارجی را ممنوع می کند.
  • دسترسی از Global-IP به Private-IP در داخل LAN ممنوع است. این عملکرد به شما امکان می دهد دسترسی در شبکه محلی را از آدرس های IP جهانی (در صورت وجود) به آدرس های IP رزرو شده برای استفاده خصوصی مسدود کنید.
  • از اشتراک گذاری فایل و چاپگر از خارج از شبکه روتر جلوگیری کنید. این عملکرد از دسترسی مشترک به چاپگرها و فایل های موجود در شبکه داخلی از خارج جلوگیری می کند.
  • وجود روتر از سمت WAN قابل تشخیص نیست. این عملکرد روتر را از شبکه خارجی نامرئی می کند.
  • از حملات نوع Denial of Service (DoS) جلوگیری می شود. هنگامی که این عملکرد فعال می شود، محافظت در برابر حملات DoS (Denial of Service) اجرا می شود. حملات DoS نوعی حمله شبکه است که شامل ارسال درخواست‌های متعدد به سرور با درخواست سرویس ارائه شده توسط سیستم است. سرور منابع خود را صرف ایجاد یک اتصال و سرویس دهی به آن می کند و با توجه به جریان خاصی از درخواست ها، نمی تواند با آنها کنار بیاید. حفاظت در برابر حملات از این نوع مبتنی بر تجزیه و تحلیل منابع ترافیکی است که در مقایسه با ترافیک عادی بیش از حد است و انتقال آن را ممنوع می کند.

همانطور که قبلاً اشاره کردیم، بسیاری از فایروال ها قوانین از پیش تعریف شده ای دارند که اساساً همان قوانین ذکر شده در بالا هستند، اما ممکن است نام های متفاوتی داشته باشند.

راه دیگر برای پیکربندی فایروال ایجاد قوانین ایستا است که به شما امکان می دهد نه تنها از شبکه از بیرون محافظت کنید، بلکه کاربران شبکه محلی را از دسترسی به شبکه خارجی نیز محدود کنید. امکانات ایجاد قوانین کاملاً منعطف است و به شما امکان می دهد تقریباً هر موقعیتی را اجرا کنید. برای ایجاد یک قانون، آدرس IP مبدا (یا محدوده آدرس ها)، پورت های مبدا، آدرس ها و پورت های IP مقصد، نوع پروتکل، جهت انتقال بسته (از شبکه داخلی به شبکه خارجی یا بالعکس) و زمانی که بسته با ویژگی های مشخص شده شناسایی می شود، اقدامی انجام شود (بسته را رها یا رد کنید). به عنوان مثال، اگر می خواهید کاربران شبکه داخلی (محدوده آدرس IP: 192.168.1.1-192.168.1.100) را از دسترسی به سرور FTP (پورت 21) واقع در آدرس IP خارجی 64.233.183.104 منع کنید، قانون می تواند به صورت زیر فرموله شده است:

  • جهت انتقال بسته: LAN-به-WAN.
  • آدرس های IP منبع: 192.168.1.1-192.168.1.100;
  • پورت منبع: 1-65535;
  • بندر مقصد: 21;
  • پروتکل: TCP;
  • عمل: رها کردن

پیکربندی استاتیک یک قانون فایروال برای مثالی که در بالا مورد بحث قرار گرفت در شکل نشان داده شده است. 1.

پروتکل NAT به عنوان بخشی از فایروال

همه روترهای مدرن با فایروال داخلی از پروتکل NAT (ترجمه آدرس شبکه) پشتیبانی می کنند.

پروتکل NAT بخشی از فایروال نیست، اما در عین حال به بهبود امنیت شبکه کمک می کند. وظیفه اصلی پروتکل NAT حل مشکل کمبود آدرس های IP است که با افزایش تعداد رایانه ها بیشتر و فوری تر می شود.

واقعیت این است که در نسخه فعلی پروتکل IPv4، چهار بایت برای تعیین آدرس IP اختصاص داده شده است که امکان تولید بیش از چهار میلیارد آدرس رایانه های شبکه را فراهم می کند. البته، در آن روزها که اینترنت به تازگی در حال ظهور بود، حتی تصور اینکه روزی ممکن است این تعداد آدرس IP کافی نباشد، دشوار بود. به منظور حل نسبی مشکل کمبود آدرس های IP، پروتکل ترجمه آدرس شبکه NAT یک بار پیشنهاد شد.

پروتکل NAT توسط استاندارد RFC 1631 تعریف شده است که نحوه ترجمه آدرس شبکه را مشخص می کند.

در بیشتر موارد، یک دستگاه NAT آدرس های IP را که برای استفاده خصوصی در شبکه های محلی رزرو شده اند، به آدرس های IP عمومی تبدیل می کند.

فضای آدرس خصوصی توسط RFC 1918 اداره می شود. این آدرس ها شامل محدوده IP زیر هستند: 10.0.0.0-10.255.255.255، 172.16.0.0-172.31.255.255، 192.168.0.0-192.25.25.1

طبق RFC 1918، آدرس های IP خصوصی را نمی توان در آن استفاده کرد شبکه جهانی، بنابراین می توانند آزادانه فقط برای اهداف داخلی استفاده شوند.

