Firewall چه می کند؟

یک Firewall ترافیکی را که بین دو شبکه عبور می کند را امتحان و بررسی می کند تا ببیند آیا ملاقاتها طبق معیارهای خاصی صورت می گیرد یا نه. در واقع بسته های TCP و IP قبل و بعد از ورود به شبکه وارد دیوار آتش می شوند و منتظر می مانند تا طبق معیارهای امنیتی خاصی پردازش شوند. حاصل این پردازش احتمال وقوع سه حالت است:

1- اجازه عبور بسته داده می شود (Accept Mode )
2- بسته حذف می شود (Blocking Mode )
3- بسته حذف می شود وپیغام مناسب به مبدا ارسال بسته فرستاده می شود (Response Mode)

(به غیر از پیغام حذف بسته می توان عملیاتی نظیر اخطار، ردگیری و جلوگیری از ادامه استفاده از شبکه و توبیخ هم در نظر گرفت)

در حقیقت دیوار آتش محلی است برای ایست و بازرسی بسته های اطلاعاتی به گونه ای که بسته ها بر اساس تابعی از قواعد امنیتی و حفاظتی پردازش شده و برای آنها مجوز عبور یا عدم عبور صادر شود. اگر P مجموعه ای از بسته های ورودی به سیستم دیوار آتش در نظر گرفته شود و S مجموعه ای متناهی از قواعد امنیتی باشد داریم :

X=F(P,S)

F تابع عملکرد Firewall و X نتیجه بسته (شامل سه حالت Response,Accept و Blocking ) خواهد بود. همانطور که همه جا ایست و بازرسی وقت گیر و اعصاب خردکن است Firewall نیز می تواند به عنوان یک گلوگاه باعث بالا رفتن ترافیک، تاخیر و بن بست در شبکه شود. بن بست زمانی است که بسته ها آنقدر در حافظه دیوار آتش معطل می شوند تا طول عمرشان تمام شده و فرستنده اقدام به ارسال مجدد آنها کرده و این کار به طور متناوب تکرار شود.

به همین دلیل Firewall نیاز به طراحی صحیح و دقیق دارد تا از حالت گلوگاهی خارج شود. البته تاخیر درFirewall اجتناب ناپذیر است فقط باید به گونه ای باشد که بحران ایجاد نکند.

بیایید کمی جزئی تر به این مسئله نگاه کنیم، اگر از دیدگاه نظریه صف به یک دیوار آتش یا همان Firewallنگاه کنیم می توان تخمینی از تاخیر تحمیل شده به هر بسته را بدست آورد. معمولا تابع توزیع بسته ها را در شبکه های اطلاعاتی پوآسون در نظر می گیرند. فرض کنید λn متوسط انتقال بسته IP در واحد زمان از شبکه N به دیوار آتش و λm متوسط انتقال بسته در واحد زمان از شبکه M باشد.q را احتمال عبور بسته PM و r را احتمال عبور بسته PN فرض کنید.

(1-q).λm+(1-r).λn = متوسط بسته های حذف شده
r.λn = متوسط انتقال بسته از دیوار آتش به M
q.λm = متوسط انتقال بسته از دیوار آتش به N

طبق نظریه صف اگر دیوار آتش بخواهد از نقش گلوگاهی خود بکاهد بایستی به گونه ای طراحی شود که نسبت متوسط خروجی بسته ها از دیوار آتش (u) به ورودی بسته ها (یعنی نسبت μ/λ) تا حد امکان زیاد باشد که این کار منوط به افزایش سرعت پردازش، داشتن حافظه کافی برای ذخیره بسته های پردازش نشده و هرچه سریع تر کردن تابع تصمیم گیری می باشد. مشکل زمانی حاد می شود که دیوار آتش مجبور باشد برای تصمیم گیری و اجازه عبور تعدادی از بسته ها را نگه دارد تا تصمیم گیری بر اساس مجموعه ای از بسته ها انجام شود. این نکته در ادامه آشکار تر خواهد شد.

انجمن دانشجویان مخابرات تربت حیدریه90 ...