Nazorat savollari:
1.
Tarmoqlararo ekran vositalari tushunchasi va uning vazifalari.
2.
Tarmoqlararo
ekranlarning
OSI
modeli
sathlari
bo‘yicha
turkumlanishi.
3.
Trafiklarni filtrlash funksiyasining ishlashini tushuntirib bering.
4.
Tarmoq adreslarini translyatsiyalash qanday amalga oshiriladi?
5.
Tarmoqlararo ekranlarning vositachilik funksiyalarining mohiyati
nimadan iborat?
8.2. Tarmoqlararo ekranlarning asosiy komponentlari
Tarmoqlararo ekranlar tarmoqlararo aloqa xavfsizligini OSI modelining turli
sathlarida madadlaydi. Bunda etalon modelning turli sathlarida bajariladigan
himoya funksiyalari bir-biridan jiddiy farqlanadi. Shu sababli, tarmoqlararo
ekranlar kompleksini, har biri OSI modelining alohida sathiga mo‘ljallangan,
bo‘linmaydigan ekranlar majmui ko‘rinishida tasavvur etish mumkin.
Ekranlar kompleksi ko‘pincha etalon modelning tarmoq, seans, tatbiqiy
sathlarida ishlaydi. Mos holda, quyidagi bo‘linmaydigan brandmauerlar farqlanadi
(8.5-rasm).
- ekranlovchi marshrutizator;
- seans sathi shlyuzi (ekranlovchi transport);
- tatbiqiy sath shlyuzi (ekranlovchi shlyuz).
Tarmoqlarda ishlatiladigan protokollar (TCP/IP, SPX/IPX) OSI etalon
modeliga batamom mos kelmaydi, shu sababli sanab o‘tilgan ekranlar xili
217
funksiyalarini amalga oshirishda etalon modelining qo‘shni sathlarini ham qamrab
olishlari mumkin. Masalan, tatbiqiy ekran xabarlarning tashqi tarmoqqa
uzatilishida ularni avtomatik tarzda shifrlashni, hamda qabul qilinuvchi
kriptografik bekitilgan ma’lumotlarni avtomatik tarzda rasshifrovka qilishni
amalga oshirishi mumkin. Bu holda, bunday ekran OSI modelining nafaqat tatbiqiy
sathida, balki taqdimiy sathida ham ishlaydi.
Seans sathi shlyuzi ishlashida OSI modelining transport va tarmoq sathlarini
qamrab oladi. Ekranlovchi marshrutizator xabarlar paketini taxlillashda ularning
nafaqat tarmoq, balki transport sathi sarlavhalarini ham tekshiradi.
Yuqorida keltirilgan tarmoqlararo ekranlarning xillari o‘zining afzalliklari va
kamchiliklariga ega. Ishlatiladigan brandmauerlarning ko‘pchiligi yoki tatbiqiy
shlyuzlar, yoki ekranlovchi marshrutizatorlar bo‘lib, tarmoqlararo aloqaning to‘liq
xavfsizligini ta’minlamaydi. Ishonchli himoyani esa faqat har biri ekranlovchi
marshrutizator, seans sathi shlyuzi, hamda tatbiqiy shlyuzni birlashtiruvchi
tarmoqlararo ekranlarning kompleksi ta’minlaydi.
Ekranlovchi marshrutizator (screeningrouter) (paketli filtr (packetfilter) deb
ham ataladi) xabarlar paketini filtrlashga atalgan va ichki va tashqi tarmoqlar
orasida shaffof aloqani ta’minlaydi. U OSI modelining tarmoq sathida ishlaydi,
ammo o‘zining ayrim funksiyalarini bajarishida etalon modelining transport sathini
Tatbiqiy sath
Taqdimiy sath
Seans sathi
Transport sathi
Tarmoq sathi
Kanal sathi
Fizik sath
Tatbiqiy sath
Taqdimiy sath
Seans sathi
Transport sathi
Tarmoq sathi
Kanal sathi
Fizik sath
Tatbiqiy sath
Seans sathi
shlyuzi
Ekranlaydigan
marshrutizator
8.5-rasm. OSI modelining alohida sathlarida ishlaydigan tarmoqlararo ekranlar turi
218
ham qamrab olishi mumkin.
Ma’lumotlarni o‘tkazish yoki brakka chiqarish xususidagi qaror filtrlashning
berilgan qoidalariga binoan har bir paket uchun mustaqil qabul qilinadi. Qaror
qabul qilishda tarmoq va transport sathlari paketlarining sarlavhalari taxlil etiladi
(8.6-rasm).