قبل از اینکه به جزئیات پروتکل NAT بپردازیم، بیایید ببینیم که چگونه یک اتصال شبکه بین دو رایانه شخصی رخ می دهد.

هنگامی که یک رایانه در یک شبکه با رایانه دیگری ارتباط برقرار می کند، یک سوکت باز می شود که با آدرس IP مبدا، پورت مبدأ، آدرس IP مقصد، پورت مقصد و پروتکل شبکه تعیین می شود. قالب بسته IP یک فیلد دو بایتی برای شماره پورت ها فراهم می کند. این به شما امکان می دهد 65535 پورت را تعریف کنید که نقش کانال های ارتباطی منحصر به فرد را ایفا می کنند. از 65535 پورت، 1023 پورت اول برای افراد مشهور رزرو شده است خدمات سرورمانند وب، FTP، Telnet و غیره. همه پورت های دیگر را می توان برای هر هدف دیگری استفاده کرد.

به عنوان مثال، اگر یک کامپیوتر شبکه به یک سرور FTP (پورت 21) دسترسی پیدا کند، پس از باز شدن سوکت، سیستم عامل هر پورت بالاتر از 1023 را به جلسه اختصاص می دهد. برای مثال، می تواند پورت 2153 باشد. سپس بسته IP از آن ارسال می شود. سرور PC به FTP شامل آدرس IP فرستنده، پورت فرستنده (2153)، آدرس IP گیرنده و پورت مقصد (21) خواهد بود. آدرس IP منبع و پورت برای پاسخ سرور به مشتری استفاده خواهد شد. استفاده از پورت های مختلف برای جلسات مختلف شبکه به مشتریان شبکه اجازه می دهد تا به طور همزمان چندین جلسه را با سرورهای مختلف یا با سرویس های یک سرور ایجاد کنند.

حال بیایید به روند ایجاد یک جلسه در هنگام استفاده از روتر NAT در مرز شبکه داخلی و اینترنت نگاه کنیم.

هنگامی که یک کلاینت شبکه داخلی با یک سرور شبکه خارجی ارتباط برقرار می کند، مانند مورد برقراری ارتباط بین دو رایانه شخصی، یک سوکت باز می شود که با آدرس IP مبدا، پورت مبدأ، آدرس IP مقصد، پورت مقصد تعیین می شود. و پروتکل شبکه هنگامی که یک برنامه داده ها را از طریق این سوکت ارسال می کند، آدرس IP منبع و پورت منبع در قسمت گزینه های منبع در بسته درج می شود. فیلدهای گزینه های مقصد شامل آدرس IP سرور و پورت سرور خواهد بود. به عنوان مثال، یک کامپیوتر در شبکه داخلی با آدرس IP 192.168.0.1 می تواند به یک وب سرور WAN با آدرس IP 64.233.188.104 دسترسی داشته باشد. در این حالت، سیستم عامل کلاینت می تواند پورت 1251 (پورت منبع) را به جلسه ایجاد شده اختصاص دهد و پورت مقصد، پورت وب سرویس، یعنی 80 است. سپس ویژگی های زیر در هدر بسته ارسالی نشان داده می شود. (شکل 2):

  • پورت منبع: 1251;
  • آدرس IP گیرنده: 64.233.183.104;
  • بندر مقصد: 80;
  • پروتکل: TCP

دستگاه NAT (روتر) بسته ای که از شبکه داخلی می آید را رهگیری می کند و با استفاده از آدرس IP مقصد، پورت مقصد، آدرس IP خارجی دستگاه NAT، پورت خارجی، نقشه ای از پورت های مبدأ و مقصد بسته را وارد جدول داخلی خود می کند. ، پروتکل شبکه و IP های داخلی - آدرس مشتری و پورت.

فرض کنید در مثالی که در بالا توضیح داده شد، روتر NAT دارای آدرس IP خارجی 195.2.91.103 (آدرس پورت WAN) است و برای جلسه تعیین شده، پورت خارجی دستگاه NAT 3210 است. در این مورد، جدول داخلی برای نگاشت پورت های مبدا و مقصد بسته حاوی اطلاعات زیر:

  • آی پی منبع: 192.168.0.1;
  • پورت منبع: 1251;
  • آدرس IP خارجی

دستگاه های NAT: 195.2.91.103;

  • پورت دستگاه NAT خارجی: 3210;
  • آدرس IP گیرنده: 64.233.183.104;
  • بندر مقصد: 80;
  • پروتکل: TCP

سپس دستگاه NAT بسته را با تبدیل فیلدهای منبع در بسته "پخش" می کند: آدرس IP داخلی و پورت مشتری با آدرس IP و پورت خارجی دستگاه NAT جایگزین می شود. در این مثال، بسته تبدیل شده حاوی اطلاعات زیر خواهد بود:

  • آی پی منبع: 195.2.91.103;
  • پورت منبع: 3210;
  • آدرس IP گیرنده: 64.233.183.104;
  • بندر مقصد: 80;
  • پروتکل: TCP

بسته تبدیل شده از طریق شبکه خارجی ارسال می شود و در نهایت به سرور مشخص شده می رسد.

