Firewall –экранированная подсеть.

Информационный сервер

ЭВМ

Маршрутизатор

Прикладной шлюз

Firewall,состоящий из экранированной подсети представляет собой разновидность Firewallс экранированным хостом .Его можно использовать для размещения каждого компонента Firewallв отдельной системе, что позволит увеличить пропускную способность и гибкость, за счет некоторого усложнения архитектуры. Каждая система, входящая в этот Firewall,нужна только для выполнения конкретной задачи.

На рисунке показаны два маршрутизатора, используемые для создания внутренней, экранированной подсети. Эта подсеть содержит прикладной шлюз, однако она может также включать в себя информационные серверы и другие системы, требующие тщательно контролируемого доступа. Маршрутизатор, соединяющий сеть с Internet,должен пересылать трафик согласно следующим правилам:

трафик от прикладного шлюза к Internetразрешен,

трафик электронной почты от сервера электронной почты к Internetразрешен,

трафик от объектов Internetк прикладному шлюзу разрешен,

трафик электронной почты от Internetк серверу электронной почты разрешен,

трафик ftp, gopherи т.д. от Internetк информационному серверу разрешен, весь остальной трафик запрещен.

Внешний маршрутизатор запрещает доступ из Internetк системам экранированной подсети и блокирует весь трафики к Internet,идущий от систем, которые не должны являться инициаторами соединений (информационный сервер и др. системы). Маршрутизатор можно использовать и для блокирования любых других уязвимых протоколов, которые не должны передаваться к хостам экранированной подсети или от них.

Внутренний маршрутизатор осуществляет трафик к системам экранированной подсети и от них согласно следующим правилам:

трафик от прикладного шлюза к системам сети разрешен,

трафик электронной почты от сервера электронной почты к системам сети разрешен,

прикладной трафик от систем сети к прикладному шлюзу разрешен,

трафик электронной почты от систем сети к серверу электронной почты разрешен,

трафик ftp, gopherи т.д. от систем сети к информационному серверу разрешен, весь остальной трафик запрещен.

Таким образом, ни одна система сети не достижима непосредственно из Internetи наоборот, как и для Firewallс простым шлюзом. Главным отличием является то, что маршрутизаторы используются для направления трафика к конкретным системам, что исключает необходимость того, чтобы прикладной шлюз выполнял роль маршрутизатора. Это позволяет достигнуть большей пропускной способности. Следовательно, Firewallс экранированной подсетью наиболее подходит для сетей с большими объемами трафика или с очень высокими скоростями обмена.

Наличие двух маршрутизаторов является избыточным, поскольку для того, чтобы проникнуть непосредственно в системы сети, нарушитель должен преодолеть оба маршрутизатора. Прикладной шлюз, сервер электронной почты и информационный сервер должны быть настроены так, чтобы только они были доступны из Internet.В базе данных DNS,достижимой для внешних систем, не должны использоваться имена остальных систем. Прикладной шлюз может содержать программы усиленной аутентификации. Очевидно, он требует сложного конфигурирования, однако использование для прикладных шлюзов и фильтров отдельных систем упрощает конфигурирование и управление.

Firewallс экранированной подсетью, как и Firewallс экранированным шлюзом, можно сделать более гибким, допуская трафик между Internetи системами сети для некоторых проверенных служб. Однако такая гибкость может привести к тому, что будет необходимо сделать некоторые исключения из политики безопасности, что ослабит эффективность Firewall.Во многих случаях больше подходитFirewall с простым шлюзом, поскольку он не допускает ослабления политики безопасности (так как через него не могут проходить службы, не обладающие соответствующими полномочиями). Однако там, где пропускная способность и гибкость имеют большое значение, более предпочтителен Firewallс экранированной подсетью.

Вместо того, чтобы пересылать службы непосредственно между Internetи системами сети, можно разместить системы, требующие этих служб, прямо в экранированной подсети. Например, сеть, не допускающая трафика Х Windowsили NFSмежду Internetи системами сети, но все же требующая определенные службы, может разместить системы, требующие доступ, в экранированной подсети. Эти системы могут по-прежнему сохранять доступ к остальным системам сети, через прикладной шлюз и по необходимости реконфигурируя внутренний маршрутизатор. Такое решение могут использовать сети, требующие высокого уровня безопасности.

Firewallс экранированной подсетью обладает двумя недостатками.

Во-первых, существует принципиальная возможность доступа в обход прикладного(ых) шлюза(ов). Это верно и для случая Firewallс экранированным шлюзом, однако Firewall с экранированной подсетью допускает размещение в ней систем, требующих прямого доступа к службам Internet.

Вторым недостатком является то, что маршрутизаторы требуют большого внимания для обеспечения необходимого уровня безопасности. Как уже отмечалось, фильтрующие маршрутизаторы сложно конфигурировать, и из-за ошибок могут возникнуть лазейки в безопасности всей сети.