Firewall

[ Pobierz całość w formacie PDF ]

(FTP, Telnet) oprogramowanie dla nowych lub też rzadko używanych protokołów jest często trudne
do znalezienia. Zazwyczaj mamy do czynienia z pewnym opóznieniem pomiędzy pojawieniem się
nowego serwisu a dostępnością serwerów proxy dla niego.
Serwisy proxy mogą wymagać różnych serwerów dla każdego z serwisów
Możliwa jest potrzeba posiadania różnych serwerów dla poszczególnych protokołów.
Serwisy proxy zazwyczaj wymagają wprowadzenia modyfikacji do klientów, procedur.
Z powodu wprowadzanych modyfikacji aplikacje takie często nie pracują tak jak zwykłe aplikacje
(ang. nonproxied applications).
Serwisy proxy nie nadają się do zastosowania z niektórymi serwisami
Serwisy proxy nie chronią przed wszystkimi słabościami protokołów.
Jako rozwiązanie bezpieczeństwa, proxing bazuje na zdolności określania które operacje w
protokole są bezpieczne. Niestety nie wszystkie protokoły dostarczają prostego sposobu zrobienia
tego.
8.2. Typy serwerów proxy
8.2.1. Application-Level Proxy
Application-level proxy to takie proxy, które wie coś o konkretnej aplikacji, dla której świadczy usługę, jak
również rozumie i interpretuje komendy w protokole aplikacji.
Generalnie proxy application-level używają zmodyfikowanych procedur celem uzyskania korzyści z wiedzy
na temat obsługiwanego przez nie protokołu aplikacji. Proxy tego rodzaju są w stanie pobierać potrzebne
informacje z obsługiwanego przez nie protokołu aplikacji.
Proxy tego rodzaju dostarczają standardowej funkcjonalności (sprawdzanie adresów IP) jak również
zawansowanej analizy pakietów przechodzących. Przychodzące pakietu są oceniane w oparciu o
Plik: final_dokumentation_release_2.0 Wersja: 1.0- z dnia 21.06.2002 Stron: 63 Długość: 872 kB
Copyright � 2002 Akademia Górniczo-Hutnicza Prowadzenie zajęć: mgr inż. Bogusław Juza
47
Piotr Nowak, Artur Majka, Dariusz Kościelniak Firewall - metody filtracji
zdefiniowaną polityką bezpieczeństwa. Pakiety mogą wejść do sieci wewnętrznej tylko w tedy, gdy są
zgodne z wymaganą polityką bezpieczeństwa.
Typowe proxy tego rodzaju mogą dostarczać usług dla aplikacji i protokołów takich jak Telnet, FTP, HTTP,
SMTP. Należy zauważyć że odpowiednie proxy muszą zostać zainstalowane dla każdego serwisu warstwy
aplikacji.
Zasada działania przedstawia się następująco:
W momencie gdy użytkownik inicjalizuje połączenie z proxy, wówczas proxy dokonuje otwarcia nowego
połączenia (innej sesji) do zewnętrznej sieci, tak więc każda aktualna sesja posiada drugą automatycznie
generowaną. Pozwala to na pełną kontrolę ruchu odbywającego się na serwerze. Definiowane przez
administratorów polityki bezpieczeństwa pozwalają na bardzo elastyczne definiowanie zasad określających
obsługę przechodzących pakietów.
Poniższy rysunek przedstawia ideę działania tego rodzaju proxy.
Rysunek 11. Application-Level Proxy
8.2.2. Circuit-Level Proxy
Circuit-level proxy to takie proxy, które tworzy połączenie pomiędzy klientem a serwerem bez interpretacji
protokołu aplikacji. Przykładem takiego proxy mogą być obecnie stosowane hybrydowe proxy gateways,
które wyglądają od zewnątrz jak proxy, natomiast od środka jak rutery filtrujące. Ponieważ proxy tego
rodzaju nie potrafią interpretować protokołu aplikacji potrzebują zazwyczaj zmodyfikowanych klientów,
celem uzyskania potrzebnych informacji.
Plik: final_dokumentation_release_2.0 Wersja: 1.0- z dnia 21.06.2002 Stron: 63 Długość: 872 kB
Copyright � 2002 Akademia Górniczo-Hutnicza Prowadzenie zajęć: mgr inż. Bogusław Juza
48
Piotr Nowak, Artur Majka, Dariusz Kościelniak Firewall - metody filtracji
Zaletą takich proxy jest fakt iż dostarczają one usług dla różnych protokołów. Większość serwerów proxy
tego typu może zostać przystosowana do obsługi prawie dowolnego protokołu. Jakkolwiek nie każdy
protokół może być w łatwy sposób obsługiwany przez tego rodzaju proxy. Wadą tego rodzaju serwerów
proxy jest fakt iż dostarczają one bardzo małą kontrolę tego co w takim proxy się dzieje. Podobnie jak filtry
pakietów dokonują one jedynie kontroli połączenia na poziomie podstawowym, tzn. adresów zródłowych i
docelowych i nie mogą w żaden sposób określać czy komendy przechodzące przez nie są bezpieczne, czy też
zgodne z wymaganym protokołem.
Zasada działania tego rodzaju proxy serwerów jest bardzo prosta. Zapytanie internetowe wędruje do
serwera proxy. Serwer proxy przekazuje zapytanie do Internetu po ty jak dokona zmiany adresu IP.
Zewnętrzni użytkownicy widzą zatem jedynie adres IP serwera proxy. Odpowiedz jest pobierana przez
proxy i przesyłana z powrotem do klienta. Tym sposobem zewnętrzni użytkownicy nie są w stanie uzyskać
dostępu do wewnętrznego systemu.
Poniższy rysunek przedstawia ideę działania tego rodzaju proxy.
Rysunek 12. Circuit-Level Proxy
8.2.3. Stateful Inspection
Jednym z rodzajów firewall i są tzw. stateful multi-layer inspection firewalls, łączące w sobie trzy typy
firewall i. Dokonują one filtracji pakietów na poziomie warstwy sieciowej, określają czy pakiety sesyjne są [ Pobierz całość w formacie PDF ]