Руководство Администратора межсетевого экрана Акер 3.01

Адресация в локальной сети

Независимо от технических возможностей, адреса внутренней сети не следует выбирать случайным образом. Специально для этих целей существуют зарезерезерированные адреса. Эти адреса не присвоены и никогда не будут присвоены какому-либо хосту, непосредственно соединенному с Интернет.
Зарезервированными являются следующие адреса:
От 10.0.0.0 до 10.255.255.255, маска 255.0.0.0 (класс A)

От 172.16.0.0 до 172.31.0.0, маска 255.255.0.0 (класс B)

От 192.168.0.0 до 192.168.255.255, маска 255.255.255.0 (класс C)

Алгоритм MD

Copyright © 1991-2, RSA Data Security, Inc. Created 1991. All rights reserved.
На копирование и использование данного программного средства предоставляется лицензия , при условии, что оно идентифицируется как "RSA Data Security, Inc. MD5 Message-Digest Algorithm" во всех материалах, содержащих упоминание или ссылки на сам продукт или его функциональные свойства
Лицензия предоставляется также на выполнение и использование производных работ, при условии, что эти работы идентифицированы как "derived from the RSA Data Security, Inc. MD5 Message-Digest Algorithm" во всех материалах, содержащих упоминание или ссылки на производную работу.
RSA Data Security, Inc. не делает никаких заявлений, касающихся либо годности для торговли, либо соответствия цели данного программного средства. Оно выпускается "как есть" без явных или подразумеваемых гарантий какого-либо вида.
Эти уведомления должны сохраняться в любых копиях любых частей данной документации и/или программного средства

Алгоритмы обмена ключами

Одной из серьезных проблем при образовании защищенного канала является определение ключей аутентификации и шифрования и выполнение периодических замен этих ключей. Чтобы снизить риск взлома ключей злоумышленником и уменьшить нанесенный ущерб в случае взлома одного из них, важно проводить периодические замены ключей; предположим, что спустя шесть месяцев после установки ключей злоумышленнику удалось взломать ключи алгоритма шифрования (выбранная ситуация гипотетическая и ничего общего не имеет с реальной ). Если компания продолжает пользоваться теми же ключами,скажем, в течение года, то злоумышленник может расшифровать весь трафик компании за последние 6 месяцев. С другой стороны, если ключи менять ежедневно, тот же нарушитель, расшифровав после шестимесячной работы по взлому трафик первого дня, будет вынужден еще поработать шесть месяцев над расшифровкой трафика второго дня и т.д. Межсетевой экран Aker предоставляет два способа обмена ключами: ручной обмен и с помощью SKIP:
  • Ручной обмен ключами

    • В этом случае все настройки ключевой информации производятся вручную. При этом если производится замена ключей, обе стороны, между которыми образован защищенный канал, должны быть одновременно переконфигурированы
  • Замена ключей с помощью SKIP

    • SKIP - это сокращение от Simple Key Management for IP. По существу, он является алгоритмом , позволяющим выполнять замену ключей в автоматическом режиме с черезвычайно высокой частотой, практически полностью исключающей их взлом. Функционирование SKIP оказывается сложной процедурой, и мы не будем вдаваться в ее детали. Сфокусируем внимание на описании самого процесса. В основном SKIP работает с тремя различными уровнями ключей:
  • Общий секрет для всех взаимодействующих хостов

  • Мастер ключ, который вычисляется заново каждый час на основе секрета.

  • Случайный ключ, который можно вычислить заново в случае необходимости

    • Опишем сценарий в общих чертах: для установления связи генерируется случайный ключ и он используется для зашифрования и аутентификации посылаемых данных. Затем этот ключ шифруется на мастер ключе и отсылается вместе с зашифрованными данными. Когда принимающая сторона получает пакет, она расшифровывает ключ с помощью мастер ключа и использует его для расшифровки остального пакета.
    Поскольку алгоритмы, используемые для аутентификации, шифрования пакета и ключа определяются отправителем и передаются как часть протокола, получателю нет нужды настраивать эти параметры в приемнике.
    Основным преимуществом SKIP является возможность использовнияя одного и того же секрета годами, не боясь его взлома нарушителем (поскольку замена ключа производится с интервалом от нескольких секунд до максимального значения в один час, в зависимости от трафика между взаимодействующими сетями).
    Настоятельно рекомендуется пользоваться этой опцией при конфигурировании защищенных каналов.

    Аутентификация пользователей

    Я правильно настроил агента аутентификации в моем Windows NT, тем не менее ни один пользователь не смог пройти аутентификацию. Каждый из них получил сообщение о неверном пароле. Что я должен делать?
    Проверьте, имеют ли эти пользователи право Локальный вход в систему на хосте с запущенным агентом. Для получения таких прав необходимо выполнить следующие шаги:
  • Запустите Диспетчер пользователей. В нем выберите меню Политика и опцию Права пользователей.

  • Выберите опцию Локальный вход в систему и установите ее для всех необходимых пользователей и групп. Чтобы упростить задачу, можно использовать группу Все.

    • Я пользуюсь агентом аутентификации для Windows NT, и заметил, что тогда как многие пользователи аутентифицируются правильно, некоторые не могут этого сделать, всегда получая сообщения о неверном пароле. В чем может быть ошибка?

    Проверьте, установлена ли у пользователей, у которых возникли проблемы с аутентификацией, опция Потребовать смену пароля при следующем входе в систему. Если она установлена, уберите ее, и тогда пользователи будут снова нормально проходить аутентификацию.
    Для проверки запустите Диспетчер пользователей и нажмите дважды на имени необходимого пользователя. Эта опция указана на дисплее под полями описания пользователя.

    Аутентификаторы межсетевого экрана Aker

    Аутентификацию пользователя в межсетевом экране Aker поддерживают WWW и Telnet proxy, что означает, что их можно настроить так, чтобы установление соединений пользователям разрешалось бы только при условии, что пользователь идентифицирует себя для межсетевого экрана при помощи имени и пароля.
    При такой процедуре аутентификации межсетевому экрану необходимо проверять правильность имен и паролей. Для одних программ требуется регистрация всех пользователей в базе данных межсетевого экрана, для других нужно, чтобы пользователи были зарегистрированными пользователями на хосте, на котором запускается межсетевой экран. Оба способа не позволяют использовать базу данных пользователей, как правило присутствующую в локальной сети.
    В межсетевом экране Aker выбрано наиболее универсальное и простое решение: вместо регистрации пользователей непосредственно в межсетевом экране, их подлинность проверяется на серверах локальных сетей, либо под управлением Unix, либо Windows NT.
    Для того что бы межсетевой экран знал, где находится информация, необходимая для аутентификации пользователей, и имел возможность обеспечить защищенную связь с этими хостами, была создана концепция аутентификаторов. Аутентификаторами являются хосты под управлением Unix или Windows NT, на которых запускается агент аутентификации. Эта программа распространяется в комплекте с межсетевым экраном Aker, и ее основное назначение - обеспечить взаимодействие между межсетевым экраном и удаленной базой данных.
    Для использования межсетевым экраном Aker базы данных на удаленном сервере вы должны выполнить следующие действия:
  • Установить и настроить агента аутентификации на хосте, где находится пользовательская база данных (эта процедура будет описана в разделах Инсталляция агента аутентификации в Unix и Инсталляция агента аутентификации в Windows NT).

