Είναι κοινά αποδεκτό πως στο χώρο της ασφάλειας, το τείχος προστασίας αποτελεί το πλέον δημοφιλές εργαλείο εφαρμογής πολιτικών ασφάλειας για τις περισσότερες εταιρείες και Οργανισμούς, σε βαθμό τέτοιο, ώστε να μην αποτελεί έκπληξη η ευρεία υιοθέτησή του.

Στο παρόν άρθρο θα ασχοληθούμε κυρίως με την παρουσίαση αρχιτεκτονικών τάσεων για τη δημιουργία τοίχων προστασίας (firewalls). Η εταιρική κουλτούρα του σήμερα ενσωματώνει το τείχος προστασίας στα εταιρικά περιουσιακά στοιχεία, ενώ αυτό το οποίο ίσως δεν είναι ξεκάθαρο σε πολλούς, είναι πως το τείχος προστασίας είναι κάτι πολύ περισσότερο από ένα μεμονωμένο προϊόν ή τεχνολογία. Στην ουσία, ένα τείχος προστασίας, μπορεί να υλοποιηθεί με παραπάνω από ένα συστήματα, τα οποία αλληλεπιδρούν βάσει μιας κοινής αρχιτεκτονικής.

Ξεκινώντας λοιπόν, θα πρέπει να τονίσουμε πως η επιλογή μιας κατάλληλης αρχιτεκτονικής είναι κάτι το οποίο απαιτεί εκτενή σχεδιασμό, πριν καν αρχίσει η κυρίως σχεδιαστική δουλειά και μπορεί να συνοψιστεί στα εξής βήματα:

  • Διασάφηση των αναγκών, τις οποίες η αρχιτεκτονική καλείται να καλύψει.
  • Αξιολόγηση των υπαρχουσών τεχνολογιών, προϊόντων και λύσεων.
  • Εγκατάσταση και ενσωμάτωση της λύσης με την υπόλοιπη υποδομή.

Προφανώς λοιπόν, το σημείο εκκίνησης της διαδικασίας πρέπει να είναι η διασάφηση των αναγκών τις οποίες καλείται να καλύψει η εν λόγω αρχιτεκτονική. Αυτό πρακτικά σημαίνει πρωτίστως την εναρμόνιση με τα όσα ορίζονται στην πολιτική ασφάλειας του Οργανισμού, μιας και στην ουσία ένα τείχος προστασίας αποτελεί κατά κύριο λόγο ένα μέσο εφαρμογής των όσων ορίζονται σε αυτή. Μία εξίσου προφανής ερώτηση που χρειάζεται να απαντηθεί, είναι ο τύπος αλλά και ο αριθμός των υπηρεσιών που θα παρέχονται από το συγκεκριμένο τόπο (site), από και προς το διαδίκτυο. Έτσι, μία ερώτηση την οποία μπορούμε ενδεικτικά να αναφέρουμε, είναι για παράδειγμα, το αν ο συγκεκριμένος Οργανισμός θα προσφέρει υπηρεσίες σε τρίτους μέσω διαδικτύου. Μία επίσης σημαντική ερώτηση για το συγκεκριμένο εγχείρημα είναι ο καθορισμός του επιπέδου ασφάλειας το οποίο θέλει να υιοθετήσει ο εκάστοτε Οργανισμός, μιας και είναι εύκολα κατανοητό πως διαφορετικές απαιτήσεις στο συγκεκριμένο ζήτημα επιβάλλουν διαφορετική αντιμετώπιση, τόσο από πλευράς σχεδιασμού όσο και από πλευράς τεχνικής υλοποίησης.
Επιπλέον, σε σχέση με τα προηγούμενα θα πρέπει να αναφέρουμε πως σημαντικό ρόλο στη λήψη αποφάσεων υπέρ ή εναντίον μιας συγκεκριμένης αρχιτεκτονικής για την υλοποίηση του τείχους προστασίας του Οργανισμού, παίζουν και παράγοντες όπως τυχόν περιορισμοί που μπορεί να προέρχονται από νομοθετικά πλαίσια και ρυθμίσεις. Χαρακτηριστικό παράδειγμα αυτής της κατηγορίας αποτελεί η απαγόρευση της χρήσης συγκεκριμένων λειτουργικών συστημάτων, τεχνολογιών κρυπτογράφησης ή ακόμη και παροχών. Η κατηγορία αυτή είναι ιδιαίτερα σημαντική για Οργανισμούς που δραστηριοποιούνται σε κατανεμημένα περιβάλλοντα, τα οποία καλύπτουν πολλαπλές φυσικές τοποθεσίες. Επιπρόσθετα, σημαντικό ρόλο στην επιλογή της κατάλληλης αρχιτεκτονικής παίζουν και παράμετροι όπως οι διαθέσιμοι πόροι, τόσο από πλευράς οικονομικών μεγεθών, όσο και διαθέσιμου προσωπικού για τη συντήρηση της λύσης.

