oshirishi mumkin. Bu holda, bunday ekran OSI modelining nafaqat
tatbiqiy sathida, balki taqdimiy sathida ham ishlaydi.
Seans sathi shlyuzi ishlashida OSI modelining transport va tar-
moq sathlarini qamrab oladi. Ekranlovchi marshrutizator xabarlar
paketini tahlillashda ulaming nafaqat tarmoq, balki transport sathi
sarlavhalarini ham tekshiradi.
Tatbiqiy sath
Tatbiqiy sath
,
Tatbiqiy sath
Taqdimiy sath
Taqdimiy sath
Seans sathi
/
Seans sathi
'ч
shlyuzi
Seans sathi
Transport sathi
Transport sathi
Tarmoq sathi
S '
Ekranlaydigan
marshrutizator
_y
Tarmoq sathi
Kanal sathi
Kanal sathi
Fizik sath
Fizik sath
8.5-rasm. OSI modelining alohida sathlarida
ishlaydigan
tarmoqlararo ekranlar turi.
Yuqorida keltirilgan tarmoqlararo ekranlaming xillari o’zining
afzalliklari va kamchiliklariga ega. Ishlatiladigan brandniauerlaming
ko‘pchiligi yoki tatbiqiy shlyuzlar, yoki ekranlovchi marshrutizator-
lar bo'lib, tannoqlararo aloqaning to’liq xavfsizligini ta’minlamay-
di. Ishonchli himoyani esa faqat har biri - ekranlovchi marshrutiza
tor, seans sathi shlyuzi hamda tatbiqiy shlyuzni birlashtiruvchi tar
moqlararo ekranlaming kompleksi ta’minlaydi.
Ekranlovchi marshrutizator (screeningrouter) (paketli filtr
(packetfilter) deb ham ataladi) xabarlar paketini filtrlashga atalgan,
ichki va tashqi tarmoqlar orasida shaffof aloqani ta’minlaydi. U OSI
modelining tarmoq sathida ishlaydi, ammo o ’zining ayrim
funksiya-
larini bajarishida etalon modelining transport sathini ham qamrab
olishi mumkin.
M a’lumotlami o ’tkazish yoki brakka chiqarish xususidagi qa-
ror filtrlashning berilgan qoidalariga binoan har bir paket uchun
203
mustaqil qabul qilinadi. Qaror qabul qilishda tarmoq va transport
sathlari paketlarining sarlavhalari tahlil etiladi (8.6-rasm).
8.6-rasm. Paketli filtming ishlash sxemasi.
Har bir paketning IP- va TCP/UDP - sarlavhalarining tahlil-
lanuvchi hoshiyalari sifatida quyidagilar ishlatilishi mumkin:
- jo ‘natuvchi adresi;
- qabul qiluvchi adresi;
- paket xili;
- paketni fragmentlash bayrog‘i;
- manba porti nomeri;
- qabul qiluvchi port nomeri.
Birinchi to‘rtta parametr paketning IP-sarlavhasiga, keyingilari
esa TCP-yoki UDP sarlavhasiga taalluqli. Jo‘natuvchi
va qabul
qiluvchi adreslari IP-adreslar hisoblanadi. Bu adreslar paketlami
shakllantirishda toidiriladi va uni tarmoq bo‘yicha uzatganda
o‘zgarmaydi.
Paket xili hoshiyasida tarmoq sathiga mos keluvchi ICMP
protokol kodi yoki tahlillanuvchi IP-paket taalluqli boig an transport
sathi protokolining (TCP yoki UDP) kodi boTadi.
Paketni fragmentlash bayrog‘i IP-paketlar fragmentlashining
borligi yoki yo‘qligini aniqlaydi. Agar tahlillanuvchi paket uchun
fragmentlash bayrog‘i o'matilgan bo‘lsa, mazkur paket fragment-
langan IP-paketning qismpaketi hisoblanadi.
Manba va qabul qiluvchi portlari
nomerlari TCP yoki UDP
drayver tomonidan har bir jo ‘natiluvchi xabar paketlariga qo'shiladi
va jo ‘natuvchi ilovasini hamda ushbu paket atalgan ilovani bir
m a’noda identifikatsiyalaydi. Portlar nomerlari bo‘yicha filtrlash
2 0 4
imkoniyati uchun yuqori sath protokollariga port nomerlarini ajra-
tish bo‘yicha tarmoqda qabul qilingan kelishuvni bilish lozim.
Har bir paket ishlanishida ekranlovchi marshrutizator berilgan
qoidalar jadvalini, paketning to‘liq assotsiatsiyasiga mos keluvchi
qoidani topgunicha, ketma-ket ko‘rib chiqadi. Bu yerda assotsiatsiya
deganda, berilgan paket sarlavhalarida ko‘rsatilgan parametrlar maj-
mui tushuniladi. Agar ekranlovchi marshrutizator jadvaldagi
qoida-
laming birortasiga ham mos kelmaydigan paketni olsa, u, xavfsizlik
nuqtayi nazaridan, uni yaroqsiz holga chiqaradi.
Paketli filtrlar apparat va dasturiy amalga oshirilishi mumkin.
Paketli filtr sifatida oddiy marshrutizator hamda kiruvchi va chiquv-
chi paketlami filtrlashga moslashtirilgan, serverda ishlovchi dastur-
dan foydalanish mumkin. Zamonaviy marshrutizatorlar har bir port
bilan bir necha o ‘nlab qoidalami bog‘lashi va kirishda hamda
chiqishda paketlami filtrlashi mumkin.
Paketli filtrlaming kamchiligi sifatida quyidagilami ko‘rsatish
mumkin. Ular xavfsizlikning yuqori darajasini ta’minlamaydi, chun-
ki faqat paket sarlavhalarini tekshiradi va ko‘pgina kerakli funksiya-
lami madadlamaydi.
Bu funksiyalarga, masalan, oxirgi uzellami
autentifikatsiyalash, xabarlar paketlarini kriptografik bekitish hamda
ulaming yaxlitligini va haqiqiyligini tekshirish kiradi. Paketli filtrlar
dastlabki adreslami almashtirib qo‘yish va xabarlar paketi tarkibini
ruxsatsiz o‘zgartirish kabi keng tarqalgan tarmoq hujumlariga zaif
hisoblanadilar. Bu xil brandmauerlami "aldash" qiyin emas - filtr
lashga ruxsat beruvchi qoidalami qondimvchi paket sarlavhalarini
shakllantirish kifoya.
Ammo, paketli filtrlaming amalga oshirilishining soddaligi,
yuqori
unumdorligi, dasturiy ilovalar uchun shaffofligi va narxining
pastligi, ulaming hamma yerda tarqalishiga va tarmoq xavfsizligi
tizimining majburiy elementi kabi ishlatilishiga imkon yaratdi.