پس از دریافت بسته، سرور بسته های پاسخ را به آدرس IP خارجی و پورت دستگاه NAT (روتر) ارسال می کند، که آدرس IP و پورت خود را در قسمت های منبع نشان می دهد (شکل 3). در مثال در نظر گرفته شده، بسته پاسخ از سرور حاوی اطلاعات زیر در هدر خواهد بود:

  • پورت منبع: 80;
  • آدرس IP گیرنده: 195.2.91.103;
  • بندر مقصد: 3210;
  • پروتکل: TCP

برنج. 3. اصل عملکرد یک دستگاه NAT هنگام انتقال یک بسته از یک شبکه خارجی به یک شبکه داخلی

دستگاه NAT این بسته ها را از سرور دریافت می کند و محتویات آنها را بر اساس جدول نگاشت پورت خود تجزیه می کند. اگر نگاشت پورتی در جدول یافت شود که آدرس IP مبدأ، پورت مبدأ، پورت مقصد و پروتکل شبکه از بسته ورودی با آدرس IP میزبان راه دور، پورت راه دور و پروتکل شبکه مشخص شده در نگاشت پورت مطابقت داشته باشد. سپس NAT ترجمه معکوس را انجام می دهد: آدرس IP خارجی و پورت خارجی را در قسمت های مقصد بسته با آدرس IP و پورت داخلی مشتری شبکه داخلی جایگزین می کند. بنابراین، بسته ای که برای مثال مورد بحث در بالا به شبکه داخلی منتقل می شود دارای ویژگی های زیر خواهد بود:

  • آی پی منبع: 64.233.183.104;
  • پورت منبع: 80;
  • آدرس IP گیرنده: 192.168.0.1;
  • بندر مقصد: 1251;
  • پروتکل: TCP

با این حال، اگر هیچ تطابقی در جدول نگاشت پورت وجود نداشته باشد، پس بسته دریافتیرد می شود و ارتباط قطع می شود.

به لطف روتر NAT، هر رایانه شخصی در شبکه داخلی قادر است داده ها را با استفاده از آدرس IP خارجی و پورت روتر به شبکه جهانی انتقال دهد. در این حالت، آدرس های IP شبکه داخلی، به عنوان پورت های اختصاص داده شده به جلسات، از شبکه خارجی نامرئی می مانند.

با این حال، یک روتر NAT تنها در صورتی امکان تبادل داده بین رایانه های موجود در شبکه های داخلی و خارجی را می دهد که این تبادل توسط رایانه ای در شبکه داخلی آغاز شود. اگر رایانه ای در شبکه خارجی سعی کند به ابتکار خود به رایانه ای در شبکه داخلی دسترسی پیدا کند، اتصال توسط دستگاه NAT رد می شود. بنابراین پروتکل NAT علاوه بر رفع مشکل کمبود آدرس های IP به ارتقای امنیت شبکه داخلی نیز کمک می کند.

مسائل مربوط به دستگاه های NAT

علیرغم سادگی ظاهری دستگاه های NAT، آنها با مشکلاتی همراه هستند که اغلب سازماندهی تعامل بین رایانه های شبکه را پیچیده می کند و یا حتی از ایجاد آن جلوگیری می کند. به عنوان مثال، اگر شبکه محلی توسط یک دستگاه NAT محافظت می شود، هر کلاینت در شبکه داخلی می تواند با سرور WAN ارتباط برقرار کند، اما نه برعکس. یعنی نمی توانید از یک شبکه خارجی به سروری که در شبکه داخلی پشت دستگاه NAT قرار دارد، اتصال برقرار کنید. اما اگر سرویسی در شبکه داخلی وجود داشته باشد (مثلاً یک FTP یا وب سرور) که کاربران در شبکه خارجی باید به آن دسترسی داشته باشند؟ برای حل این مشکل، روترهای NAT از فناوری های غیرنظامی منطقه و حمل و نقل پورت استفاده می کنند که در ادامه به تفصیل توضیح داده خواهد شد.

مشکل دیگر دستگاه های NAT این است که برخی از برنامه های شبکه آدرس IP و پورت را در بخش داده بسته قرار می دهند. واضح است که دستگاه NAT قادر به انجام چنین ترجمه آدرسی نیست. در نتیجه، اگر یک برنامه شبکه یک آدرس IP یا پورت را در قسمت بارگذاری یک بسته وارد کند، سروری که به آن بسته پاسخ می‌دهد از آدرس IP تودرتو و پورت استفاده می‌کند که هیچ ورودی نگاشت متناظری برای آن در جدول داخلی دستگاه NAT وجود ندارد. . در نتیجه، چنین بسته ای توسط دستگاه NAT دور ریخته می شود و بنابراین برنامه های کاربردی با استفاده از این فناوری در حضور دستگاه های NAT قادر به کار نخواهند بود.

