Există mai multe tipuri de firewall-uri, în funcție de următoarele caracteristici:

dacă scutul asigură o conexiune între un nod și o rețea, sau între două sau mai multe rețele diferite;

dacă fluxul de date este monitorizat stratul de rețea sau straturi superioare ale modelului OSI;

indiferent dacă stările conexiunilor active sunt monitorizate sau nu.

În funcție de acoperirea fluxurilor de date monitorizate, firewall-urile sunt împărțite în:

firewall tradițional (sau firewall) - un program (sau o parte integrantă a sistemului de operare) pe un gateway (un dispozitiv care transmite trafic între rețele) sau o soluție hardware care controlează fluxurile de date de intrare și de ieșire între rețelele conectate (obiecte de rețea distribuite) ;

firewall personal este un program instalat pe computerul unui utilizator și conceput pentru a proteja numai acest computer de accesul neautorizat.

În funcție de stratul OSI pe care are loc controlul accesului, firewall-urile pot funcționa pe:

stratul de rețea când filtrarea se bazează pe adresele expeditorului și destinatarului pachetelor, numerele de port ale stratului de transport al modelului OSI și regulile statice stabilite de administrator;

nivel de sesiune(de asemenea cunoscut ca si cu stare) când sunt monitorizate sesiuni între aplicații și pachete care încalcă specificațiile TCP/IP, adesea folosite în operațiuni rău intenționate - scanări de resurse, hack-uri prin implementări TCP/IP incorecte, conexiuni deconectate/încetinite, injecția de date nu sunt trecute;

nivelul de aplicare(sau stratul de aplicare) atunci când filtrarea se bazează pe analiză Application Data a trecut în interiorul pachetului. Aceste tipuri de ecrane vă permit să blocați transmiterea de informații nedorite și potențial dăunătoare pe baza politicilor și setărilor.

Filtrarea la nivelul rețelei

Filtrarea pachetelor de intrare și de ieșire se realizează pe baza informațiilor conținute în următoarele câmpuri ale anteturilor TCP și IP ale pachetelor: Adresa IP a expeditorului; adresa IP a destinatarului; portul expeditorului; port destinatar.

Filtrarea poate fi implementată în diferite moduri pentru a bloca conexiunile la anumite computere sau porturi. De exemplu, puteți bloca conexiunile de la anumite adrese ale computerelor și rețelelor care sunt considerate nesigure.

cost relativ scăzut;

flexibilitate în definirea regulilor de filtrare;

mică întârziere în trecerea pachetelor.

Defecte:

nu colectează pachete fragmentate;

nu există nicio modalitate de a urmări relațiile (conexiunile) dintre pachete.?

Filtrarea la nivel de sesiune

În funcție de modul în care sunt monitorizate conexiunile active, firewall-urile pot fi:

Fara stare(filtrare simplă), care nu urmăresc conexiunile curente (de exemplu, TCP), ci filtrează fluxul de date exclusiv pe baza regulilor statice;

inspecție de pachete cu stare, cu stare (SPI)(filtrare în funcție de context), monitorizarea conexiunilor curente și trecerea doar a acelor pachete care satisfac logica și algoritmii protocoalelor și aplicațiilor corespunzătoare.

Firewall-urile SPI vă permit să luptați mai eficient cu diferite tipuri de atacuri DoS și vulnerabilități ale unor protocoale de rețea. În plus, ele asigură funcționarea unor protocoale precum H.323, SIP, FTP etc., care folosesc scheme complexe de transfer de date între destinatari, greu de descris prin reguli statice și adesea incompatibile cu firewall-urile standard, fără stat.

Beneficiile acestei filtre includ:

analiza conținutului pachetelor;

nu sunt necesare informații despre modul în care funcționează protocoalele Layer 7.

Defecte:

dificil de analizat date la nivel de aplicație (eventual folosind ALG - Application level gateway).

Gateway la nivel de aplicație, ALG (gateway la nivel de aplicație) este o componentă a unui router NAT care înțelege un protocol de aplicație și, atunci când pachetele acestui protocol trec prin acesta, le modifică astfel încât utilizatorii care se află în spatele NAT să poată utiliza protocolul.

ALG oferă suport pentru protocoale la nivel de aplicație (cum ar fi SIP, H.323, FTP etc.) pentru care traducerea adresei de rețea nu este permisă. Acest serviciu determină tipul de aplicație în pachete care vin din interfață rețeaua internăși efectuarea adecvată a traducerii adresei/portului pentru ei prin interfața externă.

Tehnologia SPI (Stateful Packet Inspection) sau tehnologia de inspecție a pachetelor cu stat, este astăzi cea mai importantă metodă de control al traficului. Această tehnologie permite controlul datelor până la nivelul aplicației fără a necesita un proxy sau o aplicație proxy separată pentru fiecare protocol protejat sau serviciu de rețea.

Din punct de vedere istoric, evoluția firewall-urilor a venit din filtrele de pachete de uz general, apoi au început să apară programe proxy pentru protocoale individuale și, în sfârșit, a fost dezvoltată tehnologia de inspecție cu state. Tehnologiile anterioare doar s-au completat reciproc, dar nu au oferit un control complet asupra conexiunilor. Filtrele de pachete nu au acces la informații despre starea conexiunii și a aplicației, care sunt necesare pentru luarea unei decizii finale a sistemului de securitate. Programele proxy procesează numai date la nivel de aplicație, ceea ce creează adesea diverse oportunități de compromitere a sistemului. Arhitectura de inspecție cu state este unică deoarece vă permite să operați cu toate informațiile posibile care trec prin mașina gateway: date dintr-un pachet, date despre starea conexiunii, date necesare aplicației.

