Информационная безопасность. Макаренко С.И. - 234 стр.

  Рис. 17.1 - Соединения модуля доступа межсетевого экрана прикладного
                                 уровня

      Как показано на рисунке, соединение начинается на системе-клиенте и
поступает на внутренний интерфейс межсетевого экрана. Межсетевой экран
принимает соединение, анализирует содержимое пакета и используемый
протокол и определяет, соответствует ли данный трафик правилам политики
безопасности. Если это так, то межсетевой экран инициирует новое
соединение между своим внешним интерфейсом и системой-сервером.
      Межсетевые экраны прикладного уровня используют модули доступа
для входящих подключений. Модуль доступа в межсетевом экране
принимает входящее подключение и обрабатывает команды перед отправкой
трафика получателю. Таким образом, межсетевой экран защищает системы
от атак, выполняемых посредством приложений.

          17.1.2 Межсетевые экраны с пакетной фильтрацией

      Правила политики в межсетевых экранах с пакетной фильтрацией
устанавливаются посредством использования фильтров пакетов. Фильтры
изучают пакеты и определяют, является ли трафик разрешенным, согласно
правилам политики и состоянию протокола (проверка с учетом состояния).
Если протокол приложения функционирует через TCP, определить
состояние относительно просто, так как TCP сам по себе поддерживает
состояния. Это означает, что когда протокол находится в определенном
состоянии, разрешена передача только определенных пакетов.
      При использовании межсетевого экрана с пакетной фильтрацией
соединения не прерываются на межсетевом экране (см. рис. 16.2), а
направляются непосредственно к конечной системе. При поступлении
пакетов межсетевой экран выясняет, разрешен ли данный пакет и
состояние соединения правилами политики. Если это так, пакет передается
по своему маршруту. В противном случае пакет отклоняется или
аннулируется.




                                   234