1-0 Instalando o Firewall Aker - Data - Aker Security Solutions

porta da máquina cliente. Para que a comunicação seja efetiva, é necessário que o
firewall permita a passagem dos pacotes de solicitação do serviço e de resposta. O
problema é que o protocolo UDP é um protocolo não orientado à conexão, isto significa
que se um determinado pacote for observado isoladamente, fora de um contexto, não se
pode saber se ele é uma requisição ou uma resposta de um serviço.
Nos filtros de pacotes tradicionais, como o administrador não pode saber de antemão
qual porta será escolhida pela máquina cliente para acessar um determinado serviço, ele
pode ou bloquear todo o tráfego UDP ou permitir a passagem de pacotes para todas as
possíveis portas. Ambas abordagens possuem problemas óbvios.
O Firewall Aker possui a capacidade de se adaptar dinamicamente ao tráfego de modo a
resolver problemas deste tipo: todas as vezes que um pacote UDP é aceito por uma das
regras configurada pelo administrador, é adicionada uma entrada em uma tabela interna,
chamada de tabela de estados, de modo a permitir que os pacotes de resposta ao serviço
correspondente possam voltar para a máquina cliente.
Esta entrada só fica ativa durante um curto intervalo de tempo, ao final do qual ela é
removida (este intervalo de tempo é configurado através da janela de configuração de
parâmetros, mostrada no capítulo intitulado Configurando os parâmetros do sistema).
Desta forma, o administrador não precisa se preocupar com a os pacotes UDP de
resposta, sendo necessário apenas configurar as regras para permitir o acesso aos
serviços. Isto pode ser feito facilmente, já que todos os serviços possuem portas fixas.
O problema do protocolo FTP:
O FTP é um dos protocolos mais populares da Internet, porém é um dos mais
complexos de ser tratado por um firewall. Vamos analisar seu funcionamento:
Para acessar o serviço FTP, inicialmente a máquina cliente abre uma conexão TCP para
a máquina servidora na porta 21. (a porta usada pelo cliente é variável). Esta conexão é
chamada de conexão de controle. A partir daí, para cada arquivo transferido ou para
cada
listagem de diretório, uma nova conexão é estabelecida, chamada de conexão de
dados. Esta conexão de dados pode ser estabelecida de duas maneiras distintas:
1. O servidor pode iniciar a conexão a partir da porta 20 em direção a uma porta
variável, informada pelo cliente pela conexão de controle (este é chamado de
FTP ativo)
2. O cliente pode abrir a conexão a parir de uma porta variável para uma porta
variável do servidor, informada para o cliente através da conexão de controle
(este é chamado de FTP passivo).
Em ambos os casos o administrador não tem como saber quais portas serão escolhidas
para estabelecer as conexões de dados e desta forma, se ele desejar utilizar o protocolo
FTP através de um filtro de pacotes tradicional, deverá liberar o acesso para todas as
possíveis portas utilizadas pelas máquinas clientes e servidores. Isto tem implicações
sérias de segurança.
O Firewall Aker tem a capacidade de vasculhar o tráfego da conexão de controle FTP e
desta forma descobrir qual o tipo de transferência será utilizada (ativa ou passiva) e