Αρχιτεκτονικές «Single Box»
Το πρώτο μοντέλο που θα εξετάσουμε και το οποίο είναι πολύ απλοϊκό στη φύση του, είναι αυτό το οποίο βασίζεται σε ένα μόνο μηχάνημα (εξ ου και ο όρος «Single Box» αρχιτεκτονική) το οποίο παίζει το ρόλο του τείχους προστασίας. Το γεγονός ότι υπάρχει ένα μόνο μηχάνημα, σημαίνει ότι είναι ευκολότερο να επικεντρώσει κανείς την προσοχή του στο να κάνει τις απαραίτητες ρυθμίσεις, ενόσω βέβαια το προφανές μειονέκτημα μιας τέτοιας αρχιτεκτονικής είναι ότι δεν εφαρμόζεται η αρχή της «εις βάθους προστασίας» (defense in depth), αφού στην περίπτωση όπου το συγκεκριμένο μηχάνημα παραβιαστεί, δεν υπάρχει καμία άλλη δικλίδα ασφαλείας για τα εσωτερικά συστήματα. Όπως φαίνεται στο σχήμα 1, αυτό το οποίο απαιτείται για την υλοποίηση της συγκεκριμένης αρχιτεκτονικής είναι απλά και μόνο η ύπαρξη ενός δρομολογητή (router) που να διαθέτει δυνατότητες φιλτραρίσματος πακέτων (packet filtering) και ο οποίος είναι γνωστός ως «screening router». Αυτό που μπορεί να κάνει το συγκεκριμένο μοντέλο θελκτικό, είναι το ιδιαίτερα χαμηλό κόστος του, μιας και σχεδόν πάντοτε η υποδομή διαθέτει ήδη ένα διακομιστή, ο οποίος μπορεί να παίξει τον παραπάνω ρόλο με ελάχιστες προσθήκες και αλλαγές. Από την άλλη, το μοντέλο αυτό δεν είναι ιδιαίτερα ευέλικτο, γιατί συνήθως το φιλτράρισμα που γίνεται είναι πολύ βασικό και περιορίζεται στο να επιτρέπει ή να αποτρέπει την είσοδο και την έξοδο πακέτων από και προς το εσωτερικό δίκτυο, αντιστοίχως, βασιζόμενο στη θύρα επικοινωνίας (port number). Έτσι, με αυτήν την αρχιτεκτονική λύση, το να ξέρει κανείς αν το πακέτο το οποίο φτάνει τελικά σε μια συγκεκριμένη θύρα αντιστοιχεί πραγματικά στο πρωτόκολλο το οποίο θέλουμε να επιτρέψουμε να περάσει, είναι δύσκολο. Επίσης, στα αρνητικά της συγκεκριμένης αρχιτεκτονικής κατατάσσεται και η δυσκολία που παρουσιάζει στο να επιτρέπει μερικές ενέργειες σε σχέση με κάποιο συγκεκριμένο πρωτόκολλο, ενώ να αποτρέπει άλλες που χρησιμοποιούν το ίδιο πρωτόκολλο.