Un exemplu de mecanismStatefulInspecţie... Firewall-ul monitorizează sesiunea FTP prin verificarea datelor la nivel de aplicație. Când un client cere serverului să deschidă o conexiune inversă (comanda FTP PORT), firewall-ul extrage numărul portului din această solicitare. Lista stochează adresele clientului și serverului, numerele de port. Când detectează o încercare de a stabili o conexiune de date FTP, firewall-ul scanează lista și verifică dacă această conexiune este într-adevăr un răspuns la o solicitare validă a clientului. Netlist-ul este întreținut dinamic, deci numai porturile necesare FTP. Imediat ce sesiunea este închisă, porturile sunt blocate, oferind un nivel ridicat de securitate.

Orez. 2.12. Un exemplu despre cum funcționează Stateful Inspection cu FTP

Filtrarea la nivel de aplicație

Pentru a proteja unele dintre vulnerabilitățile inerente filtrării de pachete, firewall-urile trebuie să folosească programe de aplicație pentru a filtra conexiunile la servicii precum Telnet, HTTP, FTP. O astfel de aplicație se numește serviciu proxy, iar gazda care rulează serviciul proxy se numește gateway layer de aplicație. Acest gateway elimină comunicarea directă între clientul autorizat și gazda externă. Gateway-ul filtrează toate pachetele de intrare și de ieșire la nivelul aplicației (stratul de aplicație - stratul superior al modelului de rețea) și poate analiza conținutul de date, cum ar fi o adresă URL conținută într-un mesaj HTTP sau o comandă conținută într-un mesaj FTP. Uneori, filtrarea pachetelor este mai eficientă pe baza informațiilor conținute în datele în sine. Filtrele de pachete și filtrele din stratul de legătură nu folosesc conținutul fluxului de trafic pentru a lua decizii de filtrare, dar se pot face cu filtrarea la nivel de aplicație. Filtrele stratului de aplicație pot folosi informații din antetul pachetului, precum și conținutul de date și informații despre utilizator. Administratorii pot utiliza filtrarea stratului de aplicație pentru a controla accesul pe baza identității utilizatorului și/sau pe baza unei sarcini specifice pe care utilizatorul încearcă să o îndeplinească. În filtrele de nivel de aplicație, puteți seta reguli pe baza comenzilor emise de aplicație. De exemplu, un administrator poate împiedica un anumit utilizator să descarce fișiere pe un anumit computer folosind FTP sau poate permite unui utilizator să posteze fișiere prin FTP pe același computer.

Beneficiile acestei filtre includ:

reguli simple de filtrare;

posibilitatea organizării unui număr mare de verificări. Protecția la nivel de aplicație permite un număr mare de verificări suplimentare, ceea ce reduce probabilitatea de hacking folosind „găuri” în software;

capacitatea de a analiza datele aplicației.

Defecte:

relativ performanta slaba versus filtrarea pachetelor;

proxy trebuie să-și înțeleagă protocolul (nu poate fi folosit cu protocoale necunoscute) ?;

de obicei rulează sub sisteme de operare complexe.

Cu o mare varietate de instrumente software profesionale pentru protecție împotriva diferitelor tipuri de atacuri asupra unei rețele locale din exterior (adică de pe Internet), toate au un dezavantaj serios - costul ridicat. Și dacă vorbim de rețele mici din clasa SOHO, atunci achiziționarea de pachete solide este un lux nepermis. În același timp, trebuie remarcat faptul că, pentru rețelele mici, capacitățile unor astfel de pachete pot fi chiar excesive. Prin urmare, pentru a proteja rețelele mici din clasa SOHO, sunt utilizate pe scară largă soluții hardware ieftine - firewall-uri. Prin designul lor, firewall-urile pot fi implementate fie ca soluție separată, fie pot fi parte integrantă a routerelor din clasa SOHO, în special a routerelor fără fir, ceea ce face posibilă combinarea segmentelor LAN cu fir și fără fir pe baza lor.
În acest articol, ne vom uita la funcționalitatea de bază a firewall-urilor hardware moderne care sunt încorporate în routerele SOHO și sunt utilizate pentru a oferi protecție rețelelor locale mici.

Firewall-uri ca parte a routerelor

Deoarece routerele sunt dispozitive de rețea care se află la granița dintre rețelele interne și externe și acționează ca o poartă de rețea, acestea ar trebui să fie proiectate cu cel puțin două porturi. Unul dintre aceste porturi se conectează reteaua locala iar acest port devine portul LAN intern. O rețea externă (Internet) este conectată la al doilea port, transformându-l într-un port WAN extern. De regulă, routerele din clasa SOHO au un port WAN și mai multe (de la unul la patru) porturi LAN, care sunt combinate într-un comutator. În cele mai multe cazuri, portul WAN al switch-ului are o interfață 10 / 100Base-TX și poate fi conectat fie un modem xDSL cu interfața corespunzătoare, fie un cablu de rețea Ethernet.

În plus, răspândită rețele fără fir a condus la apariția unei întregi clase de așa-numite routere wireless. Aceste dispozitive, pe lângă routerul clasic cu porturi WAN și LAN, conțin un punct integrat acces wireless care acceptă protocolul IEEE 802.11a/b/g. Segment wireless rețea, care vă permite să organizați un punct de acces, din punctul de vedere al unui router, se referă la rețeaua internă, iar în acest sens, computerele conectate la router wireless nu diferă de cele conectate la portul LAN.

Orice router, ca dispozitiv de nivel de rețea, are propria sa adresă IP. Pe lângă router, portul WAN are și propria sa adresă IP.

