Verkkoporttien perusteet. Miten TCP eroaa UDP:stä yksinkertaisesti sanottuna?

Hei kaikki, tänään kerron teille, kuinka TCP-protokolla eroaa UDP:stä. Hierarkiassa IP:n vieressä olevia siirtokerroksen protokollia käytetään tiedon siirtämiseen verkkosolmuissa käynnissä olevien sovellusprosessien välillä. Internetin kautta tietokoneelta toiselle vastaanotettu datapaketti on siirrettävä käsittelijäprosessiin ja juuri tiettyä tarkoitusta varten. Kuljetuskerros ottaa tästä vastuun. Tällä tasolla on kaksi pääprotokollaa – TCP ja UDP.

Mitä TCP ja UDP tarkoittavat?

TCP– siirtoprotokolla tiedonsiirtoon TCP/IP-verkoissa, joka muodostaa alustavasti yhteyden verkkoon.

UDP– siirtoprotokolla, joka lähettää datagrammeja ilman tarvetta muodostaa yhteyttä IP-verkkoon.

Haluan muistuttaa, että molemmat protokollat ​​toimivat OSI- tai TCP/IP-mallin siirtokerroksessa, ja niiden erojen ymmärtäminen on erittäin tärkeää.

Ero TCP- ja UDP-protokollien välillä

TCP- ja UDP-protokollien ero on ns. toimitustakuu. TCP vaatii vastauksen asiakkaalta, jolle datapaketti toimitettiin, toimitusvahvistuksen ja tätä varten se tarvitsee ennalta muodostetun yhteyden. Myös TCP-protokollaa pidetään luotettavana, kun taas UDP on saanut jopa nimen "epäluotettava datagrammiprotokolla". TCP eliminoi tietojen katoamisen, päällekkäisyydet ja pakettien sekoittamisen sekä viiveet. UDP sallii kaiken tämän, eikä vaadi yhteyttä toimiakseen. Prosessien, jotka vastaanottavat dataa UDP:n kautta, on tultava toimeen vastaanottamansa kanssa, jopa menetyksillä. TCP ohjaa yhteyden ruuhkautumista, UDP ei hallitse mitään muuta kuin vastaanotettujen datagrammien eheyttä.

Toisaalta tällaisen epäselektiivisyyden ja hallinnan puutteen vuoksi UDP toimittaa datapaketit (datagrammit) paljon nopeammin, joten sovelluksille, jotka on suunniteltu korkeaan suorituskykyyn ja nopeaan vaihtoon, UDP:tä voidaan pitää optimaalisena protokollana. Näitä ovat verkko- ja selainpelit sekä suoratoistovideoiden katseluohjelmat ja videoviestintäsovellukset (tai puhe): paketin katoaminen, täydellinen tai osittainen, ei muuta mitään, pyyntöä ei tarvitse toistaa, mutta lataus on paljon nopeampi. TCP-protokollaa, joka on luotettavampi, käytetään menestyksekkäästi jopa sähköpostiohjelmissa, jolloin voit hallita liikenteen lisäksi myös viestin pituutta ja liikenteen vaihdon nopeutta.

Katsotaanpa tärkeimpiä eroja tcp:n ja udp:n välillä.

1. TCP takaa datapakettien toimituksen muuttumattomassa muodossa, järjestyksessä ja ilman häviötä, UDP ei takaa mitään.
2. TCP numeroi paketit niitä lähetettäessä, mutta UDP ei.
3. TCP toimii full duplex -tilassa, yhdessä paketissa voit lähettää tietoja ja vahvistaa edellisen paketin vastaanottamisen.
4. TCP vaatii ennalta muodostetun yhteyden, UDP ei vaadi yhteyttä, se on vain tietovirta.
5. UDP tarjoaa suuremmat tiedonsiirtonopeudet.
6. TCP on luotettavampi ja hallitsee tiedonvaihtoprosessia.
7. UDP on parempi ohjelmille, jotka toistavat suoratoistovideota, video- ja puhelintoimintaa sekä verkkopelejä.
8. UPD ei sisällä tietojen palautustoimintoja

Esimerkkejä UDP-sovelluksista ovat esimerkiksi DNS-vyöhykkeiden siirto Active Directoryyn, missä luotettavuutta ei vaadita. Hyvin usein he haluavat kysyä tällaisia ​​kysymyksiä haastatteluissa, joten on erittäin tärkeää tietää erot tcp:n ja udp:n välillä.

