NetdefendOS_2.27.01_Firewall_User_Manual_RUS

Рисунок 3.3. Упрощенное изображение потока трафика через систему NetDefendOS
Данное изображение потока трафика является упрощенным описанием, более подробная
информация приведена в Разделе 1.3, «NetDefendOS State Engine Packet Flow» .
Например, прежде чем начать поиск маршрута система NetDefendOS проверяет сеть источника
полученного трафика на наличие соответствующего интерфейса. Это делается путем выполнения
системой NetDefendOS механизма обратного поиска маршрута (reverse route lookup), то есть
таблицы маршрутизации ищутся для маршрута, который указывает, что сеть должна быть найдена
на данном интерфейсе.
При двунаправленном соединении должен логически существовать второй маршрут и с ним должна
быть связанна пара маршрутов (по одному для каждого направления).
3.5.2. Сравнение IP-правил
При создании через межсетевой экран NetDefend нового соединения, например TCP/IP-соединения,
сравнение IP-правил происходит сверху вниз до обнаружения правила, соответствующего
параметрам нового соединения. Затем выполняется действие Action.
Если действие разрешающее, то происходит создание нового соединения. Система NetDefendOS
добавляет информацию о состоянии нового соединения во внутреннюю таблицу состояний, которая
позволяет осуществить мониторинг открытых и активных соединений, проходящих через
межсетевой экран NetDefend. Если соединение соответствует правилам Drop или Reject, то оно
отклоняется.
Stateful Inspection
Совет: Правила в неправильном порядке иногда
вызывают проблемы
Важно помнить, что принцип поиска IP-правил в системе NetDefendOS –
сверху вниз, до первого подходящего правила.
Если IP-правило игнорируется, следует проверить список правил, идущих выше,
возможно оно не срабатывает в первую очередь.
После первоначального сравнения с правилами, открывающими соединение, последующим пакетам,
связанным с этим соединением, не требуется индивидуальное сравнение с набором правил. Вместо
этого высокоэффективный алгоритм поиска в таблице состояний определяет принадлежность
каждого пакета к установленному соединению.
Такой подход получил название stateful inspection (проверка состояний с учетом состояния
протокола), его можно применять не только для протоколов, использующих информацию о
состояниях (TCP), но и для протоколов, не использующих информацию о состояниях, «псевдосоединениях»,
таких как UDP и ICMP. Этот подход означает, что сравнение на соответствие
наборам IP-правил осуществляется только на этапе открытия соединения. Размер наборов IP-правил
не оказывает большого влияния на общую пропускную способность.
Первый принцип соответствия
Если несколько правил соответствуют некоторым параметрам, то соединение будет обрабатываться
в соответствии с тем правилом, которое при сканировании было найдено раньше остальных в списке
наборов правил.
118