3.5.3. Політика міжмережного екранування
При налаштуванні політики міжмережного екранування розглядають два аспекти мережної безпеки: політику доступу до мережних ресурсів і політику реалізації власне МЕ. Політика доступу до мережних ресурсів відображає загальні вимоги щодо безпеки тієї чи іншої організації, і при її розробленні повинні бути сформульовані правила доступу користувачів до різних сервісів, що використовуються в організації. Зазначені правила описують, хто із внутрішніх (зовнішніх) користувачів (група користувачів), в який час, з якого внутрішнього (зовнішнього) вузла мережі і яким сервісом може скористатися з уточненням у разі необхідності способів аутентифікації користувачів і адрес цільових серверів.
Політика реалізації МЕ визначає, яким чином застосовується політика доступу до мережних ресурсів, і в ряді випадків залежить від використовуваних сервісів і вибраних засобів побудови екрана. Як правило, при виборі політики реалізації МЕ зупиняються на одній із двох базових стратегій:
дозволяти все, що явно не заборонено;
забороняти все, що явно не дозволено.
На перший погляд, ці дві стратегії є простими і майже не відрізняються одна від одної. Насправді це не так. При виборі першої стратегії МЕ за замовчуванням дозволяє всі сервіси, які не зазначені як заборонені. У цьому випадку для забезпечення безпеки мережі доведеться створювати правила, що враховували б усі можливі заборони. Це не тільки призведе до необхідності опису великої кількості правил, але і змусить переглядати їх при появі кожного нового протоколу або сервісу, що не охоплені існуючими правилами.
Друга стратегія є суворішою та безпечнішою. Набагато простіше керувати МЕ, заборонивши весь трафік за замовчуванням і задавши правила, що дозволяють проходження через кордон мережі тільки необхідних протоколів і сервісів. Заборона всього трафіка за замовчуванням забезпечується введенням правила ,,Заборонено все” в останньому рядку таблиці фільтрації. Однак у ряді випадків, зокрема при використанні простого пакетного фільтра, опис правил допустимих сервісів також пов’язаний із трудомістким процесом, що вимагає досконалого знання алгоритмів функціонування протоколів у рамках того чи іншого сервісу.
3.5.4. Архітектура ме
Після визначення вимог із безпеки мережі, що захищається, та розроблення політики доступу до мережних ресурсів виникає завдання проектування МЕ. Залежно від вимог до міжмережного обміну організації і ступеня забезпечуваної захищеності периметра її мережі в МЕ може входити від одного до кількох розглянутих компонентів. Склад і спосіб їх взаємного розташування визначає архітектуру МЕ. Існують наступні базові схеми побудови МЕ (можуть бути модифіковані в інші варіанти конфігурації) на основі маршрутизатора фільтрування, дводомного вузла (вузла з двома мережними інтерфейсами), вузла екранування, мережі екранування.
МЕ на основі маршрутизатора фільтрування являє собою апаратний або програмний маршрутизатор на периметрі мережі, що захищається. У ньому визначений набір правил, що встановлюють дозволені мережні сервіси (рис. 3.18). Кожен мережевий пакет перед прийняттям рішення про його маршрутизацію перевіряється на приналежність до дозволенного типу трафіка. Переваги й недоліки даної схеми МЕ визначаються можливостями пакетного фільтра, функціонуючого на маршрутизаторі.
Рис. 3.18. МЕ на основі маршрутизатора фільтрування
МЕ на основі дводомного вузла являє собою комп’ютер з двома мережними інтерфейсами. Один із них під’єднано до внутрішньої мережі, що захищається, а другий – до зовнішньої (рис. 3.19). Стандартна служба маршрутизації мережних пакетів в ОС дводомного вузла від’єднується для того, щоб безпосередня взаємодія між вузлами внутрішньої та зовнішньої мережі була неможливою. Міжмережна взаємодія в рамках дозволених сервісів забезпечується проксі-сервером, що функціонує на дводомному вузлі. Схема порівняно з попередньою характеризується вищим ступенем безпеки, але набір сервісів, що надається користувачам мережі, є обмеженим і визначається ПЗ проксі-серверу.
Рис. 3.19. МЕ на основі дводомного вузла
МЕ на основі вузла екранування являє собою комбінацію попередніх схем. До його складу входять маршрутизатор фільтрування на периметрі і проксі-сервер, що функціонує на вузлі-бастіоні з одним інтерфейсом у внутрішній мережі (рис. 3.20). Пакетний фільтр на маршрутизаторі конфігурується так, що дозволений вхідний і вихідний мережні трафіки обов’язково проходять через вузол-бастіон. Схема є більш гнучкою порівняно зі схемою МЕ на основі дводомного вузла, оскільки сервіс, що не підтримується проксі-сервером, може бути дозволений безпосередньо через маршрутизатор.
Рис. 3.20. МЕ на основі вузла екранування
Схема МЕ на основі мережі екранування являє собою розвиток попередньої схеми і відрізняється від неї наявністю додаткового маршрутизатора (рис. 3.21). Між зовнішнім і внутрішнім маршрутизаторами фільтрування створюється ,,менш захищена” мережа, що називається периметровою мережею або демілітаризованою зоною (DMZ), що ,,екранує” захищувану мережу від зовнішнього світу. Як правило, в периметровій мережі встановлюються вузли з проксі-сервером і серверами відкритих сервісів.
Рис. 3.21. МЕ на основі мережі екранування