TCP- ja UDP-otsikot

Katsotaanpa, miltä näiden kahden siirtoprotokollan otsikot näyttävät, koska myös tässä erot ovat perustavanlaatuisia.

UDP-otsikko

• 16-bittinen lähdeportti > UDP:n lähdeportin määrittäminen on valinnaista. Jos tätä kenttää käytetään, vastaanottaja voi lähettää vastauksen tähän porttiin.
• 16-bittinen kohdeportti > Kohdeportin numero
• 16-bittinen UDP-pituus > Viestin pituus, mukaan lukien otsikko ja tiedot.
• 16-bittinen tarkistussumma > Otsikko ja data tarkistussumma vahvistusta varten

TCP-otsikko

• 16-bittinen lähdeportti > Lähdeportin numero
• 16-bittinen kohdeportti > Kohdeportin numero
• 32-bittinen järjestysnumero > Lähde generoi järjestysnumeron, jota kohde käyttää pakettien järjestämiseen uudelleen luodakseen alkuperäisen viestin ja lähettääkseen kuittauksen lähteelle.
• 32-bittinen kuittausnumero > Jos Control-kentän ACK-bitti on asetettu, tämä kenttä sisältää seuraavan odotetun järjestysnumeron.
• 4-bittinen otsikon pituus > Tietoa datapaketin alusta.
• varata > Varattu tulevaa käyttöä varten.
• 16-bittinen tarkistussumma > Otsikon ja tietojen tarkistussumma; se määrittää, oliko paketti vioittunut.
• 16-bittinen kiireellisyyden ilmaisin > Tässä kentässä kohdelaite vastaanottaa tiedon tiedon kiireellisyydestä.
• Valinnat > Valinnaiset arvot, jotka voidaan määrittää tarpeen mukaan.

Ikkunan koon avulla voit säästää liikennettä, harkitaan kun sen arvo on 1, niin lähettäjä odottaa jokaisesta lähetetystä vastauksesta vahvistusta, ei täysin järkevää.

Kun ikkunan koko on 3, lähettäjä lähettää jo 3 kehystä ja odottaa 4:stä, mikä tarkoittaa, että hänellä on kaikki kolme kehystä, +1.

Toivottavasti sinulla on nyt käsitys tcp- ja udp-protokollien eroista.

Tiedonvaihtoa tietokoneiden välillä on kahdenlaisia ​​- datathunders Ja istuntoja. Datagrammi on viesti, joka ei edellytä vastaanottajalta vahvistusta vastaanottamisesta ja jos tällainen vahvistus on tarpeen, vastaanottajan tulee lähettää itse erityinen viesti. Tietojen vaihtamiseksi tällä tavalla vastaanottavien ja lähettävien osapuolten on noudatettava tiukasti tiettyä protokollaa tietojen menettämisen välttämiseksi. Jokainen datasähke on itsenäinen sanoma, ja jos lähiverkossa on useita datasähkeitä, niiden toimittamista vastaanottajalle ei yleisesti ottaen taata. Tässä tapauksessa datagrammi on yleensä osa viestiä, ja useimmilla LAN-verkoilla datagrammien siirtonopeus on paljon suurempi kuin istuntojen viestien.

SISÄÄN istunto oletetaan, että tietokoneiden välistä viestien vaihtoa varten luodaan looginen yhteys ja viestien vastaanotto on taattu. Vaikka datagrammeja voidaan lähettää satunnaisina aikoina, istunnossa istunto lopetetaan ennen viestin lähettämistä ja istunto on suljettava, kun tiedonvaihto on valmis.

Useimpien tietokoneiden käyttöjärjestelmät tukevat moniohjelmointitilaa, ts. useita ohjelmia käynnissä samanaikaisesti (useita prosesseja käynnissä rinnakkain). Tietyllä tarkkuudella voimme sanoa, että prosessi on viestin lopullinen kohde. Koska prosessit luodaan ja lopetetaan dynaamisesti, lähettäjällä on harvoin tarpeeksi tietoa tunnistaakseen prosessin toisessa tietokoneessa. Siksi on välttämätöntä määrittää tietojen kohde prosessien suorittamien toimintojen perusteella tietämättä mitään näiden toimintojen toteuttamista prosesseista.

