ZyXEL Communications 660H/HW(-I) Manual do Utilizador descarregar pdf (Página 133)

Техническое руководство P-660H/HW

Межсетевые экраны 11-11

защиты межсетевого экрана или блокировать весь доступ в Интернет. Будьте

очень осторожны при создании или удалении правил межсетевого экрана.

Проверьте изменения после их создания, чтобы убедиться, что они работают

надлежащим образом.

Ниже представлено краткое техническое описание того, как эти соединения отслеживаются.

Соединения могут определяться или протоколами верхнего уровня (напр., TCP) или самим Prestige

(как и в случае "виртуальных соединений", созданных для UDP и ICMP).

11.5.3 Безопасность TCP

Prestige использует информацию состояния, встроенную в пакеты TCP. Первый пакет любого нового

соединения имеет свой установленный флаг SYN и свой очищенный флаг ACK; это пакеты -

"инициаторы". Все пакеты, не имеющие этой структуры флагов, называются "последующими"

пакетами, так как они представляют данные, возникающие далее в потоке TCP.

Если инициация пакета происходит в WAN, это означает, что кто

-то пытается подсоединиться из

Интернета в LAN. Эти пакеты сбрасываются и регистрируются. Исключение составляют несколько

особых случаев (см. "Протокол верхнего уровня", представленный далее).

Если инициация пакета происходит в LAN, это означает, что кто-то пытается подсоединиться из LAN

к Интернету. Полагая, что это является приемлемой частью политики безопасности (как это

установлено в политике

по умолчанию), соединение будет разрешено. Добавляется запись в кэш,

которая включает информацию о подключении, а именно IP-адреса, порты TCP, порядковые номера и

т.д.

Если Prestige получает последующий пакет (из Интернета или из LAN), то его информация о

подключении извлекается и проверяется в зависимости от кэш. Для пересылки допускается только

тот пакет, который соответствует

правомерному соединению (т.е., если он является ответом на

соединение, исходящее из LAN).

11.5.4 Безопасность UDP/ICMP

UDP (Протокол передачи дейтаграмм пользователя) и ICMP (Протокол управляющих сообщений в

сети Интернет) сами по себе не содержат никакой информации о подключении (как например,

порядковые номера). Однако, самое наименьшее, что они содержат, это пару IP-адресов (источника и

назначения). UDP также содержит пары портов, а ICMP имеет информацию о типе и коде. Все эти

данные

должны быть проанализированы для создания "виртуальных соединений" в кэш.

Напр., любой пакет UDP, исходящий из LAN, создаст запись в кэш. Его IP-адрес и пары портов

записываются. Через небольшой промежуток времени, пакетам UDP из WAN, которые имеют

соответствие IP и UDP, информации будет разрешено вернуться через межсетевой экран.

1 2 ... 128 129 130 131 132 133 134 135 136 137 138 ... 462 463

Sem comentários

ZyXEL Communications 660H/HW(-I) Manual do Utilizador Página 133