مقدمه ای بر فایروال

[CENTER][CENTER] [/CENTER][/CENTER] [CENTER][CENTER] [B] [color=#3A5B84][FONT=Tahoma] مقدمه ای بر فایروال[/FONT][/COLOR][/B]
[/CENTER][/CENTER] [color=#3A5B84][FONT=Tahoma] فایروال وسیله ای است که کنترل دسترسی به یک شبکه را بنابر سیاست امنیتی شبکه تعریف می کند.علاوه بر آن از آنجایی که معمولا یک فایروال بر سر راه ورودی یک شبکه می نشیند لذا برای ترجمه آدرس شبکه نیز بکار گرفته می شود.[/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma] مشخصه های مهم یک فایروال قوی و مناسب جهت ایجاد یک شبکه امن عبارتند از:[/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]1-[FONT=Times New Roman] [/FONT][/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma] توانایی ثبت و اخطار :ثبت وقایع یکی از مشخصه های بسیار مهم یک فایروال به شمار می شود و به مدیران شبکه این امکان را می دهد که انجام حملات را کنترل کنند. همچنین مدیر شبکه می تواند با کمک اطلاعات ثبت شده به کنترل ترافیک ایجاد شده توسط کاربران مجاز بپردازد. در یک روال ثبت مناسب ، مدیر می تواند براحتی به بخشهای مهم از اطلاعات ثبت شده دسترسی پیدا کند. همچنین یک فایروال خوب باید بتواند علاوه بر ثبت وقایع، در شرایط بحرانی، مدیر شبکه را از وقایع مطلع کند و برای وی اخطار بفرستد.[/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]2-[FONT=Times New Roman] [/FONT][/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma] بازدید حجم بالایی از بسته های اطلاعات: یکی از تستهای یک فایروال ، توانایی آن در بازدید حجم بالایی از بسته های اطلاعاتی بدون کاهش چشمگیر کارایی شبکه است. حجم داده ای که یک فایروال می تواند کنترل کند برای شبکه های مختلف متفاوت است اما یک فایروال قطعا نباید به گلوگاه شبکه تحت حفاظتش تبدیل شود.عوامل مختلفی در سرعت پردازش اطلاعات توسط فایروال نقش دارند. بیشترین محدودیتها از طرف سرعت پردازنده و بهینه سازی کد نرم افزار بر کارایی فایروال تحمیل می شوند. عامل محدودکننده دیگر می تواند کارتهای واسطی باشد که بر روی فایروال نصب می شوند. فایروالی که بعضی کارها مانند صدور اخطار ، کنترل دسترسی مبنی بر [/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]URL[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma] و بررسی وقایع ثبت شده را به نرم افزارهای دیگر می سپارد از سرعت و کارایی بیشتر و بهتری برخوردار است. [/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]3-[FONT=Times New Roman] [/FONT][/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma] سادگی پیکربندی: سادگی پیکربندی شامل امکان راه اندازی سریع فایروال و مشاهده سریع خطاها و مشکلات است.در واقع بسیاری از مشکلات امنیتی که دامنگیر شبکه های می شود به پیکربندی غلط فایروال بر می گردد. لذا پیکربندی سریع و ساده یک فایروال ، امکان بروز خطا را کم می کند. برای مثال امکان نمایش گرافیکی معماری شبکه و یا ابزرای که بتواند سیاستهای امنیتی را به پیکربندی ترجمه کند ، برای یک فایروال بسیار مهم است.[/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]4-[FONT=Times New Roman] [/FONT][/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma] امنیت و افزونگی فایروال: امنیت فایروال خود یکی از نکات مهم در یک شبکه امن است.فایروالی که نتواند امنیت خود را تامین کند ، قطعا اجازه ورود هکرها و مهاجمان را به سایر بخشهای شبکه نیز خواهد داد. امنیت در دو بخش از فایروال ، تامین کننده امنیت فایروال و شبکه است:[/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma] الف- امنیت سیستم عامل فایروال : اگر نرم افزار فایروال بر روی سیستم عامل جداگانه ای کار می کند، نقاط ضعف امنیتی سیستم عامل ، می تواند نقاط ضعف فایروال نیز به حساب بیاید. بنابراین امنیت و استحکام سیستم عامل فایروال و بروزرسانی آن از نکات مهم در امنیت فایروال است.[/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]ب- دسترسی امن به فایروال جهت مقاصد مدیریتی : یک فایروال باید مکانیزمهای امنیتی خاصی را برای دسترسی مدیران شبکه در نظر بگیرد. این روشها می تواند رمزنگاری را همراه با روشهای مناسب تعیین هویت بکار گیرد تا بتواند در مقابل نفوذگران تاب بیاورد.[/FONT][/COLOR] [B][color=#3A5B84][FONT=Tahoma] [/FONT][/COLOR][/B] [B] [color=#3A5B84][FONT=Tahoma] انواع فایروال[/FONT][/COLOR][/B] [color=#3A5B84][FONT=Tahoma] انواع مختلف فایروال کم و بیش کارهایی را که اشاره کردیم ، انجام می دهند، اما روش انجام کار توسط انواع مختلف ، متفاوت است که این امر منجر به تفاوت در کارایی و سطح امنیت پیشنهادی فایروال می شود.بر این اساس فایروالها را به 5 گروه تقسیم می کنند که خصوصا در [URL="http://fasp.pro/Pasargad_group/Product.aspx?itm=8"]فروش فایروال سیسکو[/URL] تاثیر گذار و بررس می شود[/FONT][/COLOR]