برنامه های شبکه ای وجود دارند که از یک پورت (به عنوان پورت منبع) برای انتقال داده ها استفاده می کنند، اما منتظر پاسخ در پورت دیگری هستند. دستگاه NAT ترافیک خروجی را تجزیه و تحلیل می کند و با پورت منبع مطابقت دارد. با این حال، دستگاه NAT نمی‌داند که پاسخی در پورت دیگری انتظار می‌رود و نمی‌تواند نقشه‌برداری مربوطه را انجام دهد. در نتیجه، بسته‌های پاسخی که به پورتی که نقشه‌ای در جدول داخلی دستگاه NAT ندارد، خطاب می‌شوند.

مشکل دیگر دستگاه های NAT دسترسی های متعدد به یک پورت است. بیایید وضعیتی را در نظر بگیریم که در آن چندین مشتری در یک شبکه محلی، که توسط یک دستگاه NAT از شبکه خارجی جدا شده‌اند، به یک پورت استاندارد دسترسی دارند. به عنوان مثال، این می تواند پورت 80 باشد که برای یک سرویس وب رزرو شده است. از آنجایی که همه مشتریان شبکه داخلی از یک آدرس IP استفاده می کنند، این سوال مطرح می شود: چگونه یک دستگاه NAT می تواند تعیین کند که کدام سرویس گیرنده شبکه داخلی یک درخواست خارجی است؟ برای حل این مشکل، تنها یک کلاینت شبکه داخلی در هر زمان به پورت استاندارد دسترسی دارد.

حمل و نقل پورت استاتیک (نقشه گذاری پورت)

برای اینکه برخی از برنامه‌های کاربردی در حال اجرا بر روی یک سرور در شبکه داخلی (مانند سرور وب یا سرور FTP) از شبکه خارجی قابل دسترسی باشند، دستگاه NAT باید به گونه‌ای پیکربندی شود که پورت‌های استفاده شده توسط برنامه‌های خاص را به آدرس‌های IP نگاشت. آن سرورهای شبکه داخلی. که این برنامه ها روی آن اجرا می شوند. در این مورد، آنها در مورد فناوری تغییر مسیر پورت (Port mapping) صحبت می کنند و به خود سرور شبکه داخلی، سرور مجازی می گویند. در نتیجه هر درخواستی از شبکه خارجی به آدرس IP خارجی دستگاه NAT (روتر) در پورت مشخص شده به طور خودکار به سرور مجازی مشخص شده در شبکه داخلی هدایت می شود.

به عنوان مثال، اگر یک سرور FTP مجازی در شبکه داخلی پیکربندی شده باشد که روی رایانه شخصی با آدرس IP 192.168.0.10 راه اندازی شده است، پس هنگام راه اندازی سرور مجازیآدرس IP سرور مجازی (192.168.0.10)، پروتکل مورد استفاده (TCP) و پورت برنامه (21) مشخص شده است. در چنین حالتی، هنگام دسترسی به آدرس خارجی دستگاه NAT (پورت WAN روتر) در پورت 21، کاربر در شبکه خارجی می تواند علی رغم استفاده از پروتکل NAT به سرور FTP در شبکه داخلی دسترسی پیدا کند. نمونه ای از پیکربندی یک سرور مجازی روی یک روتر NAT واقعی در شکل نشان داده شده است. 4.

به طور معمول، روترهای NAT به شما این امکان را می دهند که چندین بار ارسال پورت ثابت ایجاد کنید. بنابراین، در یک سرور مجازی می توانید چندین پورت را به طور همزمان باز کنید یا چندین سرور مجازی با آدرس های IP مختلف ایجاد کنید. با این حال، با حمل و نقل پورت استاتیک، نمی توانید یک پورت را به چندین آدرس IP ارسال کنید، به این معنی که یک پورت می تواند با یک آدرس IP منفرد مطابقت داشته باشد. به عنوان مثال، پیکربندی چندین وب سرور با آدرس های IP مختلف غیرممکن است؛ برای انجام این کار، باید پورت وب سرور پیش فرض را تغییر دهید و هنگام دسترسی به پورت 80، پورت وب تغییر یافته را در تنظیمات روتر به عنوان پورت داخلی مشخص کنید. پورت (Private Port) سرور.

اکثر مدل‌های روتر همچنین به شما امکان می‌دهند تغییر مسیر ثابت گروهی از پورت‌ها را تنظیم کنید، یعنی یک گروه کامل از پورت‌ها را به یکباره به آدرس IP یک سرور مجازی اختصاص دهید. اگر نیاز به پشتیبانی از برنامه هایی دارید که از تعداد زیادی پورت استفاده می کنند، مانند بازی ها یا کنفرانس های صوتی/تصویری، این ویژگی مفید است. تعداد گروه های پورت ارسال شده در مدل های مختلفروترها متفاوت هستند، اما معمولاً حداقل ده روتر وجود دارد.

حمل و نقل پورت پویا (برنامه ویژه)

حمل و نقل پورت استاتیک می تواند تا حدی مشکل دسترسی از یک شبکه خارجی به خدمات شبکه محلی محافظت شده توسط یک دستگاه NAT را حل کند. با این حال، وظیفه مخالف نیز وجود دارد - نیاز به دسترسی کاربران شبکه محلی به یک شبکه خارجی از طریق یک دستگاه NAT. واقعیت این است که برخی از برنامه ها (به عنوان مثال، بازی های اینترنتی، ویدئو کنفرانس، تلفن اینترنتی و سایر برنامه هایی که نیاز به ایجاد همزمان چندین جلسه دارند) با فناوری NAT سازگار نیستند. برای حل این مشکل، به اصطلاح تغییر مسیر پورت پویا استفاده می شود (گاهی اوقات به آن برنامه ویژه می گویند)، زمانی که تغییر مسیر پورت در سطح فردی تنظیم می شود. برنامه های کاربردی شبکه.