Αρχιτεκτονική «Multihomed»
Μια ακόμη αρχιτεκτονική «Single Box» που μπορεί να παίξει το ρόλο του τείχους προστασίας, είναι εκείνη στην οποία χρησιμοποιείται ένα μηχάνημα εφοδιασμένο με τουλάχιστον δύο κάρτες δικτύου, μία για κάθε εσωτερικό δίκτυο που χρειάζεται να επικοινωνεί προς τα έξω. Προφανώς, ένα μηχάνημα με μια τέτοια διάταξη θα μπορούσε να έχει το ρόλο του δρομολογητή (router). Προκειμένου όμως να χρησιμεύσει ως τείχος προστασίας, αυτή η τελευταία λειτουργικότητα θα πρέπει να απενεργοποιηθεί έτσι ώστε τα πακέτα που προέρχονται από το ένα δίκτυο, να μην περνάνε απευθείας στο άλλο. Το σχήμα 2 απεικονίζει ένα παράδειγμα μιας τέτοιας αρχιτεκτονικής, όπου το μηχάνημα με τις πολλαπλές κάρτες δικτύου κάθεται μεταξύ των εσωτερικών δικτύων και παρέχει μία νοητή διαχωριστική δικλίδα, μιας και είναι το μόνο μηχάνημα που είναι απευθείας συνδεδεμένο με εκείνο το δίκτυο, το οποίο, βάσει της πολιτικής ασφάλειας θεωρείται αναξιόπιστο (όπως για παράδειγμα πρέπει να θεωρείται το διαδίκτυο). Συνεπώς, με βάση τα παραπάνω είναι εύκολο να συμπεράνει κανείς πως η συγκεκριμένη αρχιτεκτονική εύκολα μπορεί να προσφέρει έναν υψηλό βαθμό ελέγχου της εισερχόμενης αλλά και της εξερχόμενης κίνησης, μιας και πακέτα IP (Internet Protocol) δεν μπορούν εξ ορισμού να περάσουν απευθείας από το ένα δίκτυο στο άλλο. Για αυτόν το λόγο, η ύπαρξη και μόνο πακέτων στο εσωτερικό δίκτυο, τα οποία φαίνονται να προέρχονται από κάποιο εξωτερικό προορισμό, είναι συνήθως ένδειξη κάποιου προβλήματος ασφάλειας.

Σε σχέση με τα όσα αναφέρθηκαν παραπάνω θα πρέπει να πούμε ότι ένα «multi-homed» μηχάνημα μπορεί να προσφέρει υπηρεσίες στα προστατευόμενα δίκτυα, με δύο τρόπους. Είτε διαμέσω «proxying» είτε αναγκάζοντας πρακτικά τους χρήστες να έχουν ένα λογαριασμό που να τους επιτρέπει να ταυτοποιούνται και να εισέρχονται απευθείας στο εν λόγω μηχάνημα. Από τις δύο παραπάνω μεθόδους, η δεύτερη θα πρέπει να αποφεύγεται, μιας και το να έχει κανείς χρήστες να εισέρχονται απευθείας σε ένα κρίσιμο σημείο της υποδομής, δεν αποτελεί ασφαλή πρακτική σε καμία μεθοδολογία ασφάλειας, αφού οι χρήστες θα πρέπει εξ ορισμού να αντιμετωπίζονται με εξαιρετικό σκεπτικισμό. Από την άλλη πλευρά, η πρώτη μέθοδος καταφέρνει μεν να ξεπεράσει προβλήματα τα οποία έχουν να κάνουν με την κατάχρηση του μηχανήματος από τους χρήστες, εισάγει όμως με τη σειρά της κάποιους καινούριους περιορισμούς, όπως για παράδειγμα το γεγονός ότι είναι πολύ πιθανό να μην υπάρχει ο κατάλληλος «proxy» για την υπηρεσία που θέλουμε να προσφέρουμε ή το γεγονός πως το «proxying» σαν μέθοδος είναι πολύ καλύτερη για την εξυπηρέτηση υπηρεσιών που προέρχονται από το εσωτερικό δίκτυο προς τα έξω, παρά το αντίθετο. Τέλος, στη λίστα με τα μειονεκτήματα της συγκεκριμένης αρχιτεκτονικής θα πρέπει σίγουρα να προστεθεί και το γεγονός πως δεν υπάρχει κανένας βαθμός πλεονασμού, κάτι το οποίο σημαίνει πως αν για οποιονδήποτε λόγο η ασφάλεια του «bastion host» καμφθεί ή διακοπεί, τότε όλο το εσωτερικό δίκτυο είναι εκτεθειμένο.