[color=#3A5B84][FONT=Tahoma]1-[FONT=Times New Roman] [/FONT][/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma] فایروالهای سطح مدار ([/FONT][/COLOR][color=#3A5B84][FONT=Tahoma]Circuit-Level[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma]): این فایروالها به عنوان یک رله برای ارتباطات [/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]TCP[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma] عمل می کنند. آنها ارتباط [/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]TCP[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma] را با رایانه پشتشان قطع می کنند و خود به جای آن رایانه به پاسخگویی اولیه می پردازند.تنها پس از برقراری ارتباط است که اجازه می دهند تا داده به سمت رایانه مقصد جریان پیدا کند و تنها به بسته های داده ای مرتبط اجازه عبور می دهند. این نوع از فایروالها هیچ داده درون بسته های اطلاعات را مورد بررسی قرار نمی دهند و لذا سرعت خوبی دارند. ضمنا امکان ایجاد محدودیت بر روی سایر پروتکلها ( غیر از [/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]TCP[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma]) را نیز نمی دهند.[/FONT][/COLOR]
[color=#3A5B84][FONT=Tahoma]2-[FONT=Times New Roman] [/FONT][/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma] فایروالهای پروکسی سرور : فایروالهای پروکسی سرور به بررسی بسته های اطلاعات در لایه کاربرد می پردازد. یک پروکسی سرور درخواست ارائه شده توسط برنامه های کاربردی پشتش را قطع می کند و خود به جای آنها درخواست را ارسال می کند.نتیجه درخواست را نیز ابتدا خود دریافت و سپس برای برنامه های کاربردی ارسال می کند. این روش با جلوگیری از ارتباط مستقیم برنامه با سرورها و برنامه های کاربردی خارجی امنیت بالایی را تامین می کند. از آنجایی که این فایروالها پروتکلهای سطح کاربرد را می شناسند ، لذا می توانند بر مبنای این پروتکلها محدودیتهایی را ایجاد کنند. همچنین آنها می توانند با بررسی محتوای بسته های داده ای به ایجاد محدودیتهای لازم بپردازند. البته این سطح بررسی می تواند به کندی این فایروالها بیانجامد. همچنین از آنجایی که این فایروالها باید ترافیک ورودی و اطلاعات برنامه های کاربردی کاربر انتهایی را پردازش کند، کارایی آنها بیشتر کاهش می یابد. اغلب اوقات پروکسی سرورها از دید کاربر انتهایی شفاف نیستند و کاربر مجبور است تغییراتی را در برنامه خود ایجاد کند تا بتوان داین فایروالها را به کار بگیرد.هر برنامه جدیدی که بخواهد از این نوع فایروال عبور کند ، باید تغییراتی را در پشته پروتکل فایروال ایجاد کرد.[/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]3-[FONT=Times New Roman] [/FONT][/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma] فیلترهای [/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma] Nosstateful packet[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma] : این فیلترها روش کار ساده ای دارند. آنها بر مسیر یک شبکه می نشینند و با استفاده از مجموعه ای از قواعد ، به بعضی بسته ها اجازه عبور می دهند و بعضی دیگر را بلوکه می کنند. این تصمیمها با توجه به اطلاعات آدرس دهی موجود در پروتکلهای لایه شبکه مانند [/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]IP[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma] و در بعضی موارد با توجه به اطلاعات موجود در پروتکلهای لایه انتقال مانند سرآیندهای [/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]TCP[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma] و [/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]UDP[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma] اتخاذ می شود. این فیلترها زمانی می توانند به خوبی عمل کنند که فهم خوبی از کاربرد سرویسهای مورد نیاز شبکه جهت محافظت داشته باشند. همچنین این فیلترها می توانند سریع باشند چون همانند پروکسی ها عمل نمی کنند و اطلاعاتی درباره پروتکلهای لایه کاربرد ندارند.[/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]4-[FONT=Times New Roman] [/FONT][/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma] فیلترهای ٍ[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma]Stateful Packet[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma] : این فیلترها بسیار باهوشتر از فیلترهای ساده هستند. آنها تقریبا تمامی ترافیک ورودی را بلوکه می کنند اما می توانند به ماشینهای پشتشان اجازه بدهند تا به پاسخگویی بپردازند. آنها این کار را با نگهداری رکورد اتصالاتی که ماشینهای پشتشان در لایه انتقال ایجاد می کنند، انجام می دهند.این فیلترها ، مکانیزم اصلی مورد استفاده جهت پیاده سازی فایروال در شبکه های مدرن هستند.