اگر روتر پشتیبانی می کند این تابع، باید شماره پورت داخلی (یا فاصله پورت) مرتبط با آن را مشخص کنید کاربرد خاص(معمولاً به عنوان Trigger Port نامیده می شود) و شماره پورت خارجی دستگاه NAT (Public Port) را مشخص کنید که به پورت داخلی نگاشت می شود.

هنگامی که ارسال پورت پویا فعال است، روتر ترافیک خروجی از شبکه داخلی را نظارت می کند و آدرس IP رایانه ای را که این ترافیک از آن منشا گرفته است را به خاطر می آورد. وقتی داده ها برمی گردند به بخش محلیارسال پورت فعال است و داده ها به داخل منتقل می شوند. پس از تکمیل انتقال، تغییر مسیر غیرفعال می شود و سپس هر رایانه دیگری می تواند یک تغییر مسیر جدید به آدرس IP خود ایجاد کند.

انتقال پورت پویا عمدتاً برای خدماتی استفاده می‌شود که شامل درخواست‌ها و انتقال داده‌های کوتاه مدت هستند، زیرا اگر یک رایانه از یک حمل و نقل پورت معین استفاده کند، رایانه دیگری نمی‌تواند در همان زمان همان کار را انجام دهد. اگر نیاز به پیکربندی برنامه‌هایی دارید که نیاز به جریان ثابتی از داده‌ها دارند که یک پورت را اشغال می‌کنند مدت زمان طولانی، سپس تغییر مسیر پویا بی اثر است. با این حال، در این مورد، یک راه حل برای مشکل وجود دارد - این در استفاده از یک منطقه غیرنظامی نهفته است.

منطقه DMZ

منطقه غیرنظامی (DMZ) راه دیگری برای دور زدن محدودیت های پروتکل NAT است. همه روترهای مدرن این ویژگی را ارائه می دهند. هنگامی که یک کامپیوتر در یک شبکه محلی داخلی در یک منطقه DMZ قرار می گیرد، برای پروتکل NAT شفاف می شود. این در اصل به این معنی است که کامپیوتر شبکه داخلی عملاً در مقابل فایروال قرار دارد. برای رایانه شخصی واقع در منطقه DMZ، همه پورت ها به یک آدرس IP داخلی هدایت می شوند که به شما امکان می دهد انتقال داده را از یک شبکه خارجی به یک شبکه داخلی سازماندهی کنید.

به عنوان مثال، اگر سروری با آدرس IP 192.168.1.10، واقع در شبکه محلی داخلی، در یک منطقه DMZ قرار داشته باشد و خود شبکه محلی توسط یک دستگاه NAT محافظت شود، در این صورت وقتی درخواستی به هر پورتی از طرف شبکه خارجی به آدرس پورت WAN برای یک دستگاه NAT، این درخواست به آدرس IP 192.168.1.10، یعنی به آدرس سرور مجازی در منطقه DMZ ارسال می شود.

به عنوان یک قاعده، روترهای NAT کلاس SOHO اجازه می دهند تنها یک کامپیوتر در منطقه DMZ قرار گیرد. نمونه ای از پیکربندی یک کامپیوتر در یک منطقه DMZ در شکل نشان داده شده است. 5.

برنج. 5. نمونه ای از پیکربندی کامپیوتر در منطقه DMZ

از آنجایی که یک کامپیوتر واقع در یک منطقه DMZ از یک شبکه خارجی قابل دسترسی است و به هیچ وجه توسط فایروال محافظت نمی شود، به یک نقطه آسیب پذیر شبکه تبدیل می شود. هنگامی که هیچ روش دیگری برای دور زدن محدودیت های پروتکل NAT به دلایلی مناسب نیست، باید رایانه ها را در یک منطقه غیرنظامی تنها به عنوان آخرین راه حل قرار دهید.

فناوری NAT Traversal

روش‌هایی که برای دور زدن محدودیت‌های پروتکل NAT فهرست کرده‌ایم ممکن است برای کاربران مبتدی مشکلاتی ایجاد کند. برای تسهیل مدیریت، فناوری خودکار برای پیکربندی دستگاه‌های NAT پیشنهاد شد. فناوری NAT Traversal به برنامه‌های شبکه اجازه می‌دهد تا تشخیص دهند که توسط یک دستگاه NAT محافظت می‌شوند، آدرس IP خارجی را بیاموزند و ارسال پورت را به حالت خودکار. بنابراین، مزیت فناوری NAT Traversal این است که کاربر مجبور نیست به صورت دستی نگاشت پورت را پیکربندی کند.

فناوری NAT Traversal مبتنی بر پروتکل‌های UPnP (Universal Plug and Play) است؛ بنابراین برای فعال‌سازی این فناوری، اغلب لازم است که گزینه UPnP&NAT در روترها بررسی شود.