Käytännössä jokaisella tietokoneella ajatellaan olevan joukko kohteita, joita kutsutaan protokollaporteiksi, sen sijaan, että ajatellaan prosessia lopullisena määränpäänä. Jokainen portti tunnistetaan positiivisella kokonaisluvulla (0 - 65535). Tässä tapauksessa käyttöjärjestelmä tarjoaa viestintämekanismin, jota prosessit käyttävät osoittamaan portin, jossa ne toimivat, tai portin, johon ne tarvitsevat pääsyn. Yleensä portit puskuroidaan, ja tiedot, jotka saapuvat tiettyyn porttiin ennen kuin prosessi on valmis vastaanottamaan ne, eivät katoa: ne ovat jonossa, kunnes prosessi hakee ne.

Ymmärtääksesi paremmin satamatekniikkaa, kuvittele, että menet pankkiin tekemään talletuksen. Tätä varten sinun on mentävä tiettyyn ikkunaan, jossa operaattori täyttää asiakirjat ja avaat tilin. Tässä esimerkissä pankki edustaa tietokonetta ja pankkioperaattorit ovat ohjelmia, jotka suorittavat tiettyä työtä. Mutta ikkunat ovat portteja, ja jokainen pankin ikkuna on usein numeroitu (1, 2, 3 ...).

Sama koskee portteja, joten voidakseen kommunikoida toisen tietokoneen portin kanssa lähettäjän on tiedettävä sekä vastaanottavan tietokoneen IP-osoite että portin numero tietokoneessa. Jokainen viesti sisältää sekä sen tietokoneen portin numeron, johon viesti on osoitettu, että sen tietokoneen lähdeportin numeron, johon vastaus tulee lähettää. Tämä mahdollistaa vastaamisen lähettäjälle jokaisessa prosessissa.

TCP/IP-portit, joiden numero on 0–1023, ovat etuoikeutettuja, ja niitä käyttävät verkkopalvelut, jotka puolestaan ​​toimivat järjestelmänvalvojan (superkäyttäjän) oikeuksin. Esimerkiksi Windowsin tiedostojen ja kansioiden jakopalvelu käyttää porttia 139, mutta jos se ei ole käynnissä tietokoneessa, saat virheilmoituksen, kun yrität käyttää tätä palvelua (eli tätä porttia).

TCP/IP-portit 1023–65535 ovat etuoikeutettomia, ja asiakasohjelmat käyttävät niitä vastaanottaakseen vastauksia palvelimilta. Esimerkiksi käyttäjän verkkoselain käyttää verkkopalvelinta käyttäessään tietokoneensa porttia 44587, mutta käyttää verkkopalvelimen porttia 80. Pyynnön saatuaan verkkopalvelin lähettää vastauksen porttiin 44587, jota selain käyttää.

Lähteet: Wikipedia, Microsoft, portscan.ru

Kuinka selvittää, mitkä portit ovat avoinna tietokoneessa?

1. Windows: Käynnistä → "cmd" → Suorita järjestelmänvalvojana → "netstat -bn"
2. Virustorjuntaohjelmassa, kuten Avast, on mahdollista tarkastella palomuurin aktiivisia portteja: työkalut -> palomuuri -> verkkoyhteydet.

Myös hyödyllisiä netstat-komentoja:

Näytä sekä Ethernet-tilastot että kaikkien protokollien tilastot kirjoittamalla seuraava komento:

netstat -e -s

Jos haluat näyttää vain TCP- ja UDP-protokollien tilastot, kirjoita seuraava komento:

netstat -s -p tcp udp

Jos haluat näyttää aktiiviset TCP-yhteydet ja prosessitunnukset 5 sekunnin välein, kirjoita seuraava komento:

nbtstat -o 5

Jos haluat näyttää aktiiviset TCP-yhteydet ja prosessitunnukset numeromuodossa, kirjoita seuraava komento:

nbtstat -n -o

Seuraavat tila-arvot ovat voimassa TCP-socketeille:

