Редактирование: Zone-based firewall

'''Брандмауэр зональной политики''' ({{lang-en|Zone-Based Policy firewall}} или ZFW) — [[межсетевой экран]], являющийся одним из компонентов программного обеспечения [[Cisco IOS]]. ZFW используется для настройки правил доступа между сетями. Предшественником ZFW был классический брандмауэр с контролем состояния ([[:en:Context-based access control|контроль доступа на основе содержимого]] или CBAC). Впервые zone-based firewall был представлен в Cisco IOS версии 12.4(6)T<ref>{{статья|заглавие=Zone-Based Policy Firewall Design and Application Guide|ссылка=http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html|тип=Technical Support & Documentation - Cisco Systems|год=2010|страницы=1|documentId=98628|archivedate=2016-11-14|archiveurl=https://web.archive.org/web/20161114083943/http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html}}</ref>.

== Общие сведения ==

В ZFW (Zone-based firewall) вместо старой модели на основе интерфейсов используется модель на основе зон. При использовании ZFW не используются команды проверки с контролем состояния (CBAC). ZFW и CBAC могут использоваться на маршрутизаторе одновременно, но на разных интерфейсах. Зоны устанавливают границы безопасности сети, то есть определяют границу, где трафик, переходящий в другую часть вашей сети, разрешен ограничивающими политиками. В отличие от CBAC, где трафик неявно разрешен, пока не заблокирован явным образом, в ZFW по умолчанию переход трафика из одной зоны в другую запрещен. Брандмауэр решает пропускать или блокировать трафик на основе [[ACL|списка контроля доступа]] (ACL), то есть, чтобы трафик был разрешен, в списке должна быть соответствующая запись <ref>{{книга|автор=Alexandre Matos da Silva Pires de Moraes|часть=Часть 10. IOS Zone Policy Firewall Overview|заглавие=Cisco Firewalls|ссылка=http://www.ciscopress.com/store/cisco-firewalls-9781587141096|издательство=[[Cisco Press]]|год=2011|страницы=362-363|страниц=912|isbn-13=978-1-58714-109-6|archivedate=2016-11-14|archiveurl=https://web.archive.org/web/20161114084357/http://www.ciscopress.com/store/cisco-firewalls-9781587141096}}</ref>. Так же особенность Cisco IOS в том, что возможности межсетевого экрана доступны прямо из маршрутизатора, а значит не нужно разворачивать специализированные брандмауэры такие, как, например, [[Cisco ASA]] или Juniper SRX <ref name="Intense School">{{статья|автор=Michel Ndabarasa|заглавие=GNS3 and Cisco Zone-Based Policy Firewall – Part I|ссылка=http://resources.intenseschool.com/gns3-and-cisco-zone-based-policy-firewall-part-i|archivedate=2016-11-30|archiveurl=https://web.archive.org/web/20161130040522/http://resources.intenseschool.com/gns3-and-cisco-zone-based-policy-firewall-part-i/}}</ref>.

== CBAC и ZFW ==

CBAC следует применять, когда взаимодействуют два интерфейса. ZFW же следует использовать, когда есть несколько интерфейсов. При использовании CBAC генерируемый роутером трафик не проверяется по умолчанию. Основное неудобство CBAC в том, что нужно иметь политики проверки трафика на каждом интерфейсе, то есть CBAC настраивается для каждого интерфейса вручную. В ZFW достаточно настроить зоны и при необходимости добавлять туда интерфейсы. При наличии большого количества интерфейсов настроить зоны оказывается быстрее, чем настраивать каждый интерфейс <ref name="Intense School"></ref>.

{| class="wikitable"
|-
! CBAC !! ZFW
|-
| Настройка на основе интерфейса || Настройка на основе зон
|-
| Управление входящим и исходящим доступом к интерфейсу || Управление доступом между зонами в двух направлениях
|-
| Настройка роутеров с более чем двумя интерфейсами может стать достаточно сложной || Простая настройка роутеров с более чем двумя зонами
|-
| Используются списки доступа с сохранением состояния || Используется основанный на политике классов Cisco Common Classification Policy Language
|-
| Проверка и контроль на уровне приложения не поддерживается || Поддерживается проверка и контроль на уровне приложения <ref name="Intense School"></ref>
|}