این فیلترها می توانند رد پای اطلاعات مختلف را از طریق بسته هایی که در حال عبورند ثبت کنند. برای مثال شماره پورت های [/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]TCP[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma] و [/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]UDP[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma] مبدا و مقصد، شماره ترتیب [/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]TCP[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma] و پرچمهای [/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]TCP[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma]. بسیاری از فیلترهای جدید [/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma] Stateful[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma] می توانند پروتکلهای لایه کاربرد مانند [/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]FTP[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma] و [/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]HTTP[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma] را تشخیص دهند و لذا می تواننداعمال کنترل دسترسی را با توجه به نیازها و سرعت این پروتکلها انجام دهند.[/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]5-[FONT=Times New Roman] [/FONT][/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma] فایروالهای شخصی : فایروالهای شخصی ، فایروالهایی هستند که بر روی رایانه های شخصی نصب می شوند.آنها برای مقابله با حملات شبکه ای طراحی شده اند. معمولا از برنامه های در حال اجرا در ماشین آگاهی دارند و تنها به ارتباطات ایجاد شده توسط این برنامه ها اجازه می دهند که به کار بپردازند نصب یک فایروال شخصی بر روی یک [/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]PC[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma] بسیار مفید است زیرا سطح امنیت پیشنهادی توسط فایروال شبکه را افزایش می دهد. از طرف دیگر از آنجایی که امروزه بسیاری از حملات از درون شبکه حفاظت شده انجام می شوند ، فایروال شبکه نمی تواند کاری برای آنها انجام دهد و لذا یک فایروال شخصی بسیار مفید خواهد بود. معمولا نیازی به تغییر برنامه جهت عبور از فایروال شخصی نصب شده (همانند پروکسی) نیست.[/FONT][/COLOR] [B] [color=#3A5B84][FONT=Tahoma] [/FONT][/COLOR][/B] [B] [color=#3A5B84][FONT=Tahoma] موقعیت یابی برای فایروال[/FONT][/COLOR][/B] [color=#3A5B84][FONT=Tahoma] محل و موقعیت نصب فایروال همانند انتخاب نوع صحیح فایروال و پیکربندی کامل آن ، از اهمیت ویژه ای برخوردار است. نکاتی که باید برای یافتن جای مناسب نصب فایروال در نظر گرفت عبارتند از : [/FONT][/COLOR] [color=#3A5B84][FONT=Wingdings]ü[FONT=Times New Roman] [/FONT][/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma] موقعیت و محل نصب از لحاظ توپولوژیکی : معمولا مناسب به نظر می رسد که فایروال را در درگاه ورودی/خروجی شبکه خصوصی نصب کنیم. این امر به ایجاد بهترین پوشش امنیتی برای شبکه خصوصی با کمک فایروال از یک طرف و جداسازی شبکه خصوصی از شبکه عمومی از طرف دیگر کمک می کند.[/FONT][/COLOR] [color=#3A5B84][FONT=Wingdings]ü[FONT=Times New Roman] [/FONT][/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma] قابلیت دسترسی و نواحی امنیتی : اگر سرورهایی وجود دارند که باید برای شبکه عمومی در دسترس باشند ، بهتر است آنها را بعد از فایروال و در ناحیه [/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]DMZ[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma] قرار دهید. قرار دادن این سرورها در شبکه خصوصی وتنظیم فایروال جهت صدور اجازه به کاربران خارجی برای دسترسی به این سرورها برابر خواهد بود با هک شدن شبکه داخلی. چون شما خود مسیر هکرها را در فایروال باز کرده اید. در حالی که با استفاده از ناحیه [/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma]DMZ[/FONT][/COLOR][color=#3A5B84][FONT=Tahoma] ، سرورهای قابل دسترسی برای شبکه عمومی از شبکه خصوصی شما بطور فیزیکی جدا هستند، لذا اگر هکرها بتوانند به نحوی به این سرورها نفوذ کنند بازهم فایروال را پیش روی خود دارند.[/FONT][/COLOR] [color=#3A5B84][FONT=Wingdings]ü[FONT=Times New Roman] [/FONT][/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma] مسیریابی نامتقارن : بیشتر فایروالهای مدرن سعی می کنند اطلاعات مربوط به اتصالات مختلفی را که از طریق آنها شبکه داخلی را به شبکه عمومی وصل کرده است، نگهداری کنند. این اطلاعات کمک می کنند تا تنها بسته های اطلاعاتی مجاز به شبکه خصوصی وارد شوند. در نتیجه حائز اهمیت است که نقطه ورود و خروج تمامی اطلاعات به/از شبکه خصوصی از طریق یک فایروال باشد.[/FONT][/COLOR] [color=#3A5B84][FONT=Wingdings]ü[FONT=Times New Roman] [/FONT][/FONT][/COLOR] [color=#3A5B84][FONT=Tahoma] فایروالهای لایه ای : در شبکه های با درجه امنیتی بالا بهتر است از دو یا چند فایروال در مسیر قرار گیرند. اگر اولی با مشکلی روبرو شود، دومی به کار ادامه می دهد.معمولا بهتر است دو یا چند فایروال مورد استفاده از شرکتهای مختلفی باشند تا در صورت وجود یک اشکال نرم افزاری یا حفره امنیتی در یکی از آنها ، سایرین بتوانند امنیت شبکه را تامین کنند.[/FONT][/COLOR]