Calculatoarele conectate la porturile LAN ale routerului trebuie să aibă o adresă IP pe aceeași subrețea ca și routerul însuși. În plus, în setările de rețea ale acestor PC-uri, trebuie să setați adresa implicită a gateway-ului care se potrivește cu adresa IP a routerului. În sfârșit, dispozitivul conectat la portul WAN din rețeaua externă trebuie să aibă o adresă IP din aceeași subrețea ca și portul WAN al routerului.

Deoarece routerul acționează ca o poartă între rețeaua locală și Internet, este logic să ne așteptăm de la el la o asemenea funcție precum protejarea rețelei interne împotriva accesului neautorizat. Prin urmare, aproape toate routere moderne Clasele SOHO au firewall-uri hardware încorporate, numite și firewall-uri.

Funcții firewall

Sarcina principală a oricărui firewall se rezumă în cele din urmă la securizarea rețelei interne. Pentru a rezolva această problemă, firewall-urile trebuie să fie capabile să mascheze rețeaua protejată, să blocheze toate tipurile cunoscute de atacuri ale hackerilor, să blocheze scurgerile de informații din rețeaua internă și să controleze aplicațiile care obțin acces la rețeaua externă.

Pentru implementarea acestor funcții, firewall-urile analizează tot traficul dintre rețelele externe și interne pentru respectarea anumitor criterii sau reguli stabilite care determină condițiile de flux de trafic de la o rețea la alta. Dacă traficul îndeplinește criteriile specificate, atunci firewall-ul îi va permite să treacă prin el însuși. În caz contrar, adică dacă criteriile specificate nu sunt îndeplinite, traficul este blocat de firewall. Firewall-urile filtrează atât inbound, cât și trafic de ieșireși, de asemenea, vă permit să controlați accesul la anumite resursele rețelei sau aplicații. Aceștia pot înregistra toate încercările de acces neautorizat la resursele rețelei locale și pot emite avertismente cu privire la încercările de intruziune.

Prin scopul lor, firewall-urile seamănă mai ales cu un punct de control (punct de control) al unei instalații păzite, unde documentele sunt verificate pentru toți cei care intră pe teritoriul unității și pentru cei care părăsesc acesta. Dacă permisul este în regulă, accesul în teritoriu este permis. Firewall-urile funcționează exact în același mod, doar pachetele de rețea acționează ca persoane care trec prin punctul de control, iar trecerea este corespondența antetelor acestor pachete cu un set predefinit de reguli.

Sunt firewall-urile atât de fiabile?

Se poate spune că un firewall este 100% sigur pe rețeaua unui utilizator sau pe computerul personal? Desigur că nu. Numai pentru că niciun sistem nu oferă deloc o garanție de securitate 100%. Un firewall ar trebui tratat ca un instrument care, dacă este configurat corect, poate complica semnificativ sarcina unui atacator de a pătrunde în computerul personal al unui utilizator. Subliniem: doar pentru a complica, dar deloc pentru a garanta o siguranță absolută. Apropo, dacă nu vorbim despre protejarea rețelei locale, ci despre protejarea unui computer individual cu acces la Internet, atunci firewall-ul ICF (Internet Connection Firewall) încorporat în sistemul de operare Windows XP face față cu succes la asigurarea securității personale. Prin urmare, în viitor vom vorbi doar despre firewall-uri hardware corporative axate pe protejarea rețelelor mici.

Dacă firewall-ul instalat la intrarea în rețeaua locală este activat de program complet(de regulă, aceasta corespunde setărilor implicite), atunci rețeaua pe care o protejează este complet impenetrabilă și inaccesibilă din exterior. Cu toate acestea, o astfel de impenetrabilitate completă a rețelei interne are propriile sale revers... Faptul este că în acest caz devine imposibilă utilizarea serviciilor de Internet (de exemplu, ICQ și programe similare) instalate pe computer. Astfel, sarcina de a configura firewall-ul este de a face ferestre în peretele inițial gol, care este un firewall pentru atacator, făcând posibil programe de utilizator răspunde solicitărilor din exterior și în cele din urmă implementează interacțiunea controlată a rețelei interne cu lumea exterioară. Cu toate acestea, cu cât apar astfel de ferestre într-un astfel de perete, cu atât rețeaua în sine devine mai vulnerabilă. Așa că subliniem încă o dată: niciun firewall nu poate garanta securitatea absolută a rețelei locale pe care o protejează.

Clasificare firewall

Capacitățile și inteligența firewall-ului depind de stratul modelului de referință OSI la care operează. Cu cât mai sus Stratul OSI firewall-ul este construit deasupra, cu atât este mai mare nivelul de protecție pe care îl oferă.

Amintește-ți asta Model OSI (Sistem deschis Interconectare) include șapte straturi de arhitectură de rețea. Primul, cel mai jos, este strat fizic... Este urmată de legătura de date, rețea, transport, sesiune, prezentare și straturile de aplicație sau aplicație. Pentru a asigura filtrarea traficului, firewall-ul trebuie să funcționeze cel puțin la al treilea strat al modelului OSI, adică la nivelul rețelei, unde pachetele sunt direcționate pe baza traducerii adreselor MAC în adrese de rețea. Din punctul de vedere al protocolului TCP/IP, acest strat corespunde stratului IP (Internet Protocol). Primind informații de nivel de rețea, firewall-urile pot determina adresele sursă și destinație ale pachetului și pot verifica dacă traficul între aceste destinații este acceptabil. Cu toate acestea, nu există suficiente informații de nivel de rețea pentru a analiza conținutul pachetului. Firewall-urile care operează la nivelul de transport al modelului OSI primesc mai multe mai multe informatii despre pachete și în acest sens poate oferi scheme de protecție a rețelei mai inteligente. Firewall-urile la nivel de aplicație au informații complete despre pachetele de rețea, ceea ce înseamnă că oferă cea mai fiabilă protecție a rețelei.