Έτσι, συνοψίζοντας θα πρέπει να πούμε πως η συγκεκριμένη αρχιτεκτονική είναι κατάλληλη μόνο για τις περιπτώσεις εκείνες που ισχύουν τα ακόλουθα:

  • Η κίνηση προς τα έξω (δηλαδή το διαδίκτυο) είναι περιορισμένης κλίμακας.
  • Η κίνηση προς τα έξω δεν είναι κρίσιμη για τη βιωσιμότητα της επιχείρησης ή του Οργανισμού.
  • Δεν υπάρχουν υπηρεσίες οι οποίες να προσφέρονται σε χρήστες που έρχονται από το διαδίκτυο.
  • Το δίκτυο το οποίο προστατεύεται από την αρχιτεκτονική αυτή, δεν περιέχει κρίσιμα δεδομένα για τη βιωσιμότητα της επιχείρησης ή του Οργανισμού.

Αρχιτεκτονική «Screened Host»
Μία πιο προχωρημένη αρχιτεκτονική σε σχέση με τις προηγούμενες, για την υλοποίηση τειχών προστασίας είναι η αρχιτεκτονική «Screened Host». Η τελευταία βασίζεται σε έναν υπολογιστή υπηρεσίας (host) που βρίσκεται απευθείας συνδεδεμένος μόνο με το εσωτερικό δίκτυο και παρέχει υπηρεσίες στους προσκείμενους υπολογιστές, χρησιμοποιώντας έναν ξεχωριστό δρομολογητή (router), πάνω στον οποίο «τρέχουν» μια σειρά από φίλτρα που ελέγχουν την εξερχόμενη και εισερχόμενη κίνηση, από και προς το εσωτερικό δίκτυο, αντίστοιχα. Αυτός ο υπολογιστής υπηρεσίας (host) είναι γνωστός ως «bastion host» εξαιτίας του μεγάλου βαθμού ασφαλείας που τον περιβάλλει. Έτσι, η συγκεκριμένη αρχιτεκτονική η οποία παρατίθεται στο σχήμα 3, αντιπαραβάλλεται άμεσα με την προηγούμενη, στην οποία ένα μηχάνημα με πολλαπλούς δικτυακούς προσαρμογείς (network adapters) ήταν συνδεδεμένο με διάφορα δίκτυα, έχοντας όμως απενεργοποιημένη τη δυνατότητα του να δρομολογεί απευθείας πακέτα μεταξύ των δικτύων. Συγκεκριμένα, όπως φαίνεται στο παραπάνω σχήμα, ο υπολογιστής υπηρεσίας που βρίσκεται απευθείας συνδεδεμένος μόνο με το εσωτερικό δίκτυο, αποτελεί και το μοναδικό μηχάνημα στο οποίο μπορεί να φτάσει κίνηση που προέρχεται από ένα εξωτερικό δίκτυο (όπως για παράδειγμα, το διαδίκτυο). Αυτό επιτυγχάνεται μέσω του φιλτραρίσματος που πραγματοποιείται πάνω στο δρομολογητή, ο οποίος θα μπορούσαμε να πούμε πως με αυτόν τον τρόπο «κρύβει» πρακτικά το εσωτερικό δίκτυο από τον έξω κόσμο, κάτι που άλλωστε δικαιολογεί και την ονομασία της συγκεκριμένης αρχιτεκτονικής.

Επιπλέον, όσον αφορά την εφαρμογή των φίλτρων που «τρέχουν» πάνω στο δρομολογητή, θα πρέπει να αναφέρουμε πως σε σχέση με το εσωτερικό δίκτυο είναι δυνατό να εφαρμοστεί μία από τις ακόλουθες δύο τεχνικές:

  • Κίνηση η οποία αντιστοιχεί σε συγκεκριμένα πρωτόκολλα και προέρχεται από εσωτερικά συστήματα, με προορισμό μηχανήματα που βρίσκονται στο Διαδίκτυο και μπορούν να περνούν ελεύθερα μέσα από το δρομολογητή.
  • Όλη η κίνηση που προέρχεται από συστήματα στο εσωτερικό δίκτυο με προορισμό τον έξω κόσμο και απαγορεύεται να περάσουν απευθείας από τον δρομολογητή, αναγκάζοντας πρακτικά με αυτόν τον τρόπο τα εσωτερικά συστήματα να χρησιμοποιήσουν «proxying» διαμέσω του εσωτερικού «bastion host».

