NetdefendOS_2.27.01_Firewall_User_Manual_RUS

Но иногда Ethernet-сеть может быть разделена на две части маршрутизирующим устройством,
например межсетевым экраном NetDefend. В данном случае сама система NetDefendOS может
отвечать на ARP-запросы, отправляя их в сеть, расположенную с другой стороны межсетевого
экрана NetDefend, такой метод называется Proxy ARP.
Обычно метод Proxy ARP применяется при разделении Ethernet-сети на отдельные части таким
образом, чтобы была возможность управления трафиком. В системе NetDefendOS для обеспечения
безопасности трафика, проходящего между частями сети, используются наборы IP-правил.
Пример
Типичным примером является разделение сети на две подсети с установкой межсетевого экрана
NetDefend между ними.
Хост А одной подсети может отправлять другой подсети В ARP-запросы для выяснения соответствия
между MAC-адресом и IP-адресом. При включенной функции Proxy ARP система NetDefendOS
отвечает на этот запрос – отправляет MAC-адрес вместо хоста В. После получения ответа хост А
отправляет данные непосредственно системе NetDefendOS, которая в свою очередь перенаправляет
их хосту В. В процессе прохождения трафика система NetDefendOS проверяет его на соответствие
наборам IP-правил.
Настройка Proxy ARP
При настройке Proxy ARP в таблице маршрутизации определяются операции для маршрута. Пример:
сеть, состоящая из двух подсетей net_1 и net_2.
Сеть net_1 связана с интерфейсом if1, сеть net_2 связана с интерфейсом if2. Route_1 – маршрут в
системе NetDefendOS, описывающий, что сеть net_1 подключена к интерфейсу if1.
Для маршрута route_1 можно использовать Proxy ARP для сети net_1 и интерфейса if2. После этого
любой ARP-запрос хоста из сети net_2, связанной с if2, будет получать ответ от системы
NetDefendOS при поиске IP-адреса в сети net_1. Другими словами, система NetDefendOS будет
ссылаться на то, что адрес из сети net_1 якобы найден на интерфейсе if2, и сама обеспечит
прохождение трафика к net_1.
Таким же образом, включив Proxy ARP, можно опубликовать сеть net_2 на интерфейсе if1 для
зеркалирования маршрутов.
№ маршрута Сеть
Интерфейс Публикация Proxy ARP
(Route #) (Network)
(Interface) (Proxy ARP Published)
1 net_1 if1 if2
2 net_2 if2 if1
В рассмотренном выше примере имеется возможность прозрачного обмена данными между хостами,
при этом сети физически разделены. Пара маршрутов является зеркальным отображением друг друга
и в таком типе соединения необязательно использовать Proxy ARP.
Следует учитывать, что если хост отправляет ARP-запрос IP-адреса, находящегося вне локальной
сети, то этот запрос будет отправлен к шлюзу, настроенному для этого хоста. Пример такого
соединения проиллюстрирован на следующем рисунке:
156