Stateful Inspection firewall’ы

Stateful Inspection firewall’ы являются пакетными фильтрами, которые анализируют содержимое 4-го уровня (Transport) модели OSI.

Stateful inspection разрабатывались исходя из необходимости рассматривать основные особенности протоколов TCP/IP. Когда ТСР создает сессию с удаленной системой, также открывается порт на исходной системе для получения сетевого трафика от системы назначения. В соответствии со спецификацией ТСР, данный порт источника клиента будет некоторым числом, большим, чем 1023 и меньшим, чем 16384. Порт назначения на удаленном хосте, как правило, имеет фиксированный номер. Например, для SMTP это будет 25.

Пакетные фильтры должны разрешать входящий сетевой трафик для всех таких портов "с большими номерами" для транспорта, ориентированного на соединение, так как это будут возвращаемые пакеты от системы назначения. Открытие портов создает риск несанкционированного проникновения в локальную сеть.

В таблице 1.6 показана первая строчка набора правил пакетного фильтра из приведенной выше таблицы, которая разрешает любое входящее соединение, если порт назначения больше 1023. Stateful inspection firewall’ы решают эту проблему созданием таблицы для исходящих ТСР-соединений, соответствующих каждой сессии. Эта "таблица состояний" затем используется для проверки допустимости любого входящего трафика. Решение stateful inspection является более безопасным, потому что отслеживать используемые порты каждого клиента лучше, чем открывать для внешнего доступа все порты "с большими номерами".

Таблица 1.6. Правило завершения создания соединения
Адрес источника	Порт источника	Адрес назначения	Порт назначения	Действие	Описание
Any	Any	192.168.1.0	>1023	Allow	Правило разрешает возвращать ТСР-соединения во внутреннюю подсеть

В сущности, stateful inspection firewall’ы добавляют понимание уровня 4 в архитектуру пакетного фильтра. Stateful inspection firewall’ы разделяют сильные и слабые стороны пакетных фильтров, но вследствие реализации таблицы состояний stateful inspection firewall’ы обычно считаются более безопасными, чем пакетные фильтры. В таблице 1.7 показан пример таблицы состояний firewall’а stateful inspection.

Таблица 1.7. Таблица состояний соединений stateful inspection firewall’а
Адрес источника	Порт источника	Адрес назначения	Порт назначения	Состояние соединения
192.168.1.100		210.9.88.29		Establish
192.168.1.102		216.32.42.123		Establish
192.168.1.101		173.66.32.122		Establish
192.168.1.106		177.66.32.122		Establish
223.43.21.231		192.168.1.6		Establish
219.22.123.32		192.168.1.6		Establish
210.99.212.18		192.168.1.6		Establish
24.102.32.23		192.168.1.6		Establish
223.212.212		192.168.1.6		Establish

Преимущества stateful inspection firewall’а:

Разрешает прохождение пакетов только для установленных соединений;
Прозрачен для клиентов и серверов, так как не разрывает ТСР-соединение.

Недостатки stateful inspection firewall’а:

Реально используется только в сетевой инфраструктуре TCP/IP. Хотя, надо отметить, что stateful inspection firewall можно реализовать в других сетевых протоколах тем же способом, что и пакетные фильтры.