NetdefendOS_2.27.01_Firewall_User_Manual_RUS

маршрутизатор и использует маршрутизацию на 3 уровне модели OSI. Если межсетевой экран
размещен в сети впервые или если изменилась топология сети, то конфигурация маршрутизации
должна быть проверена на совместимость таблицы маршрутизации с новой топологией. Новая
настройка IP-параметров может потребоваться для уже существующих маршрутизаторов и
защищенных серверов. Коммутируемые маршруты следует применять при необходимости
всестороннего контроля над маршрутизацией.
При использовании коммутируемых маршрутов межсетевой экран NetDefend работает в прозрачном
режиме как коммутатор 2 уровня модели OSI, в котором происходит проверка IP-пакетов и их
передача к нужному интерфейсу без изменения информации об интерфейсах источника или
назначения на IP или Ethernet-уровне. Это достигается за счет того, что система NetDefendOS
сохраняет MAC-адреса хостов и позволяет физическим Ethernet-подсетям, расположенным по разные
стороны межсетевого экрана, функционировать как единой логической IP-сети (См. Приложение D,
Краткий обзор уровней модели OSI).
Преимущества прозрачного режима:
• Пользователь может перемещаться с одного интерфейса на другой без изменения своего IPадреса
(предполагается, что фиксированные IP-адреса закреплены за пользователями сети) и
получать доступ к тем же сервисам, что и прежде (например, HTTP, FTP), не изменяя
маршруты.
• Один и тот же диапазон IP-адресов может использоваться на нескольких интерфейсах.
Примечание: Объединение прозрачного режима и режима
маршрутизации
Межсетевой экран NetDefend может работать сразу в
двух режимах: прозрачном и режиме маршрутизации. Коммутируемые маршруты
можно определить одновременно с некоммутируемыми, но на разных интерфейсах.
Каждый интерфейс может работать в одном из двух режимов.
Также возможен гибридный вариант, когда используется трансляция сетевых
адресов и часть трафика проходит в прозрачном режиме.
Как работает прозрачный режим
При использовании прозрачного режима система NetDefendOS позволяет ARP-транзакциям
проходить через межсетевой экран NetDefend, и на основании этого ARP-трафика определяет связь
между IP-адресами, физическими адресами и интерфейсами. NetDefendOS сохраняет информацию об
этих адресах для дальнейшей передачи IP-пакетов. Обмен ARP-транзакций происходит прозрачно и
обменивающиеся стороны не видят межсетевой экран NetDefend.
При установке нового соединения хост определяет физический адрес назначения путем отправки
ARP-запроса. Система NetDefendOS перехватывает этот запрос, и передает ARP-запрос на все
остальные интерфейсы, для которых созданы коммутируемые маршруты. Если в течение
настраиваемого интервала времени, система NetDefendOS получает ARP-ответ от интерфейса
назначения, то, используя сохраненную запись о состоянии ARP-транзакции, ARP-ответ передается
интерфейсу, через который она была запрошена.
Во время ARP-транзакции, система NetDefendOS изучает информацию об адресе источника,
информация о котором записывается в две таблицы: Content Addressable Memory (CAM, контекстноадресуемая
память) и КЭШ 3 уровня. В таблице CAM хранятся MAC-адреса, доступные для данного
интерфейса, а в КЭШ 3 уровня заносится соответствие между IP-адресами и MAC-адресами. КЭШ 3
уровня применяется только для IP-трафика, записи КЭШа хранятся как запись об одном хосте в
таблице маршрутизации.
Для каждого IP-пакета, проходящего через межсетевой экран NetDefend, осуществляется поиск
маршрута. Если маршрут пакета соответствует коммутируемому маршруту или записи КЭШа 3
уровня в таблице маршрутизации, то система NetDefendOS знает, что должна обрабатывать пакет в
прозрачном режиме. Если в маршруте доступны интерфейс назначения и MAC-адрес, то система
NetDefendOS получает необходимую информацию для дальнейшей передачи пакета. Если маршрут
207