Что такое фильтрация пакетов? (Преимущества и типы)

22 июля 2021 г.

Наличие функциональной сетевой безопасности может повысить производительность ваших систем, защитить ценные данные и обеспечить бесперебойную работу процессов. Одной из важных функций брандмауэров с фильтрацией пакетов является контроль и мониторинг сетевых данных для обеспечения их подлинности и соответствия требованиям. При принятии решения о том, следует ли использовать этот метод, полезно понимать, какие существуют различные варианты, а также их плюсы и минусы. В этой статье мы определяем, что такое брандмауэры с фильтрацией пакетов, перечисляем их распространенные типы, объясняем некоторые преимущества этой функции и выделяем несколько недостатков, которые помогут вам узнать о них все, что вам нужно знать.

Что такое брандмауэр с фильтрацией пакетов?

Брандмауэр с фильтрацией пакетов — это функция сетевой безопасности, которая контролирует поток входящих и исходящих сетевых данных. Брандмауэр проверяет каждый пакет, содержащий пользовательские данные и управляющую информацию, и проверяет их в соответствии с набором заранее установленных правил. Если пакет проходит тест успешно, брандмауэр разрешает ему пройти к месту назначения. Он отвергает тех, кто не проходит тест. Брандмауэры проверяют пакеты, проверяя наборы правил, протоколов, портов и адресов назначения.

В системных сетях пакеты представляют собой форматированные единицы данных, передаваемые по сетям с коммутацией пакетов. Эти сети могут быть отказоустойчивыми, поскольку они разбирают сообщения на мелкие части или пакеты и отправляют их по сети по отдельности. Когда пакеты проходят через брандмауэр и достигают места назначения, они переупорядочиваются для правильного отображения информации. При правильном выполнении коммутация пакетов оптимизирует пропускную способность каналов сети, минимизирует задержку передачи и повышает эффективность связи. Пакеты содержат два важных компонента:

• Заголовки: заголовки пакетов направляют данные в желаемое место назначения. Они содержат части интернет-протокола (IP), адресацию и любые другие данные, необходимые для доставки пакетов туда, куда они предназначены.

• Полезная нагрузка: полезная нагрузка — это пользовательские данные в пакете. Это информация, которая пытается добраться до места назначения.

4 типа фильтрации пакетов

Существует четыре основных типа фильтрации пакетов:

1. Межсетевой экран со статической фильтрацией пакетов

Брандмауэр со статической фильтрацией пакетов требует ручной установки правил брандмауэра. Точно так же внутренние и внешние сетевые подключения остаются либо открытыми, либо закрытыми, если иное не настроено администратором. Эти типы брандмауэров позволяют пользователям определять правила и управлять портами, списками контроля доступа (ACL) и IP-адресами. Зачастую они просты и практичны, что делает их подходящим выбором для небольших приложений или пользователей без особых критериев.

2. Брандмауэр с динамической фильтрацией пакетов

Динамические брандмауэры позволяют пользователям динамически настраивать правила для отражения определенных условий. Вы можете настроить порты так, чтобы они оставались открытыми в течение определенных периодов времени и автоматически закрывались вне установленных временных рамок. Брандмауэры с динамической фильтрацией пакетов обеспечивают большую гибкость, чем статические брандмауэры, поскольку вы можете устанавливать настраиваемые параметры и автоматизировать определенные процессы.

3. Брандмауэр с фильтрацией пакетов без сохранения состояния

Межсетевые экраны с фильтрацией пакетов без сохранения состояния, возможно, являются старейшими и наиболее популярными вариантами межсетевых экранов. Хотя сегодня они менее распространены, они по-прежнему предоставляют функциональные возможности для домашних пользователей Интернета или поставщиков услуг, которые распространяют маломощное клиентское оборудование (CPE). Они защищают пользователей от вредоносных программ, трафика, не относящегося к приложениям, и вредоносных приложений. Например, если пользователи размещают серверы для многопользовательских видеоигр, электронной почты или потокового видео, им часто приходится вручную настраивать брандмауэры, если они планируют отклоняться от политик безопасности по умолчанию. Ручные настройки позволяют использовать различные порты и приложения через фильтр пакетов.

