Сетевые технологии и устройства

Тема 2.4. Шлюзы, межсетевые экраны, точки доступа. Обобщение темы

План занятия

Источники: Балтрукович П. И. и др., с. 79–101; Сквирский, с. 99, 113–115; Белоусова, с. 18

1. Шлюз

Два смысла слова

2. Межсетевой экран

Функции, правила, типы, отличие от маршрутизатора

3. Точка доступа

Wi-Fi, режимы, SSID

4. Обобщение темы 2.4

Сводная таблица и выбор устройства

Шлюз

Белоусова, с. 18; Сквирский, с. 99; учебное толкование

Шлюз по умолчанию

• Маршрутизатор в настройках компьютера

• Через него — пакеты в другие сети

Шлюз как устройство

• Соединяет сети с разными протоколами

• Преобразует протоколы до прикладного уровня

• Пример: IP-телефония ↔ телефонная сеть

  • Шлюзы вместе с мостами, коммутаторами и маршрутизаторами выполняют логическую структуризацию сети (Сквирский, с. 99).
  • Шлюз — самое «умное» и самое медленное из этих устройств: разбирает данные на всех уровнях, до которых различаются протоколы.
  • Ещё пример: шлюз, переводящий сообщения одной почтовой системы в формат другой.

Межсетевой экран

Балтрукович, с. 96–98

Задача

Фильтровать трафик между зонами доверия по правилам

Подходы

«Разрешено всё, что не запрещено» или надёжнее — «запрещено всё, что не разрешено»

Операции

Allow — пропустить; Deny — отбросить молча; Reject — отбросить и сообщить

Отличие от маршрутизатора

На Cisco ASA трафик по умолчанию запрещён, на маршрутизаторе — разрешён

  • Функции: контроль доступа, фильтрация трафика, разделение сети на зоны, регистрация и мониторинг попыток доступа (Балтрукович, с. 96–97).
  • Принципы: единая точка контроля, полный контроль и регистрация, защита самого экрана — его взлом открывает всю сеть (с. 97).
  • Reject менее безопасен: ответ отправителю раскрывает сведения о сети.
  • И экран, и маршрутизатор умеют NAT, ACL, VPN и динамическую маршрутизацию; BGP и MPLS на экранах обычно нет (с. 98).

ТренажёрМежсетевой экран: пропустит или нет?

Правила проверяются сверху вниз, срабатывает первое подходящее. Пример правил — учебный (Балтрукович, с. 96–98)

Если ни одно правило не подошло:
№Протокол / портКудаДействие
1TCP 80 (HTTP)веб-серверAllow
2TCP 23 (telnet)любойDeny
3UDP 161 (SNMP)любойReject
4ICMP эхо-запросвеб-серверAllow
Выберите пакет справа.
Пакет из интернета

Типы межсетевых экранов

Балтрукович, табл. 6.1, с. 101

Тип

Уровень

Плюс

Минус

Управляемый коммутатор

2

скорость, VLAN

не видит выше L2

Пакетный фильтр

3

дёшево, быстро

подделка IP

Шлюз сеансового уровня

5

только установленные сеансы

не видит содержимого

Прокси

7

анализ содержимого, аутентификация

дорого, медленно

Инспектор состояния

все

универсален

сложная настройка

  • Первые межсетевые экраны появились в начале 1990-х; сначала их функции выполняли маршрутизаторы, анализируя заголовки пакетов сетевого уровня.
  • Шлюз сеансового уровня скрывает топологию сети; у прокси ограничена поддержка UDP.
  • Пример аппаратного межсетевого экрана — Cisco ASA 5505.

Точка доступа

Сквирский, с. 114–115; Балтрукович, с. 79–81, 88

Назначение

Двусторонняя радиосвязь в зоне действия, подключает клиентов к проводной сети

Режимы

Infrastructure — через точку; Ad Hoc — без неё

SSID

Имя беспроводной сети

Уровень

Канальный, среда разделяемая; ошибки ~10⁻³ против 10⁻⁹ в проводе

  • Wi-Fi (IEEE 802.11) появился в 1997 году (Балтрукович, с. 79); несколько точек доступа образуют зону покрытия (Сквирский, с. 114).
  • Точка доступа — мост между радио и Ethernet; все клиенты одной точки делят её полосу (учебное толкование).
  • Домашний «Wi-Fi-роутер» = точка доступа + коммутатор + маршрутизатор с NAT + межсетевой экран (учебное толкование).
  • Из-за ошибок Wi-Fi на канальном уровне повторяет передачи; радиомосты связывают два проводных сегмента (Сквирский, с. 113).

Сводка темы 2.4

Учебное толкование

Устройство

Уровень

Решение по

Делит широковещание

Хаб

1

—

нет

Коммутатор, мост, точка доступа

2

MAC

нет

Маршрутизатор, L3-коммутатор

3

IP и таблице

да

Межсетевой экран

3–7

правилам

да

Шлюз

до 7

протоколам

да

  • Домены коллизий делят мост, коммутатор и все устройства выше; хаб не делит; у точки доступа радиосреда общая.
  • Чем выше уровень устройства, тем больше оно знает о пакете и тем тоньше может им управлять.

СитуацииКакое устройство поставить?

По сводке темы 2.4 — учебное толкование

В кабинете не хватает портов для 10 новых ПК
Больше узлов в той же сети — коммутатор (L2).
Связать сеть колледжа с сетью провайдера
Другая IP-сеть — маршрутизатор: решение по IP-адресу и таблице.
Отделить серверы от сети учащихся по правилам
Граница зон доверия — межсетевой экран.
Подключить ноутбуки в читальном зале без кабеля
Точка доступа — мост между радио и Ethernet (L2).
Связать IP-телефонию с телефонной сетью
Разные протоколы — шлюз преобразует их до прикладного уровня.
Какое устройство делит широковещательный домен?
Устройства L3 и выше делят широковещание, L1–L2 — нет.

Итог

Следующая тема — 2.5 «Состав линии связи. СКС»

Шлюз

Преобразует протоколы

Экран

Фильтрует по правилам, зоны доверия

Точка доступа

Мост между радио и Ethernet

Выбор

Больше узлов — коммутатор; другая сеть — маршрутизатор; граница — экран

Конец занятия