[h=2]بررسی تکنولوژی فایروال ها در شبکه[/h] اصطلاح و سیاست محافظت در عمق از سیاست های نظامی گرفته شده است که در این سیاست ها برای تضعیف هر چه بیشتر دشمن ،لایه های محافظتی متعددی ساخته میشده است.براساس IA یا Information Assurance ،محافت در عمق یعنی تولید سطوح مختلف حفاظ در شبکه برای محافظت از منابع، البته نه تنها برای یک محصول و تکنولوژی خاص ! به عنوان یک فردی که در زمینه ی IT مشغول فعالیت است،حتما هر وقت حرفی از لایه ها در شبکه باشد ذهن شما به سمت لایه های OSI کشیده می شود.بله درست حدس زدید [IMG]http://www.forum.********.com/images/smilies/8236.gif[/IMG] ! فایروالها هم برای ساختن یک ریشه ی محکم و داشتن سیاست ها و استراتژیک های صحیح و اصولی در شبکه از لایه های OSI استفاده کرده اند.

مدل OSI و لایه های آن را حتما می شناسید،می توانید برای مطالعه ی بیشتر درمورد این مدل بهمقاله ی جناب آقای نصیری مراجعه کنید.چرا که برای درک تکنولوژی فایروالها حتما باید لایه های Network ,Application,Session را به خوبی درک کرده باشید.

هر بسته یا packet دارای یک آدرس مبدا و یک آدرس مقصد می باشد و لایه ی network بر اساس این IP آدرس ها بسته ها را در شبکه منتقل می کند.زمانی که packet متوجه شد که در شبکه به کجا باید برود، لایه ی session دست بکار میشود و درواقع یک session تشکیل می شود.لایه ی session وظیفه ی شروع،مدیریت و اتمام session ها در شبکه را بر عهده دارد.درواقع شروع session ،سپس handshake یا همون دست دادن و در نهایت اتمام جلسه است.این لایه از پروتکل TCP استفاده می کند.لایه کاربردی یا Application Layer که به طور مستقیم با کاربر در ارتباط است برای انجام فعالیتهای شبکه به کار میرود.کلیه ی نرم افزارها در این لایه اجرا می شوند.این لایه از پروتکل http و ftp استفاده میکند.در شکل زیر مدل OSI را میتوانید مشاهده کنید.