Από την άλλη πλευρά, τα φίλτρα στο δρομολογητή (router) είναι στημένα κατά τέτοιον τρόπο ώστε να επιτρέπουν κίνηση από κάποιο εξωτερικό σύστημα, το οποίο προσπαθεί ή χρειάζεται να αποκτήσει πρόσβαση σε κάποιο εσωτερικό, μόνο διαμέσω του «bastion host». Αυτός είναι και ο λόγος, που όπως αναφέρθηκε προηγουμένως, ο συγκεκριμένος δρομολογητής υπηρεσίας πρέπει να διέπεται από ένα υψηλό επίπεδο ασφάλειας μιας και σε αντίθετη περίπτωση η ασφάλεια ολόκληρου του δικτύου μπορεί να διακυβευτεί. Γενικά, η συγκεκριμένη αρχιτεκτονική έχει το πλεονέκτημα ότι οι χρήστες των εσωτερικών συστημάτων δεν είναι αναγκαίο πλέον να εισάγονται σε κάποιο τρίτο σύστημα προκειμένου να μπορούν να έχουν πρόσβαση σε εξωτερικές υπηρεσίες, αλλά και γιατί από άποψη ασφάλειας τουλάχιστον, η συντήρηση ενός δρομολογητή (router) είναι ευκολότερη υπόθεση σε σχέση με έναν υπολογιστή υπηρεσίας, μιας και δεν υπάρχουν χρήστες οι οποίοι ενεργούν απευθείας πάνω στο σύστημα. Ενδεικτικά με τα προηγούμενα, θα πρέπει επίσης να αναφέρουμε πως μολονότι η συγκεκριμένη αρχιτεκτονική σε σύγκριση με τις υπόλοιπες που αναφέρθηκαν μέχρι τώρα, παρουσιάζει ένα μεγαλύτερο βαθμό ασφάλειας και χρηστικότητας, εντούτοις παρουσιάζει και κάποια βασικά μειονεκτήματα. Συγκεκριμένα, στα μειονεκτήματα θα πρέπει να συμπεριλάβουμε το γεγονός πως η συγκεκριμένη αρχιτεκτονική δεν εμφανίζει κανένα βαθμό πλεονασμού. Αν για παράδειγμα, η ασφάλεια του υπολογιστή υπηρεσίας (bastion host) ή του δρομολογητή παρακαμφθεί, τότε δεν υπάρχει τίποτα άλλο να παρεμβάλλεται μεταξύ του επιτιθέμενου και του εσωτερικού δικτύου. Επιπλέον, η συγκεκριμένη αρχιτεκτονική δεν συνιστάται σε περιπτώσεις όπου οι εισερχόμενες συνδέσεις είναι πολυάριθμες ή το «bastion host» στεγάζει κάποιον δημόσια προσβάσιμο «web server». Τέλος, αυτή η αρχιτεκτονική απαιτεί τα εσωτερικά συστήματα να διέπονται από ένα υψηλό βαθμό ασφάλειας, κάτι το οποίο δεν είναι πάντα εφικτό να πραγματοποιηθεί.

