NetdefendOS_2.27.01_Firewall_User_Manual_RUS

3.Далее устанавливается новое соединение, которое не запускает правило IDP, но у которого тот
же IP-адрес назначения и источника, что и у соединения, запустившего правило. Если адрес
источника или назначения является участником диапазона IP-адресов, заданного в поле
Network, то трафик направляется в канал, в котором выполняется Traffic shaping первичного
соединения, включившего правило.
Если значение Network не указано, то данное новое соединение будет также направлено в канал
с трафиком соединения, запустившего правило, что адреса источника и назначения
одинаковые.
10.2.4. Важность указания сети
Каждая сторона может запустить IDP
Прочитав вышеуказанное описание обработки потока, можно убедиться в важности указания сети.
Подсистема IDP не может знать, какая из сторон запустила правило. Иногда инициатором является
клиент, а иногда отвечающий сервер. Если прохождение трафика с обеих сторон становится
затруднительным, возможно, причина в непреднамеренном воздействии Traffic shaping на
соединения, которые не должны подвергаться обработке.
Непреднамеренное воздействие
Рассмотрим ситуацию, когда клиент А подключается к хосту Х по P2P-протоколу и запускает IDP
ID-правило, в котором в качестве действия задано Pipe, таким образом, данное соединение
становится объектом для Traffic shaping. Теперь, если другой клиент Б также подключается к хосту
Х, но по HTTP-протоколу, правило IDP не запускается, и соединение не должно быть подвергнуто
действию Traffic shaping наряду с соединением клиента А на основании того, что вовлечен хост Х.
Исключение хостов
Для того чтобы избежать непреднамеренного воздействия, мы указываем IP-адреса клиента А и
клиента Б в диапазоне поля Network, а IP-адрес хоста Х не указываем. При этом система
NetDefendOS проинформирована о том, что хост Х не является причиной для принятия решения о
включении новых соединений, не отвечающих непосредственно за срабатывание IDP-правила, в
Traffic shaping.
Возможно, указание адреса клиента Б в сетевом диапазоне может показаться нелогичным, но это
выполняется на предположении, что клиент Б является пользователем, чей трафик также может быть
подвержен действию Traffic shaping, если он участвует в передаче данных по P2P.
Если сеть не задана, то любое соединение с участием либо клиента А, либо хоста Х будет объектом
для Traffic shaping, что, возможно, окажется нежелательным.
10.2.5. Сценарий P2P
Схема, представленная ниже, отображает типичный сценарий с использованием передачи данных по
P2P-протоколу. Последовательность событий выглядит следующим образом:
• Клиент с IP-адресом 192.168.1.15 инициирует передачу файлов по P2P-протоколу через
соединение (1) с сервером Tracking server с адресом 81.150.0.10.
• Данное соединение запускает IDP-правило NetDefendOS, связанное с сигнатурой IDP,
целевыми объектами для которой являются P2P-приложения.
• Действие Pipe в правиле создает канал Traffic shaping с заданной пропускной способностью, и
соединение направляется в этот канал.
• Последующее зависимое соединение (2) с файл-хостом 92.92.92.92 выполняется в пределах
временного интервала IDP-правила, поэтому трафик данного соединения направлен в канал и
подвергается действию Traffic shaping.
449