یوتیوب دایره المعارفی

    1 / 5

    ✪ 1. Cisco ASA Administrator. فایروال چیست؟

    ✪ فایروال رایگان ZoneAlarm - فایروال رایگان برای رایانه شما

    ✪ 2. Cisco ASA Administrator. فایروال های سیسکو

    ✪ فایروال ها

    زیرنویس

هدف

در میان وظایفی که فایروال ها حل می کنند، اصلی ترین آنها محافظت از بخش های شبکه یا میزبان های فردی در برابر دسترسی غیرمجاز با استفاده از آسیب پذیری های موجود در پروتکل های مدل شبکه OSI یا در نرم افزارهای نصب شده بر روی رایانه های شبکه است. فایروال ها ترافیک را با مقایسه ویژگی های آن با الگوهای مشخص شده مجاز یا رد می کنند.

رایج ترین مکان برای نصب فایروال ها در محیط شبکه محلی برای محافظت از میزبان های داخلی در برابر حملات خارجی است. با این حال، حملات می توانند از میزبان های داخلی نیز شروع شوند - در این حالت، اگر میزبان مورد حمله در همان شبکه قرار داشته باشد، ترافیک از محیط شبکه عبور نمی کند و فایروال فعال نمی شود. بنابراین، فایروال ها در حال حاضر نه تنها در لبه، بلکه بین بخش های مختلف شبکه نیز قرار می گیرند که سطح بیشتری از امنیت را فراهم می کند.

داستان

اولین دستگاه هایی که ترافیک شبکه را فیلتر کردند در اواخر دهه 1980 ظاهر شدند، زمانی که اینترنت جدید بود و در در مقیاس جهانی. این دستگاه ها روترهایی بودند که ترافیک را بر اساس داده های موجود در سربرگ های پروتکل لایه شبکه بررسی می کردند. متعاقباً با توسعه فناوری‌های شبکه، این دستگاه‌ها توانستند ترافیک را با استفاده از داده‌های پروتکل‌های سطح انتقال بالاتر فیلتر کنند. روترها را می توان اولین پیاده سازی سخت افزاری و نرم افزاری یک فایروال دانست.

فایروال های نرم افزاری خیلی دیرتر ظاهر شدند و بسیار جوان تر از برنامه های آنتی ویروس بودند. به عنوان مثال، پروژه Netfilter/iptables (یکی از اولین فایروال های نرم افزاری که از نسخه 2.4 بر روی هسته لینوکس ساخته شده است) در سال 1998 تاسیس شد. این ظاهر دیرهنگام کاملاً قابل درک است، زیرا برای مدت طولانیآنتی ویروس مشکل محافظت از رایانه های شخصی در برابر بدافزارها را حل کرد. با این حال، در اواخر دهه 1990، ویروس ها شروع به سوء استفاده فعال از کمبود فایروال در رایانه ها کردند که منجر به افزایش علاقه کاربران به این دسته از دستگاه ها شد.

فیلترینگ ترافیک

فیلترینگ ترافیک بر اساس مجموعه ای از قوانین از پیش تنظیم شده به نام انجام می شود مجموعه قوانین. راحت است که فایروال را به عنوان دنباله ای از فیلترها در نظر بگیریم که یک جریان اطلاعات را پردازش می کنند. هر یک از فیلترها برای تفسیر یک قانون جداگانه طراحی شده اند. توالی قوانین در یک مجموعه تأثیر بسزایی بر عملکرد فایروال دارد. به عنوان مثال، بسیاری از فایروال ها به طور متوالی ترافیک را با قوانین مقایسه می کنند تا زمانی که یک مطابقت پیدا شود. برای چنین فایروال هایی، قوانینی که با بیشترین ترافیک مطابقت دارند باید تا حد امکان در بالاترین لیست قرار گیرند و در نتیجه عملکرد را افزایش دهند.

دو اصل برای پردازش ترافیک ورودی وجود دارد. اصل اول می گوید: «آنچه صریحاً ممنوع نیست، جایز است». که در در این مورد، اگر فایروال بسته ای را دریافت کند که تحت هیچ قاعده ای قرار نگیرد، سپس آن را بیشتر ارسال می کند. اصل مخالف - "آنچه به صراحت مجاز نیست ممنوع است" - امنیت بسیار بیشتری را تضمین می کند، زیرا تمام ترافیکی را که صراحتاً توسط قوانین مجاز نیست رد می کند. با این حال، این اصل منجر به بار اضافی برای مدیر می شود.

در نهایت، فایروال ها یکی از دو عملیات را روی ترافیک ورودی انجام می دهند: ارسال بسته در ( اجازه) یا بسته را دور بریزید ( انکار). برخی از فایروال ها یک عملیات دیگر دارند - رد کردن، که در آن بسته دور انداخته می شود، اما به فرستنده اطلاع داده می شود که سرویسی که می خواست به آن دسترسی پیدا کند در دسترس نیست. در مقابل در حین جراحی انکارفرستنده در مورد در دسترس نبودن این سرویس که ایمن تر است، مطلع نمی شود.