Luettelo yleisimmin käytetyistä porteista

TCP/IP-protokolla on Internetin perusta, jonka kautta tietokoneet lähettävät ja vastaanottavat tietoa mistä päin maailmaa tahansa maantieteellisestä sijainnista riippumatta. Toisessa maassa olevan TCP/IP-tietokoneen käyttäminen on yhtä helppoa kuin viereisen huoneen tietokoneen käyttäminen. Pääsymenettely on identtinen molemmissa tapauksissa, vaikka yhteyden muodostaminen toisessa maassa olevaan koneeseen voi kestää muutaman millisekunnin kauemmin. Tämän seurauksena minkä tahansa maan kansalaiset voivat helposti tehdä ostoksia Amazon.comissa; Tietoturvan tehtävä kuitenkin muuttuu loogisen läheisyyden vuoksi monimutkaisemmiksi: kuka tahansa Internetiin kytketyn tietokoneen omistaja missä päin maailmaa tahansa voi yrittää muodostaa luvattoman yhteyden mihin tahansa muuhun koneeseen.

IT-ammattilaisten vastuulla on asentaa palomuurit ja järjestelmät epäilyttävän liikenteen havaitsemiseksi. Pakettianalyysi hakee tietoja lähde- ja kohde-IP-osoitteista ja mukana olevista verkkoporteista. Verkkoporttien arvo ei ole huonompi kuin IP-osoitteiden; nämä ovat tärkeimmät kriteerit hyödyllisen liikenteen erottamiseksi verkkoon saapuvista ja sieltä lähtevistä vääristä ja haitallisista viesteistä. Suurin osa Internet-verkkoliikenteestä koostuu TCP- ja UDP-paketteista, jotka sisältävät tietoa verkkoporteista, joita tietokoneet käyttävät reitittämään liikennettä sovelluksesta toiseen. Palomuurin ja verkon suojauksen edellytyksenä on, että järjestelmänvalvojalla on perusteellinen käsitys siitä, miten tietokoneet ja verkkolaitteet käyttävät näitä portteja.

Satamien opiskelu

Verkkoporttien toiminnan perusperiaatteiden tuntemus on hyödyllinen kaikille järjestelmänvalvojille. Perustietonsa TCP- ja UDP-porteista järjestelmänvalvoja voi itsenäisesti diagnosoida epäonnistuneen verkkosovelluksen tai suojata Internetiä käyttävän tietokoneen soittamatta verkkosuunnittelijalle tai palomuurikonsultille.

Tämän artikkelin ensimmäisessä osassa (joka koostuu kahdesta osasta) kuvataan peruskäsitteet, joita tarvitaan verkkoporttien käsittelemiseen. Verkkoporttien paikka yleisessä verkkomallissa sekä verkkoporttien ja NAT (Network Address Translation) -palomuurin rooli yrityksen tietokoneiden Internet-yhteyksissä esitetään. Lopuksi ilmoitetaan verkkopisteet, joissa on kätevää tunnistaa ja suodattaa verkkoliikenne vastaavissa verkkoporteissa. Osassa 2 tarkastellaan joitain yleisten sovellusten ja käyttöjärjestelmien käyttämiä portteja ja esitellään työkaluja avointen verkkoporttien löytämiseen.

Lyhyt katsaus verkkoprotokolliin

TCP/IP on joukko verkkoprotokollia, joiden kautta tietokoneet kommunikoivat keskenään. TCP/IP-paketti ei ole muuta kuin käyttöjärjestelmään asennettua ohjelmistokoodia, joka mahdollistaa pääsyn näihin protokolliin. TCP/IP on standardi, joten Windows-koneen TCP/IP-sovellusten pitäisi viestiä onnistuneesti UNIX-koneen saman sovelluksen kanssa. Verkottumisen alkuaikoina, vuonna 1983, insinöörit kehittivät seitsemänkerroksisen OSI-yhteenkytkentämallin kuvaamaan tietokoneverkkoprosesseja kaapelista sovellukseen. OSI-malli koostuu fyysisistä, datalinkki-, verkko-, kuljetus-, istunto- ja sovelluskerroksista. Jatkuvasti Internetin ja TCP/IP:n kanssa työskentelevät järjestelmänvalvojat käsittelevät ensisijaisesti verkko-, kuljetus- ja sovelluskerroksia, mutta onnistuneeseen diagnostiikkaan tarvitaan muiden kerrosten tunteminen. Huolimatta OSI-mallin pitkästä iästä, monet asiantuntijat käyttävät sitä edelleen. Esimerkiksi kun verkkosuunnittelija puhuu Layer 1- tai Layer 2 -kytkimistä tai palomuuritoimittaja Layer 7 -ohjauksesta, he puhuvat OSI-mallissa määritellyistä tasoista.