== Основные этапы настройки политики брандмауэра ==

Эта процедура может использоваться для настройки ZFW. Последовательность действий не важна, но все же некоторые действия должны быть выполнены по порядку. Например, прежде чем присваивать интерфейсы зонам, зоны нужно определить и настроить. Так же не получится применить к паре зон ненастроенную карту политик. <ref name="ZFW1">{{статья|заглавие=Zone-Based Policy Firewall Design and Application Guide|ссылка=http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html|тип=Technical Support & Documentation - Cisco Systems|год=2010|страницы=4|documentId=98628|archivedate=2016-11-14|archiveurl=https://web.archive.org/web/20161114083943/http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html}}</ref>

# Определить зоны (zone).
#Присвоить интерфейсы зонам. <ref name="Intense School" />
# Определить пары зон (zone-pair).
# Определить карты классов (class-map), описывающие трафик, к которому будет применена политика при пересечении пары зон.
# Определить карты политик (policy-map), где указано, какое действие нужно применять в отношении трафика карт классов.
# Применить карты политик к парам зон.

== Class-map ==

Карты классов определяют трафик для применения политики. Сортировка трафика происходит с помощью команды ''match'' в карте классов (class-map) <ref name="ZFW1"></ref>

* ''Access-group'' — список контроля доступа может фильтровать трафик на основе IP-адреса источника и получателя, а также порта источника и получателя. <ref name="ZFW56">{{статья|заглавие=Zone-Based Policy Firewall Design and Application Guide|ссылка=http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html|тип=Technical Support & Documentation - Cisco Systems|год=2010|страницы=5-6|documentId=98628|archivedate=2016-11-14|archiveurl=https://web.archive.org/web/20161114083943/http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html}}</ref>
* ''Protocol'' — протоколы транспортного уровня ([[TCP]], [[UDP]] и [[ICMP]]) и службы приложения (например, [[DNS]], [[HTTP]] и др.). <ref name="ZFW56"></ref>
* ''Class-map'' — подчиненная карта классов, представляющая дополнительные критерии соответствия, которые вложены в другую карту классов. <ref name="ZFW56"></ref>
* ''Not'' — критерий ''not'' указывает на то, что будет использоваться любой трафик, группа, протокол или карта классов.

Для определения порядка применения критериев соответствия в картах классов применяются операторы ''match-any'' или ''match-all''. Если выбрано ''match-any'', то трафик должен удовлетворять только одному из критериев соответствия. Если выбрано ''match-all'', то трафик должен удовлетворять всем критериям карты классов. Сначала должны применяться более конкретные критерии соответствия, затем — более общие. <ref name="ZFW56"></ref><ref name="ZFW2">{{статья|заглавие=Zone-Based Policy Firewall Design and Application Guide|ссылка=http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html|тип=Technical Support & Documentation - Cisco Systems|год=2010|страницы=4-5|documentId=98628|archivedate=2016-11-14|archiveurl=https://web.archive.org/web/20161114083943/http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html}}</ref>

Например,

    class-map type inspect match-any [class-map_name]
    match protocol http
    match protocol tcp

Здесь трафик будет сравнен с протоколом соответствия ''http'' и будет обрабатываться
специфическими для службы средствами проверки HTTP. Если же поменять строки местами, то трафик будет обработан средствами проверки ''tcp'', то есть будет классифицироваться просто, как трафик TCP. <ref name="ZFW2"></ref>

ACL могут использоваться для поиска соответствий для применения политики. Если ACL является единственным критерием соответствия карты классов, связанной с картой политик, то маршрутизатор выполнит проверку TCP или UDP для всего трафика, разрешенного списком, не беря в расчет трафик, для которого предусмотрена проверка с учетом приложения. Если доступна проверка с учетом приложения, то трафик разрешается независимо от того, разрешен ли трафик в ACL. <ref name="ZFW3">{{статья|заглавие=Zone-Based Policy Firewall Design and Application Guide|ссылка=http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html|тип=Technical Support & Documentation - Cisco Systems|год=2010|страницы=5|documentId=98628|archivedate=2016-11-14|archiveurl=https://web.archive.org/web/20161114083943/http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html}}</ref>

Например ACL 101,

    access-list 101 permit ip any any

Здесь трафик примененный к заданной зонной паре разрешен в обоих направлениях. <ref name="ZFW3"></ref>