În funcție de nivelul modelului OSI pe care funcționează firewall-urile, s-a dezvoltat istoric următoarea clasificare a acestor dispozitive:

• filtru de pachete;
• gateway la nivel de circuit;
• gateway la nivel de aplicație;
• Stateful Inspecția pachetelor(SPI).

Rețineți că această clasificare are doar interes istoric, deoarece toate firewall-urile moderne sunt clasificate drept cele mai avansate (în ceea ce privește protecția rețelei) firewall-uri SPI.

Filtre de pachete

Firewall-urile cu filtre de pachete sunt cele mai simple (mai puțin inteligente). Aceste firewall-uri operează la nivelul de rețea al modelului OSI sau la nivelul IP al stivei de protocol TCP / IP. Astfel de firewall-uri sunt obligatorii în fiecare router, deoarece orice router funcționează cel puțin la al treilea strat al modelului OSI.

Scopul filtrelor de pachete este de a filtra pachetele pe baza informațiilor despre adresa IP sursă sau destinație și a numerelor de port.

În firewall-urile de filtrare a pachetelor, fiecare pachet este analizat pentru a îndeplini criteriile de transmisie sau pentru a bloca transmisia înainte de a fi transmis. În funcție de pachet și de criteriile de transmisie definite, firewall-ul poate redirecționa pachetul, îl poate respinge sau trimite o notificare către inițiatorul transmisiei.

Filtrele de pachete sunt ușor de implementat și au un efect redus sau deloc asupra vitezei de rutare.

Gateway-uri la nivel de sesiune

Session Layer Gateway-urile sunt firewall-uri care operează la nivelul de sesiune al modelului OSI sau la nivelul TCP (Transport Control Protocol) al stivei de protocol TCP / IP. Aceste firewall-uri monitorizează procesul de stabilire a unei conexiuni TCP (organizarea sesiunilor de comunicare între mașinile finale) și vă permit să determinați dacă această sesiune de comunicare este legitimă. Datele transmise către un computer la distanță din rețeaua externă printr-un gateway la nivel de sesiune nu conțin informații despre sursa de transmisie, adică totul arată ca și cum datele sunt trimise de firewall-ul însuși, și nu de un computer de pe interior. rețea (protejată). Toate firewall-urile NAT sunt gateway-uri la nivel de sesiune (NAT va fi descris mai jos).

Gateway-urile la nivel de sesiune nu afectează în mod semnificativ viteza de rutare. În același timp, aceste gateway-uri nu sunt capabile să filtreze pachete individuale.

Gateway-uri de aplicații

Gateway-urile de nivel de aplicație sau serverele proxy funcționează la nivelul de aplicație al modelului OSI. Stratul de aplicație este responsabil pentru accesarea aplicațiilor în rețea. Sarcinile la acest nivel includ transferul de fișiere, mesageria prin e-mail și gestionarea rețelei. Primind informații despre pachete la nivel de aplicație, gateway-urile la nivel de aplicație pot implementa blocarea accesului la anumite servicii... De exemplu, dacă gateway-ul stratului de aplicație este configurat ca un Web-proxy, atunci orice trafic legat de protocoalele Telnet, FTP, Gopher va fi blocat. Deoarece aceste firewall-uri analizează pachetele la nivelul aplicației, ele sunt capabile să filtreze comenzi specifice precum http: post, get etc. Această caracteristică nu este disponibilă nici pentru filtrele de pachete, nici pentru gateway-urile la nivel de sesiune. Gateway-urile la nivel de aplicație pot fi folosite și pentru a înregistra activitatea utilizatorilor individuali și pentru a stabili sesiuni de comunicare de către aceștia. Aceste firewall-uri oferă o modalitate mai fiabilă de a proteja rețelele decât gateway-urile de sesiune și filtrele de pachete.

Firewall-uri SPI

Cel mai recent tip de firewall, Stateful Packet Inspection (SPI), combină beneficiile filtrelor de pachete, gateway-urilor de sesiune și gateway-urilor de aplicații în același timp. Adică, de fapt, vorbim de firewall-uri multistrat care funcționează simultan la nivel de rețea, sesiune și aplicație.

Firewall-urile SPI filtrează pachetele la nivelul de rețea, determină legitimitatea stabilirii unei sesiuni pe baza datelor stratului de sesiune și analizează conținutul pachetelor pe baza datelor de la nivelul aplicației.

Aceste firewall-uri oferă cea mai fiabilă modalitate de a proteja rețelele și sunt standardul de facto astăzi.

Configurarea firewall-urilor

Metodologia și opțiunile de configurare pentru firewall-uri variază în funcție de model. Din păcate, nu există reguli uniforme de personalizare, darămite o interfață uniformă. Putem vorbi doar despre câteva reguli generale care ar trebui respectate. De fapt, regula de bază este destul de simplă - este necesar să interziceți tot ceea ce nu este necesar pentru funcționarea normală a rețelei.

Cel mai adesea, posibilitățile de configurare a firewall-urilor se reduc la activarea unor reguli predefinite și crearea de reguli statice sub forma unui tabel.

