NetdefendOS_2.27.01_Firewall_User_Manual_RUS

«черного списка» будет невозможно, так как «белый список» является более приоритетным.
Реализация HTTP ALG
Как указывалось во введении, объект HTTP вводится в использование по связи с объектом службы,
а затем по связи объекта службы с правилом в наборе IP-правил. Некоторые предварительно
определенные HTTP-сервисы могут использоваться с ALG. Например, для этой цели мог быть
выбран сервис http. До тех пор пока сервис связан с IP-правилом, ALG будет применяться к
трафику, разрешенному этим IP-правилом.
Сервис https (который также входит в сервис http-all) не может использоваться с HTTP ALG, так
как HTTPS-трафик зашифрован.
6.2.3. FTP ALG
File Transfer Protocol (FTP) – это протокол на основе TCP/IP, используемый для обмена файлами
между клиентом и сервером. Клиент запускает соединение, подключаясь к FTP-серверу. Как
правило, клиент аутентифицирует себя, предоставляя логин и пароль. После получения доступа,
сервер предоставляет клиенту список файлов/папок, доступных для загрузки/скачивания (в
зависимости от прав доступа). FTP ALG используется для управления FTP-соединениями через
межсетевой экран NetDefend.
FTP-соединения
FTP-протокол использует два канала связи: канал для передачи команд и канал для передачи
данных. При открытии FTP-сессии, FTP-клиент устанавливает TCP-соединение (канал управления) с
портом 21 (по умолчанию) на сервере FTP. Дальнейшее зависит от того, какой режим FTP будет
выбран.
Режимы FTP-соединений
FTP работает в двух режимах: активном и пассивном. Режимы определяют роль сервера при
открытии каналов для обмена данными между клиентом и сервером.
• Активный режим
В активном режиме FTP-клиент отправляет команду на FTP-сервер, указывая IP-адрес и порт, к
которому следует подключиться. FTP-сервер устанавливает канал для передачи данных обратно
к FTP-клиенту, используя полученную информацию.
• Пассивный режим
В пассивном режиме FTP-клиент открывает соединение с FTP-сервером для передачи команд.
Для FTP-клиентов рекомендуется режим по умолчанию, хотя некоторые рекомендации могут
быть противоположными.
Вопросы безопасности FTP
Активный и пассивный режимы FTP являются небезопасными для межсетевых экранов NetDefend.
Рассмотрим сценарий, когда FTP-клиент во внутренней сети подключается через межсетевой экран
к FTP-серверу в сети Интернет. Далее следует добавить IP-правило, чтобы разрешить прохождение
пакетов от FTP-клиента на порт 21 FTP-сервера.
При использовании активного режима система NetDefendOS не осведомлена, что FTP-сервер
установит новое соединение обратно к FTP-клиенту. Поэтому запрос на входящее соединение для
установки канала обмена данными будет отклонен. Так как номер порта, используемый для канала
передачи данных, является динамическим, единственное решение в данной ситуации – разрешить
трафик со всех портов FTP-сервера на все порты FTP-клиента, но это небезопасно.
239