4. Брандмауэр с фильтрацией пакетов с отслеживанием состояния

В отличие от параметров фильтрации пакетов без сохранения состояния, брандмауэры с отслеживанием состояния используют современные расширения для отслеживания активных подключений, таких как потоки протокола управления передачей (TCP) и протокола пользовательских дейтаграмм (UDP). Распознавая контекст входящего трафика и пакетов данных, межсетевые экраны с отслеживанием состояния могут лучше определять разницу между законным и вредоносным трафиком или пакетами. Как правило, новые подключения должны представиться брандмауэру, прежде чем они получат доступ к утвержденному списку разрешенных подключений.

Преимущества межсетевых экранов с фильтрацией пакетов

Использование брандмауэров с фильтрацией пакетов имеет много преимуществ, включая:

Эффективность

Одним из основных преимуществ брандмауэров с фильтрацией пакетов является их эффективность. Маршрутизаторы обычно работают на высоких скоростях, быстро принимая и отклоняя пакеты в зависимости от их пунктов назначения, исходных портов и адресов. Входящие и исходящие пакеты часто задерживаются всего на несколько миллисекунд, пока фильтр определяет их назначение и легитимность. Большинство других методов брандмауэра имеют накладные расходы на производительность, которые превышают таковые у брандмауэров с фильтрацией пакетов.

Прозрачность

Еще одно преимущество — прозрачность. В то время как пользователи знают о брандмауэрах, когда они отклоняют пакет, фильтры пакетов обычно работают быстро и незаметно, не мешая функциональным возможностям пользователя. Некоторые другие методы требуют от пользователей ручной настройки брандмауэров для определенных клиентов или серверов. Таким образом, брандмауэры с фильтрацией пакетов удобны для пользователя и просты в установке.

Доступность

Многие маршрутизаторы предлагают встроенную фильтрацию пакетов, что делает их недорогими. Предоставляя встроенную функциональность, программные продукты для маршрутизации и другое широко используемое оборудование предлагают дешевые и доступные варианты обеспечения безопасности. Многие веб-сайты также используют методы фильтрации пакетов в своих маршрутизаторах. Повсеместное использование брандмауэров с фильтрацией пакетов делает их одним из самых доступных вариантов обеспечения безопасности.

Доступность

Помимо доступности, простота использования делает пакетную фильтрацию привлекательным вариантом. С помощью этого метода безопасности вы можете защитить всю сеть с помощью одного экранирующего маршрутизатора. Пользователям не нужны обширные знания, обучение или поддержка для работы с брандмауэрами, потому что они не будут знать о передаче пакетов, если не произойдет отклонение.

Недостатки межсетевых экранов с фильтрацией пакетов

Существует несколько потенциальных недостатков фильтрации пакетов, о которых следует помнить, в том числе:

Снижение безопасности

Одним из потенциальных недостатков брандмауэров с фильтрацией пакетов является их слабая безопасность. Поскольку они настолько доступны и широко используются, хакеры использовали правила и вторгались в системы. Брандмауэры с фильтрацией пакетов без сохранения состояния могут быть уязвимы, поскольку они проверяют каждый пакет отдельно, создавая больше возможностей для взлома. Хакеры могут использовать поддельные IP-адреса в пакетах для вторжения в сети, потому что большинство фильтров пакетов не обеспечивают защиту от подмены адресов. Однако параметры с отслеживанием состояния устраняют некоторые из этих рисков. А в некоторых приложениях безопасность не является главным приоритетом или проблемой.

Негибкость

Еще одним потенциальным недостатком брандмауэров с фильтрацией пакетов является их негибкость. Этот метод использует аутентификацию IP-адреса и номера портов, а не контекстные подсказки для идентификации и ограничения пакетов. Многие программы не помнят ранее отфильтрованные пакеты или прошлые вторжения, то есть они не учатся и не совершенствуются. Там, где пользователи вручную настраивают правила, особое внимание к созданию рекомендаций, обеспечивающих желаемую функциональность, может устранить любые проблемы, которые могут возникнуть.

Непоследовательная применимость

В широкомасштабных приложениях предсказуемые и стандартизированные требования к пакетным фильтрам могут быть преимуществом. Для более конкретных приложений, требующих повышенной безопасности или функциональности, рассмотрите возможность изучения дополнительных параметров. Брандмауэры с фильтрацией пакетов — не лучший вариант для всех сетей. Внедрение брандмауэров с желаемыми фильтрами может занять много времени, как и настройка списков ACL. Обязательно изучите свои точные характеристики и потребности при выборе варианта безопасности, который лучше всего подходит для вас.