MikroTik – латвийский производитель сетевого оборудования. Компания разрабатывает и продает проводное и беспроводное сетевое оборудование, в частности маршрутизаторы, сетевые коммутаторы, точки доступа, а также программное обеспечение, операционные системы.
Одним из продуктов Mikrotik является RouterOS (сетевая операционная система на базе Linux). RouterOS предназначен для установки на маршрутизаторы MikroTik RouterBOARD. Также данная система может быть установлена на ПК, превращая его в маршрутизатор с функциями брандмауэров, VPN-сервера клиента, точки доступа и другими.
Операционная система имеет несколько уровней лицензий с возрастающим числом функций.
Кратко об особенностях:
RouterOS поддерживает множество сервисов и протоколов, которые могут быть использованы средними или крупными провайдерами. RouterOS – достаточно гибкая система и очень хорошо поддерживается Mikrotik, как в рамках форума и предоставления различных вики материалов, так и специализированных примеров конфигурации. Различные варианты RouterBOARD позволяют решать на их основе различные варианты сетевых задач, от простой беспроводной точки доступа и управляемого коммутатора, до мощного маршрутизатора с брандмауэром (межсетевым экраном).
Что такое брандмауэр?
Межсетевой экран это устройство или программа, которая предназначена для разделения сетей друг от друга. Иногда межсетевой экран называют также брандмауэр или firewall.
Есть компьютеры в сети, есть интернет, который считается небезопасным. В этом случае межсетевой экран устанавливается между вашей внутренней сетью и сетью интернет. Также программный межсетевой экран может устанавливаться на каждый компьютер в сети. Это полезно в случае, когда Вы со своим ноутбуком работаете не только в защищенной сети организации, но и в других местах (в других организациях, отелях, ресторанах и т. д.). В общем, там, где Вы не имеете контроля над сетью и не можете обеспечить ее безопасность.
Существуют два основных типа межсетевых экранов:
- Межсетевые экраны прикладного уровня. Межсетевые экраны прикладного уровня, или прокси-экраны, представляют собой программные пакеты, базирующиеся на операционных системах общего назначения (таких как Windows NT и Unix) или на аппаратной платформе межсетевых экранов. Межсетевой экран обладает несколькими интерфейсами, по одному на каждую из сетей, к которым он подключен. Набор правил политики определяет, каким образом трафик передается из одной сети в другую. Если в правиле отсутствует явное разрешение на пропуск трафика, межсетевой экран отклоняет или аннулирует пакеты;
- Межсетевые экраны с пакетной фильтрацией. Межсетевые экраны с фильтрацией пакетов обеспечивают защиту сети путем фильтрации сетевых сообщений на основе информации, содержащейся в заголовках TCP/IP каждого пакета. Межсетевые экраны, работающие только посредством фильтрации пакетов, не используют модули доступа, и поэтому трафик передается от клиента непосредственно на сервер. Если сервер будет атакован через открытую службу, разрешенную правилами политики межсетевого экрана, межсетевой экран никак не отреагирует на атаку;
- Аппаратные МЭ. Аппаратные межсетевые экраны это оборудование, на которое уже установлено программное обеспечение для экранирования. Их железо специально заточено по задачи фильтрации трафика. Также на них уже никто не сможет поставить ничего лишнего, чтобы не вызвать каких-либо конфликтов. Это позволяет аппаратным межсетевым экранам соответствовать более строгим требованиям о сертификации, но и стоят они дороже, по сравнению с программными;
- Программные МЭ. Программные межсетевые экраны это программное обеспечение, которое нужно устанавливать на железный или облачный сервер. Главное, чтобы именно через него шел весь трафик внутрь корпоративной сети.
Помимо этого, межсетевые экраны классифицируют в зависимости от применяемой технологии фильтрации трафика.
По этому признаку выделяют следующие основные виды межсетевых экранов:
⦁ Прокси-сервер.
Он является одним из первых типов межсетевых экранов. При отправке запроса на ресурс, расположенного на другом сервере, клиент сначала подключается к прокси-серверу, затем прокси подключается к нужному серверу и получает от него ответ, который возвращает клиенту. Такие прокси-сервера обеспечивают анонимность клиентов.
⦁ Межсетевой экран с контролем состояния сеансов.
Принципы его работы предусматривают анализ состояния порта протоколов. На основании этого анализа межсетевой экран принимает решение о пропуске или блокировке трафика.
⦁ Межсетевой экран типа UTM.
Переводится как унифицированное управление угрозами. Они стали дальнейшим развитием технологий, необходимость которого возникла в связи с ростом безучености и разнообразия сетевых атак.
⦁ Межсетевые экраны нового поколения.
Выполняют все те же основные функции, что и обычные межсетевые экраны, но они также способны выполнять фильтрацию уже на уровне протоколов приложения и их функции, что дает им возможность значительно эффективнее блокировать атаки и вредоносную активность.
⦁ NGFW с активной защитой от угроз.
Он предназначен для более эффективной защиты от угроз с высокой степенью сложности.
Межсетевые экраны работают на сетевом и транспортном уровне модели взаимодействия открытых систем. В основном они анализируют IP-адрес отправителя и получателя и порты транспортного уровня.
Как работает межсетевой экран?
Он перехватывает все пакеты, которые приходят из внешней и внутренней сети. Предположим, у Вас пришел пакет из интернета. Он принимает его и анализирует. У межсетевого экрана есть таблица правил, где написано, какие пакеты можно пропускать во внутреннюю сеть, а какие нельзя.
Он проверяет заголовки протоколов сетевого и транспортного уровня и сравнивает их с правилами в таблице. Если находит пакеты, разрешающие правилу, то передает их во внутреннюю сеть. В противном случае пакет отбрасывается, и во внутреннюю сеть не передается.
Точно так же происходит и с пакетами, которые приходят из внутренней сети. Производится проверка по таблице правил и во внешнюю сеть передаются только те пакеты, которым разрешен
Как устроена таблица правил?
Основные поля в таблице это IP-адрес и порт отправителя и получателя. Также есть поле «протокол», в котором может стоять протокол транспортного или сетевого уровня, и поле «действие». Разрешить прохождения пакета, который попадает под это правило, или запретить. Предположим, что Вы существенно хотите ограничить политику использования сети для обеспечения безопасности. Вы разрешаете пользователям с сайтами в интернете, но все остальные действия запрещаете.
Есть квалифицированные компании, которые предоставляют услуги по установке и настройке данного оборудования. Компания ПС Консалтинг поможет с установкой межсетевого экрана на платформе MikroTik.
Подробная информация, а также бесплатная консультация на сайте https://ps-consult.info/services/mezhsetevoy-ekran-na-platforme-mikrotik/