[IMG]http://www.itpro.ir/resources/images/a6644ba774594d9f9531d809fa13a50b[/IMG]



حال به سراغ انواع تکنولوژی در فایروال می رویم.این تکنولوژی ها به 4 دسته تقسیم می شوند:

• Pcket Filtering Firewall
• Circuit Level Gateways
• Aplication Level Gateway
• Stateful Multilevel Inspection


[B]Packet Filtering Firewall[/B]


این نوع فایروالها یکی از ساده ترین و معمولی ترین انواع فایروالها است که در سال 1985 عرضه شد . درواقع عنوان packet filtering بیان کننده همه چیز در رابطه با این دسته از فایرواهاست.داده های خام به عنوان frame یا packet وارد شبکه می شوند.در این مدل ،بسته ها براساس پروتکل،پورت یا آدرس مبدا و مقصد از کارت شبکه عبور می کنند یا در آن block می شوند.به عبارتی در این مدل،فایروال آدرس مبدا و مقصد هر بسته را چک میکند،در صورتی که آن آدرس با پروتکل،پورت و آدرس هایی که برایش غیر مجاز تعریف شده است منافاتی نداشته باشد بسته اجازه خروج یا ورود را دارد،اما اگر منافات داشت یا آنها را بی سروصدا دور می اندازد و یا به مبدایی که از آنجا می آیند پیغام خطایی جهت عدم ارسال بسته میفرستد.همانطور که پیداست این نسل از فایروالها تنها با لایه های اول OSI ،برای به دست آوردن IP ها سروکار دارند .به عنوان مثال اگر در شبکه ای استفاده از Remote desktop غیرمجاز محسوب شود،پورت 3389 که پورت مربوط به remote است بسته می شود از اینرو هر بسته ای که در IP خود این پورت را داشته باشد نیز بسته ی غیرمجاز محسوب می شود و توسط فایروال به دور انداخته می شود.

Stateful Packet Inspection تکامل یافته ی packet filtering است که در سال 1993 ارائه شد.SPI عملکردی مشابه با packet filtering دارد با این تفاوت که دارای حافظه ای است که کلیه ی ارتباطات داخلی و خارجی را ذخیره و نگهداری میکند.


[IMG]http://www.itpro.ir/resources/images/8b209a7a4674445684a50cbd2428b696[/IMG]



[B]Circuit Level Gateway[/B]


این دسته از فایروالها از دسته ی قبلی حرفه ای تر هستند.این نسل از فایروالها در سال 1989-1990 به میان آمدند و در واقع در هنگام خرید یا [URL="http://fasp.pro/Pasargad_group/Product.aspx?itm=8"]فروش فایروال سیسکو[/URL] میتوانید مد نطر داشته باشید.این دسته در لایه ی session مدل OSI کار می کنند و به عنوان واسط بین لایه کاربردی و لایه ی انتقال TCP/IP عمل می کنند و ترافیک شبکه را براساس آدرس و پورتها در لایه ی session فیلتر میکنند.زمانی که یک کامپیوتر تصمیم به برقراری ارتباط ( ایجاد session ) با کامپیوتری دیگر در خارج از شبکه میگیرد،gateway اطلاعات مربوط به این ارتباط را بررسی و چک میکند که این ارتباط بر اساس آدرس و شماره پورتش در شبکه مجاز است یا نه،سپس آن را به کامپیوتر مقصد میفرستد.تازمانی که gateway ارتباط را مجاز نشمارد،هیچ گونه دیتایی منتقل نمی شود.زمانی که دیتایی از gateway عبور میکند،کامپیوتر مقصد آدرس gateway را می بیند نه کامپیوتری که از آن دیتا ارسال شده است.این دسته از فایروالها از دسته ی قبلی دارای امنیت بیشتری هستند چرا که به عنوان مثال پس از ارسال اطلاعات به خارج از شبکه ، زمانی که همچنان یک session باز داریم،اگر به داخل شبکه نیز ارتباطی داشته باشیم،باز هم تنها پورتها و اطلاعات مجاز به ورود به داخل شبکه باز می شوند.همچنین از ورود ترافیک بیجا به داخل شبکه نیز جلوگیری می کنند. از معایبش این است که مادامی که circuit level gateway شبکه را در برابر ایجاد session های غیرمجاز محافظت میکند،قادر نیست آن را در برابر برخی حملات احتمالی محافظت کند که در مورد این موضوع بعدا صحبت خواهیم کرد.NAT مثالی از circuit level gateway است.NAT هم IP آدرس شبکه داخلی را از host مقصد مخفی نگه میدارد.سپس از packet filtering برای انتقال packet ها به مقصدصحیح خودشان استفاده میکند.