Tämä artikkeli käsittelee verkkoportteja, jotka sijaitsevat kerroksessa 4 - kuljetus. TCP/IP-paketissa näitä portteja käyttävät TCP- ja UDP-protokollat. Mutta ennen kuin menemme yhden kerroksen yksityiskohtiin, on tärkeää tarkastella nopeasti seitsemää OSI-kerrosta ja niiden roolia nykyaikaisissa TCP/IP-verkoissa.

Tasot 1 ja 2: Fyysiset kaapelit ja MAC-osoitteet

Layer 1, fyysinen, edustaa todellista välinettä, jonka läpi signaali kulkee, kuten kuparikaapeli, valokuitukaapeli tai radiosignaalit (Wi-Fi-verkon tapauksessa). Kerros 2, datalinkki, kuvaa fyysisessä välineessä lähetettävän datamuodon. Layer 2:ssa paketit järjestetään kehyksiin ja voidaan toteuttaa perusvirtauksen ohjaus- ja virheenkäsittelytoiminnot. IEEE 802.3 -standardi, joka tunnetaan paremmin nimellä Ethernet, on yleisin Layer 2 -standardi nykyaikaisissa lähiverkoissa. Tyypillinen verkkokytkin on Layer 2 -laite, jonka kautta useat tietokoneet muodostavat fyysisen yhteyden ja vaihtavat tietoja keskenään. Joskus kaksi tietokonetta ei voi muodostaa yhteyttä toisiinsa, vaikka IP-osoitteet näyttävät olevan oikein, ongelma voi johtua Address Resolution Protocol (ARP) -välimuistin virheistä, mikä osoittaa ongelman kerroksessa 2. Lisäksi jotkin langattomat tukiasemat (Access; Point, AP) tarjoavat MAC-osoitesuodatuksen, jolloin vain verkkosovittimet, joilla on tietty MAC-osoite, voivat muodostaa yhteyden langattomaan tukiasemaan.

Tasot 3 ja 4: IP-osoitteet ja verkkoportit

Taso 3, verkko, tukee reititystä. TCP/IP:ssä reititys toteutetaan IP:ssä. Paketin IP-osoite kuuluu Layer 3:lle. Verkkoreitittimet ovat Layer 3 -laitteita, jotka analysoivat pakettien IP-osoitteita ja välittävät paketit toiselle reitittimelle tai toimittavat paketteja paikallisille tietokoneille. Jos verkossa havaitaan epäilyttävä paketti, ensimmäinen vaihe on tarkistaa paketin IP-osoite paketin alkuperän selvittämiseksi.

Yhdessä verkkokerroksen kanssa kerros 4 (kuljetus) on hyvä lähtökohta verkko-ongelmien diagnosoinnissa. Internetissä Layer 4 sisältää TCP- ja UDP-protokollat ​​ja tiedot verkkoportista, joka yhdistää paketin tiettyyn sovellukseen. Tietokoneen verkkopino käyttää TCP- tai UDP-verkkoporttiyhdistystä sovelluksen kanssa verkkoliikenteen ohjaamiseksi kyseiseen sovellukseen. Esimerkiksi TCP-portti 80 on liitetty Web-palvelinsovellukseen. Tämä porttien yhdistäminen sovelluksiin tunnetaan palveluna.