Să luăm ca exemplu posibilitățile de configurare a firewall-ului inclus în routerul Gigabyte GN-B49G. Acest router are o serie de reguli predefinite pentru a impune diferite niveluri de securitate în rețeaua internă. Aceste reguli includ următoarele:

• Accesul la configurația și administrarea Routerului din partea WAN este interzisă. Activarea acestei funcții interzice accesul la setările routerului din rețeaua externă;
• Accesul de la Global-IP la Private-IP este interzis în interiorul LAN. Această funcție vă permite să blocați accesul în cadrul rețelei locale de la adrese IP globale (dacă există) la adrese IP rezervate pentru uz privat;
• Preveniți partajarea fișierelor și a imprimantei din afara rețelei routerului. Funcția împiedică utilizarea accesului partajat la imprimante și fișiere din rețeaua internă din exterior;
• Existența routerului nu poate fi detectată din partea WAN. Această funcție face routerul invizibil din rețeaua exterioară;
• Atacurile de tip Denial of Service (DoS) sunt prevenite. Când această funcție este activată, este implementată protecția împotriva atacurilor DoS (Denial of Service). Atacurile DoS sunt un fel atacuri de rețea, care constă în sosirea unei multitudini de solicitări către server care solicită un serviciu furnizat de sistem. Serverul își cheltuiește resursele pentru stabilirea unei conexiuni și menținerea acesteia, iar cu un anumit flux de solicitări nu le poate face față. Protecția împotriva atacurilor de acest tip se bazează pe analizarea surselor de exces de trafic față de traficul normal și interzicerea transmiterii acestuia.

După cum am observat deja, multe firewall-uri au reguli predefinite care sunt în mod inerent aceleași cu cele enumerate mai sus, dar pot avea nume diferite.

O altă modalitate de a configura firewall-ul este să creați reguli statice care vă permit nu numai să protejați rețeaua din exterior, ci și să restricționați accesul utilizatorilor rețelei locale la rețeaua externă. Posibilitățile de creare a regulilor sunt destul de flexibile și vă permit să implementați aproape orice situație. Pentru a crea o regulă, setați adresa IP sursă (sau intervalul de adrese), porturile sursă, adresele IP și porturile de destinație, tipul de protocol, direcția de transmisie a pachetelor (de la rețeaua internă la rețeaua externă sau invers), precum și acțiune care trebuie întreprinsă atunci când este detectat un pachet.cu proprietățile indicate (scăpați sau săriți pachetul). De exemplu, dacă doriți să interziceți utilizatorilor rețelei interne (interval de adrese IP: 192.168.1.1-192.168.1.100) să acceseze serverul FTP (portul 21) situat la adresa IP externă 64.233.183.104, atunci regula poate fi formulat astfel:

• direcția de expediere a pachetelor: LAN-la-WAN;
• Adrese IP sursă: 192.168.1.1-192.168.1.100;
• port sursă: 1-65535;
• port destinatar: 21;
• protocol: TCP;
• actiune: drop.

Configurația statică a unei reguli de firewall pentru exemplul de mai sus este prezentată în Fig. unu.

NAT ca parte a firewall-ului

Toate routerele moderne cu firewall-uri încorporate acceptă Network Translation Protocol adrese NAT(Traducerea adresei de rețea).

NAT nu face parte dintr-un firewall, dar ajută și la îmbunătățirea securității rețelei. Sarcina principală a protocolului NAT este de a rezolva problema penuriei de adrese IP, care devine din ce în ce mai urgentă pe măsură ce numărul de computere crește.

Cert este că în versiunea actuală a protocolului IPv4 sunt alocați patru octeți pentru determinarea adresei IP, ceea ce face posibilă generarea a peste patru miliarde de adrese de computere din rețea. Desigur, în primele zile ale internetului, era greu de imaginat că într-o zi acest număr de adrese IP ar putea să nu fie suficient. Pentru a rezolva parțial problema deficitului de adrese IP, a fost propus la un moment dat un protocol de traducere. adresele de rețea NAT.

NAT este definit de RFC 1631, care definește modul în care sunt traduse adresele de rețea.

În cele mai multe cazuri, un dispozitiv NAT traduce adrese IP rezervate pentru uz privat în rețelele locale în adrese IP publice.

Spațiul de adrese private este reglementat de RFC 1918. Aceste adrese includ următoarele intervale de IP: 10.0.0.0-10.255.255.255, 172.16.0.0-172.31.255.255, 192.168.0.0-192.168.0.0-192.5.185.5.125.

Conform RFC 1918, adresele IP private nu pot fi folosite pe WAN, deci pot fi folosite liber doar în scopuri interne.

Înainte de a trece la particularitățile funcționării protocolului NAT, să vedem cum se întâmplă. conexiune reteaîntre două PC-uri.

Când un computer din rețea stabilește o conexiune cu un alt computer, se deschide un socket, identificat prin adresa IP sursă, portul sursă, adresa IP destinație, portul destinație și protocolul de rețea. Formatul pachetului IP oferă un câmp de doi octeți pentru numerele de port. Acest lucru vă permite să definiți 65.535 de porturi, care joacă rolul unui fel de canale de comunicare. Dintre cele 65.535 de porturi, primele 1.023 sunt rezervate cunoscutilor servicii de server precum Web, FTP, Telnet etc. Toate celelalte porturi pot fi utilizate în orice alt scop.

Dacă, de exemplu, un computer din rețea accesează un server FTP (portul 21), atunci când socketul este deschis, sistemul de operare atribuie sesiunii orice port mai mare decât 1023. De exemplu, acesta poate fi portul 2153. Apoi pachetul IP trimis de la PC la FTP -server, va conține adresa IP a expeditorului, portul expeditorului (2153), adresa IP a destinatarului și portul de destinație (21). Adresa IP și portul expeditorului vor fi folosite pentru a răspunde de la server la client. Utilizarea diferitelor porturi pentru diferite sesiuni de rețea permite clienților de rețea să stabilească simultan mai multe sesiuni cu servere diferite sau cu serviciile unui singur server.