برای تفهیم بهتر این روش مثالی میزنم:فرض کنید کامپیوتر A در شبکه ای که توسط circuit level gateway محافظت می شود قرار دارد، و می خواهد یک صفحه وب را که در کامپیوتر B که واقع در خارج از شبکه است مشاهده کند.کامپیوتر A درخواست خود را برای تماشای صفحه وب به کامپیوتر B ارسال می کند که این درخواست توسط فایروال ضبط و مورد بررسی قرار میگیرد.کامپیوتر B درخواست را میگیرد و در پاسخ شروع به فرستادن صفحات میکند.زمانی که صفحات به فایروال میرسند،فایروال آنها را با درخواست کامپیوتر A مقایسه می کند تا ببیند که آدرس و پورتها یکی هستند و بسته مجاز به وارد شدن به شبکه است یا خیر ، در نهایت براساس سیاست ها packet ها یا وارد می شوند یا به دور انداخته می شوند.

[IMG]http://www.itpro.ir/resources/images/3bc0b4100c2042b7b27a172f0b514053[/IMG]


[B]Aplication Level Gateway[/B]


دودسته ی قبلی فایروالها تنها هدرهای لایه های network و session را مورد بررسی قرار می دادند.در آنها امکان دیدن payload بسته ها وجود نداشت. هیچ کدام از فایروالها آنقدر قدرتمند نبودند که بتوانند محتویات بسته ها را مشاهده کنند.تا قبل ازاین نسل از فایروالها،ارتباطی مجاز بود که IP و پورت مجازی داشته باشد و session مجازی را نیز تشکیل دهد که این می توانست موجب بروز حملاتی به داخل شبکه شود.مثلا اگر در شبکه ای استفاده از telnet مجاز نبوده اما استفاده از HTTP مجاز بوده باشد،از نظر این فایروال ارتباط مجاز است اگر از پورت 80 استفاده شده باشد و غیرمجاز است اگر از پورت 23 استفاده شود.خوب اگراز telnet پورت 80 استفاده کنیم فایروال متوجه نخواهد شد چون محتویات داخل بسته ها را چک نمیکند و فقط شماره پورت ها رو بررسی می کند.application level gateway یا فایروالهای proxy ،نرم افزارهای کاربردی هستند که دو mode یا حالت دارند:proxy server و proxy client .زمانی که یک user در یک trusted network یا شبکه مطمئن می خواهد با یک user دیگر در یک untrusted network یا شیکه غیرمطمئن مانند اینترنت متصل شود،درخواست به صورت مستقیم به proxy server ارسال می شود.proxy server یه جورایی حکم سرور واقعی در اینترنت را دارد.او درخواست هایی که به آن می شود را بررسی می کند و براساس قوانینی که برایش تعریف شده ، تصمیم می گیرد که درخواست ها را تائید یا رد کند.درواقع او اینکار را با یررسی محتویات بسته ها ،پورتها و IP ها انجام میدهد.اگر درخواستی تائید شد،proxy server آن را به proxy client که با سرور واقعی در اینترنت مرتبط است ،ارسال می کند. همانطور که کلیه ی درخواست هایی که از داخل شبکه می خواهند به بیرون بروند،به proxy server ارسال می شود، درخواست هایی که از بیرون می خواهند به داخل شبکه وارد شوند،به client server ارسال می شود،که client proxy آنها را برای تحویل دادن به client ها ،به proxy server ارسال می کند.در این روش شما اطمینان دارید که کلیه ارتباطات داخلی همیشه به proxy server و کلیه ی ارتباطات خارجی توسط client server برقرار می شوند.بنابراین هیچ ارتباط مستقیمی میان شبکه های مطمئن ( trusted ها ) با غیرمطمئن ( untrusted ها ) وجود ندارد.از مزایای این روش این است که:




