Схемы подключений межсетевых экранов

Как уже было показано выше, межсетевой экран при работе рассматривает отдельные пакеты проходящего через него сетевого трафика, и на основании определённых критериев принимает решение о блокировании или допущении трафика. В связи с этим, можно вывести основное правило, которое соблюдается во всех случаях использования межсетевого экрана: экран должен отделять защищаемый узел или сеть от остальных сетей, то есть располагаться между защищаемым узлом или сетью, и остальными сетями.
Если рассмотреть межсетевой экран, который устанавливается непосредственно на локальный компьютер и представляет собой стороннее программное обеспечение или часть операционной системы, то схематически его можно представить так: (Рис. 1)
В такой схеме межсетевой экран защищает непосредственно локальный компьютер, поскольку установлен именно на нём. Маршрутизатор обеспечивает локальному компьютеру возможность выхода в глобальную сеть, однако его может и не быть – компьютер может подключаться во внешнюю сеть непосредственно: (Рис. 2)
Преимущества такой схемы подключения:
Межсетевой экран максимально защищает компьютер, причём не только от атак из внешней сети, но и от атак из внутренней сети.
Для защиты межсетевой экран может использовать не только оценку адреса и порта, но и оценивать пакеты на прикладном уровне, а также – использовать для фильтрации данные операционной системы о процессах, порождающих сетевую активность
Локальный межсетевой экран может быть легко настроен пользователем
Локальный межсетевой экран может быть интегрирован с антивирусной защитой, что существенно повысит защищённость компьютера.
Недостатки такой схемы подключения:
Для защиты локальной сети межсетевой экран должен быть установлен на каждый компьютер сети
Анализ сетевого трафика будет занимать процессорные мощности компьютера
В случае, когда речь идёт о защите локальной сети, чаще применяется такая схема подключения, в которой межсетевой экран расположен между внешней и внутренней сетями (Рис

. 3)
В таком случае весь сетевой трафик от локальных компьютеров, направленный во внешнюю сеть, а также трафик от внешней сети в узлы внутренней сети, будет проходить через межсетевой экран и фильтроваться.
Преимущества такой схемы:
Централизованная защита всей локальной сети
Снятие нагрузки с локальных компьютеров
Возможность создания отдельных правил защиты для разных компьютеров
Возможность использования системы обнаружения сетевых аномалий
Недостатки такой схемы:
Необходимость выделения сервера для использования в качестве межсетевого экрана, или использование специализированного устройства (часто функцию маршрутизатора и межсетевого экрана совмещают в одном сервере)
Межсетевой экран не защищает от атак на прикладном уровне (существуют межсетевые экраны, которые могут анализировать трафик до прикладного уровня, но для такого анализа требуется очень большая производительность)
Создание такой схемы может потребовать большей квалификации от сетевого администратора.
В случае использования межсетевого экрана, отделяющего сегмент сети, следует отметить ещё два сценария использования: с наличием открытого сегмента сети, и с наличием демилитаризованной зоны