NetdefendOS_2.27.01_Firewall_User_Manual_RUS

через интерфейс синхронизации, так и через другие интерфейсы.
Частота отправки пакетов обнаружения
Операционная система NetDefendOS активного устройства отправляет 5 пакетов обнаружения в
секунду, и если три пакета будут пропущены (т.е. через 0,6 секунд), инициируется восстановление
системы. Отправка пакетов обнаружения через все интерфейсы позволяет неактивному устройству
получать полную информацию о состоянии активного устройства. Даже если намеренно отключить
интерфейс синхронизации, механизм восстановления системы не будет запущен, если неактивное
устройство получает достаточно пакетов обнаружения через другие интерфейсы, например, через
коммутатор, который подключен к двум межсетевым экранам. Однако по интерфейсу синхронизации
передается вдвое больше пакетов обнаружения, чем через обыкновенные интерфейсы.
Пакеты обнаружения посылаются не чаще, чем через указанный промежуток времени, так как и в
процессе нормального функционирования устройства могут возникать аналогичные задержки.
Например, открытие файла может вызвать задержку достаточно длительную для того, чтобы
резервная неактивная система перешла в активное состояние, даже если основная система остается
активной.
Отключение отправки пакетов обнаружения через интерфейсы
При необходимости администратор может вручную отключить отправку пакетов обнаружения через
любой интерфейс. Но выполнять это действие не рекомендуется, т.к. чем меньше действующих
интерфейсов передают пакеты обнаружения, тем больше риск того, что недостаточное количество
полученных пакетов будет неправильно отображать состояние системы.
Эта рекомендация не относится к отключенным интерфейсам. Необходимо отключать передачу
пакетов обнаружения через неиспользуемый интерфейс. Операционная система NetDefendOS будет
продолжать отправлять пакеты обнаружения через неработающий интерфейс и это может создать
искаженное представление о состоянии системы, т.к. отправленные пакеты будут постоянно
теряться. Результатом может стать ошибочный запуск восстановления системы после «сбоя».
Характеристики пакетов обнаружения
Пакеты обнаружения имеют следующие характеристики:
• IP-адресом источника является IP-адрес интерфейса межсетевого экрана, отправляющего
пакет.
• IP-адресом назначения является широковещательный адрес интерфейса межсетевого экрана,
отправляющего пакет.
• Время жизни (TTL) IP-пакета всегда должно быть равным 255. Если операционная система
NetDefendOS получает пакет обнаружения кластера с другим значением TTL, предполагается,
что данный пакет прошел через маршрутизатор. Такой пакет обнаружения считается
недостоверным.
• Пакет обнаружения – это UDP-пакет, отправленный с порта 999 на порт 999.
• MAC-адрес назначения – это Ethernet-адрес групповой рассылки, соответствующий совместно
используемому аппаратному адресу. Например, 11-00-00-С1-4A-nn. Для обеспечения
безопасности помимо обычных одноадресных пакетов используются групповые рассылки
канального уровня. Использование одноадресных пакетов будет означать, что нарушитель из
локальной сети смог перенаправить пакеты обнаружения от коммутаторов так, чтобы они не
поступали на неактивное устройство.
Время обработки ситуации отказа
Обычно время обработки ситуации отказа составляет около одной секунды, и в это время может
произойти небольшое увеличение количества потерянных пакетов. Для протокола TCP время
обработки ситуации отказа составляет время стандартной паузы для повторной передачи пакета. TCP
повторно передает потерянные пакеты в течение короткого промежутка времени, а далее
продолжается обмен пакетами в стандартном режиме. Протокол UDP не предусматривает повторной
передачи, т.к. является протоколом, не гарантирующим доставку пакета.
465