Межсетевой экран с отслеживанием состояния - Stateful firewall

Эта статья о подтипе сетевого брандмауэра. Для основной темы брандмауэров см. Брандмауэр (вычисления).
Часть серии по
Информационная безопасность
Связанные категории безопасности
Угрозы
Защиты

В вычислениях межсетевой экран с отслеживанием состояния это сетевой брандмауэр который индивидуально отслеживает сеансы сетевых подключений, проходящих через него. Проверка пакетов с отслеживанием состояния, также называемая динамической фильтрацией пакетов,[1] это функция безопасности, часто используемая в некоммерческих и деловых сетях.

Описание

Брандмауэр с отслеживанием состояния отслеживает состояние сетевых подключений, например TCP потоки UDP дейтаграммы и ICMP сообщения и могут применять такие ярлыки, как СЛУШАТЬ, УЧРЕДИЛ, или же ЗАКРЫТИЕ.[2] Записи таблицы состояний создаются для потоков TCP или дейтаграмм UDP, которым разрешено обмениваться данными через брандмауэр в соответствии с настроенной политикой безопасности. Попав в таблицу, все СВЯЗАННЫЕ С пакеты сохраненного сеанса оптимизированы, разрешены, занимая меньше ЦПУ циклов, чем стандартный контроль. Связанным пакетам также разрешено возвращаться через брандмауэр, даже если не настроено правило, разрешающее обмен данными с этого хоста. Если в течение заданного времени (зависит от реализации) трафик не наблюдается, соединение удаляется из таблицы состояний. Заявки можно отправлять поддерживать активность Сообщения[3] периодически, чтобы брандмауэр не прерывал соединение в периоды бездействия или для приложений, которые по умолчанию имеют длительные периоды молчания.

Метод поддержания состояния сеанса зависит от транспорт используемый протокол. TCP - это протокол, ориентированный на соединение[4] и сеансы устанавливаются с трехстороннее рукопожатие с помощью SYN пакетов и закончился отправкой ПЛАВНИК уведомление.[5] Брандмауэр может использовать эти уникальные идентификаторы подключения, чтобы знать, когда следует удалить сеанс из таблицы состояний, не дожидаясь тайм-аута. UDP - это протокол без установления соединения,[4] Это означает, что при общении он не отправляет уникальные идентификаторы, связанные с подключением. Из-за этого сеанс будет удален из таблицы состояний только по истечении заданного времени ожидания. Пробивка отверстий UDP - это технология, которая злоупотребляет этим свойством, позволяя динамически настраивать туннели данных через Интернет.[6] Сообщения ICMP отличаются от TCP и UDP и передают управляющую информацию самой сети. Хорошо известным примером этого является пинг полезность.[7] Ответы ICMP будут разрешены обратно через брандмауэр. В некоторых сценариях связь UDP может использовать ICMP для предоставления информации о состоянии сеанса, поэтому ответы ICMP, относящиеся к сеансу UDP, также будут разрешены обратно.

Смотрите также

Рекомендации

  1. ^ Горальский, Вальтер, автор. Иллюстрированная сеть: как TCP / IP работает в современной сети. ISBN  978-0-12-811027-0. OCLC  986540207.CS1 maint: несколько имен: список авторов (ссылка на сайт)
  2. ^ "Статус TCP-соединения". Центр знаний IBM. Получено 6 сен, 2020.
  3. ^ "TCP Keepalive HOWTO". Проект документации Linux. Получено 6 сен, 2020.
  4. ^ а б Митчелл, Брэдли (1 апреля 2020 г.). «TCP против UDP». Lifewire. Получено 6 сен, 2020.
  5. ^ "Трехстороннее рукопожатие TCP". Исследование-CCNA. Получено 6 сен, 2020.
  6. ^ «Автоматический обход NAT для автоматического туннелирования VPN между узлами Cisco Meraki». Мераки. Получено 6 сен, 2020.
  7. ^ Митчелл, Брэдли (3 декабря 2018 г.). «Руководство по протоколу управляющих сообщений Интернета (ICMP)». Lifewire. Получено 6 сен, 2020.