Межсетевые экраны

Теперь, когда у вас есть достаточно безопасная операционная система и вы освоили несколько основных приемов, перейдем к использованию некоторых более сложных защитных средств. В этой лекции описано, как настраивать и обслуживать безопасный межсетевой экран с открытыми исходными текстами. Если у вас уже есть межсетевые экраны, можно все равно прочитать данную лекцию, чтобы освежить в памяти или узнать, как они действуют. Это пригодится при изучении следующих лекций, где обсуждаются сканеры портов и уязвимостей.

Межсетевой экран - это устройство, являющееся первым рубежом передовой линии обороны против всех входящих атак или ненадлежащего использования вашей сети. Межсетевой экран может отразить или смягчить многие виды атак и экранировать (заслонить) внутренние серверы и рабочие станции от Интернета. Межсетевой экран способен также предотвратить доступ извне к машинам внутренних ЛВС. При растущем использовании случайных сканеров и автоматических червей и вирусов, экранирование внутренних машин от Интернета важно как никогда. Правильно сконфигурированный межсетевой экран существенно продвинет вас по пути защиты от внешних атак. (Защита от внутренних атак - совершенно другая проблема, которая рассматривается в лекциях с 4 по 7).

В наше время мало кто сомневается, что межсетевой экран является обязательным компонентом любой инфраструктуры безопасности. Доступно множество жизнеспособных коммерческих альтернатив: Cisco, NetScreen, SonicWALL, Checkpoint - это лишь небольшая часть поставщиков высококлассных коммерческих решений, ориентированных на большие корпоративные сети с интенсивными потоками данных.

Компании Linksys (принадлежащая теперь Cisco), D-Link, NETGEAR предлагают младшие модели межсетевых экранов потребительского уровня. Как правило, подобные устройства не обладают высокой конфигурируемостью и расширяемостью: обычно они действуют как пакетные фильтры, блокируя входящие соединения и осуществляя динамическую трансляцию сетевых адресов. Они предназначаются для кабельных и DSL-соединений и могут не выдержать более высокой нагрузки.

Старшие модели межсетевых экранов сделают практически все, что вы от них захотите, но это потребует денежных затрат - как минимум, нескольких тысяч долларов. Для их настройки зачастую требуется изучение нового синтаксиса или интерфейса. Некоторые из более новых моделей, такие как SonicWALL и NetScreen, поставляются с интерфейсом конфигурации на основе Web, но это обычно достигается за счет меньшей глубины конфигурационных опций.

Малоизвестный и редко афишируемый секрет некоторых коммерческих межсетевых экранов состоит в том, что в их основе лежит программное обеспечение с открытыми исходными текстами. На самом деле вы платите за высококачественную коробку и линию технической поддержки. Это может быть оправданным для организаций, которые нуждаются в дополнительной поддержке. Однако, если вы готовы изучать еще один интерфейс, и если в коммерческом продукте используются те же технологии, которые доступны бесплатно, почему бы не создать свой собственный межсетевой экран с помощью средств с открытыми исходными текстами, представленных в этой книге, и сохранить своей фирме тысячи долларов? Даже если вы не собираетесь выбрасывать свой коммерческий межсетевой экран, лучшее понимание его работы и того, что происходит за сценой, поможет сделать его конфигурацию более безопасной.

Прежде чем мы погрузимся в инструментарий, я хочу рассмотреть основы функционирования межсетевых экранов и обработку ими различных сетевых протоколов для ограничения доступа к сети. Даже если вы не планируете использовать программное обеспечение с открытыми исходными текстами для своего межсетевого экрана, полезно знать немного больше о том, что в действительности происходит внутри этого черного ящика.