4.2 Защита от внешнего нсд

Благодаря использованию Proxy-сервера, для пользователей из внешней сети виден только один компьютер (Proxy-сервер выступает «представителем» настоящего сервера в сети), что исключает возможность внешнему пользователю исследовать структуру корпоративной сети и получить доступ к другим ее узлам.

Защиту на данном уровне будем осуществлять, используя внешний DNS-сервер, а также межсетевой экран.

Рассмотрим использование межсетевого экрана.

Межсетевой экран будет принимать трафик из сети Internet и удалённых офисов, перенаправлять его на антивирусный сервер, а трафик с антивирусного сервера перенаправлять в сеть и на сервера. Трафик из сети во внешнюю сеть идёт только с серверов, поэтому выход во внешнюю сеть необходимо запретить со всех рабочих станций, кроме соответствующих серверов.

Распределение прав среди внешних пользователей на доступ к ресурсам серверов приведено в таблице 4.2:

Отдел

Сервер 1

Сервер 2

Сервер 3

Сервер 4

Proxy-сервер

Web-сервер

Mail-сервер

Application-сервер

Файл-сервер

Exchange-сервер

Print-сервер

ПДО

ТО

ХО

ОИТ

Амбулатория

Бухгалтерия

АСУ

Отдел кадров

Охрана

Филиал 1

-

r

rw

r

rw

rw

-

-

-

-

-

w

-

-

-

-

Филиал 2

-

r

rw

r

r

-

-

-

-

-

-

w

-

-

w

-

Внешн.

-

r

rw

r

-

-

-

-

-

-

-

--

-

-

-

4.3 Построение vpn между сетью и филиалом 2

Технология VPN позволяет создавать виртуальные частные сети для передачи конфиденциальной информации, используя общедоступные сети, в т.ч. и Internet. Такие сети хорошо подходят для организации обмена данными с удалёнными филиалами и позволяют отказаться от прокладки дорогих выделенных каналов связи. Для защиты данных в такой VPN воспользуемся протоколом SSL.

Протокол SSL обеспечивает защищенный обмен данными за счет сочетания двух следующих элементов:

1)Цифровой сертификат привязан к конкретному домену сети Интернет, а центр сертификации проводит проверки, подтверждающие подлинность организации, а уже затем создает и подписывает цифровой сертификат для этой организации. Такой сертификат может быть установлен только на тот домен web-сервера, доля которого он прошел аутентификацию, что и дает пользователям сети Интернет необходимые гарантии.

2)Шифрование - это процесс преобразования информации в нечитаемый для всех вид, кроме конкретного получателя. Оно основывается на необходимых для электронной коммерции гарантиях конфиденциальности передачи информации и невозможности ее фальсификации.

Если между браузером и web-сервером устанавливается защищенное соединение, то префикс адреса «http» сменится на «https».

Также возможно получить дополнительную информацию о степени защищенности конкретного SSL сеанса. Когда вы устанавливаете сетевое соединение с защищенным web-сервером, сервер должен вначале сам аутентифицировать клиентский web-браузер, что осуществляется с помощью цифрового сертификата, после чего устанавливается защищенное соединение.

В ходе этой процедуры web-браузер проверяет, чтобы:

 доменное имя в сертификате соответствовало тому домену, от которого идет запрос на защищенное соединение

 сертификат не был просрочен

 сертификации, подписавший сертификат домена, входил в число доверенных вашего web-браузера

Этапы этой процедуры проходят без пауз, так что пользователь «не чувствует» этой внутренней работы. Сертификат служит электронным документом, независимым образом заверяемым третьей стороной, такой как компания thawte, которая гарантирует, что домен принадлежит именно этой реально существующей компании. Действующий сертификат дает пользователю гарантию конфиденциальности при передаче прошедшему аутентификацию узлу Интернет. Передача информации осуществляется защищенным образом.