Межсетевые экраны прикладного уровня
Они как и межсетевые экраны сеансового уровня, экраны прикладного уровня перехватывают входящие и исходящие пакеты, используя программы, которые перенаправляют информацию через межсетевой экран, исключая прямые соединения между клиентом и сервером, однако посредники, используемые экранами прикладного уровня имеют заметные отличия от посредников или прокси экранов сеансового уровня.
Пропускают только пакеты определенной службы, которую они обслуживают. Когда служба не поддерживается, возможны следующие действия:
отказаться от использования службы;
разработать собственный прокси;
пропускать службу через межсетевой экран с помощью заглушки с минимальной фильтрацией пакетов, что не очень безопасно.
Образуется два соединения - от клиента до экрана и от экрана до сервера. При описании правил доступа, анализируется служба или протокол, имя пользователя и пароль, а так же допустимый временной интервал использования службы и компьютера или пользователя, у которых возможен доступ. При этом возможны различные схемы аутентификации: как компьютеров, так и пользователей (предпочтительнее).
Если экраны сеансового уровня после установления соединения просто перенаправляют поступающие пакеты без какой-либо фильтрации, то у посредников прикладного уровн проверяется содержимое каждого проходящего пакета. Они могут фильтровать отдельные виды команд прикладного уровня. Так же они способны осуществлять контроль windows. Посредники прикладного уровня делятся на прозрачные(работают незаметно для пользователя - например прокси) и непрозрачные (необходимо сначала установить соединение с прокси-сервером, указав его айпишник и свое имя-пароль, после прохождения аутентификации возможно установление соединения с внешним сервером).
Достоинства таких экранов:
исключается прямой доступ ко всем службам;
анализируется содержимое пакетов на прикладном уровне;
надежность аутентификации и протоколирования;
возможность аутентификации конкретных пользователей;
оптимальное соотношение цена/качество.
Недостатки:
в случае непрозрачности необходимо двухшаговое обращение к серверам;
меньшая производительность в связи с большим объемом анализируемой информации;
большая стоимость.
Межсетевые экраны контекстного уровня (stateful inspection firewall)
Включают в себя элементы трех ранее описанных межсетевых экранов.
Как и экраны с фильтрацией пакетов, они работают на сетевом уровне модели OSI и фильтруют пакеты на основе информации об ip-адресах, портах, источниках и клиентах. Они выполняют функцию межсетевых экранов сеансового уровня, определяя относятся ли пакеты к соответствующему сеансу. Они выполняют функции прикладного уровня, оценивая содержимое каждого пакета в соответствии с выбранной политикой безопасности, анализируя информацию прикладного уровня. Но если экраны прикладного ровня устанавливают два соединения, одно между клиентом и экраном, а второе между экраном и сервером, то межсетевые экраны экспортного уровня допускают прямое соединение между клиентом и сервером, используя вместо применения программ посредников специальный алгоритм распознавания и обработки данных на уровне приложений. При этом они сравниваются с известными шаблонами данных, что потенциально обеспечивает высокую эффективность фильтрации данных. Они прозрачны для ... и не требуют внесения изменений в клиентское ПО.