TCP ja UDP ovat erilaisia. Pohjimmiltaan TCP tarjoaa luotettavan yhteyden kahden sovelluksen välistä viestintää varten. Ennen kuin viestintä voi alkaa, kahden sovelluksen on muodostettava yhteys suorittamalla kolmivaiheinen TCP-kättelyprosessi. UDP on enemmän tulen ja unohda -lähestymistapa. Yhteyden luotettavuus TCP-sovelluksille varmistetaan protokollalla, mutta UDP-sovelluksen on itse tarkastettava yhteyden luotettavuus.

Verkkoportti on numero väliltä 1 - 65535, joka on määritetty ja tiedossa molemmille sovelluksille, joiden välillä yhteys muodostetaan. Esimerkiksi asiakas lähettää tyypillisesti salaamattoman pyynnön palvelimelle kohdeosoitteeseen TCP-portissa 80. Tyypillisesti tietokone lähettää DNS-pyynnön DNS-palvelimelle kohdeosoitteeseen UDP-portissa 53. Asiakkaalla ja palvelimella on lähde. ja kohde-IP-osoite sekä lähde- ja kohdeverkkoportti, jotka voivat vaihdella. Historiallisesti kaikkia 1024:n alapuolella olevia porttinumeroita kutsutaan "tunnetuiksi porttinumeroiksi" ja ne on rekisteröity Internet Assigned Numbers Authoritylle (IANA). Joissakin käyttöjärjestelmissä vain järjestelmäprosessit voivat käyttää tämän alueen portteja. Lisäksi organisaatiot voivat rekisteröidä portit 1024–49151 IANA:ssa liittääkseen portin sovellukseensa. Tämä rekisteröinti tarjoaa rakenteen, joka auttaa välttämään ristiriidat sovellusten välillä, jotka yrittävät käyttää samaa porttinumeroa. Yleisesti ottaen mikään ei kuitenkaan estä sovellusta pyytämästä tiettyä porttia niin kauan kuin se ei ole toisen aktiivisen ohjelman käytössä.

Historiallisesti palvelin saattoi kuunnella pieninumeroisia portteja, ja asiakas pystyi muodostamaan yhteyden suurinumeroiseen porttiin (yli 1024). Esimerkiksi Web-asiakas voi avata yhteyden Web-palvelimeen kohdeportissa 80, mutta liittää satunnaisesti valitun lähdeportin, kuten TCP-portin 1025. Vastatessaan asiakkaalle Web-palvelin osoittaa paketin asiakkaalle lähteen kanssa. portti 80 ja kohdeportti 1025. IP-osoitteen ja portin yhdistelmää kutsutaan socketiksi, ja sen on oltava yksilöllinen tietokoneessa. Tästä syystä, kun määrität Web-palvelimen, jossa on kaksi erillistä Web-sivustoa samassa tietokoneessa, sinun on käytettävä useita IP-osoitteita, kuten osoite1:80 ja osoite2:80, tai määritettävä Web-palvelin kuuntelemaan useita verkkoportteja, esim. osoitteena 1:80 ja osoitteena 1:81. Jotkut Web-palvelimet sallivat useiden Web-sivustojen ajamisen yhdessä portissa pyytämällä isäntäotsikkoa, mutta tämän toiminnon suorittaa itse asiassa ylemmän kerroksen 7 Web-palvelinsovellus.

Kun verkkoominaisuudet tulivat saataville käyttöjärjestelmissä ja sovelluksissa, ohjelmoijat alkoivat käyttää 1024:ää suurempia porttinumeroita rekisteröimättä kaikkia sovelluksia IANA:ssa. Kun etsit Internetistä mitä tahansa verkkoporttia, voit yleensä löytää nopeasti tietoja kyseistä porttia käyttävistä sovelluksista. Tai voit etsiä tunnettuja portteja ja löytää monia sivustoja, joissa luetellaan yleisimmät portit.

Kun estät tietokoneen verkkosovelluksia tai etsit palomuurivirheitä, suurin osa työstä tulee luokittelemalla ja suodattamalla Layer 3 IP-osoitteita ja Layer 4 -protokollia ja verkkoportteja laajalti käytettyjä yritysten TCP- ja UDP-portteja.

