Filtrowanie nie zawsze dostępne
- Mariusz Stawowski,
- 16.12.2002
Systemy zaporowe odporne na wszelkie awarie istnieją, ale tylko w teorii. W praktyce można jedynie minimalizować skutki potencjalnych awarii, odpowiednio projektując rozwiązanie firewall.
Systemy zaporowe odporne na wszelkie awarie istnieją, ale tylko w teorii. W praktyce można jedynie minimalizować skutki potencjalnych awarii, odpowiednio projektując rozwiązanie firewall.
Sposoby na przetrwanie
W praktyce, aby zasadniczo podnieść niezawodność systemów zaporowych, należy zastosować rozwiązania typu HA (High Availability), w których awaria pojedynczego elementu nie wpłynie na dostępność całości. W typowej konfiguracji HA system zaporowy składa się z dwóch lub więcej urządzeń z oprogramowaniem typu firewall tworzących klaster. Urządzenia kontrolują się wzajemnie i w razie wystąpienia awarii jednego z nich pozostałe przejmują jego zadania. Oto najważniejsze typy rozwiązań wysokiej dostępności:
- Protokoły routingu (HA router), np. VRRP (Virtual Router Redundancy Protocol), pozwalające na tworzenie wirtualnego routera programowego wykorzystującego wiele urządzeń fizycznych. W rozwiązaniu tym jedno urządzenie jest aktywne, pozostałe stanowią zapas mocy. Protokoły wirtualnego routingu funkcjonują niezależnie od zabezpieczeń realizowanych przez oprogramowanie firewall.
- Klastry w systemie operacyjnym (np. IP cluster) - mechanizmy zaimplementowane w systemie operacyjnym platformy systemu zaporowego, umożliwiające współdzielenie ruchu sieciowego między wieloma urządzeniami fizycznymi. Również i te mechanizmy funkcjonują niezależnie od zabezpieczeń wykonywanych przez oprogramowanie firewall.
- Zewnętrzne względem zapory rozwiązania rozdzielające ruch sieciowy (LB - Load Balancer).
- Rozwiązania programowe funkcjonujące na urządzeniach firewall, zaprojektowane pod kątem monitorowania i ochrony przed awariami systemu zaporowego jako całości, a więc sprzętu, systemu operacyjnego i procesów zabezpieczeń (HA firewall). W tej klasie dostępne są także rozwiązania sprzętowo-programowe, złożone z dwóch odpowiednio zintegrowanych urządzeń.
Dylematy architekta
Funkcjonowanie rozwiązań zapewniających wysoką dostępność w systemach typu firewall różni się zasadniczo w zależności od tego, czy ruchem sieciowym kieruje urządzenie zewnętrzne w stosunku do zapory, czyli load balancer, czy też sama zapora (rys. 1).
Równoważnie obciążenia (load balancing) pozwala uzyskać większą przepustowość systemu - po pierwsze, ze względu na lepsze zarządzanie pasmem, a po drugie, ze względu na fakt, że proces rozdziału obciążenia w żadnym stopniu nie obciąża mocy obliczeniowej urządzeń firewall. Za wadę architektury wykorzystującej zewnętrzny rozdział obciążenia uważa się ograniczone możliwości kontroli stanu zapory jako całości (tab. str. 18) oraz fakt, że urządzenia rozdzielające ruch mogą potencjalnie ulec awarii i doprowadzić do niedostępności zapory, a tym samym chronionych przez nią systemów.