Αρχιτεκτονική «Screened Subnet»
Έχοντας εξετάσει τα μειονεκτήματα της προηγούμενης αρχιτεκτονικής, παραθέτουμε ακόμη μία, η οποία παρουσιάζει σημαντικές βελτιώσεις τόσο στο θέμα της χρηστικότητας όσο και στο θέμα του πλεονασμού. Συγκεκριμένα, η παρούσα αρχιτεκτονική προσθέτει ένα επιπλέον επίπεδο ασφάλειας διαμέσω ενός επιπρόσθετου περιμετρικού δικτύου, το οποίο έχει ως στόχο να απομονώσει ακόμη περισσότερο το εσωτερικό δίκτυο από το εξωτερικό (όπως για παράδειγμα, από το διαδίκτυο). Αυτό θεωρείται απαραίτητο, διότι στην περίπτωση μιας αρχιτεκτονικής «multihomed» ή «screened host» το εσωτερικό δίκτυο βρίσκεται εντελώς εκτεθειμένο σε μια επικείμενη επίθεση από το «bastion host», ο οποίος, εξαιτίας της θέσης που κατέχει αποτελεί έναν εξέχοντα στόχο για τους εκάστοτε επιτήδειους. Συνεπώς, απομονώνοντας το «bastion host» από το εσωτερικό δίκτυο, χρησιμοποιώντας ένα ενδιάμεσο περιμετρικό δίκτυο, η ασφάλεια των εσωτερικών συστημάτων ενισχύεται σημαντικά. Η πιο απλή αρχιτεκτονική τειχών προστασίας που ενσωματώνει αυτήν τη βασική σχεδιαστική αρχή, η οποία στο χώρο της ασφάλειας αναφέρεται ως εις βάθος προστασία (defense in depth), είναι γνωστή ως «screened subnet» και παρατίθεται στο σχήμα 4. Ενδεικτικά, θα πρέπει να αναφέρουμε πως η συγκεκριμένη αρχιτεκτονική διαθέτει αρκετές παραλλαγές, οι οποίες μπορούν να προσφέρουν και πρόσθετα επίπεδα ασφάλειας και χρηστικότητας, ανάλογα με τις εκάστοτε ανάγκες.

Έτσι, στην απλούστερη μορφή της, μία «screened subnet» αρχιτεκτονική αποτελείται από τα εξής στοιχεία:

  • Έναν εξωτερικό δρομολογητή (router).
  • Έναν εσωτερικό δρομολογητή.
  • Ένα «bastion host».

Ο εξωτερικός δρομολογητής βρίσκεται μεταξύ του εξωτερικού δικτύου και του περιμετρικού, ενώ ο εσωτερικός είναι αντίστοιχα εγκατεστημένος μεταξύ του περιμετρικού και του εσωτερικού. Συνεπώς, με αυτού του είδους την αρχιτεκτονική, για να φτάσει κάποιος επιτιθέμενος στα εσωτερικά συστήματα θα πρέπει προηγουμένως να περάσει και από τους δύο δρομολογητές. Ακόμη και στην περίπτωση όπου η ασφάλεια του «bastion host» με κάποιον τρόπο έχει καμφθεί, ο επιτιθέμενος θα πρέπει να περάσει και από τον εσωτερικό δρομολογητή, προκειμένου να επηρεάσει τα εσωτερικά συστήματα.

Αυτός ο πρόσθετος διαχωρισμός επιτυγχάνεται διαμέσω του περιμετρικού δικτύου, το οποίο πρακτικά σχηματίζει μια ουδέτερη ζώνη μεταξύ του εξωτερικού και του εσωτερικού του δικτύου και αποτελεί εκείνο το τμήμα στο οποίο τοποθετείται ο υπολογιστής υπηρεσίας (bastion host). Ο λόγος για αυτήν την επιλογή είναι ότι κίνηση που προέρχεται και απευθύνεται στα εσωτερικά συστήματα, η οποία θεωρείται και ως πιο ευαίσθητη, είναι αόρατη από το «bastion host», αφού η μόνη κίνηση που επιτρέπεται να διασχίζει το περιμετρικό δίκτυο είναι αυτή η οποία είτε έχει ως αποδέκτη το ίδιο το «bastion host» είτε προορίζεται (ή έρχεται) για (ή από) το διαδίκτυο. Επιπρόσθετα, σχετικά με τον υπολογιστή υπηρεσίας θα πρέπει να αναφέρουμε πως αποτελεί το κυρίως σημείο επαφής για εισερχόμενες συνδέσεις από τον έξω κόσμο, ενώ οι υπηρεσίες οι οποίες έχουν φορά από μέσα προς τα έξω (δηλαδή προς το διαδίκτυο για παράδειγμα) μπορούν να εξυπηρετηθούν με έναν εκ των δύο τρόπων:

