Шлюзы прикладного уровня

Шлюзы сеансового уровня

Данные межсетевые экраны работают на сеансовом уровне модели ISO/OSI. В отличие от фильтров пакетов, они могут контролировать допустимость сеанса связи, анализируя параметры протоколов сеансового уровня. К положительным качествам фильтров пакетов можно отнести следующие:

• невысокая стоимость;
• возможность гибко настраивать правила фильтрации;
• небольшая задержка при прохождении пакетов.

К недостаткам можно отнести следующее:

• правила фильтрации пакетов трудны в описании и требуют очень хороших знаний технологий TCP и UDP. Зачастую такие МЭ требуют многочасовой ручной настройки высококвалифицированных специалистов;
• при нарушении работоспособности межсетевого экрана с фильтрацией пакетов все компьютеры за ним становятся полностью незащищенными либо недоступными;
• отсутствует аутентификация на пользовательском уровне.

Межсетевые экраны данного класса позволяют фильтровать отдельные виды команд или наборы данных в протоколах прикладного уровня. Для этого используются прокси-сервисы – программы специального назначения, управляющие трафиком через межсетевой экран для определённых высокоуровневых протоколов (http, ftp, telnet и т.д.). Если без использования прокси-сервисов сетевое соединение устанавливается между взаимодействующими сторонами A и B напрямую, то в случае использования прокси-сервиса появляется посредник – прокси-сервер, который самостоятельно взаимодействует со вторым участником информационного обмена. Такая схема позволяет контролировать допустимость использования отдельных команд протоколов высокого уровня, а также фильтровать данные, получаемые прокси-сервером извне; при этом прокси-сервер на основании установленных политик может принимать решение о возможности или невозможности передачи этих данных клиенту A.