Acum să ne uităm la procesul de stabilire a unei sesiuni atunci când utilizați un router NAT la granița rețelei interne și a internetului.

Când un client din rețeaua internă stabilește o conexiune cu un server din rețeaua externă, atunci, ca și în cazul stabilirii unei conexiuni între două PC-uri, se deschide un socket determinat de adresa IP sursă, portul sursă, adresa IP destinație, portul de destinație și protocolul de rețea. Când o aplicație transmite date prin acest socket, adresa IP sursă și portul sursă sunt inserate în pachet în câmpurile parametrului sursă. Câmpurile parametrului de destinație vor conține adresa IP și portul serverului. De exemplu, un computer din rețeaua internă cu o adresă IP de 192.168.0.1 poate accesa un server Web pe WAN cu o adresă IP de 64.233.188.104. În acest caz, sistemul de operare al clientului poate atribui sesiune stabilită portul 1251 (portul sursă), iar portul destinație este portul serviciului Web, adică 80. Atunci următoarele atribute vor fi indicate în antetul pachetului trimis (Fig. 2):

• port sursă: 1251;
• Adresa IP a destinatarului: 64.233.183.104;
• port destinatar: 80;
• protocol: TCP.

Dispozitivul NAT (routerul) interceptează pachetul de ieșire din rețeaua internă și introduce maparea porturilor sursă și destinație ale pachetului în tabelul său intern folosind adresa IP de destinație, portul de destinație, adresa IP a dispozitivului NAT extern, portul extern, rețea protocol și IP-uri interne - adresa și portul clientului.

Să presupunem că în exemplul de mai sus, routerul NAT are o adresă IP externă 195.2.91.103 (adresa portului WAN), iar pentru sesiunea stabilită, portul extern al dispozitivului NAT este 3210. În acest caz, sursa și destinația internă Tabelul de mapare porturi al pachetului conține următoarele informații:

• IP sursă: 192.168.0.1;
• port sursă: 1251;
• adresa IP externă

Dispozitive NAT: 195.2.91.103;

• portul extern al dispozitivului NAT: 3210;
• Adresa IP a destinatarului: 64.233.183.104;
• port destinatar: 80;
• protocol: TCP.

Dispozitivul NAT „traduce” pachetul, transformând câmpurile sursă din pachet: adresa IP internă și portul clientului sunt înlocuite cu adresa IP externă și portul NAT. În acest exemplu, pachetul convertit va conține următoarele informații:

• IP sursă: 195.2.91.103
• port sursă: 3210;
• Adresa IP a destinatarului: 64.233.183.104;
• port destinatar: 80;
• protocol: TCP.

Pachetul convertit este trimis prin rețeaua externă și ajunge în cele din urmă la serverul specificat.

După primirea pachetului, serverul va redirecționa pachetele de răspuns către adresa IP externă și portul dispozitivului NAT (router), specificând propria adresă IP și port în câmpurile sursă (Figura 3). În exemplul considerat, pachetul de răspuns de la server va conține următoarele informații în antet:

• port sursă: 80;
• Adresa IP a destinatarului: 195.2.91.103;
• port destinatar: 3210;
• protocol: TCP.

Orez. 3. Principiul de funcționare al unui dispozitiv NAT la transmiterea unui pachet dintr-o rețea externă către una internă

Dispozitivul NAT acceptă aceste pachete de la server și le analizează conținutul pe baza tabelului său de mapare a portului. Dacă în tabelul se găsește o mapare de porturi pentru care adresa IP sursă, portul sursă, portul destinație și protocolul de rețea din pachetul de intrare se potrivesc cu adresa IP a gazdei la distanță, cu port la distanțăși cu protocolul de rețea specificat în maparea portului, atunci va funcționa NAT transformare inversă: va înlocui IP-ul extern și portul extern în câmpurile de destinație ale pachetului cu adresa IP și portul intern al clientului în rețeaua internă. Astfel, un pachet transmis în rețeaua internă pentru exemplul de mai sus va avea următoarele atribute:

• IP sursă: 64.233.183.104;
• port sursă: 80;
• Adresa IP a destinatarului: 192.168.0.1;
• port destinatar: 1251;
• protocol: TCP.

Cu toate acestea, dacă nu există nicio potrivire în tabelul de mapare a portului, atunci pachetul primit este respinsă și conexiunea este întreruptă.

Datorită unui router NAT, orice PC din rețeaua internă poate transmite date către WAN folosind adresa IP externă și portul routerului. În același timp, adresele IP ale rețelei interne, ca și porturile alocate sesiunilor, rămân invizibile din rețeaua externă.

Cu toate acestea, un router NAT permite comunicarea între computere din rețelele interne și externe doar dacă acest schimb este inițiat de un computer din rețeaua internă. Dacă orice computer din rețeaua exterioară încearcă să acceseze computerul din rețeaua interioară din proprie inițiativă, atunci această conexiune este respinsă de dispozitivul NAT. Prin urmare, pe lângă rezolvarea problemei adreselor IP insuficiente, NAT ajută și la îmbunătățirea securității rețelei interne.