== Действия брандмауэра ==

* '''Отбросить''' — это действие, применяемое ко всему трафику по умолчанию. Трафик отбрасывается ZFW'ом «бесшумно», то есть узел, от которого поступил трафик, не получает уведомления об отбрасывании. Такое поведение отличается от поведения, при использовании ACL, когда брандмауэр отправляет узлу, отправившему трафик, ICMP сообщение, что «узел недоступен». Однако, если требуется уведомление, при настройке можно указать параметр журнала, который позволит уведомить системный журнал о том, что трафик был отброшен брандмауэром. <ref name="Cisco Firewalls">{{книга|автор=Alexandre Matos da Silva Pires de Moraes|часть=Часть 10. IOS Zone Policy Firewall Overview|заглавие=Cisco Firewalls|ссылка=http://www.ciscopress.com/store/cisco-firewalls-9781587141096|издательство=[[Cisco Press]]|год=2011|страницы=365|страниц=912|isbn-13=978-1-58714-109-6|archivedate=2016-11-14|archiveurl=https://web.archive.org/web/20161114084357/http://www.ciscopress.com/store/cisco-firewalls-9781587141096}}</ref><ref name="Zone-Based Policy Firewall Design">{{статья|заглавие=Zone-Based Policy Firewall Design and Application Guide|ссылка=http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html|тип=Technical Support & Documentation - Cisco Systems|год=2010|страницы=8|documentId=98628|archivedate=2016-11-14|archiveurl=https://web.archive.org/web/20161114083943/http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html}}</ref>
* '''Пропустить''' — трафик, переходящий из одной зоны в другую, пропускается. Если, например, трафик пропускается из первой зоны во вторую, то из второй зоны трафик не будет пропущен в первую, то есть действие «пропустить» работает только в одном направлении. Для разрешения перехода трафика из второй зоны в первую нужно провести соответствующую настройку. «Пропускание» будет полезно при использовании протоколов [[IPSec]] разных стандартов из-за предсказуемости их поведения. <ref name="Cisco Firewalls"></ref><ref name="Zone-Based Policy Firewall Design"></ref>
* '''Проверка''' — трафик проверяется на основании состояния. Например, если трафик идет из первой зоны во вторую, то брандмауэр сохраняет данные о подключении и о сеансе для трафика, использующего протоколы TCP или UDP. Значит брандмауэр автоматически разрешает и обратный трафик из второй зоны в первую, в ответ, например, на какие-нибудь запросы из первой зоны. Кроме того, можно настроить проверку приложения и управление протоколами службы передачи данных приложения, если передается что-то важное или уязвимое. Так же есть возможность сохранять время начала подключения, сеанса, окончания сеанса, продолжительность подключения, объем переданных данных, адреса отправителя и получателя. <ref name="Cisco Firewalls"></ref><ref name="Zone-Based Policy Firewall Design"></ref>

== Policy-map ==

Карта политик применяет действия к одной или нескольким картам классов, чтобы определить политику, которая будет применена к зонной паре безопасности. При создании карты политик создается класс по умолчанию (class-default). По умолчанию политика класса class-default выполняет действие «отбросить», но его можно заменить на «пропустить». <ref name="ZFW10">{{статья|заглавие=Zone-Based Policy Firewall Design and Application Guide|ссылка=http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html|тип=Technical Support & Documentation - Cisco Systems|год=2010|страницы=10|documentId=98628|archivedate=2016-11-14|archiveurl=https://web.archive.org/web/20161114083943/http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html}}</ref>

Настройка карты политик происходит из режима глобальной конфигурации. В картах политик действия связаны с картой классов: <ref name="Zone-Based Policy Firewall Design"></ref>
    conf t
    policy-map type inspect [zone1-zone2-policy-map_name]
        class type inspect [class-map_name]
        inspect|drop|allow [parameter-map_name]

== Parameter-map ==

В parameter-map (или в карте параметров) настраивают проверки, относящиеся к [[DoS-атака | DoS-атакам]], таймерам подключения TCP и сеанса UDP и др. Карта параметров так же применяется к картам классов и картам политик прикладного уровня (например, объекты HTTP). <ref>{{книга|автор=Alexandre Matos da Silva Pires de Moraes|часть=Часть 10. IOS Zone Policy Firewall Overview|заглавие=Cisco Firewalls|ссылка=http://www.ciscopress.com/store/cisco-firewalls-9781587141096|издательство=[[Cisco Press]]|год=2011|страницы=403|страниц=912|isbn-13=978-1-58714-109-6|archivedate=2016-11-14|archiveurl=https://web.archive.org/web/20161114084357/http://www.ciscopress.com/store/cisco-firewalls-9781587141096}}</ref>