Verkkoporttien tunnistamisen ja niihin perehtymisen oppiminen on muutakin kuin palomuurisääntöjen määrittäminen. Esimerkiksi jotkin Microsoftin tietoturvakorjaukset kuvaavat NetBIOS-porttien sulkemista. Tämä toimenpide auttaa rajoittamaan käyttöjärjestelmän haavoittuvuuksien kautta tunkeutuvien matojen leviämistä. Kun tiedät, miten ja missä nämä portit suljetaan, voit vähentää verkon tietoturvariskejä valmistautuessasi kriittisen korjaustiedoston asentamiseen.

Ja suoraan tasolle 7

Layer 5:stä (istunto) ja Layer 6:sta (esitys) on nykyään harvinaista kuulla, mutta Layer 7 (sovellus) on kuuma aihe palomuuritoimittajien keskuudessa. Verkon palomuurien uusin trendi on Layer 7 -tarkastus, joka kuvaa tekniikat, joilla analysoidaan sovelluksen vuorovaikutusta verkkoprotokollien kanssa. Analysoimalla verkkopaketin hyötykuormaa palomuuri voi määrittää, onko sen läpi kulkeva liikenne laillista. Esimerkiksi Web-pyyntö sisältää GET-käskyn Layer 4 -paketin sisällä (TCP-portti 80). Jos palomuurissasi on Layer 7 -toiminto, voit varmistaa, että GET-lause on oikea. Toinen esimerkki on, että monet peer-to-peer (P2P) -tiedostonjakoohjelmat voivat kaapata portin 80. Tämän seurauksena ulkopuolinen voi määrittää ohjelman käyttämään valitsemaansa porttia - todennäköisesti porttia, joka tulisi jättää avoimeksi. tietty palomuuri. Jos yrityksen työntekijät tarvitsevat pääsyä Internetiin, portti 80 on avattava, mutta jotta laillinen Web-liikenne voidaan erottaa jonkun porttiin 80 ohjaamasta P2P-liikenteestä, palomuurin on tarjottava kerroksen 7 ohjaus.

Palomuurin rooli

Verkkokerrosten kuvattua voimme siirtyä kuvaamaan verkkosovellusten välistä viestintää palomuurien kautta kiinnittäen erityistä huomiota käytettyihin verkkoportteihin. Seuraavassa esimerkissä asiakasselain kommunikoi palomuurin toisella puolella olevan Web-palvelimen kanssa, aivan kuten yrityksen työntekijä kommunikoisi Internetissä olevan Web-palvelimen kanssa.

Useimmat Internet-palomuurit toimivat kerroksilla 3 ja 4 tutkiakseen ja salliakseen tai estääkseen saapuvan ja lähtevän verkkoliikenteen. Yleensä järjestelmänvalvoja kirjoittaa pääsynvalvontaluetteloita (ACL), jotka määrittelevät estetyn tai sallitun liikenteen IP-osoitteet ja verkkoportit. Jos haluat esimerkiksi käyttää Internetiä, sinun on käynnistettävä selain ja osoitettava se Web-sivustoon. Tietokone aloittaa lähtevän yhteyden lähettämällä IP-pakettien sarjan, joka koostuu otsikosta ja hyötykuormatiedoista. Otsikko sisältää reittitietoja ja muita pakettimääritteitä. Palomuurisäännöt kirjoitetaan usein reititystiedot mielessä ja sisältävät yleensä lähde- ja kohde-IP-osoitteet (taso 3) ja pakettiprotokollan (kerros 4). Kun selaat Internetiä, kohde-IP-osoite kuuluu Web-palvelimelle, ja protokolla ja kohdeportti (oletuksena) ovat TCP 80. Lähteen IP-osoite on sen tietokoneen osoite, josta käyttäjä käyttää Internetiä, ja lähde. portti on yleensä dynaamisesti määritetty numero , joka on suurempi kuin 1024. Hyödyllinen tieto on riippumaton otsikosta ja käyttäjäsovellus luo sen; tässä tapauksessa se on pyyntö Web-palvelimelle tarjota Web-sivu.