  • Зарегистрировать объект типа аутентификатор с адресом хоста, на котором установлен агент, и с правильным паролем доступа (информация о регистрации объектов изложена в главе 5 Регистрация объектов).

  • Указать межсетевому экрану, что он должен использовать аутентикатор, зарегистрированный на 2 этапе, для проведения аутентификации пользователя (эта процедура будет описана в главе 16 Настройка параметров аутентификации).


    • Авторские права по системам

  • Copyright © 1997, 1998 Aker Concultancy and Informatique LTD.

  • Продукт использует DES и 3DES алгоритмы, взятые из SSL библиотеки, составленной Eric Young (eay@mincon.oz.au). Copyright © 1995 Eric Young.

  • Продукт использует MD5 алгоритм, описанный в RFC 1321. Copyright © 1991-2 RSA Data Security, Inc

  • Продукт включает программное обеспечение, разработанное сотрудниками университетов California, Berkeley.

  • Продукт использует CMU SNMP библиотеку. Copyright 1997 Carnegie Mellon Univercity.


    • Что представляет фильтр с контролем состояния межсетевого экрана Aker?

    Действия традиционного пакетного фильтра основаны исключительно на наборе правил, описанных администратором. Для каждого пакета, который может проходить через фильтр, администратор должен создать необходимое правило. В некоторых случаях это достаточно просто, однако иногда такая процедура невозможна, или по крайней мере невозможна без соблюдения необходимого уровня безопасности и гибкости.
    Пакетный фильтр межсетевого экрана Aker называется фильтром с контролем состояния, так как он сохраняет информацию о состоянии по каждому проходящему через него соединению, и использует всю эту информацию совместно с набором правил при решении вопроса о том, пропустиь или отбросить конкретный пакет. Кроме того, в отличие от пакетного фильтра, который принимает решения, основаваясь только на данных в заголовке пакета, фильтр с контролем состояния проверяет данные всех уровней и использует их при принятии решений.
    Рассмотрим подробнее, как фильтр с контролем состояния решает различные проблемы, которые возникают при использовании обычного пакетного фильтра.
    Проблема с UDP протоколом:
    Для того, чтобы использовать UDP сервис, клиент выбирает номер порта (который меняется каждый раз при использовании сервиса) и посылает пакет на порт сервера, соответствующий данному сервису (порт на сервере фиксирован). Получив запрос, сервер посылает в ответ один или более пакетов на порт клиента. Для образования соединения необходимо, чтобы межсетевой экран принимал пакеты запросов и ответов. Проблема заключается в том, что UDP протокол не является протоколом, ориентированным на соединение, т.е. если рассматривается отдельный изолированный пакет вне контекста, то невозможно узнать, является ли он запросом или ответом некоторого сервиса.
    В обычных пакетных фильтрах администратор может либо блокировать весь UDP трафик, либо позволить пройти пакетам ко всем возможным портам, так как он не знает заранее, какой порт будет выбран клиентом для доступа к определенному сервису. Оба эти подхода обладают очевидными недостатками.

    Межсетевой экран Aker способен динамически адаптироваться к трафику при решении вышеупомянутых проблем: каждый раз, когда UDP пакет соответствует какому-либо правилу, во внутреннюю таблицу состояний добавляется элемент. Это позволяет пропускать к клиенту обратные пакеты от сервера.

    Этот элемент является активным в течение короткого промежутка времени, по истечении которого он удаляется (этот временной интервал устанавливается через окно параметров настройки, которое рассматривается в главе 4 Настройка параметров системы). В результате администратору не приходится за ботиться об ответных UDP пакетах; для разрешения доступа к сервисам необходим о только настроить правила для данного сервиса. Это легко сделать, так как все сервисы имеют фиксированные порты.

    Проблема с FTP протоколом:

    FTP является одним из самых популярных протоколов в Интернет, однако, он же является и одним из наиболее сложных протоколов для межсетевых экранов.Рассмотрим более подробно его функциональные свойства:

    Для получения доступа к FTP сервису клиент открывает TCP соединение с 21 портом на сервере (порт клиента может быть различным). Такое соединение называется контрольным каналом. После этого при любой перекачке файла или просмотре каталога устанавливается новое соединение - образуется канал передачи данных. Последний можно установить двумя способами:

  • соединение может устанавливаться сервером ( 20 порт ) и клиентом (случайно выбранный порт). О номере порта клиент сообщает серверу через контрольный канал; такой способ называется активным FTP


  • клиент может открыть соединение между случайно выбранными портами ( у клиента и сервера); номер последнего передается клиенту через контрольный канал. Такой способ называется пассивным FTP.


    • В обоих указанных случаях администратор не знает, какие порты будут выбраны для установления канала передачи данных, и если он хочет использовать FTP протокол через традиционный пакетный фильтр, он будет вынужден разрешить доступ ко всем возможным портам, используемым клиентами и серверами.


    Этот подход может привести к серьезным проблемам с безопасностью.

    Межсетевой экран Aker умеет анализировать трафик по контрольному каналу, т.е. он может понять, какой тип соединения будет использоваться ( активный или пассивный) и какие порты будут использованы для установления канала передачи данных. Благодаря этому свойству, каждый раз, когда пакетный фильтр определяет, что будет иметь место передача данных, он добавляет элемент в таблицу состояний. Этот элемент активен только во время передачи и только при открытом контрольном канале. Таким образом, для настройки доступа по FTP протоколу необходимо лишь добавить правило, разрешающее доступ к 21 порту. Все остальное будет сделано автоматически.

    Проблема с Real Audio протоколом:

    Протокол Real Audio является наиболее распространенным протоколом для аудио и видео передач через Интернет в режиме реального времени.

    Для передачи видео или аудио информации клиент устанавливает TCP соединение с сервером Real Audio. Чтобы улучшить качество аудио и видео передачи, наряду с этим соединением, сервер может открыть UDP соединение с клиентом, с произвольным портом, а клиент в свою очередь может открыть другое UDP соединение с сервером (также с произвольным портом).

    Обычные пакетные фильтры не позволяют устанавливать UDP соединения от сервера к клиенту и наоборот, поскольку порты заранее неизвестны, что приводит к понижению качества аудио и видео данных.

    Фильтр межсетевого экрана Aker контролирует весь трафик между сервером Real Audio и клиентом, проверяя какие UDP соединения открыты и к каким портам и добавляя эту информацию в таблицу состояний. Этот элемент активен только в период открытого контрольного FTP соединения, что обеспечивает высокий уровень безопасности.

