Что представляют собой объекты и для чего они нужны?

Объекты служат для отображения реальных параметров в межсетевом экране Aker. С их помощью становится возможным представление хостов, сетей, сервисов и т.д.

Основным преимуществом их использования является то, что после их описания в межсетевом экране с ними самими можно обращаться как с параметрами, что значительно облегчает работу по их настройке. Все модификации объектов будут автоматически распостраняться на все ссылки в них .

Например, можно определить хост, назвав его WWW Server с IP адресом 10.0.0.1. После этого больше нет необходимости помнить этот IP адрес. Везде где необходимо задействовать этот хост, к нему можно обращаться по имени. Если потом поменять его IP адрес, то необходимо будет лишь изменить описание самого объекта, и система автоматически использует новое определение во всех ссылках на него.

Определение объектов

Перед тем, как пояснить процедуру регистрации объектов в межсетевом экране Aker, необходимо сделать краткий обзор всех возможных типов объектов.

В межсетевом экране Aker существуют 5 различных типов объектов: хосты, сети, наборы, сервисы и аутентификаторы.

Объекты типа "хост" и "сеть" представляют соответственно отдельные хосты и сети. Объекты типа "набор" представляют совокупность любого числа хостов и сетей. Объекты типа "сервис" описывают сервисы, а объекты типа "аутентификатор" описывают специальный тип хоста, который может использоваться для аутентификации пользователей.

По определению, IP протокол требует, чтобы все хосты имели различные адреса. Обычно эти адреса представляются в виде разделенного точками набора из 4-х цифр, например, 172.16.17.3. И потому каждый хост, можно характеризовать, используя только его собственный адрес.

Для определения сети наряду с IP адресом необходимо знание маски. Маска применяется для того, чтобы определить, какие разряды IP адреса будут использованы для представления сети (разряды со значением 1), а какие - для представления хостов в сети (разряды со значением 0). Итак, чтобы представить сеть, в которую входят хосты с IP адресами от 192.168.0.1. до 192.168.0.254, необходимо пользоваться значением сети 192.168.0.0 и значением сетевой маски 255.255.255.0. Такая сетевая маска означает, что три первых байта используются для представления сети, а последний байт - для представления хоста.

Проверка принадлежности хоста некоторой сети требует  выполнения логической операции AND между значением сетевой маски и этим адресом, логической операции AND между значением сетевой маски и адресом сети, и сравнением результата. Если они одинаковы, хост принадлежит сети, в противном случае - нет. Рассмотрим два примера:

10.1.0.0 AND 255.255.0.0 = 10.1.0.0 (для сети)
10.1.1.2 AND 255.255.0.0 = 10.1.0.0 (для адреса)

При соединении хостов по IP протоколу это соединение характеризуется не только адресами источника и назначения, но и параметрами протокола более высокого уровня (транспортного). В случае TCP и UDP протоколов (которые чаще других применяются сверх IP протокола), соединение идентифицируется двумя числами: портом источника и портом назначения.

Порт назначения является фиксированным числом, обычно соответствующим конкретному сервису. Например, для Telnet используется порт 23 (TCP), для FTP - 21 порт (TCP), для SNMP - 161 порт (UDP).

Порт источника является числом, определяемым программой - клиентом. Таким образом, соединение при использовании TCP и UDP протоколов может идентифицироваться следующим образом:

    10.0.0.1             1024    -     10.4.1.2          23              TCP
----------------------------------------------------------------------------
Адрес источника  Порт источника  Адрес назначения Порт назначения  Протокол

Из-за того, что порт источника выбирается случайным образом, для межсетевого экрана его значение не важно. Поэтому при определении сервиса рассматривается только порт назначения.

Кроме TCP и UDP протоколов, существует и другой важный протокол, ICMP. Этот протокол используется самим IP протоколом для отправки контрольных сообщений, для информации об ошибках и для тестирования целостности сети.

Для ICMP протокола не используется концепция портов. В нем используется число от 0 до 255 для указания типа сервиса.

Кроме того, существуют и другие протоколы, отличные от TCP, UDP и ICMP, которые могут запускаться поверх IP протокола. Они используютс довольно редко, но тем не менее, в межсетевом экране Aker предусмотрена их поддержка, позволяющая администратору контролировать их прохождение через межсетевой экран.

Чтобы понять, как это делается, достаточно знать, что каждый протокол имеет свой уникальный номер 0 до 255, который идентифицирует его для IP протокола. Благодаря этому мы можем определить сервисы для других протоколов, используя номер протокола для идентификации сервиса.

Для доступа к окну регистрации объектов нужно сделать следующее:

• Выбрать меню Регистрация в главном окне
• Выбрать опцию Объекты и сервисы

Окно определения объектов

 

Используя окно определения объектов можно зарегистрировать любой объект межсетевого экрана Aker, независимо от типа.

• На правой стороне окна расположены пять иконок, представляющих пять возможных типов объектов. Под ними помещен список, из которого можно определить тип объекта дл просмотра или создания.

• Клавиша Да закрывает окно.
• Клавиша Помощь открывает окно помощи для данного окна.
• Если отмечена опция Сортировать, список будет показан в алфавитном порядке.

Для создания нового объекта выполните следующие действия:

1. Выделите тип создаваемого объекта, выбрав соответствующую иконку или название
2. Правой клавишей мыши и выделите опцию Добавить во всплывающем меню или выберите иконку создания объекта в инструментальном меню в верхней части окна.

