دیوار آتش سیستمی است که در بین کاربران یک شبکه محلی و شبکه بیرونی مثل اینترنت قرار می گیرد و ضمن نظارت بر دسترسی ها در تمام سطوح ورود و خروج اطلاعات را تحت کنترل دارد .

در شکل مدلی از دیواره آتش را مشاهده می کنید:

دراین شکل موقعیتی از دیواره آتش و نحوه بکارگیری آن نشان داده شده است.

در این ساختار هر سازمان یا نهادی که بخواهد ورود یا خروج  اطلاعات داشته باشد و این ورود و خروج را کنترل کند باید در ابتدا موظف است تمام ارتباطات مستقیم شبکه محلی خود را با دنیای خارج قطع کرده و هرگونه ارتباط با دنیای خارج صرفا از طریق یک در وازه که در شکل مشخص است  انجام می شود.

قبل از آنکه اجزای یک دیواره آتش را تحلیل کنیم باید عملکرد کلی و مشکلات استفاده از این دیواره آتش را بررسی کنیم .

در شکل زیر مدل ساده تری از دیواره آتش را میبینیم..

نحوه کار به شرح زیر است :

بسته های IP قبل از مسیر یابی بر روی شبکه اینترنت ابتدا وارد دیواره آتش می شوند و منتظر می مانند طبق معیار های حفاظتی و امنیتی پردازش شوند.پس از پردازش و تحلیل بسته سه حالت زیر ممکن است رخ دهد :

• اجازه عبور بسته صادر شود(Accept mode)
• بسته حذف گردد (Bloching mode)
• بسته حذف شده و پاسخ مناسبی به مبداء ارسال بسته فرستاده شود (Response mode) (به غیر از پیغام حذف بسته ممکن است عملیاتی نظیر ثبت در فایل های ثبت رخداد –Event log- رد گیری و اخطار به خاطی ، جلوگیری از ادامه دسترسی به شبکه و توبیخ هم درنظر گرفت )

در واقع دیواره آتش محل است برای ایست و بازرسی بسته های اطلاعاتی به گونه ای که بسته ها بر اساس تابعی از قواعد امنیتی و حفاظتی پردازش شده و برای آن ها مجوز عبور یا عدم عبور صادر شود.

اگر pمجموعه ای از بسته های ورودی به دیواره آتش باشد و s مجموعه متناهی از قواعد امنیتی باشد داریم:

X= F(P,S)

Fتابع عملکرد دیواره آتش وx نتیجه تحلیل بسته است که شامل سه حالت زیر است :

• Response
• Accept
• Bloching

همانطور که در همه جا عملیات ایست و بازرسی وقت گیر و اعصاب خرد کن است دیواره آتش هم به عنوان یک گلوگاه می تواند منجر به بالا رفتن ترافیک ، تأخیر ازدحام و نهایتا بن بست شبکه بشود.

بن بست زمانی رخ می دهد که بسته ها آنقدر در حافظه دیواره آتش معظل می شوند تا ظول عمرشان  تمام شود و فرستنده اقدام به ارسال مجدد آنها کرده و این کاربه طور متناوب صورت می گیرد.به همین دلیل دیواره آتش نیاز به طراحی صحیح و دقیق دارد تا از حالت گلوگاه خارج شود. لذا گفتنی است تاخیر در دیواره آتش اجتناب نا پذیر است فقط باید طوری صورت بگیرد که بحران ایجاد نکند.

اگر از دیدگاه نظریه صف (Queuing theory) به یک دیواره آتش نگاه کنیم می توان تخمینی از تاخیر تحمیل شده به هر بسته را بدست آورد . معمولا تابع توزیع بسته ها را در شبکه اطلاعاتی پوآسون در نظر می گیرند.

در شکل زیر فرض کنید n  λ متوسط انتقال بسته های IP در واحد زمان از شبکه N به دیواره آتش باشد و  m  λ متوسط انتقال بسته در واحد زمان از شبکه M باشد .q را احتمال عبور بسته Pm و r  را احتمال عبور بسته Pn فرض کنید طبق شکل داریم :

متوسط بسته های حذف شده : =(۱-q ) m  λ+(۱-r) n  λ

r . m  λ =: متوسط انتقال بسته از دیواره آتش به شبکهM

n  λ  r .= : متوسط انتقال بسته از دیواره آتش به شبکهN

طبق نظریه صف اگر دیواره آتش بخواهد از نقش گلوگاهی خود بکاهد بایستی به گونه ای طراحی شود که نسبت متوسط خروجی بسته ها از دیواره آتش (μ ) به ورودی بسته ها (λ/ μ ) تا حد امکان زیاد باشد که این کار منوط به افزایش سرعت پردازش ، داشتن حافظه کافی برای ذخیره بسته های پردازش نشده و هرچه سریعتر کردن تابع تصمیم گیری می باشد.

مشکل زمانی حاد می شود که دیواره آتش مجبور باشد برای تصمیم گیری و اجازه عبور تعداد زیادی از بسته ها را معطل نگه دارد تا تصمیم گیری برای مجموعه ای از بسته ها ( مبتنی بر سابقه یا stateful) انجام بشود .

این موضوع در ادامه روشن تر می شود .

در بحث بعدی به مبانی طراحی دیواره آتش خواهیم پرداخت.

منبع: مهندسی اینترنت