W jaki sposób zapora SPI chroni ruch sieciowy

17 maja 2021 r. By Nicka Andersona Bez komentarza 5 minut

Zapora ogniowa to ważny element zabezpieczeń sieci, który bada ruch sieciowy i decyduje, czy ma on do Ciebie dotrzeć. Zapory ogniowe istnieją od początków Internetu, kiedy to dopiero zaczynały wykrywać i zatrzymywać niechciany ruch. Z biegiem czasu, dzięki potężnemu sprzętowi, zapory ogniowe stały się silniejsze.

Twój system operacyjny ma zaporę ogniową, która sprawdza, jaki ruch może komunikować się z Internetem. Twój router ma wbudowaną zaporę ogniową, która sprawdza ruch przychodzący, aby sprawdzić, czy jest prawidłowy. Bez zapory ogniowej bezpieczeństwo sieci będzie miało ogromny wpływ.

SPI to rodzaj zapory, która wykonuje więcej niż tylko podstawową analizę w celu określenia, jakie pakiety danych mogą wejść. Co to jest zapora sieciowa SPI? Dowiedz się o tym w naszym blog.

Get FastestVPN

Co to jest zapora sieciowa SPI?

SPI oznacza Stateful Packet Inspection. Jest to zaawansowana zapora zapewniająca bezpieczeństwo sieci.

Bezstanowe zapory ogniowe lub filtrowanie pakietów sprawdzają tylko źródłowy i docelowy adres IP oraz port źródłowy/docelowy i zezwalają ruchowi przychodzącemu na komunikację z odpowiednim urządzeniem w sieci. Wyjaśniliśmy w naszym poprzednim blogs jak przekierować port i dlaczego może to być wymagane w przypadku niektórych czynności (np. gier) w celu uzyskania najlepszych wrażeń. W porównaniu ze stanową zaporą ogniową jest bardziej wszechstronna. Ale najpierw zrozummy, jak działa NAT.

Co to jest NAT?

Translacja adresów sieciowych to część routera, która przechowuje zapis wszystkich żądań wychodzących w tabeli NAT. Zapisuje adres IP każdego urządzenia, używany przez nie port oraz docelowy adres IP i port, z którym chce się połączyć przez Internet.

Następnie mapuje twoje urządzenie na pojedynczy adres IP, zwany także bramą, przypisany przez Dostawca usług internetowych (ISP). Ponieważ istnieje skończona liczba adresów IP, które prawie wyczerpaliśmy, takie podejście zapewnia nam potrzebny czas, zanim adresy IPv4 zostaną wyczerpane. Możesz dowiedzieć się więcej o adresach IPv4 tutaj.

Zapora sieciowa NAT jest zaporą bezstanową, która przestrzega tylko określonych reguł zatwierdzania/odmawiania wejścia dla pakietów danych.

Jak działa zapora SPI?

Ruch sieciowy odbywa się w małych porcjach zwanych pakietami danych. Twoja komunikacja ze znajomym przez Internet opiera się na serii pakietów danych. Każdy pakiet danych zawiera pewne informacje, które są transportowane, a następnie konstruowane w miejscu docelowym.

Zamiast tylko monitorować adresy źródłowe i docelowe, zapora sieciowa SPI kontroluje kontekst pakietów danych. Sprawdza pewne rzeczy, na przykład, czy pakiet danych należy do aktywnej sesji ustanowionej po uzgadnianiu protokołu TCP. Działa z obydwoma TCP i UDP. W przypadku protokołu UDP, który przesyła pakiety danych bez potwierdzenia, następuje to po konfiguracji (np. dozwolonym czasie trwania sesji).

Zapora sieciowa SPI ma własną pamięć, w której zapisuje poprzednie pakiety danych i używa tabeli stanów do określenia, czy następny pakiet należy do serii. Wie, jaka aplikacja zażądała połączenia z Internetem i oczekuje odpowiedzi od serwera WWW. Zapora SPI odrzuci pakiet danych, jeśli nie zostaną spełnione określone warunki.

Na przykład, gdy poprosisz o otwarcie strony internetowej, zapora sieciowa SPI zarejestruje to żądanie w swojej pamięci. Odpowiedź przychodząca będzie zatem godna zaufania, ponieważ zna żądaną dla niej aplikację wewnętrzną. SPI jest przydatny, ponieważ może otwierać/zamykać porty, aby umożliwić przepływ ruchu przez NAT, czego nie może zapewnić bezstanowa zapora sieciowa.

Jest to przydatne w przypadku podstawowych zabezpieczeń, w których zapora odrzuca pakiety danych zawierające złośliwe oprogramowanie, a nie część serii wysyłanej przez złego aktora.

Proces zapewniania tego rodzaju zabezpieczeń wiąże się z obniżeniem wydajności.

SPI kontra DPI

Deep Packet Inspection (DPI) jest obecnie używaną bardziej zaawansowaną zaporą ogniową. Działa na głębszym poziomie w modelu OSI niż zapora ogniowa SPI. Tam, gdzie SPI weryfikuje pakiety danych, sprawdzając między innymi nagłówek pakietu, źródło, aktywne połączenie, DPI rozkłada pakiet danych. Mówimy o faktycznym zbadaniu ładunku w celu sprawdzenia, czy spełnia on ustalone reguły.

DPI jest znacznie potężniejsze. Administratorzy sieci mogą wdrożyć DPI, aby sprawdzić pewne podpisy, takie jak malwarelub blokować ruch zawierający określone słowa. Poprawia bezpieczeństwo sieci, nie tylko zapewniając, że pakiety danych są częścią zaufanej komunikacji. I że haker nie umieścił złośliwego oprogramowania w ładunku.

Ale ma jeden rażący problem: prędkość. DPI jest bardziej zaawansowane, ale też bardziej wymagające. Wymaga to większej mocy obliczeniowej i czasu, ponieważ pakiety danych muszą zostać zdekonstruowane, a następnie zrekonstruowane.

DPI służy do nadzoru krajowego. Kraje takie jak Chiny używają DPI w swojej Wielkiej Chińskiej Zaporze Sieciowej do blokowania określonego ruchu; dlatego tak wiele stron internetowych i usług VOIP jest nieosiągalnych w kraju.

Wniosek – czy SPI ogranicza VPN?

SPI nie koliduje z VPN. Kiedy instalujesz FastestVPN, robi wyjątek w zaporze aplikacji. Zapora sieciowa SPI wie, że zaufana aplikacja zażądała połączenia z Internetem. I odwrotnie, pozwala na ruch przychodzący z serwera VPN.

FastestVPNFunkcja ochrony przed złośliwym oprogramowaniem działa jak swego rodzaju zapora ogniowa. Sprawdza domeny pod kątem oznaczonych złośliwych domen i zapobiega ich otwieraniu.