NetdefendOS_2.27.01_Firewall_User_Manual_RUS

ProxyAndClients
Если функция Record-Route включена, то Сеть назначения для исходящего трафика от
пользователей proxy-сервера может быть ограничена в правилах выше с помощью «ip_proxy».
При получении входящего вызова, SIP ALG придерживается правила SAT и перенаправит запрос SIP
на proxy-сервер. Proxy-сервер, в свою очередь, перенаправит запрос конечному клиенту.
Если функция Record-Route выключена на proxy-сервере, в зависимости от статуса SIP-cессии, SIP
ALG может перенаправить входящие SIP-сообщения непосредственно клиенту с игнорированием
SIP proxy-сервера. Это происходит автоматически без дополнительных настроек.
Решение B – Без использования NAT
Если NAT не используется, правило NAT для исходящего трафика заменяется правилом Allow.
Правило SAT для исходящего трафика и правила Allow заменяются одним правилом Allow.
OutboundFrom
Proxy&Clients
InboundTo
Proxy&Clients
Действие
(Action)
Интерфейс
источника
(Src
Interface)
Сеть
источника
(Src
Network)
Allow lan lannet
(ip_proxy)
Интерфейс
назначения
(Dest
Interface)
Сеть
назначения
(Dest
Network)
wan all-nets
Allow wan all-nets lan lannet
(ip_proxy)
Если функция Record-Route включена, то сети в правилах указанных выше могут быть
дополнительно ограничены с помощью «(ip_proxy)» как указано в таблице.
Сценарий 3
Защита proxy-сервера и локальных клиентов – Proxy-сервер подключен к
интерфейсу DMZ
Данный сценарий аналогичен предыдущему, за исключением расположения локального SIP proxyсервера.
Сервер работает на отдельном интерфейсе и подключен к локальной сети. Эта установка
увеличивает уровень безопасности, так как передача данных по протоколу SIP не осуществляется
напрямую между удаленной конечной точкой и локальным, защищенным клиентом.
В данном сценарии уровень сложности выше, так как поток SIP-сообщений проходит через три
267