    Что представляет из себя SMTP proxy ?

    SMTP proxy - это специализированная программа межсетевого экрана Aker, предназначенная для работы с электронной почтой (SMTP - это сокращение от Simple Mail Transrer Protocol, сервиса для передачи электронной почты через Интернет). Она позволяет осуществлять фильтрацию cообщений электронной почты по содержанию или полям заголовка. Помимо этого, она выступает в качестве барьера, защищающего SMTP сервер от некоторых видов атак.
    SMTP proxy относится к категории прозрачных proxy [более подробно об этом описано в разделе 15 Работа с proxy серверами), и потому ни сервер, ни клиент не знают о их существовании.

    Что представляет собой моя внешняя сеть?

    Внешние сети состоят из тех хостов, которые не являются частью внутренней сети. Они могут находиться или не находиться под административной ответственностью вашей организиции.
    Если организация подключена к Интернет, внешней сетью будет весь Интернет.

    Что представляет собой моя внутренняя сеть?

    Внутренняя сеть состоит из хостов, входящих в состав одной или более подсетей, защищенных межсетевым экраном Aker. Сюда включаются также внутренние сетевые устройства, такие как маршрутизаторы, коммутаторы, серверы, клиенты и т.д. В межсетевом экране Aker внутренняя сеть называется частной сетью (Private Network).

    Что представляют собой объекты и для чего они нужны?

    Объекты служат для отображения реальных параметров в межсетевом экране Aker. С их помощью становится возможным представление хостов, сетей, сервисов и т.д.
    Основным преимуществом их использования является то, что после их описания в межсетевом экране с ними самими можно обращаться как с параметрами, что значительно облегчает работу по их настройке. Все модификации объектов будут автоматически распостраняться на все ссылки в них .
    Например, можно определить хост, назвав его WWW Server с IP адресом 10.0.0.1. После этого больше нет необходимости помнить этот IP адрес. Везде где необходимо задействовать этот хост, к нему можно обращаться по имени. Если потом поменять его IP адрес, то необходимо будет лишь изменить описание самого объекта, и система автоматически использует новое определение во всех ссылках на него.

    Что такое активные соединения ?

    К активным соединениям относятся TCP соединения или UDP сессии, которые в данный момент проходят через межсетевой экран. Они проходят через межсетевой экран либо в соответствии с правилом фильтрации, описанным администратором, либо в соответствии с записью в таблице состояний, автоматически добавленной межсетевым экраном Aker.
    По каждому такому соединению межсетевой экран хранит массу информации в своих таблицах . Некоторые из этих информационных фрагментов представляют особую ценность для администратора, их в любой момент можно просмотреть с помощью окна активных соединений. Эта информация содержит точное время установления соединений и период неактивности, т.е. период времени, в течение которого через это соединение не было обмена пакетами.

    Что такое аутентификация ?

    В аутентификации основными понятиями также являются ключ и математический алгоритм, основанный на хэш-функции. В отличие от криптографии, этот алгоритм используется не для шифрования данных, а для созданию электронной подписи. Подпись формируется таким образом, что вычислить ее, не зная алгоритм и ключ невозможно Созданная таким образом электронная подпись передается вместе с данными в пункт назначения. Если данные в процессе передачи подверглись изменениям, это сразу же обнаружится: в хосте назначения будет вычислена электронная подпись от полученных данных и после сравнения с полученной подписью подмена будет обнаружена. Операция по вычислению подписи выполняется очень быстро по сравнению с шифрованием. Тем не менее, она не может защитить данные от чтения. Поэтому ее следует применять, если важна надежность доставки, а не конфиденциальность. Для обеспечения обеих характеристик аутентификация используется совместно с криптографией.

    Что такое файл системной статистики?

    Файл статистики - это место, в котором межсетевой экран хранит всю информацию о полученных им пакетах. Он включает записи, генерируемые тремя главными модулями: пакетным фильтром, транслятором сетевых адресов, а также модулем шифрования и аутентификации. Характер хранящейся в журнале информации зависит от настроек межсетевого экрана, но главным образом в нем содержится информация о пропущенных и не пропущенных пакетах, ошибках в пакетах, а также информация о трансляции сетевых адресов.
    Повидимому, самой ценной является информация об отброшенных и не пропущенных пакетах, так как именно на основании их анализа можно обнаружить попытки вторжения, использование несанкционированных сервисов, ошибки в конфигурациях и т.д.

    Что такое фильтр системы сбора статистики?

    Даже если система настроена таким образом, чтобы регистрировать всю поступающую информацию, нас обычно интересует только определенная часть этих данных (пусть, например, мы хотим проанализировать попытки использования сервиса POP3 конкретной машиной за несколько дней, причем как успешные, так и неудачные). Фильтр системы сбора статистики - это механизм, поддерживаемый межсетевым экраном Aker, который предназначен для просмотра определенного подмножества зарегистрированных данных и позволяет легко отыскать нужную информацию.
    Фильтр разрешает только просматривать информацию, записанную в файле статистики. Если вы хотите получить более специфическую информацию, сначала надо настроить систему для ее регистрации, а затем использовать фильтр для ее просмотра.

    Что такое фильтр событий ?

    Чаще всего необходимо просмотреть выборку по определенному множеству событий, а не всю собираемую информацию(например, если Вы хотите просмотреть все вчерашние сообщения). Фильтр событий является одним из механизмов межсетевого экрана Aker, позволяющий описать и просмотреть только необходимое Вам подмножество информации. Фильтр разрешает только просматривать записанную в файле событий информацию. Для получения более специфической информации необходимо сначала настроить систему для ее сбора, а затем использовать фильтр для ее просмотра.

    Что такое инструментальные средства графического интерфейса ?

    Инструментальные средства - это набор утилит, представленных только в графическом интерфейсе межсетевого экрана Aker. Они используются для упрощения администрирования межсетевого экрана.

    Что такое криптография?

    Базовыми понятиями в криптографии являются ключ и математический алгоритм. Используя этот алгоритм и ключ, информация модифицируется. Способ, которым это делается, гарантирует возможность обратного преобразования данных к первоначальной форме только при условии, что известны алгоритм и ключ. Если один из этих компонентов держится в секрете (как правило, ключ), то просмотреть данные постороннему человеку невозможно.

    Что такое пакетный фильтр?

    Пакетный фильтр является главным модулем системы, который принимает решения, разрешить или запретить конкретному пакету пройти через межсетевой экран. Это означает, что определенный сервис разрешен или запрещен.
    Чтобы решать, какие действия следует выполнять для каждого полученного межсетевым экраном пакета, пакетный фильтр использует набор правил, которые описываются системным администратором. Для каждого пакета межсетевой экран просматривает весь набор правил в порядке их создания, проверяя, удовлетворяет ли пакет какому-либо из них. Если соответствующее правило существует, то в соответствии с ним будет выполняться заданное действие. Если данный пакет не удовлетворяет ни одному из правил, то будет выполняться действие по умолчанию.