[LIST][*]میتواند قوانین را براساس پروتکل های سطح بالا وضع کند.[*]وضعیت اطلاعات در مورد ارتباطاتی که از سرور فایروال گذشته اند را نگه میدارد.[*]جزئیات را در مورد فعالیت ها ضبط میکند.[/LIST]



اما عیب اصلی این روش این است که فیلترینگ پیچیده و تصمیمات در کنترل دسترسی ها نیازمند منابع محاسباتی مهم است که این باعث پایین آمدن کارایی و آسیب پذیری سیستم عامل می شود.Microsoft Internet Security و Acceleration مثالی خوب از application level gateway هستند.

[IMG]http://www.itpro.ir/resources/images/3bcea04470af4e46899fc70e849c1b0e[/IMG]



[B](Staeful Multi Level Inspection ( SMLI[/B]


فایروالهای SMLI نسل چهارم از فایروالها هستند که در سال 1994 ارائه شدند.در این فایروالها از تکنولوژی بکار برده شده در سه نسل قبلی استفاده شده است.درواقع SMLI ها می توانند عمل ****** packet یا فیلترکردن بسته ها را در لایه شبکه ،session و همچنین لایه کاربردی نیز انجام دهند.درواقع این فایروال با مانیتورینگ داده هایی که در حال رد و بدل در لایه کاربردی و یا پورتها هستندسطح امنیتی بالایی را برقرار می کند. ارتباطاتی که از طریق SMLI انجام می شود برای طرفین کاملا مشخص و شفاف بوده و compatibility به هیچ عنوان مشکل ساز نمی باشد.به جای استفاده از application level filtering یا نسل سوم تکنولوژی فایروالها، در فایروالهای دیگر،SMLI device از الگوریتم هایی استفاده میکنند که منابع کمتری را برای بررسی بسته ها در لایه کاربردی لازم داشته باشند (استفاده از منابع زیاد در نسل سوم از فایروالها از معایب آن دسته بود ).این دسته از فایروالها سطح بالایی از امنیت را برقرار میکنند و دارایی کارایی خوبی نیز هستند اما قیمت آنها نیز بالاست .تنظیم قوانین در این فایروالها کمی پیچیده است و اگر اینکار خوب صورت نپذیرد،فایروال قادر به برقراری امنیت نخواهد بود. یکی از مزایای آنها این است که زمانی که یک session کامل شد،هر پورتی که در آن session استفاده می شده است ،بسته می شود.SMLI ها می توانند به صورت داینامیکی پورتها را برای هر session بسته یا باز کنند،که در نسل اول یا packet filtering بعد از هر session آن پورت درهمان وضعیت قبلی باقی می ماند . آخرین ورژن Checkpoint Firewall-1 نمونه ای ازتکنولوژی SMLI فایروالهاست.

[IMG]http://www.itpro.ir/resources/images/74a3c8d7a5ae4fe7bd9343c6cd11ba06[/IMG]


[B]خلاصه:[/B]


چیزی که همیشه باید در مورد فایروالها به خاطر داشته باشید این است که آنها باید بتوانند محافظت را در عمق شبکه شما انجام دهند و از جزئیات نیز نگذرند.هر تکنولوژی فایروالی راهکارهایی برای کاربردهای مختلفی دارد.packet filtering firewall از ساده ترین تکنولوژی هاست که به آسانی پیاده سازی می شود و ارزان هم هست اما ایمنی کمتری دارد.circiut level gateway هم ،ارازن است و راحت پیاده سازی می شود اما از آنها می توان برای حفظ امنیت چندکامپیوتر استفاده کرد.از circuit level gateway میتوان در NAT که از یک شبکه خانگی محافظت می کند استفاده کرد و تک تک کامپیوتر های آن شبکه می توانند از packet filtering استفاده کنند.aplication level firewall ها پیچیده ترند و پیاده سازی آنها گرانتر است اما میتوان برای محافظت از سرورهای زیادی از آنها استفاده کرد.و در نهایتدر شبکه های بسی یزرگتر،که نیازمند محافظت بیشتری هستند و امنیت نیز اهمیت مضاعفی دارد،می توان از SMLI ها استفاده کرد.