Сетевые технологии. Кольтюков Н.А - 40 стр.

UptoLike

ВУЗ: 

ТГТУ | Тамбов

Составители: 

Рубрика: 

Хост-
бастион
Internet
Остальные узлы
корпоративной сети
Информационный
сервер
Экранированный
маршрутизатор
Условные обозначения:
Трафик приложений
Остальной трафик
Рис. 2.5. Брандмауэр с экранируемым хостом
Преимущество данной структуры состоит в том, что информационный сервер общего пользования,
поддерживающий протоколы FТР, Telnet, НТТР, может находиться в сети между экранирующим мар-
шрутизатором и хостом-бастионом. Если нужно усилить систему защиты, то проводят такую конфигу-
рацию, что доступ к информационному серверу, который необходим и внешним, и внутренним пользо-
вателям, разрешается только через хост-бастион. На практике одной из основных функций хоста-
бастиона считается исполнение роли прокси-сервера для различных служб, включающих FТР, НТТР,
Telnet, DNS, SMTP.
К сожалению, если злоумышленнику удаётся прорваться через хост-бастион, то все узлы частной
сети становятся ему доступны. В брандмауэре с двунаправленным хостом невозможно пройти через
защитный хост, минуя соответствующий прокси-сервер. В отличие от этой схемы МСЭ с экранируемым
хостом требует наличия экранирующего маршрутизатора и хоста-бастиона.
Брандмауэр с экранирующей подсетью
. Эта схема расширяет возможности рассмотренной выше
системы, в которой в качестве элемента защиты используется экранированный хост. Здесь тоже применя-
ются экранирующий, или внешний, маршрутизатор и хост-бастион. Однако данный защитный барьер, на-
зываемый
демилитаризованной зоной
(DеMilitarized Zone – DМZ), создаёт высший уровень безопасности
за счёт дополнительного периметра сети, усиливающего изоляцию частной сети от Internet. Межсетевой
экран определяет границы DMZ между внешним и внутренним маршрутизаторами, причём последний
находится ближе к частной сети. Демилитаризованная зона – это внутренняя экранирующая подсеть, гра-
ницами которой служат внутренний и внешний маршрутизаторы. Как показано на рис. 2.6, хост-бастион и
информационный сервер находятся внутри DMZ.
Рис. 2.6. Схема межсетевого экрана с применением экранирующей подсети
как средства защиты

Страницы