Общие сведения
В решении Traffic Inspector Next Generation используется межсетевой экран Packet Filter.
Межсетевой экран решает множество задач. Вот лишь некоторые из них:
Защита устройства TING и компьютеров внутренней сети от несанкционированного доступа со стороны Интернета
Трансляция сетевых адресов (NAT)
Публикация внутренних служб (проброс портов)
Контроль доступа внутренних пользователей к компьютерам в сети Интернет
Перехват пакетов и их перенаправление на само устройство TING (как часть прозрачного проксирования и функционала SSL Bump)
Обработка пакетов межсетевым экраном осуществляется в соответствии с директивами и правилами, содержащимися в конфигурационном файле /tmp/rules.debug. Не стоит вручную менять содержимое данного файла, так как он генерируется автоматически, в соответствии с настройками, задаными в веб-интерфейсе устройства TING.
Примечание
Настройка межсетевого экрана должна осуществляться через веб-интерфейс устройства TING.
Для удобства, в веб-интерфейсе правила межсетевого экрана задаются отдельно для каждого из адаптеров, настроенных в системе. Сетевой пакет проверяется на совпадение с критериями правил по порядку, сверху вниз.
Если сетевой пакет удовлетворяет критериям правила, то к пакету применяется действие, заданное в правиле. Если к пакету применено правило, то обработка пакета сетевым экраном прекращается - такой пакет далее не будет сверяться с оставшимися правилами в списке.
Действия блокировать (block) и отклонить (reject) предполагают блокирование пакета межсетевым экраном (причем, в первом случае, удаленная сторона никак не оповещается о свершившейся блокировке). Действие пропустить (pass) разрешает прохождение пакета через межсетевой экран и приводит к созданию состояния.
Если сетевой пакет не удовлетворяет критериям ни одного правила, то пакет блокируется (т.е. отбрасывается без индикации удаленной стороне).
Порядок правил в списке, имеет значение и им можно управлять.
Межсетевой экран в TING поддерживает контекстную инспекцию пакетов - режим работы, обозначаемый в англоязычной литературе термином stateful packet inspection. Это означает, что межсетевой экран может рассматривать не каждый пакет в отдельности, а вместо этого отслеживает состояние активных подключений, т.е. последовательности пакетов, тесно связанных между собой, и составляющих сеанс взаимодействия между парой хостов.
Если обрабатываемый пакет может быть соотнесен с существующим соединением (т.е. существует соответствующая запись о состоянии), то такой пакет не будет сверяться с правилами фильтрации, что значительно ускоряет обработку пакетов для установленных соединений.
Ниже приводится упрощенная блок-схема, позволяющая составить общее представление о логике работы межсетевого экрана. На схеме, квадраты, границы которых изображены пунктирными линиями, обозначают опциональные действия, которые будут иметь место, если были сделаны соответствующие настройки:
Опционально, в правиле межсетевого экрана может быть настроена опция журналирования, что приведет к добавлению информации о пакете и результатах его обработки в журнал межсетевого экрана.
С помощью правил межсетевого экрана также осуществляется перенаправление пакетов (redirect) и трансляция сетевых адресов (NAT).
Функционал трансляции сетевых адресов (NAT) более известен как механизм, позволяющий «раздать Интернет на пользователей внутренней сети».
В наиболее общем сценарии, организации выделяется один «белый» IP-адрес, который присваивается WAN-адаптеру шлюза TING. Компьютеры внутренней сети настраиваются с использованием диапазона «серых» IP-адресов (из диапазонов для частных сетей, описанных в RFC 1918).
Для того, чтобы работать в Интернете, компьютеры внутренней сети должны иметь «белые» IP-адреса. Компьютеры внутренней сети таких адресов не имеют и, если нужно взаимодействовать с компьютерами в Интернете, отсылают свой трафик через шлюз TING. Шлюз не только маршрутизирует пакеты, но еще и переписывает адрес источника (и, если необходимо, порт источника) в этих пакетах. За счет подобной обработки пакетов, компьютеры внутренней сети, фактически, работают в Интернете под «белым» IP-адресом WAN-адаптера шлюза. Сам шлюз также сохраняет возможность работать с этого адреса. Устройство TING отслеживает соединения и осуществляет все необходимые прямые и обратные преобразования адресов в пакетах.