NetdefendOS_2.27.01_Firewall_User_Manual_RUS

Если используется SAT, например, для Web- или FTP-сервера, необходимо направить трафик в
каналы, в противном случае он обойдет Traffic shaping и тем самым нарушит запланированную
систему QoS. Помимо этого, инициация соединения с сервером выполняется с внешней стороны,
поэтому направление каналов необходимо изменить в обратную сторону: прямым каналом будет
канал in-pipe, а обратным – out-pipe.
Простым решением является помещение правила «catch-all-inbound», отвечающего за обработку
всего входящего трафика, ниже основного правила каналов. Тем не менее, чтобы избежать
помещения в каналы трафика, исходящего из внутренней сети и направленного к внешним IPадресам,
в качестве интерфейса источника должен быть указан внешний интерфейс (wan). Поэтому
последнее правило должно выглядеть следующим образом:
Rule Forward Return
Name Pipes Pipes
all-in in-pipe outpipe
Д
Source Source Dest Dest Selected Prece
Interface Network Interface Network Service dence
wan all-nets core all-nets All 0
10.2. Traffic Shaping на основе IDP
10.2.1. Обзор
Примечание: SAT и IP-адреса из ARP-таблицы
Если SAT использует IP-адреса, принудительно прописанные в ARPтаблице,
то в качестве интерфейса назначения должен быть указан
интерфейс wan.
Назначением функции Traffic Shaping на основе IDP является управление трафиком, основанное на
информации, поступающей от подсистемы обнаружения и предотвращения вторжений (Intrusion
Detection and Prevention, IDP) NetDefendOS (за дополнительной информацией см. Раздел 6.5,
«Обнаружение и предотвращение вторжений»).
Проблема использования полосы пропускания
Основной задачей Traffic Shaping на основе IDP является решение проблем в управлении трафиком,
связанных с ресурсоемкими приложениями. Типичным примером этого является трафик,
генерируемый приложениями, работающими по протоколам peer-to-peer (P2P), например, такими как
Bit Torrent и Direct Connect.
Перегрузки трафика, создаваемые P2P-соединениями, могут негативно повлиять на качество
обслуживания остальных пользователей сети. Поэтому провайдеру или администратору
корпоративной сети необходимо контролировать полосу пропускания, занимаемой этими
приложениями, и Traffic Shaping на основе IDP предоставляет такую возможность.
Объединение IDP и Traffic Shaping
Одной из проблем, связанных с управлением такого типа трафика как P2P, является возможность
отличить его от другого трафика. Сигнатурные базы NetDefendOS уже предоставляют
высокоэффективные средства для выполнения такого опознавания, а в качестве дополнения к этому
NetDefendOS также предоставляет возможность применить принудительное урезание полосы
пропускания с помощью подсистемы Traffic shaping NetDefendOS после того, как целевой трафик
опознан.
Traffic Shaping на основе IDP – это комбинация двух функций, где потоки трафика,
идентифицированные подсистемой IDP, автоматически направляются в заданные каналы подсистемы
Traffic shaping для управления данными потоками.
447