Межсетевые экраны и прокси серверы

Экраны базируются на двух основных приемах защиты:
♦ 1. пакетной фильтрации,
♦ 2. серверах-посредниках (proxy-server)

Технология трансляции сетевых адресов
IPR
IP4
IP3
IP1
IP2
IP5

IP-spoofing
Packet filtering firewall

Взаимное расположение Firewall’а и VPN-шлюза
А) VPN-шлюз перед firewall’ом
Недостаток:
VPN-шлюз принимает на себя все внешние атаки по незашифрованному трафику

Взаимное расположение Firewall’а и VPN-шлюза
B) VPN-шлюз позади firewall’а
Защищенность улучшается
Firewall отражает все внешние атаки
Firewall должен пропускать зашифрованный трафик

Взаимное расположение Firewall’а и VPN-шлюза
С) VPN-шлюз совмещен с Firewall’ом
Наиболее привлекательное решение
Просто администрировать - единая аутентификация
Высокие требования к производительности интегрированного устройства
Нельзя применить для standalone VPN-шлюзов

Взаимное расположение Firewall’а и VPN-шлюза
D) VPN-шлюз «сбоку» Firewall’а
Два канала с публичной сетью
Зашифрованный трафик обрабатывается VPN-шлюзом, а затем - Firewall’ом
Высокая надежность защиты
Высокая надежность соединения с публичной сетью (резервирование каналов)

Взаимное расположение Firewall’а и VPN-шлюза
D) VPN-шлюз имеет параллельное соединение с защищаемой сетью
Недостаточная степень защиты - зашифрованный трафик не проходит через firewall
Высокая надежность соединения с публичной сетью (резервирование каналов)

Относительная вычислительная мощность, требуемая для выполнения основных операций маршрутизатора, брандмауэра и устройства VPN

Пример применения FireWall-1
MONK

Сервер-посредник (proxy-server)