Настройка карты параметров так же происходит из режима глобальной конфигурации: <ref name="ZFW4">{{статья|заглавие=Zone-Based Policy Firewall Design and Application Guide|ссылка=http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html|тип=Technical Support & Documentation - Cisco Systems|год=2010|страницы=9|documentId=98628|archivedate=2016-11-14|archiveurl=https://web.archive.org/web/20161114083943/http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html}}</ref>
    conf t
    parameter-map type inspect [zone1-zone2-parameter-map_name]

В карте параметров типа ''regexp'' определяется регулярное выражение, которое будет использовано при фильтрации трафика при проверке приложения HTTP: <ref name="ZFW4"></ref>
    parameter-map type regex [parameter-map_name]

В карте параметров типа ''protocol-info'' определяются названия серверов при обмене мгновенными сообщениями: <ref name="ZFW4"></ref>
    parameter-map type protocol-info [parameter-map_name]

Для отбрасываемого трафика доступно [[Файл регистрации|логирование]]. Чтобы включить логирование, следует в карту политик добавить карту параметров с действием отбрасывания. <ref name="ZFW4"></ref>
 
== Некоторые другие возможности брандмауэра ==

=== Регулировка скорости ===

Начиная с версии 12.1(5)T, в Cisco IOS добавлена возможность ограничения скорости трафика путем ограничения номинальной скорости и размера пакета. А с версии 12.4(9)T в ZFW добавлена функция регулировки трафика, совпадающая с тем, что определено в конкретной карте классов. Здесь предлагается описывать трафик, применять политику ZWF и регулировать полосу пропускания из одной точки конфигурации, вместо конфигурирования каждого интерфейса по отдельности. <ref name="ZFW5">{{статья|заглавие=Zone-Based Policy Firewall Design and Application Guide|ссылка=http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html|тип=Technical Support & Documentation - Cisco Systems|год=2010|страницы=17|documentId=98628|archivedate=2016-11-14|archiveurl=https://web.archive.org/web/20161114083943/http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html}}</ref>

При помощи ZFW можно указать полосу пропускания в байтах в секунду или в битах в секунду, однако установить процент пропускания не удастся. Применять регулирование скорости можно как совместно с настройкой каждого интерфейса, так и по отдельности. <ref name="ZFW5"></ref><ref>{{книга|автор=Alexandre Matos da Silva Pires de Moraes|часть=Часть 14. Identity on Cisco Firewalls|заглавие=Cisco Firewalls|ссылка=http://www.ciscopress.com/store/cisco-firewalls-9781587141096|издательство=[[Cisco Press]]|год=2011|страницы=650-651|страниц=912|isbn-13=978-1-58714-109-6|archivedate=2016-11-14|archiveurl=https://web.archive.org/web/20161114084357/http://www.ciscopress.com/store/cisco-firewalls-9781587141096}}</ref>

=== Защита против DoS-атак ===

ZFW, заметив значительные изменения сетевой активности, оповещает инженеров и снижает нежелательную сетевую активность, чтобы снизить ее воздействие на маршрутизатор. Для этого в ZFW встроены счетчики для каждого класса. <ref name="ZWFDDoS">{{статья|заглавие=Zone-Based Policy Firewall Design and Application Guide|ссылка=http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html|тип=Technical Support & Documentation - Cisco Systems|год=2010|страницы=37|documentId=98628|archivedate=2016-11-14|archiveurl=https://web.archive.org/web/20161114083943/http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html}}</ref>

Существует возможность ограничить трафик сеанса, можно также ограничить количество сеансов для заданной карты классов, которая, например, пересекает пару зон. Это дополнение к существующей возможности применять защиту от DoS-атак. <ref>{{книга|автор=Alexandre Matos da Silva Pires de Moraes|часть=Часть 10. IOS Zone Policy Firewall Overview|заглавие=Cisco Firewalls|ссылка=http://www.ciscopress.com/store/cisco-firewalls-9781587141096|издательство=[[Cisco Press]]|год=2011|страницы=406|страниц=912|isbn-13=978-1-58714-109-6|archivedate=2016-11-14|archiveurl=https://web.archive.org/web/20161114084357/http://www.ciscopress.com/store/cisco-firewalls-9781587141096}}</ref>