  • Διαμέσω φίλτρων εγκατεστημένων τόσο στον εσωτερικό όσο και στον εξωτερικό δρομολογητή, έτσι ώστε τα εσωτερικά συστήματα να έχουν απευθείας πρόσβαση με τους εξωτερικούς εξυπηρετητές (servers).
  • Διαμέσω του υπολογιστή υπηρεσίας (χρησιμοποιώντας «proxies»), ώστε τα εσωτερικά συστήματα να έχουν πρόσβαση εμμέσως στους εξωτερικούς εξυπηρετητές. Φυσικά, ακόμη και σε αυτήν την περίπτωση πρέπει να υπάρχουν κατάλληλα φίλτρα που να επιτρέπουν στα εσωτερικά συστήματα να συνομιλούν αποκλειστικά και μόνο με το «bastion host».

Επίσης, όσον αφορά τον εσωτερικό δρομολογητή, θα πρέπει να πούμε πως αποτελεί το μέρος όπου γίνεται το κυρίως φιλτράρισμα της κίνησης. Ο δρομολογητής αυτός είναι εφοδιασμένος με φίλτρα, τα οποία επιτρέπουν επιλεκτικά υπηρεσίες να διασχίσουν το εσωτερικό δίκτυο προς τα έξω (π.χ. το διαδίκτυο). Οι υπηρεσίες αυτές είναι εκείνες οι οποίες – βάσει της πολιτικής ασφάλειας – θεωρούνται ασφαλείς να αφήνουν το εσωτερικό δίκτυο, βασιζόμενες στην ασφάλεια που παρέχεται από τα φίλτρα και όχι μέσω κάποιου «proxy» που τρέχει στο «bastion host» και συνήθως μπορούν να περιλαμβάνουν υπηρεσίες όπως HTTP, FTP ή Telnet, ανάλογα με τις εκάστοτε ανάγκες του Οργανισμού. Ακόμη, θα πρέπει να πούμε πως οι υπηρεσίες τις οποίες επιτρέπει να περνούν ο εσωτερικός δρομολογητής μεταξύ του εσωτερικού δικτύου και του περιμετρικού (δηλαδή του «bastion host»), σε σχέση με αυτές οι οποίες κατευθύνονται από το διαδίκτυο προς το εσωτερικό δίκτυο, δεν είναι αναγκαστικά οι ίδιες. Αυτό συμβαίνει διότι στην πράξη είναι καλό να μειώνεται ο αριθμός των μηχανημάτων, τα οποία μπορούν να πληγούν σε μια ενδεχόμενη κατάσταση από το ίδιο το «bastion host».

Τέλος, συμπληρώνοντας τα κομμάτια τα οποία απαρτίζουν τη συγκεκριμένη αρχιτεκτονική, θα πρέπει να πούμε πως ο εξωτερικός δρομολογητής στην ουσία έχει εγκατεστημένα λίγο πολύ μια κόπια των φίλτρων – τα οποία βρίσκονται στον εσωτερικό, με εξαίρεση εκείνα τα οποία έχουν σαν στόχο πρώτον να προστατεύσουν τα μηχανήματα στο περιμετρικό δίκτυο (δηλαδή το «bastion host» και τον εσωτερικό δρομολογητή) και δεύτερον την προστασία των συστημάτων από πακέτα (packets) τα οποία φαίνονται να έρχονται μεν από το εσωτερικό δίκτυο, αλλά στην πραγματικότητα προέρχονται από το διαδίκτυο. Αυτή η τελευταία λειτουργία αποτελεί κάτι το οποίο δεν μπορεί να γίνει κάπου αλλού (όπως για παράδειγμα στον εσωτερικό δρομολογητή) λόγω θέσεως. Συνοψίζοντας, θα πρέπει να πούμε πως σε σχέση με τις αρχιτεκτονικές οι οποίες ήδη αναφέρθηκαν στις προηγούμενες παραγράφους, η παρούσα αποτελεί εκείνη που συνδυάζει έναν υψηλό βαθμό ασφάλειας, με ένα υψηλό επίπεδο ευελιξίας από άποψη χρηστικότητας, κάτι το οποίο την κάνει κατάλληλη για τις περισσότερες χρήσεις και δικαιολογεί τον αριθμό των παραλλαγών που τη διακρίνουν.

Tου Ευάγγελου Μωράκη
Security Expert