    Что такое параметры аутентификации ?

    Параметры аутентификации указывают межсетевому экрану, с какими аутентификаторами ему следует связываться и в каком порядке при аутентификации пользователей. Помимо этого, они позволяют контролировать методику обращений к аутентификаторам, обеспечивая определенную степень гибкости процедуры аутентификации.

    Что такое proxy сервера?

    Proxy сервера - это специальные программы, которые запускаются на межсетевых экранах и используются в качестве связующего звена между внутренней сетью организации и внешними серверами. Механизм их действия прост: они ждут запроса из внутренней сети, передают этот запрос удаленному серверу во внешней сети и посылают ответ обратно внутреннему клиенту.
    Чаще всего proxy сервера используются всеми клиентами одной подсети, и благодаря своему стратегическому положению обычно обеспечивают кэширующие функции для некоторых сервисов. Более того, так как proxy сервера работают на уровне конкретного протокола, для каждого сервиса необходимы различные proxy сервера.

    Что такое реакция системы?

    В межсетевом экране Aker существует механизм , который позволяет формировать автоматические ответы для некоторых ситуаций. Автоматические ответы настраиваются администратором из набора возможных действий, которые будут выполнены для заранее описанных ситуаций.

    Что такое системные события ?

    Событиями являются сообщения межсетевого экрана более высокого уровня, т.е. не связанные напрямую с пакетами (как в случае статистики). К событиям относятся сообщения, которые генерируются одним из трех главных модулей (пакетным фильтром, транслятором сетевых адресов или модулем шифрования/аутентификации) или каким-либо другим компонентом межсетевого экрана, таким, например, как proxy сервер или каким-нибудь процессом ( при выполнении специфических задач).
    При этом генерируются сообщеня с различными уровнями важности, начиная от полезной для контроля функционирования системы информации (например,сообщения о рестарте машины или об установлении сеанса администрирования межсетевого экрана), до информации об ошибках в при выполнении или в настройках.

    Что такое SYN атака?

    SYN атака - это одна из наиболее распространенных атак типа "отказ в обслуживании". Такие атаки имеют своей целью помешать нормальной работе хоста или некоторого сервиса. В случае удачно проведенной SYN атаки можно сделать неработоспособным какой-либо сервис, основанный на TCP протоколе.
    Чтобы разобраться в механизме этой атаки, нужно понять принцип работы процесса установления соединения для TCP протокола.
    Процесс установления соединения TCP протокола проходит в 3 этапа:
  • Клиент посылает пакет серверу со специальным флагом, который называется SYN flag. Наличие такого флага показывает, что клиент хочет установить соединение.

  • Сервер в ответ посылает пакет, содержащий как флаг SYN , так и флаг ACK; это значит, что сервер принял запрос о соединении и ждет от клиента подтверждения для его установления.

  • Клиент после получения пакета с SYN и ACK флагами посылает в ответ пакет, содержащий только флаг ACK, который указывает серверу, что соединение успешно установлено.

    • Все полученные сервером запросы о соединениях хранятся в специальной очереди, имеющей заранее определенный размер, зависящий от операционной системы. Они хранятся там до тех пор, пока сервер не получит от клиента информацию об установленном соединении. Если сервер получает пакет с запросом о соединении и очередь заполнена, этот пакет отбрасывается.
    SYN атака заключается в отправке определенному серверу большого количества пакетов с запросами о соединении. Эти пакеты посылаются с несуществующим адресом источника. Вымышленный адрес источника принадлежит несуществующему хосту ( в этой ситуации часто прибегают к зарезервированным адресам, подробно описанным в главе "Трансляция сетевых адресов"). Сервер после получения этих пакетов, посылает ответный пакет и ждет подтверждения от клиента. Поскольку адрес источника пакетов не существует, сервер никогда не получит подтверждения.
    Дальше случится следующее: спустя некоторое время в данном сервере очередь для хранения запросов об установлении соединеия окончательно заполнится. Начиная с этого момента, все запросы на установление соединений будут отбрасываться, а сервис окажется бездействующим. Такое бездействие будет продолжаться в течение нескольких секунд, пока сервер, обнаружив, что подтверждение соединения не приходит слишком долго, не удалит эти ожидающие решения соединения из очереди. Однако, если атакующий настойчиво продолжает посылать подобные пакеты, сервис будет оставаться бездействующим столько времени, сколько захочет нарушитель.
    Не все хосты чуствительны к SYN атакам. Современные реализации TCP протоколов обладают собственным механизмом защиты от таких атак.

    Что такое Telnet proxy ?

    Telnet proxy - это специальная программа межсетевого экрана Aker, предназначенная для работы с Telnet протоколом, который используется для эмуляции удаленнго терминала. Его основная функция состоит в том, чтобы обеспечить аутентификацию на уровне пользователя для Telnet соединений. Это позволяет обеспечить большую гибкость и высокий уровень безопасности. Telnet proxy относятся к категории прозрачных proxy (смотрите главу 15 Работа с proxy серверами), и потому ни сервер, ни клиент не должны знать о его существовании.

    Что такое трансляция сетевых адресов?

    Любой сети, желающей подключиться к Интернет, необходим набор IP адресов, которые может выделить любая имеющая на это право организация. Существуют три класса IP адресов: класс А, внутри которого можно описать до 16777214 хостов, класс В, позволяющий описать до 65533 хостов и класс С с 254 хостами.
    Бум, который переживает Интернет в последние годы, привел к тому, что сети класса А и В в настоящее время стали недоступны для организаций и отдельных пользователей. Поэтому Вам может быть выделена только сеть класса С, с 254 адресами. При большем числе хостов вам потребуются другие сети класса С, что усложняет работу администратора. Другой способ решения проблемы состоит в использовании трансляции сетевых адресов (NAT).
    Трансляция сетевых адресов - это технология, которая позволяет использовать для внутренней сети любые адреса, возможно даже из класса А; при этом сохраняется одновременный и прозрачный доступ в Интернет для всех хостов.
    Механизм функционирования такого процесса достаточно прост: каждый раз, когда хост с зарезервированным адресом пытается получить доступ в Интернет, межсетевой экран контролирует эту попытку и автоматически преобразует его адрес в разрешенный. Когда хост назначения отвечает и посылает данные на разрешенный адрес, межсетевой экран преобразует его обратно в зарезервированный адрес и передает данные внутреннему хосту. При этом ни клиент, ни сервер не знают о существовании этого преобразования.
    Кроме уже упомянутых преимуществ, трансляция сетевых адресов позволяет все хосты внутренней сети сделать невидимыми для внешней сети, что увеличивает уровень безопасности.
    Трансляция сетевых адресов не может быть использована для сервисов, которые передают информацию об IP-адресах или портах внутри протокола. Межсетевой экран Aker из сервисов такого вида поддерживает только сервисы FTP и Real Audio/Real Video.

    Что такое WWW кэш сервер?