Probleme cu dispozitivele NAT

În ciuda aparentei simplități de funcționare a dispozitivelor NAT, există unele probleme asociate cu acestea, care complică adesea organizarea interacțiunii dintre calculatoare în rețea sau chiar împiedicând înfiinţarea lui. De exemplu, dacă rețeaua locală este protejată de un dispozitiv NAT, atunci orice client din rețeaua internă poate stabili o conexiune la serverul WAN, dar nu invers. Adică, nu puteți iniția o conexiune de la rețeaua externă la un server situat în rețeaua internă în spatele unui dispozitiv NAT. Dar ce se întâmplă dacă în rețeaua internă există un serviciu (cum ar fi un FTP sau un server Web) la care utilizatorii din rețeaua externă trebuie să aibă acces? Pentru a rezolva această problemă, routerele NAT folosesc tehnologii DMZ și port forwarding, care vor fi descrise în detaliu mai jos.

O altă problemă cu dispozitivele NAT este că unele aplicații de rețea includ adresa IP și portul în porțiunea de date a pachetului. Este clar că un dispozitiv NAT nu este capabil să traducă astfel de adrese. Ca urmare, dacă o aplicație de rețea inserează o adresă IP sau un port în porțiunea de sarcină utilă a unui pachet, serverul care răspunde la acel pachet va folosi adresa IP imbricată și portul pentru care nu există nicio intrare de mapare corespunzătoare în tabelul intern al dispozitivului NAT. . Ca rezultat, un astfel de pachet va fi abandonat de dispozitivul NAT și, prin urmare, aplicațiile care folosesc această tehnologie nu va putea lucra cu dispozitive NAT.

Există aplicații de rețea care folosesc un port (ca port sursă) atunci când transmit date, dar așteaptă un răspuns pe un alt port. Dispozitivul NAT analizează traficul de ieșire și mapează portul sursă. Cu toate acestea, dispozitivul NAT nu știe că este așteptat un răspuns pe un alt port și nu poate efectua maparea corespunzătoare. Ca rezultat, pachetele de răspuns adresate unui port pentru care nu există mapare în tabelul intern al dispozitivului NAT vor fi abandonate.

O altă problemă cu dispozitivele NAT este accesul multiplu la același port. Luați în considerare o situație în care mai mulți clienți ai unei rețele locale, separați de rețeaua externă printr-un dispozitiv NAT, accesează aceeași port standard... De exemplu, acesta ar putea fi portul 80, care este rezervat unui serviciu Web. Deoarece toți clienții din rețeaua internă folosesc aceeași adresă IP, se pune întrebarea: Cum poate un dispozitiv NAT să determine cărui client din rețeaua internă îi aparține cererea externă? Pentru a rezolva această problemă, doar un client din rețeaua internă are acces la portul standard la un moment dat.

Maparea porturilor statice

Pentru ca anumite aplicații care rulează pe un server din rețeaua internă (cum ar fi un server Web sau un server FTP) să fie accesibile din rețeaua externă, trebuie să fie configurată o mapare pe dispozitivul NAT între porturile utilizate de anumite aplicații și adrese IP. acele servere din rețeaua internă pe care rulează aceste aplicații. În acest caz, ei vorbesc despre tehnologia de mapare a porturilor, iar serverul din rețeaua internă se numește server virtual. Ca urmare, orice solicitare de la rețeaua externă către adresa IP externă a dispozitivului NAT (router) prin portul specificat va fi redirecționată automat către serverul virtual specificat din rețeaua internă.

De exemplu, dacă în rețeaua internă este configurat un server FTP virtual, care rulează pe un PC cu o adresă IP de 192.168.0.10, atunci la configurarea serverului virtual, adresa IP a serverului virtual (192.168.0.10), sunt specificate protocolul utilizat (TCP) și portul aplicației.(21). În acest caz, la accesarea adresei externe a dispozitivului NAT (portul WAN al routerului) pe portul 21, un utilizator din rețeaua externă poate accesa serverul FTP al rețelei interne, în ciuda utilizării protocolului NAT. Un exemplu de configurare a unui server virtual pe un router NAT real este prezentat în Fig. 4.

De obicei, routerele NAT vă permit să creați mai multe redirecționări statice de porturi. Deci, pe un server virtual, puteți deschide mai multe porturi simultan sau puteți crea mai multe servere virtuale cu adrese IP diferite. Cu toate acestea, cu redirecționarea portului static, nu puteți redirecționa un port către mai multe adrese IP, adică un port poate corespunde unei singure adrese IP. Este imposibil, de exemplu, să configurați mai multe servere Web cu adrese IP diferite - pentru aceasta, va trebui să schimbați portul implicit al serverului Web și atunci când accesați cel de-al 80-lea port din configurația routerului, specificați portul Web modificat ca Port privat. .server.

Majoritatea modelelor de router vă permit, de asemenea, să setați redirecționarea grupului de porturi statice, adică să asociați un întreg grup de porturi simultan cu adresa IP a unui server virtual. Această caracteristică este utilă dacă trebuie să asigurați funcționarea aplicațiilor care utilizează un numar mare de porturi precum jocuri sau conferințe audio/video. Numărul de grupuri de porturi redirecționate per diferite modele routerele sunt diferite, dar de obicei sunt cel puțin zece dintre ele.

Redirecționare dinamică porturi (aplicație specială)

Port forwarding static rezolvă parțial problema accesului din rețeaua externă la serviciile rețelei locale protejate de un dispozitiv NAT. Cu toate acestea, există și o problemă opusă - necesitatea de a oferi utilizatorilor rețelei locale acces la rețeaua externă printr-un dispozitiv NAT. Cert este că unele aplicații (de exemplu, jocuri pe Internet, conferințe video, telefonie prin Internet și alte aplicații care necesită stabilirea mai multor sesiuni în același timp) nu sunt compatibile cu tehnologia NAT. Pentru a rezolva această problemă, se folosește așa-numita redirecționare dinamică a portului (uneori denumită Aplicație specială), când redirecționarea portului este setată la nivelul aplicațiilor individuale de rețea.