Palomuuri analysoi lähtevän liikenteen ja sallii sen palomuurin sääntöjen mukaisesti. Monet yritykset sallivat kaiken lähtevän liikenteen verkosta. Tämä lähestymistapa yksinkertaistaa määritystä ja käyttöönottoa, mutta heikentää turvallisuutta, koska verkosta lähteviä tietoja ei voida hallita. Esimerkiksi Troijan hevonen voi tartuttaa tietokoneen yritysverkossa ja lähettää tietoja kyseisestä tietokoneesta toiseen tietokoneeseen Internetissä. On järkevää luoda pääsynhallintaluetteloita tällaisten lähtevien tietojen estämiseksi.

Toisin kuin monet palomuurit, useimmat niistä on määritetty estämään saapuva liikenne. Tyypillisesti palomuurit sallivat saapuvan liikenteen vain kahdessa tilanteessa. Ensimmäinen on liikenne, joka saapuu vastauksena käyttäjän aiemmin lähettämään lähtevään pyyntöön. Jos esimerkiksi osoitat selaimesi Web-sivun osoitteeseen, palomuuri sallii HTML-koodin ja muiden Web-sivun osien pääsyn verkkoon. Toinen tapaus on sisäisen palvelun, kuten sähköpostipalvelimen, Web- tai FTP-sivuston, isännöiminen Internetissä. Tällaisen palvelun isännöintiä kutsutaan yleensä porttikäännökseksi tai palvelinjulkaisuksi. Porttikäännöksen toteutus vaihtelee palomuuritoimittajien välillä, mutta taustalla on sama periaate. Järjestelmänvalvoja määrittää palvelun, kuten TCP-portin 80 Web-palvelimelle ja taustapalvelimen palvelun isännöimiseksi. Jos paketit tulevat palomuuriin tätä palvelua vastaavan ulkoisen liitännän kautta, portin käännösmekanismi välittää ne tietylle verkon tietokoneelle, joka on piilotettu palomuurin taakse. Portin käännöstä käytetään yhdessä alla kuvatun NAT-palvelun kanssa.

NAT perusasiat

NAT:n avulla useat yrityksen tietokoneet voivat jakaa pienen julkisen IP-osoitetilan. Yrityksen DHCP-palvelin voi varata IP-osoitteen yhdestä yksityisestä, Internetissä ei-reititettävistä IP-osoitelohkoista, jotka on määritelty Request for Comments (RFC) nro 1918:ssa. Useat yritykset voivat myös jakaa saman yksityisen IP-osoitetilan. Esimerkkejä yksityisistä IP-aliverkoista ovat 10.0.0.0/8, 172.16.0.0/12 ja 192.168.0.0/16. Internet-reitittimet estävät kaikki paketit, jotka on suunnattu johonkin yksityisistä osoitteista. NAT on palomuuriominaisuus, jonka avulla yksityisiä IP-osoitteita käyttävät yritykset voivat kommunikoida muiden Internetin tietokoneiden kanssa. Palomuuri osaa kääntää saapuvan ja lähtevän liikenteen yksityisiksi sisäisiksi IP-osoitteiksi, jotta jokainen tietokone pääsee Internetiin.

Lisää tästä aiheesta:

Lataa Driver Sweeper – ohjelma ajurien poistamiseen käyttöjärjestelmästä Windows Lataa ohjelma kortin ajurien poistamiseen

Heittää Sniper Elite V2:n työpöydälle Mitä tehdä, jos sniper elite 3 viivästyy

Etsitään vastaavaa kuvaa Internetistä

Muut artikkelit:

Tehokkaimmat älypuhelimet Top 10 tehokkain puhelin Nykytekniikan avulla on mahdollista sovittaa teho ja suorituskyky tavalliseen älypuhelimeen...

Kuinka poistaa sivu ja tili maailmastani Tapahtuu, että henkilö rekisteröitymisen jälkeen ymmärtää, että tämä sosiaalinen verkosto ei ole häntä varten ja haluaa...

Kuinka poistaa Avast tietokoneeltasi, jos sitä ei voida poistaa Nyt tarkastelemme kuinka poistaa Avast niin, että virustorjuntaohjelman poistamisen jälkeen tietokone ei...

Nokia Lumian yhdistäminen tietokoneeseen Ensimmäistä kertaa artikkelit ja Lifehacks voivat tuottaa pettymyksen kaikille, jotka ovat äskettäin ostaneet tämän matkapuhelimen...