    Кэш-сервер является программой, которая предназначена для ускорения доступа к страницам Интернет. Для этого кэш-сервер хранит у себя наиболее часто запрашиваемые страницы и каждый раз, когда он получает новый запрос, он проверяет, не хранится ли у него запрашиваемая страница. Если страница присутствует , она немедленно высылается без обмена с внешним сервером. Если нет, страница загружается обычным образом с сервера и сохраняется, что обеспечивает быстый доступ к ней при новых запросах.

    Что такое WWW proxy в межсетевом экране Aker?

    WWW proxy - это специализированная программа межсетевого экрана Aker, предназначенная для работы с протоколами, которые поддерживаются WWW (World Wide Web) серверами, такими как HTTP, HTTPS, FTP и Gopher.
    Основная функция WWW proxy состоит в управлении доступом внутренних пользователей к Интернет; они, например, определяют каким пользователям можно позволить доступ и к каким страницам, кто может передавать файлы и т.д. Более того, они могу блокировать Active-XTM и JavaTM applets, которые могут иногда представлять опасность.
    WWW proxy относится к непрозрачными proxy (смотрите главу 15 Работа с proxy серверами), поэтому использующие их клиенты должны уметь работать через proxy и быть соответственно настроенными. Это требование не ведет к появлению какитх-либо существенных проблем, поскольку практически все клиенты (броузеры) это поддерживают. Необходимые настройки клиентов выполняется просто и быстро.

    Что такое защищенный канал и для чего он применяется?

    Интернет - это глобальная сеть, насчитывающая тысячи компьютеров, разбросанных по всему миру. Когда два компьютера взаимодействуют между собой, весь трафик от источника до пункта назначения проходит через множество других устройств (маршрутизаторов, коммутаторов и т.д.). Эти сетевые устройства администрируют посторонние организации, и никто не может поручиться за их честность (в большинстве случаев невозможно узнать заранее, по какому пути пойдут пакеты к пункту назначения). На любом из хостов, встречающихся на пути пакетов, можно просмотреть их содержимое и/или изменить что-либо в них. Все это создает серьезные проблемы, тем более существенные, чем выше уровень значимости или конфиденциальности передаваемых данных. Для решения этоих проблем и применяются защищенные информационные каналы. Их можно представить себе как некий туннель. Информация помещается с одной стороны туннеля и прочесть ее можно только с другой стороны. На самом деле, передаваемая информация модифицируется таким образом, чтобы их невозможно было изменить (аутентификация) или просмотреть (криптография) на пути их следования. При совместном применении этих двух механизмов обеспечивается как сокрытие информации, так и невозможность ее подмены на всем пути ее следования.

    Cообщения о событиях межсетевого экрана

    31 - Aker Firewall v3.01 - Инициализация завершена
    Это информационное сообщение появляется каждый раз при перезапуске межсетевого экрана.
    32 - Ошибка распределения памяти
    Это сообщение означает, что какой-то модуль межсетевого экрана пытался запросить объем паяти память и не смог ее получить. Система FreeBSD вводит максимальный лимит на каждый тип памяти, которую можно получить, в зависимости от объема общей памяти. Если такой лимит достигнут, то невозможно получить больший объем памяти. Такое сообщение может встретиться в системах с малым объемом памяти RAM, использующих трансляцию адресов с большим числом одновременных соединений или большим числом активных соединений, проходящих через proxy сервера межсетевого экрана.
    Решение: Увеличить объем памяти RAM.
    33 - Таблица трансляции TCP заполнена
    Таблица трансляции адресов TCP заполнена.
    Решение: Увеличить максимальное число одновременных TCP соединений (вся необходимая информация содержится в главе 7 Настройка трансляции сетевых адресов).
    34 - Таблица трансляции UDP заполнена
    Таблица трансляции адресов UDP заполнена.
    Решение: Увеличить максимальное число одновременных UDP соединений (вся необходимая информация содержится в главе 7 Настройка трансляции сетевых адресов).
    35 - Неверный алгоритм аутентификации
    Криптографический модуль обнаружил при выполнении аутентификации пакета неверный алгоритм аутентификации в ассоциации защиты (SA).
    36 - Неверный алгоритм шифрования
    Криптографический модуль обнаружил при выполнении шифрования пакета неверный алгоритм шифрования в ассоциации защиты (SA).
    37 - Загружаемым модулем получены неверные данные
    Это сообщение означает, что в модули межсетевого экрана, запущенные в ядре FreeBSD, были посланы неверные данные.
    Решение: Постарайтесь проверить, какая программа создает это сообщение, многократно запуская и останавливая программу.
    38 - Ошибка при чтении файла параметров
    Это сообщение генерируется внешними модулями, которые пытаются прочитать файл параметров и обнаруживают, что он не существует или его нельзя прочитать.

    Решение: Перезапустить межсетевой экран, чтобы программа инициализации заново создала файл параметров.

    39 - Ошибка при загрузке профилей доступа

    Это сообщение означает, что сервер аутентификации не смог загрузить в систему список зарегистрированных профилей доступа.

    40 - Неверное имя профилей доступа

    Это сообщение означает, что сервер аутентификации, когда он пытается найти профиль доступа пользователя, обнаруживает, что профиль не зарегистрирован в системе

    41 - Ошибка при создании сокета соединения

    Это сообщение означает, что некоторые внешние модули пытались создать сокет и получили сообщение об ошибке.

    Решение: Проверить количество файлов, которые могут быть открыты процессом, а также их полное количество для всех процессов системы. Если необходимо, увеличьте эти значения.

    42 - Ошибка при привязке к виртуальному IP



    Это сообщение означает, что FTP proxy для преобразования адресов не смогли привязать виртуальный IP адрес к созданному гнезду. Так происходит, когда виртуальный IP адрес неверен.

    Решение: Изменить значение поля Виртуальный IP в настройках трансляции сетевых адресов, связанного с IP адресом одного из сетевых интерфейсов межсетевого экрана (см. главу 7 Настройка трансляции сетевых адресов).

    43 - Слишком много символов в строке

    Это сообщение означает, что proxy межсетевого экрана Aker получил строку со слишком большим количеством символов и из-за этого закрыл соединение. Дополнительная информация в скобках указывает IP адрес хоста, который явился причиной проблемы.

    Решение: Сервер или клиент сочли это сообщение несоответствующим стандартам RFCs. Единственное возможное решение этой проблемы - обратиться к администратору хоста, откуда пришло сообщение.

    44 - Ошибка при загрузке контекста

    Это сообщение означает, что один из прозрачных proxy не смог загрузить необходимый контекст.

    45 - Обратное DNS преобразование не настроено

    Это сообщение вырабатывается каким-либо proxy сервером, если они были настроены принимать соединения от хостов, если для них настроено обратное преобразование адресов в DNS и не смогли разрешить имя для IP адреса источника соединения.


    Дополнительное сообщение указывает IP адрес источника соединения.