Dacă routerul acceptă această funcție, trebuie să setați numărul de port intern (sau intervalul de porturi) asociat cu o anumită aplicație (de obicei notat ca Port de declanșare) și să setați numărul port extern Dispozitivul NAT (Public Port) care urmează să fie mapat la portul intern.

Când redirecționarea dinamică a portului este activată, routerul monitorizează traficul de ieșire din rețeaua internă și își amintește adresa IP a computerului de la care provine acest trafic. Când datele sosesc înapoi pe segmentul local, redirecționarea portului este activată și datele sunt transmise. După ce transferul este complet, redirecționarea este dezactivată, iar apoi orice alt computer poate crea o nouă redirecționare către propria sa adresă IP.

Redirecționarea dinamică a portului este utilizată în principal pentru solicitări pe termen scurt și transferuri de date, deoarece dacă un computer folosește un anumit port forwarding, celălalt computer nu poate face același lucru în același timp. Dacă trebuie să reglați funcționarea aplicațiilor care au nevoie de un flux constant de date care ocupă un port pentru o perioadă lungă de timp, atunci redirecționarea dinamică este ineficientă. Cu toate acestea, în acest caz, există o soluție la problemă - constă în folosirea zonei demilitarizate.

Zona DMZ

Zona demilitarizată (DMZ) este o altă modalitate de a ocoli restricțiile NAT. Această caracteristică este oferită de toate routerele moderne. Când plasați un computer pe rețeaua LAN internă în DMZ, acesta devine transparent pentru protocolul NAT. Acest lucru înseamnă efectiv că computerul din rețeaua internă este poziționat practic în fața paravanului de protecție. Pentru un PC situat în zona DMZ, toate porturile sunt redirecționate către o singură adresă IP internă, ceea ce permite organizarea transferului de date din rețeaua externă către cea internă.

Dacă, de exemplu, un server cu o adresă IP de 192.168.1.10, situat în rețeaua locală internă, este situat în zona DMZ, iar rețeaua locală în sine este protejată de un dispozitiv NAT, atunci când o solicitare din rețeaua externă ajunge pe orice port la adresa portului WAN Dispozitivele NAT vor redirecționa această solicitare către adresa IP 192.168.1.10, adică către adresa serverului virtual din zona DMZ.

De obicei, routerele SOHO NAT permit localizarea unui singur computer în DMZ. Un exemplu de configurare a unui computer în zona DMZ este prezentat în Fig. 5.

Orez. 5. Un exemplu de configurare a unui computer în zona DMZ

Deoarece un computer situat în DMZ devine accesibil din rețeaua externă și nu este protejat în niciun fel de un firewall, acesta devine un punct vulnerabil în rețea. Este necesar doar să se recurgă la plasarea computerelor în DMZ ca ultimă soluție, atunci când nicio altă metodă de eludare a limitărilor protocolului NAT nu este potrivită dintr-un motiv sau altul.

Tehnologia NAT Traversal

Metodele pe care le-am enumerat pentru a ocoli limitările protocolului NAT pot fi dificile pentru utilizatorii începători. Pentru a facilita administrarea, a fost propusă o tehnologie automatizată pentru configurarea dispozitivelor NAT. Tehnologia NAT Traversal permite aplicațiilor de rețea să detecteze că sunt protejate de un dispozitiv NAT, să învețe adresa IP externă și să efectueze redirecționarea portului către mod automat... Astfel, avantajul tehnologiei NAT Traversal este că utilizatorul nu trebuie să configureze manual maparea portului.

Tehnologia NAT Traversal se bazează pe protocoalele UPnP (Universal Plug and Play), prin urmare, este adesea necesară verificarea opțiunii UPnP & NAT din routere pentru a activa această tehnologie.

De ce aveți nevoie de un firewall într-un router

Rețeaua wireless are nevoie de o protecție atentă, deoarece aici sunt create cele mai favorabile oportunități de interceptare a informațiilor. Prin urmare, dacă mai multe computere sunt conectate la rețea folosind un router (router), firewall-ul ar trebui să fie instalat și utilizat nu numai pe fiecare computer, ci și pe router. De exemplu, funcția unui firewall într-un router din seria DI-XXX este îndeplinită de SPI, care efectuează o inspecție suplimentară a pachetelor. Subiectul verificării este dacă pachetele aparțin conexiunii stabilite.

În timpul sesiunii de conectare se deschide un port, care poate fi încercat să atace de către pachete străine, moment deosebit de favorabil pentru aceasta - când sesiunea este finalizată, iar portul rămâne deschis încă câteva minute. Prin urmare, SPI își amintește Starea curenta sesiune și analizează toate pachetele primite. Ar trebui să corespundă așteptărilor - să provină de la adresa la care a fost trimisă cererea, să aibă anumite numere. Dacă pachetul nu se potrivește cu sesiunea, adică este incorect, este blocat, iar acest eveniment este înregistrat în jurnal. Un alt firewall de pe router vă permite să blocați conexiunile de ieșire de la un computer infectat.

1.590 RUB

TP-Link TP-LINK TD-W8961N (RU)

... Cu suport ADSL2+. Cu suport Telnet. Numărul de porturi de comutare este 4. Cu rutare statică. Cu router încorporat. CU Funcția SPI . Execuție - externă. Cu suport NAT. Cu suport DNS dinamic. Tip modem - ADSL. Cu suport SNMP. Cu un server DHCP. Cu comutator încorporat. Interfață - Ethernet. Cu o interfață web. Cu o zonă demilitarizată (DMZ). Dimensiuni 130x195x35 mm.