Zapora stanowa
W informatyce stanowa zapora ogniowa to zapora sieciowa , która indywidualnie śledzi sesje połączeń sieciowych przechodzących przez nią. Stanowa kontrola pakietów , zwana także dynamicznym filtrowaniem pakietów, to funkcja bezpieczeństwa często stosowana w sieciach niekomercyjnych i biznesowych.
Opis
Stanowa zapora sieciowa śledzi stan połączeń sieciowych, takich jak strumienie TCP , datagramy UDP i komunikaty ICMP , i może stosować etykiety, takie jak LISTEN , ESTABLISHED lub CLOSING . Wpisy w tablicy stanów są tworzone dla strumieni TCP lub datagramów UDP, które mogą komunikować się przez zaporę ogniową zgodnie ze skonfigurowaną polityką bezpieczeństwa. Gdy znajdą się w tabeli, wszystkie POWIĄZANE pakiety przechowywanej sesji są dozwolone w trybie uproszczonym, co wymaga mniej procesora cykli niż standardowa kontrola. Powiązane pakiety mogą również powracać przez zaporę, nawet jeśli nie skonfigurowano żadnej reguły zezwalającej na komunikację z tego hosta. W przypadku braku ruchu przez określony czas (w zależności od implementacji) połączenie jest usuwane z tabeli stanów. Aplikacje mogą okresowo wysyłać podtrzymujące aktywność , aby zapobiec zerwaniu połączenia przez zaporę sieciową w okresach braku aktywności lub w przypadku aplikacji, które z założenia mają długie okresy ciszy.
Sposób utrzymywania stanu sesji zależy od używanego protokołu transportowego . TCP jest protokołem zorientowanym na połączenie, a sesje są ustanawiane za pomocą trójstronnego uzgadniania przy użyciu pakietów SYN i kończą się wysłaniem FIN powiadomienie. Zapora sieciowa może używać tych unikalnych identyfikatorów połączeń, aby wiedzieć, kiedy usunąć sesję z tabeli stanów bez czekania na przekroczenie limitu czasu. UDP jest protokołem bezpołączeniowym, co oznacza, że podczas komunikacji nie wysyła unikalnych identyfikatorów związanych z połączeniem. Z tego powodu sesja zostanie usunięta z tabeli stanów dopiero po upływie skonfigurowanego limitu czasu. Wykrawanie otworów UDP to technologia, która wykorzystuje tę cechę, aby umożliwić dynamiczne konfigurowanie tuneli danych przez Internet. Komunikaty ICMP różnią się od komunikatów TCP i UDP i przekazują informacje kontrolne samej sieci. Dobrze znanym tego przykładem jest ping pożytek. Odpowiedzi ICMP będą przepuszczane z powrotem przez zaporę. W niektórych scenariuszach komunikacja UDP może wykorzystywać protokół ICMP do dostarczania informacji o stanie sesji, więc odpowiedzi ICMP związane z sesją UDP również będą przepuszczane z powrotem.
Zalety firewalla z inspekcją stanową
- Monitoruje całą sesję pod kątem stanu połączenia, jednocześnie sprawdzając adresy IP i ładunki w celu dokładniejszego zabezpieczenia
- Oferuje wysoki stopień kontroli nad tym, jakie treści są wpuszczane do sieci lub z niej wyprowadzane
- Nie musi otwierać wielu portów, aby umożliwić ruch przychodzący lub wychodzący
- Zapewnia istotne możliwości rejestrowania
Wady firewalla z inspekcją stanową
- Wymaga dużych zasobów i zakłóca szybkość komunikacji sieciowej
- Droższe niż inne opcje zapory
- Nie zapewnia możliwości uwierzytelniania w celu sprawdzenia, czy źródła ruchu nie są sfałszowane