Для редактирования или удаления объекта вам необходимо:

1. Выделите редактируемый объект (если необходимо, выберите сначала соответствующий тип объекта).
2. Правой клавишей мышии выделите соответственно опцию Редактировать или Удалить во всплывающем меню или нажмите на иконке редактирования или удаления в инструментальном меню.

При использовании опций Редактировать или Удалить появится окно свойств объектов . Это окно будет различным для каждого из возможных типов объектов

Создание/редактирование хостов

  Для регистрации объектов типа "хост" необходимо заполнить следующие поля:

Для создания или модификации хоста после заполнения всех полей необходимо щелкнуть на кнопке Да. Для отмены создания хоста или сделанных модификаций щелкните на кнопке Отменить.

Чтобы облегчить правильное создание множества хостов существует кнопка Создать новый (недоступная во время редактирования). Если нажать на эту кнопке, появится форма создания хоста с заполненными полями. Этим способом можно быстро создавать большое число хостов.

Создание/редактирование описания сетей

Для регистрации объекта типа "сеть" необходимо заполнить следующие поля:

Для создания или модификации сети после заполнения всех полей необходимо нажать кнопку Да. Для отмены создания сети или сделанных модификаций нажмите кнопку Отменить.

Чтобы облегчить правильное создание множества сетей существует кнопка Создать новую (недоступная во время редактирования). Если нажать на эту  кнопку, появится форма создания сети с заполненными полями. Этим способом можно быстро создавать большое число сетей

Создание / редактирование наборов

Для регистрации объекта типа "набор" необходимо заполнить следующие поля:

После заполнения имени и выбора иконки для набора, необходимо определить, какие хосты и сети будут в него входить:

• В окне размещаются два списка: верхний список показывает все хосты и сети, определенные в системе. Нижний список показывает, какие из этих хостов и сетей уже принадлежат набору.
• В правой стороне окна расположены два значка представляющие два типа объектов, которые можно добавить к набору - хосты и сети. Справа под значками помещается список, в котором можно выделить, следует ли показать на дисплее только хосты или только сети, или сразу оба объекта.

Чтобы добавить хост или сеть к набору, необходимо выполнить следующие действия:

1. Выберите добавляемый хост или сеть в верхнем списке окна (если необходимо, выбрав сначала соответствующий тип объекта).
2. Нажмите кнопку Добавить. (только что добавленный объект будет помечен красным значком V для указания, что он теперь принадлежит набору)

Чтобы удалить сеть или хост из набора, необходимо сделать следующее:

1. Выделить удаляемый хост или сеть из нижнего списка окна.
2. Нажать кнопку Удалить. (удаляемый объект больше не будет помечен значком V)

Для выполнения процедуры создания набора или его модификации после заполнения всех полей необходимо нажать кнопку Да. Чтобы отменить создание набора или сделанные модификации, надо нажать кнопку Отменить

Чтобы облегчить создание множества наборов существует кнопка Создать новый (недоступная во время редактирования). Если ее нажать, появится форма создания набора с заполненными полями. Этим способом можно быстро создавать большое число наборов.

Создание / редактирование аутентификаторов

Для регистрации объекта типа "аутентификатор" необходимо заполнить следующие поля:

Чтобы выполнить создание аутентификатора или его модификации, после заполнения всех полей необходимо нажать кнопку Да. Для отмены создания или модификации аутентификатора надо нажать кнопку Отменить.

Чтобы облегчить правильное создание множества аутентификаторов существует кнопка Создать новый (недоступная во время редактирования). Если нажать на эту кнопку, появится форма создания аутентификатора с заполненными полями. Этим способом можно быстро создавать большое число аутентификаторов

Создание / редактирование сервисов

Для регистрации объектов типа "сервис" необходимо заполнить следующие поля:

Чтобы завершения создания или модификации сервиса, необходимопосле заполнения полей щелкнуть кнопку Да. Для отмены надо щелкнуть кнопку Отменить.

Чтобы облегчить правильное создание множества сервисов существует кнопка Создать новый (недоступная во время редактирования). Если нажать на эту  кнопку, будет создана форма создания сервиса с заполненными полями. Этим способом можно быстро создавать большое число сервисов.

Интерфейс командной строки для настройки объектов достаточно прост в использовании, причем он обладает теми же возможностями, что и графический интерфейс.

fwent help
fwent show
fwent remove <name>
fwent add host <name> <IP>
fwent add network <name> <IP> <mask>
fwent add set <name> [<entity1> [<entity2>] ...]
fwent add authenticator <name> <IP> <password ><cache lifetime>
fwent add service <name> [TCP | UDP | ICMP | OTHER] <value>[..<value>]
          [TELNET | SMTP <context>]

#fwent show
Hosts:
------
cache                      10.4.1.12
firewall                   10.4.1.11

Networks:
---------
AKER                       10.4.1.0        255.255.255.0
Internet                   0.0.0.0         0.0.0.0

Sets:
-----
Interior Hosts             cache                     firewall

Authenticators:
---------------
Authenticator NT           10.4.1.2        234jdfjdff32                     600

Services:
---------
echo reply                 ICMP  8
echo request               ICMP  0
ftp                        TCP   21
snmp                       UDP   161
telnet                     TCP   23

#/etc/firewall/fwent add host Server_1 10.4.1.4
Entity added

#/etc/firewall/fwent add network Network_1 10.4.0.0 255.255.0.0
Entity added

#/etc/firewall/fwent add service DNS UDP 53 
Entity added

#/etc/firewall/fwent add authenticator "Unix Authenticator" 10.4.2.2 password_123 900
Entity added

#/etc/firewall/fwent add set "Test set" cache firewall
Entity added

#/etc/firewall/fwent remove "Unix Authenticator"
Entity deleted