Har bir paketning IP- va TCP/UDP – sarlavhalarining taxlillanuvchi
hoshiyalari sifatida quyidagilar ishlatilishi mumkin:
- jo‘natuvchi adresi;
- qabul qiluvchi adresi;
- paket hili;
- paketni fragmentlash bayrog‘i;
- manba porti nomeri;
- qabul qiluvchi port nomeri.
Birinchi to‘rtta parametr paketning IP-sarlavhasiga, keyingilari esa TCP-
yoki UDP sarlavhasiga taalluqli. Jo‘natuvchi va qabul qiluvchi adreslari IP-
adreslar hisoblanadi. Bu adreslar paketlarni shakllantirishda to‘ldiriladi va uni
tarmoq bo‘yicha uzatganda o‘zgarmaydi.
Paket xili hoshiyasida tarmoq sathiga mos keluvchi ICMP protokol kodi
yoki taxlillanuvchi IP-paket taalluqli bo‘lgan transport sathi protokolining (TCP
yoki UDP) kodi bo‘ladi.
Paketni fragmentlash bayrog‘i IP-paketlar fragmentlashining borligi yoki
yo‘qligini aniqlaydi. Agar tahlillanuvchi paket uchun fragmentlash bayrog‘i
o‘rnatilgan bo‘lsa, mazkur paket fragmentlangan IP-paketning qismpaketi
Ochiq tashqi
tarmoq
Himoyalnadigan
ichki tarmoq
Ekranlaydigan
marshrutizator
Paketlarni IP- va TCP- (UDP-,
ICMP) sarlavhalari bo’yicha
filtrlash
8.6-rasm. Paketli filtrning ishlash sxemasi
219
hisoblanadi.
Manba va qabul qiluvchi portlari nomerlari TCP yoki UDP drayver
tomonidan har bir jo‘natiluvchi xabar paketlariga qo‘shiladi va jo‘natuvchi
ilovasini, hamda ushbu paket atalgan ilovani bir ma’noda identifikasiyalaydi.
Portlar nomerlari bo‘yicha filtrlash imkoniyati uchun yuqori sath protokollariga
port nomerlarini ajratish bo‘yicha tarmoqda qabul qilingan kelishuvni bilish lozim.
Har bir paket ishlanishida ekranlovchi marshrutizator berilgan qoidalar
jadvalini, paketning to‘liq assotsiasiyasiga mos keluvchi qoidani topgunicha,
ketma-ket ko‘rib chiqadi. Bu erda assotsiasiya deganda berilgan paket
sarlavhalarida ko‘rsatilgan parametrlar majmui tushuniladi. Agar ekranlovchi
marshrutizator jadvaldagi qoidalarning birortasiga ham mos kelmaydigan paketni
olsa, u, xavfsizlik nuqtai nazaridan, uni yaroqsiz holga chiqaradi.
Paketli filtrlar apparat va dasturiy amalga oshirilishi mumkin. Paketli filtr
sifatida oddiy marshrutizator, hamda kiruvchi va chiquvchi paketlarni filtrlashga
moslashtirilgan, serverda ishlovchi dasturdan foydalanish mumkin. Zamonaviy
marshrutizatorlar har bir port bilan bir necha o‘nlab qoidalarni bog‘lashi va
kirishda, ham chiqishda paketlarni filtrlashi mumkin.
Paketli filtrlarning kamchiligi sifatida quyidagilarni ko‘rsatish mumkin. Ular
xavfsizlikning yuqori darajasini ta’minlamaydi, chunki faqat paket sarlavhalarini
tekshiradi va ko‘pgina kerakli funksiyalarni madadlamaydi. Bu funksiyalarga,
masalan, oxirgi uzellarni autentifikatsiyalash, xabarlar paketlarini kriptografik
bekitish, hamda ularning yaxlitligini va haqiqiyligini tekshirish kiradi. Paketli
filtrlar dastlabki adreslarni almashtirib qo‘yish va xabarlar paketi tarkibini
ruxsatsiz o‘zgartirish kabi keng tarqalgan tarmoq xujumlariga zaif hisoblanadilar.
Bu xil brandmauerlarni "aldash" qiyin emas - filtrlashga ruxsat beruvchi qoidalarni
qondiruvchi paket sarlavhalarini shakllantirish kifoya.
Ammo, paketli filtrlarning amalga oshirilishining soddaligi, yuqori
unumdorligi, dasturiy ilovalar uchun shaffofligi va narhining pastligi, ularning
hamma erda tarqalishiga va tarmoq xavfsizligi tizimining majburiy elementi kabi
ishlatilishiga imkon yaratdi.
|
