|
Фильтры протокола устанавливаются в маршрутизаторы и
устройства доступа, которые стоят на окраинах сети. Цель их
установки - предотвратить несанкционированное использование
полосы пропускания сети и обработку пакетов. Они внедряются
по тем же правилам, что и сетевые экраны, которые разрешают
или запрещают те или иные типы трафика на основе ID порта
или хорошо известных имен протоколов, таких как SMTP (Simple
Mail Transfer Protocol - простой протокол передачи писем).
Фильтрация протоколов - это достаточно эффективный метод
ограничить SNMP-доступ пользователей WLAN к беспроводным
устройствам для смены их конфигурации. Таким способом
администратор может разрешить доступ для административной
группы только с проводной части LAN или с консоли доступа.
Естественно, доступ уже защищен аутентификацией при помощи
пароля, но не забывайте, что мы строим многоуровневую
систему безопасности для защиты всех слабых мест сети. Еще
один способ заключается в том, что не допускается
использование больших пакетов ICMP (Internet Control Message
Protocol - протокол управления посланиями в Интернете) и
других таких протоколов в качестве DoS-агентов. Вы не должны
допускать использования FTP во WLAN. Если есть 11 Мб/c
полосы пропускания, которую надо разделить между многими
участниками, то тот из них, кто перегружает к себе МР3-файл,
заметно усложнит работу остальных пользователей. Из-за
архитектуры CSMA/CA каждый узел предоставляет доступ до тех
пор, пока не будет закончена передача послания.
Прежде мы уже обсуждали фильтрацию МАС-адресов. Этот тип
фильтрации работает на втором уровне OSI-модели и не дает
пользователям получить доступ к уровню передачи данных.
Фильтрация протокола на уровнях 3 и 4 зависит от того, какой
протокол вы планируете фильтровать. Если вы фильтруете
трафик, содержащий адреса, на уровне IP, эти адреса не
смогут получить доступ к сети. В случае фильтрации FTP
клиент получает доступ к сети, но не может использовать
FTP-услуги. Как уже упоминалось, очень важно протестировать
фильтры, которые вы решили использовать, поскольку если их
внедрить неправильно, то они будут влиять на тех
пользователей, на которых вы совсем не хотели
воздействовать. Те, кто работает в сетевой индустрии, знают,
что первое, о чем стоит спросить при жалобах пользователей
на отсутствие доступа к сети, - это о том, какие перемены в
сети и ее устройствах были сделаны! Следуя той же идеологии,
если вы хотите ограничить доступ к FTP-серверу, то список
доступа надо размещать на входе в сеть, а не на ее выходе.
При такой схеме трафику не придется путешествовать через всю
сеть и обрабатываться многими устройствами, чтобы быть
выкинутым в конце этого пути. Многие современные ТД
обеспечивают фильтрацию протокола. Фильтрация протокола
представляет собой еще один уровень обеспечения безопасности
в общей системе компании. |