طبقه بندی فایروال ها

هنوز هیچ طبقه بندی واحد و پذیرفته شده ای از فایروال ها وجود ندارد. با این حال، در اغلب موارد، لایه پشتیبانی شده از مدل شبکه OSI مشخصه اصلی در طبقه بندی آنها است. با توجه به این مدل، انواع فایروال های زیر متمایز می شوند:

  1. سوئیچ های مدیریت شده
  2. فیلترهای دسته ای
  3. دروازه های سطح جلسه
  4. واسطه های لایه کاربردی
  5. بازرسان وضعیت

سوئیچ های مدیریت شده

بسیاری از تولیدکنندگان تجهیزات شبکه، مانند Cisco، Nortel، 3Com، ZyXEL، این توانایی را در سوئیچ های خود برای فیلتر کردن ترافیک بر اساس آدرس های MAC موجود در هدرهای فریم فراهم می کنند. به عنوان مثال، در سوئیچ های خانواده کاتالیست سیسکو این ویژگی با استفاده از مکانیزم Port Security پیاده سازی می شود. . با این حال، این روش فیلتر موثر نیست، زیرا آدرس MAC نصب شده در سخت افزار روی کارت شبکه به راحتی توسط نرم افزار تغییر می کند، زیرا مقدار مشخص شده از طریق درایور اولویت بالاتری نسبت به مقدار سیم کشی شده در کارت دارد. بنابراین، بسیاری از سوئیچ های مدرن به شما امکان می دهند از پارامترهای دیگر به عنوان یک ویژگی فیلتر استفاده کنید - به عنوان مثال، VLAN ID. فناوری شبکه محلی مجازی به شما امکان می دهد گروه هایی از میزبان ها ایجاد کنید که ترافیک آنها کاملاً از سایر گره های شبکه ایزوله است.

فیلترهای دسته ای

فیلترهای بسته در لایه شبکه کار می کنند و عبور ترافیک را بر اساس اطلاعات موجود در هدر بسته کنترل می کنند. بسیاری از فایروال‌های این نوع می‌توانند با هدرهای پروتکل در سطح انتقال بالاتر (مثلاً TCP یا UDP) کار کنند. فیلترهای بسته یکی از اولین فیلترهایی بودند که در بازار فایروال ظاهر شدند و تا به امروز رایج ترین نوع آن باقی مانده است. این تکنولوژیدر اکثریت قریب به اتفاق روترها و حتی در برخی سوئیچ ها پیاده سازی شده است.

هنگام تجزیه هدر بسته شبکهمی توان از پارامترهای زیر استفاده کرد:

  • آدرس IP منبع و مقصد؛
  • نوع پروتکل حمل و نقل؛
  • فیلدهای هدر سرویس پروتکل های لایه شبکه و انتقال؛
  • پورت منبع و مقصد

فیلتر کردن بسته های تکه تکه شده بسیار رایج است که تشخیص برخی از حملات را دشوار می کند. بسیاری از حملات شبکه از این آسیب‌پذیری در فایروال‌ها با ارسال بسته‌های حاوی داده‌های ممنوعه به‌عنوان قطعاتی از بسته مورد اعتماد دیگر سوء استفاده می‌کنند. یکی از راه های مبارزه با این نوع حمله، پیکربندی فایروال برای مسدود کردن بسته های تکه تکه شده است. برخی از فایروال ها می توانند بسته ها را قبل از ارسال به شبکه داخلی یکپارچه سازی کنند، اما این به منابع اضافی از خود فایروال، به ویژه حافظه نیاز دارد. Defragmentation باید بسیار عاقلانه استفاده شود، در غیر این صورت خود چنین فایروالی به راحتی می تواند قربانی یک حمله DoS شود.

فیلترهای بسته را می توان در اجزای زیرساخت شبکه زیر پیاده سازی کرد:

  • روترهای مرزی؛
  • سیستم عامل

از آنجایی که فیلترهای بسته معمولاً فقط داده ها را در شبکه بررسی می کنند و هدرهای لایه را انتقال می دهند، می توانند این کار را خیلی سریع انجام دهند. بنابراین، فیلترهای بسته تعبیه شده در روترهای لبه ای برای قرارگیری در لبه یک شبکه کم اعتماد ایده آل هستند. با این حال، فیلترهای بسته توانایی تجزیه و تحلیل پروتکل ها در سطوح بالاتر مدل شبکه OSI را ندارند. علاوه بر این، فیلترهای بسته معمولاً در برابر حملاتی که از جعل آدرس شبکه استفاده می کنند آسیب پذیر هستند. چنین حملاتی معمولا برای دور زدن کنترل دسترسی اجرا شده توسط فایروال انجام می شود.

دروازه های جلسه

از آنجایی که این نوع فایروال ارتباط مستقیم بین دو میزبان را حذف می کند، دروازه لایه نشست تنها عنصر اتصال بین شبکه خارجی و منابع داخلی است. این ظاهری را ایجاد می کند که تمام درخواست های شبکه خارجی توسط دروازه پاسخ داده می شود و تقریباً تعیین توپولوژی شبکه محافظت شده را غیرممکن می کند. علاوه بر این، از آنجایی که تماس بین گره ها تنها در صورتی برقرار می شود که معتبر باشد، دروازه لایه جلسه از احتمال حملات DoS ذاتی در فیلترهای بسته جلوگیری می کند.

