Занятие 2. Создание и модификация фильтров пакетов

(Продолжительность занятия 15 минут)

При первой установке Proxy Server создается несколько стандартных фильтров. Вы должны решить, обеспечивают ли они требуемый уровень безопасности для Вашей сети, и при необходимости откорректировать их или создать дополнительные фильтры. На этом занятии Вы узнаете, как добавлять и видоизменять фильтры пакетов.

Изучив материал этого занятия, Вы сможете:

• изменять существующие фильтры пакетов;
• создавать фильтр для пропуска во внутреннюю сеть пакетов заданного типа, например пакетов SMTP.

Фильтры блокируют пакеты всех типов, за исключением указанных в списке Exceptions. Отключение фильтрования пакетов для какого-либо порта означает, что данный порт не прослушивается.

Модификация фильтров

Каждая строка списка Exceptions, который находится на вкладке Packet Filters, содержит ряд параметров, определяющих тип данного фильтра пакетов. Параметры, определяющие типа пакета, включают направление потока данных, используемый транспортный протокол, номер порта и IP-адрес локальной службы (адресата), номер порта и IP-адрес удаленного узла (источника).

Список допустимых типов пакетов применяется ко всем запросам, адресованным данному серверу, независимо от их источника, будь то Интернет-клиент или клиент в интрасети. Невозможно организовать индивидуальное фильтрование пакетов конкретного пользователя, хотя последние могут иметь разные права доступа к протоколам и портам в Вашей сети. Кроме того, интерфейс ISAPI позволяет при необходимости подключать специальные средства фильтрования сторонних производителей.

> Модификация списка фильтров пакетов

1. В окне Internet Service Manager дважды щелкните имя компьютера рядом с любой службой Proxy Server.
2. На вкладке Service диалогового окна Service Properties в поле Shared services щелкните Security.
3. В диалоговом окне Security откройте вкладку Packet Filters.
4. Чтобы включить фильтрование пакетов, установите флажок Enable packet filtering on external interface. В результате блокируются все пакеты.
5. Чтобы включить динамическое фильтрование пакетов по умолчанию, убедитесь, что флажок Enable dynamic packet filtering of Microsoft Proxy Server packets установлен.
6. Чтобы отредактировать какой-либо фильтр, выберите его из списка и щелкните кнопку Edit. Появится диалоговое окно Packet Filter Properties.
7. В диалоговом окне Packet Filter Properties откорректируйте параметры фильтра, щелкните кнопку ОК, а затем еще раз — кнопку ОК.

8. Чтобы удалить какой-либо фильтр, выберите его из списка и щелкните кнопку Remove, а затем — кнопку ОК.
9. Повторяйте действия б и 7 до тех пор, пока Вы не модифицируете все необходимые фильтры.
10. Закончив, щелкните кнопку Apply, а затем — кнопку ОК.

Создание новых фильтров

Новые пакетные фильтры обычно требуются в конфигурациях, где вышестоящий представитель или брандмауэр обменивается пакетами с нижестоящими, или если необходимо обеспечить работу других служб на сервере-представителе. Таким образом Proxy Server способен защитить множество серверов независимо от их местонахождения во внутренней сети.

Чтобы разрешить прохождение пакетов стандартных типов (например, пакетов SMTP), воспользуйтесь диалоговым окном Packet Filter Properties. Вот как добавить стандартный фильтр.

> Создание нового фильтра пакетов на основе стандартного определения протокола

1. На вкладке Packet Filters щелкните кнопку Add.
2. В диалоговом окне Packet Filter Properties установите переключатель Predefined filter и выберите из списка требуемый протокол.
3. В поле Local host установите соответствующий переключатель, если Вы хотите разрешить обмен пакетами с конкретным компьютером.
4. В поле Remote host задайте конкретный узел или щелкните переключатель Any host, чтобы применить фильтр ко всем узлам.
5. Щелкните кнопку ОК.

Новый фильтр с нестандартными параметрами протокола создается следующим образом.

> Создание нового фильтра пакетов на основе нестандартного определения протокола

1. На вкладке Packet Filters щелкните кнопку Add.
2. В диалоговом окне Packet Filter Properties установите переключатель Custom filter.
3. В списке Protocol ID выберите протокол, а в списке Direction — направление.
4. В поле Local port установите переключатель в положение Dynamic port, чтобы Proxy Server назначал порт динамически, или выберите Any или Fixed port в поле Remote port.
5. В поле Local host установите соответствующий переключатель и задайте локальный компьютер, который будет обмениваться пакетами с узлами Интернета.
6. Если Вы хотите разрешить обмен пакетами с конкретным узлом Интернета, в поле Remote host установите переключатель Single host и введите корректный IP-адрес. Чтобы фильтр применялся при обмене пакетами с любым узлом, установите переключатель Any host.
7. Щелкните ОК.

Если Вам понадобится вернуть все фильтры в исходное положение, воспользуйтесь следующей процедурой.

> Восстановление стандартных параметров фильтров пакетов

1. На вкладке Packet Filters щелкните кнопку Reset Defaults.
2. Щелкните кнопку ОК.

Резюме

Для обеспечения необходимого уровня безопасности иногда требуется создать новый фильтр пакетов или модифицировать существующий. При планировании стратегии использования фильтров помните, что они работают по принципу исключения — блокируются все типы пакетов за исключением явно заданных.