Объединение модемного пула с Firewall

Многие сети разрешают доступ через модемы, размещенные в различных точках сети. Такой доступ сам является потенциально опасным и может свести на нет всю защиту, обеспечиваемую Firewall.Управлять модемами будет намного легче, если сосредоточить их в модемном пуле, а затем осуществлять безопасные соединения с этим пулом. Модемный пул состоит из терминального сервера, представляющего собой специальный компьютер, разработанный для соединения модемов с сетью. Пользователь по модему соединяется с терминальным сервером, а затем с его помощью осуществляет необходимые соединения (например, с помощью протокола TELNET)с другими системами. Некоторые терминальные серверы содержат средства обеспечения безопасности и могут ограничивать соединения с некоторыми системами или потребовать от пользователей применения аутентификации.

Модем

Системы сети

Маршрутизатор

Internet

Прикладной шлюз

На рисунке показан модемный пул и Firewallс экранированным хостом. Поскольку к соединениям с модемами нужно относиться с тем же подозрением, как и к соединениям с Internet,размещение модемного пула на внешней стороне Firewallзаставляет модемные соединения осуществляться через Firewall.

Для аутентификации пользователей, устанавливающих связи как по модему, так и через Internet,могут быть использованы средства усиленной аутентификации прикладного шлюза. Для предохранения внутренних систем от соединения непосредственно с модемным пулом можно использовать фильтрующий маршрутизатор.

Недостатком данной схемы является то, что модемный пул напрямую связан с Internetи, следовательно, подвержен атакам. Если нарушителю удастся проникнуть в модемный пул, то он может использовать его как базу для атаки других системInternet.Для предотвращения этого кроме прикладного шлюза должен использоваться терминальный сервер, обладающий свойствами безопасности.

Firewallс двойным шлюзом и экранированной подсети реализует более безопасный метод управления модемными аулами. На рисунке изображен терминальный сервер, расположенный во внутренней экранированной подсети, где доступ к модемному пулу и от него можно тщательно контролировать с помощью маршрутизаторов и прикладных шлюзов. Маршрутизатор со стороны Internetпредохраняет модемный пул от любого прямого доступа, кроме доступа от прикладного шлюза.

В случае Firewallэкранированной подсети доступ к модемному пулу со стороны Internetи от систем сети запрещается соответствующими маршрутизаторами. В случае Firewallс простым шлюзом доступ к модемному пулу контролирует сам шлюз, в котором должны использоваться средства усиленной аутентификации.

Прикладной шлюз

Маршрутизатор

Модем

Прикладной шлюз

Модем

Если сеть использует для защиты модемного доступа подобные средства, она должна строго придерживаться политики, предотвращающей подключение к модемам любого пользователя в любом месте защищенной подсети. Даже если модемы обладают свойствами безопасности, это усложняет схему защиты с помощью Firewallи тем« самым добавляет в цепь еще одно слабое звено.