Stateful Inspection firewall’ы
Stateful Inspection firewall’ы являются пакетными фильтрами, которые анализируют содержимое 4-го уровня (Transport) модели OSI.
Stateful inspection разрабатывались исходя из необходимости рассматривать основные особенности протоколов TCP/IP. Когда ТСР создает сессию с удаленной системой, также открывается порт на исходной системе для получения сетевого трафика от системы назначения. В соответствии со спецификацией ТСР, данный порт источника клиента будет некоторым числом, большим, чем 1023 и меньшим, чем 16384. Порт назначения на удаленном хосте, как правило, имеет фиксированный номер. Например, для SMTP это будет 25.
Пакетные фильтры должны разрешать входящий сетевой трафик для всех таких портов "с большими номерами" для транспорта, ориентированного на соединение, так как это будут возвращаемые пакеты от системы назначения. Открытие портов создает риск несанкционированного проникновения в локальную сеть.
В таблице 1.6 показана первая строчка набора правил пакетного фильтра из приведенной выше таблицы, которая разрешает любое входящее соединение, если порт назначения больше 1023. Stateful inspection firewall’ы решают эту проблему созданием таблицы для исходящих ТСР-соединений, соответствующих каждой сессии. Эта "таблица состояний" затем используется для проверки допустимости любого входящего трафика. Решение stateful inspection является более безопасным, потому что отслеживать используемые порты каждого клиента лучше, чем открывать для внешнего доступа все порты "с большими номерами".
| Any | Any | 192.168.1.0 | >1023 | Allow | Правило разрешает возвращать ТСР-соединения во внутреннюю подсеть |
В сущности, stateful inspection firewall’ы добавляют понимание уровня 4 в архитектуру пакетного фильтра. Stateful inspection firewall’ы разделяют сильные и слабые стороны пакетных фильтров, но вследствие реализации таблицы состояний stateful inspection firewall’ы обычно считаются более безопасными, чем пакетные фильтры.
В таблице 1. 7 показан пример таблицы состояний firewall’а stateful inspection.
| 192.168.1.100 | 1030 | 210.9.88.29 | 80 | Establish |
| 192.168.1.102 | 1031 | 216.32.42.123 | 80 | Establish |
| 192.168.1.101 | 1033 | 173.66.32.122 | 25 | Establish |
| 192.168.1.106 | 1035 | 177.66.32.122 | 79 | Establish |
| 223.43.21.231 | 1990 | 192.168.1.6 | 80 | Establish |
| 219.22.123.32 | 2112 | 192.168.1.6 | 80 | Establish |
| 210.99.212.18 | 3321 | 192.168.1.6 | 80 | Establish |
| 24.102.32.23 | 1025 | 192.168.1.6 | 80 | Establish |
| 223.212.212 | 1046 | 192.168.1.6 | 80 | Establish |
- Разрешает прохождение пакетов только для установленных соединений;
- Прозрачен для клиентов и серверов, так как не разрывает ТСР-соединение.
Недостатки stateful inspection firewall’а:
- Реально используется только в сетевой инфраструктуре TCP/IP. Хотя, надо отметить, что stateful inspection firewall можно реализовать в других сетевых протоколах тем же способом, что и пакетные фильтры.
