4 Апаратні файерволи

У наш час ринок персональних файерволов достатньо широкий. В основному в цьому переліку представлені програмні рішення, наприклад Symantec Client Security, Agnitum Outpost Firewall, AtGuard, вбудований в Windows XP файервол і багато інших. Все ці файерволи мають один недолік. Всі вони управляються кінцевим користувачем, що у разі корпоративного використання стає скоріше недоліком, чим гідністю. Тобто у будь-який момент правила можуть бути змінені (природно, якщо у користувача комп’ютера є право на їх зміну). Іншим недоліком є неможливість централізованого управління клієнтами. Останнім часом на ринку з’явилися так звані мережеві карти-брандмауери, що є розподіленими апаратними брандмауерами для серверів і настольних ПК. Дані пристрої розширюють стійкі до зовнішніх дій можливості фільтрації і контролю на всю корпоративну мережу - включаючи системи, розташовані як всередині, так і зовні мережевого периметра. Треба сказати, що використання цих файрволов тільки для NAT - це не рекомендоване виробником рішення. Позиціонування даних файрволов - це захист периметра мережі, корпоративне використання. На апаратних платформах випливають назовні такі обмеження, про які при використанні РС-серверів або софт-Рутерем думати не доводилося. Як правило, це пов'язано з особливостями обробки певних протоколів, де потрібно розбір пакетів іноді й до 7го рівня моделі OSI. Наприклад, найбільш поширеною проблемою на апаратних платформах є трансляція мережевих адрес для клієнтів, які використовують PPTP VPN. Для обробки такого трафіку в Linux / BSD / софт-Рутерем є спеціальні модулі, які забезпечують коректність проходження прямого та зворотного трафіку. Чимало проблем у разі NAT може доставити SIP. Певні нюанси є на IRC-трафіку, як не дивно - на Quake-трафіку і йому подібним. Кожне таке рішення вимагає певних рухів тіла, або з боку виробника заліза, або з боку системного адміністратора - з виконання обхідних маневрів для непідтримуваного функціоналу.