    46 - Конфликт между прямым и обратным DNS

    Когда proxy межсетевого экрана настроены принимать соединения от хостов, если для них настроено обратное преобразование адресов в DNS, они используют следующую технику для повышения безопасности: сначала они пытаются разрешить имя для IP адреса источника соединения. Если proxy не может этого сделать, возникает описанное выше сообщение об ошибке и соединение не устанавливается. Если proxy все-таки разрешают имя, они по этому имени пытаются разрешить его адрес. Если они не могут выполнить эту операцию или если возвращенный IP адрес отличен от адреса источника, происходит разрыв соединения и вырабатывается данное сообщение.

    47 - Неверная команда

    Это сообщение означает, что один из proxy получил от клиента неверную команд и потому не передал ее серверу. Дополнительное сообщение показывает саму неверную команду и имаена хостов источника и назначения (только в случае прозрачных proxy) соединения.

    48 - SMTP сообщение пропущено

    Эта диагностика означает, что SMTP proxy принял сообщение и послал его серверу. Дополнительное сообщение указывает, какими были хосты источника и назначения соединения.

    49 - SMTP сообщение блокировано

    Это сообщение означает, что SMTP proxy отбросили полученное сообщение. Это происходит либо потому, что данное сообщение соответствует некоторому правилу фильтрации, согласно которому сообщение должно быть отброшено, либо потому, что его размер превышает максимально допустимый.

    50 - URL пропущен

    Это сообщение означает, что WWW proxy пропустил URL запрос пользователя. Дополнительное сообщение внутри скобок показывает пользователя, сделавшего запрос. На второй строке сообщения показан IP адрес, откуда был сделан запрос, на третьей строке показан URL запроса

    Это сообщение генерируется только для URL HTTP протокола, если результатом является HTML код. Для FTP и Gopher протокола оно генерируется всегда, не зависимо от типа запроса.

    51 - URL не пропущен


    Это сообщение означает, что WWW proxy отклонил URL запрос пользователя. Дополнительное сообщение внутри скобок показывает пользователя, сделавшего запрос. На второй строке сообщения показан IP адрес, откуда был сделан запрос, на третьей строке показан URL запроса

    52 - Ошибка при взаимодействии с сервером аутентификации

    Это сообщение означает, что один proxy не смог установить связь с сервером аутентификации при попытке выполнения аутентификации пользователя. В связи с этим пользователю не разрешается продолжить работу, а само соединение не устанавливается.

    Решение: Проверить, является ли активным процесс, обслуживающий сервер аутентификации на межсетевом экране. Для этого выполните команду: #ps -ax | grep fwauthd | grep -v grep. Если процесс не запущен, запустите его командой /etc/firewall/fwauthd.

    53 - Ошибка при соединении с агентом аутентификации

    Это сообщение означает, что сервер аутентификации не смог соединиться с агентом аутентификации, запущенным на некотором хосте. Дополнительное сообщение укажет имя агента аутентификации, с которым не смог соединиться сервер.

    Решение: Проверить, правильнность IP адреса хоста, на котором предположительно запущен агент; проверить также, что агент действительно запущен на этом хосте. Более подробную инфомацию можно посмотреть в разделе 5 Регистрация объектов).

    54 - Ошибка при взаимодействии с агентом аутентификации

    Это сообщение означает, что сервер аутентификации соединился с агентом аутентификации, но не смог установить соединение. Дополнительное сообщение укажет имя агента аутентификации, из-за которого возникла проблема.

    Решение: Проверить, соответствует ли пароль доступа в определении аутентификатора паролю в конфигурации агента аутентификации. За более подробной информацией обращайтесь к главе 5 Регистрация объектов

    55 - Ошибка аутентификации proxy

    Это сообщение означает, что пользователь ввел неверный пароль, когда пытался пройти аутентификацию при обращении к proxy серверу. Дополнительное сообщение укажет имя пользователя и хосты источника и назначения (только в случае прозрачных proxy) соединения.


    56 - Пользователь не зарегистрирован для proxy

    Это сообщение означает, что незарегистрированный пользователь пытался пытался пройти аутентификацию при обращении к proxy серверу. Дополнительное сообщение укажет хосты источника и назначения (только в случае прозрачных proxy) соединения.

    57 - У пользователя нет полномочий на открытие Telnet сессии

    Это сообщение означает, что пользователь прошел аутентификацию при обращении к telnet proxy, но не получил разрешения открыть соединение. Дополнительные сообщение укажут имя пользователя и хосты источника и назначения соединения.

    58 - Telnet сессия открыта

    Это сообщение означает, что пользователь прошел аутентификацию при обращении к telnet proxy, получил разрешения открыть соединение и открыл его. Дополнительные сообщения указывают имя пользователя и хосты источника и назначения соединения.

    59 - Ошибка при отправке данных ядру МЭ



    Это сообщение означает, что какой-то внешний модуль пытался послать информацию модулям межсетевого экрана, которые выполнялись в ядре, и получил сообщение об ошибке. Если существует дополнительное сообщение в скобках, то оно укажет, какая информация была послана.

    Решение: Проверить, является ли ядро, запущенное на межсетевом экране ядром, собранном из объектных модулей межсетевого экрана Aker.

    60 - Слишком большое число процессов в системе

    Это сообщение означает, что какой-то внешний модуль межсетевого экрана при попытке создать дочерний процесс для обработки соединения обнаружил, что число процессов, запущенных в системе, близко к максимально допустимому. Из-за этого новый процесс не был создан, а соединение, которое олн должен был поддерживать, было разорвано.

    Решение: Увеличить максимальное число процессов в системе. Это можно сделать с помощью изменения опции MAX_USERS в файле настройки ядра и компиляции нового ядра или использования команды sysctl (обратите внимание на то, что в случае использования команды sysctl изменения будут иметь силу только до перезагрузки, поэтому команда должна выполняться каждый раз при новом запуске межсетевого экрана).


    61 - Запрос на открытие сеанса администрирования

    Это сообщение генерируется удаленным модулем администрирования межсетевого экрана Aker каждый раз, когда он получает запрос на установление административного сеанса. В дополнительном сообщении указывается IP адрес хоста, запрашивающего соединение.

    62 - Сеанс администрирования установлен

    Это сообщение генерируется удаленным модулем администрирования межсетевого экрана Aker каждый раз при успешной аутентификации пользователя и устанавлении административного сеанса. В дополнительном сообщении указываются имя регистрации пользователя, установившего соединение, и его права.

    Права пользователя представляются тремя различными сокращениями. Если пользователь имеет определенные права, будет показана соответствующее сокращение, во всех прочих случаях вместо этого будет показано значение -. Ниже представлены сокращениями и их значения:

  • CF - Может настраивать межсетевой экран


  • CL - Может настраиваить статистику


  • MU - Может управлять пользователями


    • 63 - Сеанс администрирования закрыт

    Это сообщение означает, что установленный сеанс администрирования закончен по команде пользователя..