Объем данных сеанса указывается в карте параметров. Далее карта параметров присоединяется к действию брандмауэра при настройке карты политик: <ref name="ZFW6">{{статья|заглавие=Zone-Based Policy Firewall Design and Application Guide|ссылка=http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html|тип=Technical Support & Documentation - Cisco Systems|год=2010|страницы=18|documentId=98628|archivedate=2016-11-14|archiveurl=https://web.archive.org/web/20161114083943/http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html}}</ref>
    parameter-map type inspect [my-parameters]
    sessions maximum [1-2147483647]
    
    policy-map type inspect [private-allowed-policy]
    class type inspect http-class
    inspect [my-parameters]

За подробными примерами настройки брандмауэра против DoS-атак следует обратиться к официальной документации. <ref name="ZWFDDoS"></ref>

=== Проверка приложений ===

Приложения прикладного уровня [[Сетевая модель OSI | модели OSI]] могут отправлять и принимать сообщения, связанные как с нежелательными уязвимостями, так и с полезными возможностями, а значит, следует ограничить действия служб приложений, то есть фильтровать сообщения.  <ref name="AppInspection">{{книга|автор=Alexandre Matos da Silva Pires de Moraes|часть=Часть 12. Application Inspection|заглавие=Cisco Firewalls|ссылка=http://www.ciscopress.com/store/cisco-firewalls-9781587141096|издательство=[[Cisco Press]]|год=2011|страницы=478-479|страниц=912|isbn-13=978-1-58714-109-6|archivedate=2016-11-14|archiveurl=https://web.archive.org/web/20161114084357/http://www.ciscopress.com/store/cisco-firewalls-9781587141096}}</ref><ref name="ZFW6"></ref>

ZFW позволяет управлять службами следующих приложений:

* HTTP
* [[SMTP]]
* [[POP3]]
* [[IMAP]]

и другими. <ref name="AppInspection"></ref><ref name="ZFW6"></ref>

Например, проверка SMTP ограничивает длину содержимого, чтобы удовлетворять стандартам протокола. <ref name="AppInspection"></ref><ref name="ZFW6"></ref>

Проверка приложения настроена, как набор карт классов и политик, которые потом применяются к существующим картам классов и политик. <ref name="AppInspection"></ref><ref name="ZFW6"></ref>

=== Фильтрация по URL-адресам ===

ZFW может фильтровать URL-адреса, создавая «белые» и «черные» списки. <ref name="ZFW URL Filter">{{статья|заглавие=Zone-Based Policy Firewall Design and Application Guide|ссылка=http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html|тип=Technical Support & Documentation - Cisco Systems|год=2010|страницы=31-32|documentId=98628|archivedate=2016-11-14|archiveurl=https://web.archive.org/web/20161114083943/http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html}}</ref>

Настройка происходит в карте параметров с параметром urlfilter: <ref name="ZFW URL Filter"></ref>

    parameter-map type urlfilter [websense-parmap_name]
    exclusive-domain deny [domain_name_1]
    exclusive-domain permit [domain_name_2]

В строке ''deny'' определены запрещенные url-адреса, а в строке ''permit'' — разрешенные. <ref name="ZFW URL Filter"></ref>

== Примечания ==
{{примечания}}

== Литература ==
* {{книга|автор=Alexandre Matos da Silva Pires de Moraes|заглавие=Cisco Firewalls|ссылка=http://www.ciscopress.com/store/cisco-firewalls-9781587141096|издательство=[[Cisco Press]]|год=2011|страниц=912|isbn-13=978-1-58714-109-6}}
* {{статья|заглавие=Zone-Based Policy Firewall Design and Application Guide|ссылка=http://www.cisco.com/c/en/us/support/docs/security/ios-firewall/98628-zone-design-guide.html|тип=Technical Support & Documentation - Cisco Systems|год=2010|documentId=98628}}
* {{статья|автор=Michel Ndabarasa|заглавие=GNS3 and Cisco Zone-Based Policy Firewall – Part I|ссылка=http://resources.intenseschool.com/gns3-and-cisco-zone-based-policy-firewall-part-i}}

[[Категория:Межсетевые экраны]]
[[Категория:Сетевое оборудование]]