Политики безопасности компании при работе в Интернет

Механизм cut-through межсетевого экрана PIX Firewall начинает свою работу на прикладном уровне как proxy-сервер. Но как только пользователь аутентифицирован с помощью стандартной базы данных, построенной либо на TACACS+, либо на RADIUS, и проведена проверка политики, межсетевой экран PIX Firewall возвращает поток данных на сетевой уровень. Этот механизм обеспечивает значительное увеличение производительности без уменьшения уровня безопасности. Для гарантирования такой возможности не требуется никакого дополнительного программного обеспечения на машине клиента.

Механизм cut-through proxy работает следующим образом:

• пользователь выполняет попытку доступа к ресурсам, как будто он не находится за межсетевым экраном PIX Firewall;

• межсетевой экран PIX Firewall прерывает запрос на соединение и удостоверяется, что это новое соединение (оно отсутствует в списке уже установленных соединений);

• межсетевой экран PIX Firewall посылает запрос пользователю на ввод имени пользователя и пароля. Полученные имя и пароль межсетевой экран PIX Firewall передает серверу безопасности для проверки пользовательских привилегий. Поддерживается работа как с TACACS+, так и с RADIUS-серверами. Межсетевой экран PIX Firewall аутентифицирует следующие виды трафика: Telnet, FTP и HTTP;

• в случае успешной аутентификации межсетевой экран PIX Firewall инициирует соединение с запрашиваемым ресурсом;

• межсетевой экран PIX Firewall возвращает поток данных сессии на сетевой уровень, в высокоскоростное ядро сетевого уровня, и после этого весь трафик проходит непосредственно между источником и получателем.

Имена интерфейсов и уровни безопасности. Каждый интерфейс должен иметь имя и уровень безопасности. Уровни безопасности определяют доступ между системами, расположенными за различными интерфейсами. В компании используется следующая схема наименования и распределения уровней безопасности (см. табл. 4.5). Таблица 4.5. Наименование и распределение уровней безопасности

Конфигурирование уровней безопасности и имен на каждом интерфейсе:

...

nameif ethernet0 AdminDmz security0

nameif ethernetl WebDMZ securityl0

nameif ethernet2 ServiceDMZ security20

nameif ethernet3 SecureData security60

nameif ethernet4 Management security80

nameif ethernet5 Internal security 100

nameif ethernet6 State security40

Интерфейс State используется только для обеспечения режима failover. Команды настройки маршрутизации здесь не показаны. Пароли:

...

enable password GHjiiuUIIH67JH encrypted

passwd Huhu&*8h9h encrypted

Конфигурирование NAT. Внутренние межсетевые экраны не используют трансляцию адресов, но таблица трансляции адресов NAT все же требуется для организации доступа в подсети с разными уровнями безопасности. Команда global не используется, так как реальной трансляции не происходит. Для разрешения доступа через интерфейс с низким уровнем безопасности со стороны интерфейсов с более высоким уровнем безопасности используется команда nat. Эта команда применяется только на тех интерфейсах, компьютерам которых требуется доступ к компьютерам, находящимся за интерфейсами с меньшим уровнем безопасности:

...

nat (internal) 0 172.16.16.0. 255.255.248.0

nat (internal) 0 172.16.32.0. 255.255.224.0

nat (Management) 0 172.16.6.0. 255.255.255.0

nat (SecureData) 0 172.16.5.0. 255.255.255.0

Для обеспечения доступа из интерфейсов с более высоким уровнем безопасности используется команда static:

...