    64 - Администратор не зарегистрирован

    Это сообщение означает, что незарегистрированный в системе пользователь пытается установить сеанс администрирования.

    65 - Ошибка при подтверждении сеанса администрирования

    Это сообщение означает, что зарегистрированный в системе пользователь пытался установить удаленный сеанс удаленного администрирования, но не смог ввести правильный пароль. Дополнительное сообщение указывает имя этого пользователя.

    66 - Межсетевым экраном управляет другой пользователь

    Это сообщение означает, что пользователь правильно аутентифицировался для установления удаленного сеанса администрирования, однако существует и другой пользователь с открытой к тому же хосту сессией, в связи с чем соединение запрещено. Дополнительное сообщение указывает, какому пользователю отказано в сеансе.

    67 - Модификация параметров

    Это сообщение означает, что во время сеанса администрирования была изменена конфигурация системы.


    Дополнительное сообщение указывает имя измененного параметра.

    68 - Модификация правил фильтрации

    Это сообщение означает, что во время сеанса администрирования были сделны изменения в таблице правил фильтрации.

    69 - Модификация трансляции адресов

    Это сообщение означает, что во время сеанса администрирования были изменены правила тарнсляции сетевых адресов или серверная таблица трансляции. Дополнительное сообщение уточняет характер изменений.

    70 - Модификация защищенных каналов

    Это сообщение означает, что что что во время сеанса администрирования были изменены таблицы защищенных каналов.

    71 - Модификация защиты от SYN атак

    Это сообщение означает, что во время сеанса администрирования были изменены параметры защиты от SYN атак. Дополнительное сообщение уточняет характер изменений.

    72 - Модификация SMTP контекстов



    Это сообщение означает, что во время сеанса администрирования были изменены таблицы SMTP контекстов.

    73 - Модификация SNMP параметров

    Это сообщение означает, что во время сеанса администрирования были изменены параметры настройки SNMP агента.

    74 - Aмодификация профилей доступа

    Это сообщение означает, что во время сеанса администрирования были изменены профили доступа.

    75 - Модификация списков контроля доступа

    Это сообщение означает, что во время сеанса администрирования были изменены списки доступа.

    76 - Модификация параметров аутентификации

    Это сообщение означает, что во время сеанса администрирования были изменены глобальные параметры аутентификации.

    77 - Модификация объектов

    Это сообщение означает, что во время сеанса администрирования были изменены списки объектов системы.

    78 - Модификация Telnet контекстов

    Это сообщение означает, что во время сеанса администрирования были изменены таблицы контекстов Telnet.

    79 - Модификация WWW параметров

    Это сообщение означает, что во время сеанса администрирования были изменены параметры WWW.

    80 - Удаление активного соединения



    Это сообщение означает, что во время сеанса администрирования было удалено соединение.


    Дополнительное сообщение указывает тип протокола соединения (TCP или UDP).

    81 - Операции с файлом статистики

    Это сообщение означает, что во время сеанса администрирования была проделана одна из операций (Уплотнить или Очистить) с файлом статистики системы. Дополнительное сообщение показывает, какая из этих операций была выполнена.

    82 - Операции с файлом событий

    Это сообщение означает, что во время сеанса администрирования была проделана одна из операций (Уплотнить или Очистить) с файлом событий системы. Дополнительное сообщение показывает, какая из этих операций была выполнена.

    83 - Операции с файлом пользователей

    Это сообщение означает, что во время сеанса администрирования была проделана одна из операций на файле пользователей. Возможны операции Добавить, Удалить и Изменить). Дополнительное сообщение указывает, какая из этих операций была выполнена и каким пользователем.

    84 - Модификация даты/времени МЭ

    Это сообщение показывает, что администратор, работавший через администрати вный интерфейс, изменил дату и/или время на межсетевом экране

    85 - Административный сеанс закрыт из-за ошибки

    Это сообщение означает, что сеанс администрирования был прерван из-за ошибки протокола связи.

    Решение: Попытаться снова установить соединение.

    86 - Административный сеанс закрыт по тайм-ауту

    После установления удаленного сеанса администрирования удаленный хост начинает периодически посылать на межсетевой экран сообщение для подтверждения активности соединения. Эти сообщения посылаются, если даже пользователь не выполняет никаких операций.

    Это сообщение означает, что сеанс удаленного администрирования был прерван из-за того, что сервер не получил сообщение от удаленного хоста в течение максимально допустимого времени. Наиболее вероятной причиной этого может быть сбой на хосте с запущенным графическим интерфейсом или сетевая неисправность.

    87 - Ошибка в предыдущей операции

    Это сообщение означает, что последняя операция, выполненная с удаленного хоста, не была успешно завершена.

    Решение: Проверить, есть ли свободное пространство в файловой системе '/ ' межсетевого экрана. Это можно сделать с помощью команды $df -k. Если эта команда показывает, что используемое пространство на каталоге "/" равно 100%, в этом и заключается причина проблемы.

    88 - Пользователь без права доступа

    Это сообщение означает, что пользователь пытался выполнить несанкционированное действие.

    89 - Неизвестная ошибка

    Это сообщение означает, что сервер поддержки удаленного администрирования межсетевого экрана получил запрос от неизвестного сервиса.

    Дата и время

    Эта опция позволяет администратору проверять и модифицировать установленное на межсетвом экране время. Правильно установленные дата и время важны для работы правил фильтрации и временных таблиц профиля доступа WWW, обмена ключей через SKIP протокол и систему статистики и событий Для доступа к окну установки даты и времени необходимо:
  • Выбрать меню Средства в главном окне

  • Выбрать опцию Дата и время

    • Окно установки даты и времени
    Это окно состоит из двух полей, которые показывают дату и время на межсетевом экране. Для модификации этих параметров необходимо установить необхолимое значение в соответствующее поле. При модификации времени аналоговые часы в правом окне автоматически изменят свое значение
  • Кнопка Да закрывает окно и сохраняет изменения

  • Кнопка Отменить закрывает окно и отбрасывает изменения

  • Кнопка Помощь выводит окно подсказок по данному разделу


    • Дерево каталогов

  • / - содержит модифицированное ядро операционной системы с межсетевым экраном Aker

  • /etc/firewall - содержит выполняемые программы и подкаталоги

  • /etc/firewall/conf - содержит конфигурационные файлы межсетевого экрана

  • /etc/firewall/manual - содержит руководство пользователя (если оно установлено)

  • /etc/firewall/root - не содержит файлов. Используется некоторыми процессами межсетевого экрана

  • /etc/firewall/run - содержит динамические файлы

  • /var/log - содержит файлы статистики и событий межсетевого экрана Aker

  • /var/spool/firewall - используется SMTP proxy для хранения сообщений

  • /usr/src/sys/objs - содержит объектные модули, необходимые для создания нового ядра системы


    • DES Library

    Copyright © 1995 Eric Young (eay@mincom.oz.au)