علیرغم اثربخشی این فناوری، یک اشکال جدی دارد: مانند تمام کلاس های فایروال بالا، دروازه های سطح جلسه توانایی تأیید محتویات فیلد داده را ندارند، که به مهاجم اجازه می دهد "اسب های تروجان" را منتقل کند. وارد شبکه محافظت شده

کارگزاران لایه کاربردی

معایب این نوع فایروال، زمان و منابع زیادی است که برای تجزیه و تحلیل هر بسته صرف می شود. به همین دلیل، آنها معمولا برای برنامه های بلادرنگ مناسب نیستند. یکی دیگر از معایب ناتوانی است اتصال خودکارپشتیبانی از برنامه ها و پروتکل های جدید شبکه، زیرا هر یک از آنها به عامل خاص خود نیاز دارند.

بازرسان دولتی

هر یک از انواع فایروال های فوق برای محافظت از شبکه های شرکتی استفاده می شود و دارای تعدادی مزیت است. با این حال، جمع آوری تمام این مزایا در یک دستگاه و دریافت فایروالی که ترافیک را از شبکه به سطح برنامه فیلتر می کند بسیار مؤثرتر خواهد بود. این ایده با ترکیب عملکرد بالا و امنیت در بازرسان دولتی اجرا شد. این دسته از فایروال ها به شما اجازه می دهد تا کنترل کنید:

  • هر بسته ارسالی بر اساس جدولی از قوانین است.
  • هر جلسه - بر اساس جدول حالت.
  • هر برنامه مبتنی بر واسطه های توسعه یافته است.

با فیلتر کردن ترافیک بر اساس اصل یک دروازه در سطح جلسه، این کلاسفایروال ها در فرآیند برقراری ارتباط بین گره ها دخالت نمی کنند. بنابراین، عملکرد بازرس حالت به طور قابل توجهی بالاتر از کارگزار لایه کاربردی و دروازه لایه جلسه است و با عملکرد فیلترهای بسته قابل مقایسه است. یکی دیگر از مزایای بازرسان دولتی شفافیت برای کاربر است: برای مشتری نرم افزاربدون نیاز به پیکربندی اضافی این فایروال ها قابلیت گسترش بالایی دارند. هنگامی که یک سرویس جدید یا یک پروتکل لایه برنامه جدید ظاهر می شود، فقط باید چند الگو برای پشتیبانی از آن اضافه کنید. با این حال، بازرسان دولتی ذاتاً امنیت کمتری نسبت به واسطه‌های سطح برنامه دارند.

عبارت Stateful Inspection که توسط Check Point Software معرفی شد، در بین سازندگان تجهیزات شبکه به قدری محبوب شده است که در حال حاضر تقریباً هر فایروال به عنوان این فناوری طبقه بندی می شود، حتی اگر آن را به طور کامل پیاده سازی نکند.

پیاده سازی

دو نسخه از فایروال ها وجود دارد - نرم افزار و سخت افزار-نرم افزار. به نوبه خود، نسخه نرم افزاری و سخت افزاری دارای دو نوع است - در فرم ماژول جداگانهدر یک سوئیچ یا روتر و به عنوان یک دستگاه اختصاصی.

امروزه بیشتر از یک راه حل نرم افزاری استفاده می شود که در نگاه اول جذاب تر به نظر می رسد. این به این دلیل است که برای استفاده از آن به نظر می رسد فقط خرید نرم افزار فایروال و نصب آن بر روی هر رایانه ای در سازمان کافی است. با این حال، همانطور که تمرین نشان می دهد، یک سازمان همیشه یک کامپیوتر رایگان و حتی کامپیوتری که الزامات نسبتاً بالایی برای منابع سیستم را برآورده می کند، ندارد. پس از یافتن رایانه (اغلب، خریداری شده)، روند نصب و پیکربندی سیستم عامل و همچنین خود نرم افزار فایروال دنبال می شود. به راحتی می توان فهمید که استفاده از یک رایانه شخصی معمولی آنقدر که به نظر می رسد ساده نیست. به همین دلیل است که سیستم های سخت افزاری و نرم افزاری تخصصی نامیده می شوند دستگاه امنیتی، بر اساس، به عنوان یک قاعده،

بهترین مقالات در این زمینه

کدام تبلت اپل را بهتر است بخریم؟
کدام تبلت اپل را بهتر است بخریم؟
پرچمدار بعدی Sony Xperia Z5 محافظه کاری غالب است
پرچمدار بعدی Sony Xperia Z5 محافظه کاری غالب است
نقد و بررسی گوشی های دکمه ای ساده با باتری پرقدرت گوشی تجاری سال
نقد و بررسی گوشی های دکمه ای ساده با باتری پرقدرت گوشی تجاری سال
دسته بندی ها:
© 2023 bumotors.ru. نحوه راه اندازی گوشی های هوشمند و رایانه های شخصی. پرتال اطلاعاتی