11.09.2006

Безопасное подключение офиса к Интернет. Решение для малого бизнеса.

Для кого предназначено данное решение

Данное ИТ-решение используется при следующих условиях:

1. Число пользователей в организации находится в пределах от 10 до 50;
2. В организации есть как удаленные, так и мобильные пользователи.

Предлагаемое решение

Защита сетевого периметра при подключении к Интернет осуществляется посредством установки аппаратного межсетевого экрана Zyxel ZyWall 35.

Межсетевые экраны Zyxel показали свою надежность, гибкость и легкость в управлении. Они имеют возможность подключать средства антивирусной проверки http, ftp и smtp трафика путем установки дополнительных модулей (Аппаратный ускоритель ZyWALL Turbo Card и др.), а также имеют встроенную поддержку виртуальных частных сетей (VPN).

Преимущества использования аппаратного межсетевого экрана по сравнению с программным в небольшой компании сводятся к следующему:

1. Нет необходимости выделять отдельный компьютер для установки программного обеспечения межсетевого экрана и нести, в связи с этим, дополнительные накладные расходы на администрирование базовой операционной системы;
2. Нет нужды покупать операционную систему для установки программного обеспечения межсетевого экрана;
3. В таких устройствах нет жестких дисков, специализированная операционная система загружается из энергонезависимой памяти, как следствие - высокая надежность и производительность. Также нет проблем с резервным копированием, достаточно сохранить текущую конфигурацию устройства во внешний файл.

В сравнении с младшей моделью межсетевой экран ZyWALL 35 EE имеет общее конструктивное исполнение, более высокую производительность, большее число одновременных VPN-туннелей (до 35) и возможность двойного резервирования доступа в Интернет: наряду с традиционным для младших моделей портом RS-232 экран ZyWALL 35 имеет еще один порт 10/100 Мбит/с Ethernet для резервирования доступа в Интернет с балансировкой нагрузки между двумя WAN-каналами.

ZyWALL Turbo Suite представляет собой комплект из аппаратного ускорителя ZyWALL Turbo Card и карты подключения услуги обновления базы антивируса и предотвращение вторжений. Аппаратный ускоритель вставляется в слот расширения в межсетевой экран ZyWALL. Межсетевой экран анализирует заголовки пакетов, но не их содержание, где обычно и таится вредоносный код (вирусы и т.п.). Этого недостаточно для надежного обеспечения нормальной работы предприятия. Поэтому многие менеджеры ИТ отдают предпочтение шлюзам, соединяющим функции межсетевого экрана с защитой от вирусов и обнаружением и предотвращением вторжений как наиболее реальному решению задачи защиты корпоративной сети от покушений из Интернета.

Для защиты периметра и поддержки удаленных VPN-соединений можно также использовать аппаратные файрволл компаний Netgear, D-Link, и др. Оборудование Netgear и D-Link несколько дешевле, но надежность, гибкость и качество интерфейса управления у продукции Zyxel, по нашему мнению, все-таки существенно выше. Стоит отметить, что некоторые возможности ZyWALL 35 являются избыточными и не всегда находят применение в небольших компаниях, например аутентификация с помощью внешнего RADIUS-сервера, поддержка демилитаризованной зоны (DMZ) и др. В этом случае, дешевле использовать более простые модели аппаратных файрволл, например Netgear FVS-124G. О различиях моделей Netgear FVS-124G и ZyWALL 35 можно прочитать в соответствующей статье нашего сайта.

Решаемые задачи

Применение ZyWALL 35 в качестве межсетевого экрана при подключении офиса к Интернет позволит решить следующие задачи:

• фильтрация пакетов согласно созданным правилам фильтрации;
• инспекция пакетов с учетом состояния протокола (SPI);
• при подключении к двум провайдерам Интерент - резервирование канала или балансировка нагрузки;
• создание демилитаризованной зоны (DMZ) для изолирования интернет-сервисов;
• авторизация пользователей посредством локальной базы данных или авторизация и подсчет трафика на внешнем RADIUS сервере.

При использовании карты дополнительных услуг:

• on-line проверка на вирусы потока http, ftp, smtp.

На что необходимо обратить особое внимание

При конфигурировании аппаратных файрволл часто забывают грамотно настроить правила, ограничивающие возможность удаленного управления. Для многих устройств производители по умолчанию устанавливают правило, разрешающее удаленное управление устройством через различные протоколы, - http, https,  ftp, telnet и др. В целях безопасности, необходимо ограничить применение протоколов http, ftp, telnet и применять протоколы с шифрованием, - https, ssh, см. рисунок.

Количество показов: 7994
Автор:  КирСаныч