    All rights reserved.
    Эта библиотека и ее приложения БЕСПЛАТНО РАСПРОСТРАНЯЕТСЯ ДЛЯ КОММЕРЧЕСКОГО И НЕКОММЕРЧЕСКОГО ИСПОЛЬЗОВАНИЯ до тех пор, пока соблюдаются следующие условия.
    Авторское право остается принадлежащим Eric Young, и когда уведомления об Авторском праве присутствуют в тексте программы, они не должны из нее удаляться. Если этот код используется в каком-либо продукте, на Eric Young должны даваться ссылки как на автора используемых частей продукта. Такие ссылки могут быть сделаны в виде текстового сообщения при запуске программы или содержаться в документации (в режиме online или в текстовой форме), сопровождающей пакеты.
    Дальнейшее распостранение и использование в исходной или двоичной формах, с модификацией или без нее, разрешено при выполнении следующих условий:
  • При дальнейшем распостранении исходных кодов должно сохраняться уведомление об авторском праве, этот список условий и приведенный ниже отказ от права

  • При дальнейшем распостранении двоичных кодов должно сохраняться уведомление об авторском праве, этот список условий и приведенный ниже отказ от права.

  • Все рекламные материалы, упоминающие характеристики или использование этого программного средства, должны воспроизводить следующее официальное заявление:

    • Этот продукт включает программное средство, разработанное Eric Young (eay@mincom.oz.au)
    ЭТО ПРОГРАММНОЕ СРЕДСТВО ПРЕДОСТАВЛЕНО ЕГО РАЗРАБОТЧИКОМ ERIC YOUNG "КАК ЕСТЬ", ПРИ ЭТОМ НЕ ПРИЗНАЮТСЯ НИКАКИЕ ЯВНЫЕ ИЛИ ПОДРАЗУМЕВАЕМЫЕ ГАРАНТИИ, ВКЛЮЧАЯ, НО НЕ ОГРАНИЧИВАЯСЬ ЭТИМ, ПОДРАЗУМЕВАЕМЫЕ ГАРАНТИИ ПРИГОДНОСТИ ДЛЯ ТОРГОВЛИ И СООТВЕТСТВИЯ ЦЕЛИ. НИ ПРИ КАКИХ ОБСТОЯТЕЛЬСТВАХ. АВТОР ИЛИ ЕГО СОТРУДНИКИ И СПОНСОРЫ НЕ ДОЛЖНЫ НЕСТИ ОТВЕТСТВЕННОСТИ ЗА ЛЮБЫЕ ПРЯМЫЕ, НЕПРЯМЫЕ, ПРЕДВИДИМЫЕ, ФАКТИЧЕСКИЕ, ПРИМЕРНЫЕ ИЛИ КОСВЕННЫЕ УБЫТКИ (ВКЛЮЧАЯ, НО НЕ ОГРАНИЧИВАЯСЬ ЭТИМ, СНАБЖЕНИЕ ЗАМЕНАМИ ТОВАРОВ ИЛИ УСЛУГ; ПОТЕРИ ОТ ИСПОЛЬЗОВАНИЯ, ДАННЫХ ИЛИ ПРИБЫЛЕЙ; ИЛИ ПРЕРЫВАНИЕ ДЕЛОВЫХ ОТНОШЕНИЙ), ЧЕМ БЫ ОНИ НИ БЫЛИ ВЫЗВАНЫ И НА ЧЕМ БЫ ОБЯЗАТЕЛЬСТВА НИ ОСНОВЫВАЛИСЬ, НА КОНТРАКТАХ, НА СТРОГОЙ ОТВЕТСТВЕННОСТИ, ИЛИ НА ГРАЖДАНСКО-ПРАВОВОМ ДЕЛИКТЕ (ВКЛЮЧАЯ НЕБРЕЖНОСТЬ ИЛИ КАКОЕ-ЛИБО ИНОЕ ДЕЙСТВИЕ), ВОЗНИКАЮЩИЕ КАКИМ- ТО ОБРАЗОМ ВНЕ СФЕРЫ ИСПОЛЬЗОВАНИЯ ЭТОГО ПРОГРАММНОГО СРЕДСТВА, И ДАЖЕ ПРИ ЗАБЛАГОВРЕМЕННОМ УВЕДОМЛЕНИИ О ВОЗМОЖНОСТИ ТАКИХ УБЫТКОВ.
    Лицензию и условия распространения для любой общедоступной версии или производной от данного кода нельзя изменять, т.е. этот код нельзя просто копировать или размещать согласно другой лицензии по распространению [включая GNU Public License].

    Динамические файлы

  • /etc/firewall/run/fwauthd.pid - PID (идентификатор процесса) сервера аутентификацииr

  • /etc/firewall/run/fwhttppd.pid - PID для HTTP proxy

  • /etc/firewall/run/fwsrvlog.pid - - PID сервера регистрации


    • Для чего нужна реакция системы?

    Смысл реакции системы заключается в том чтобы обеспечить более тесное взаимодействие между межсетевым экраном и администратором. Ее использование, например, делает возможным выполнение программы, которая вызывает администратора, когда межсетевой экран обнаруживает начавшуюся атаку. Это позволяет администратору немедленно предпринять эффективные действия, даже если он в тот момент не наблюдает за работой межсетевого экрана.

    Добавление и удаление объектов и сервисов

    Каждое из полей объектов источника, назначения и сервисов состоит из двух списков. Левый список содержит все объекты системы, которые можно добавить в выделенное поле. Правый список содержит все объекты, которые уже добавлены в поле.
    Чтобы добавить объект в одно из этих полей, нужно сделать следующее:
  • Выделить включаемый объект в левом списке.

  • Нажать на направленной вправо стрелке сбоку от требуемого списка (только что включенный объект будет помечен красной меткой V, указывающей на то, что он добавлен в поле).

    • P>Чтобы удалить объект из одного из этих полей, нужно выполнить следующее:
  • Выделить удаляемый объектв правом списке.

  • Нажать на значок X сбоку от требуемого списка (контрольная метка V будет удалена от объекта, чтобы показать, что он больше не принадлежит выделенному полю).


    • Движение пакетов в межсетевом экране Aker

    В предыдущих главах этого руководства были разобраны по отдельности три главных модуля межсетевого экрана Aker со всеми деталями, относящимися к их настройке. Теперь будет показано, как пакеты проходят через эти модули и каким изменениям они могут подвергнуться в каждом из них.
    По сути дела, существуют два различных потока: один для пакетов, которые генерируются во внутренней сети и имеют в качестве пункта назначения внешний хост (выходящий поток), и другой, для пакетов, которые генерируются во внешней сети и имеют в качестве пункта назначения хост внутренней сети (входящий поток).

    Файлы статистики и событий

  • /var/log/eventos-301.fw - Файл регистрации событий

  • /var/log/log-301.fw - Файл регистрации статистики


    • Формат и значения полей сообщений о событиях

    Ниже описан формат сообщений и приводится описание их полей. Полный список всех возможных сообщений и их значений содержится в Приложении А
    Формат записи: