А. Щербаков - Wi-Fi: Все, что Вы хотели знать, но боялись спросить
Статическое перенаправление группы портов схоже с одиночными портами, только в данном случае, можно указывать не отдельные порты, а их группы. Как и прежде, перенаправление диапазона портов возможно только для одного IP-адреса. Такая возможность полезна в том случае, если необходимо обеспечить работу приложений, использующих большое количество портов, например, игр или аудио/видеоконференций. Здесь количество групп портов также варьируется от одной модели к другой, хотя обычно также предлагается около десяти.
Демилитаризованная зона, внешний сервер (DMZ, Exposed Server). Данная функция позволяет виртуально поместить компьютер, находящийся в локальной сети, в глобальную сеть до брандмауэра. Подчеркну слово «виртуально», поскольку на самом деле машина физически остаётся подключённой к сегменту LAN. Другими словами, в этом случае осуществляется перенаправление всех портов на один внутренний IP-адрес. Эта функция осуществляется внутренней прошивкой маршрутизатора, и в некоторых моделях до сих пор не работает должным образом.
Динамическое перенаправление портов (Dynamic, Triggered Mapping). Иногда у этой функции встречается и другое название — «Special Applications» (Специальные приложения). Цель данной функции направлена на преодоление ограничения статического перенаправления, когда один номер порта можно перенаправить только на один внутренний IP-адрес. Настройка выполняется точно так же, как в случае статических привязок, за исключением указания свойства «trigger» (и иногда протокола). После активации данной функции маршрутизатор следит за исходящим трафиком, то есть за тем трафиком локального сегмента, который направлен в Интернет и соответствует заданному критерию. Если такой трафик обнаружен, то маршрутизатор запоминает IP-адрес компьютера, от которого исходит этот трафик. При поступлении данных обратно, в локальный сегмент, включается перенаправление портов, и данные пропускаются внутрь. После завершения передачи перенаправление отключается, и любой другой компьютер может создать новое перенаправление уже на свой IP-адрес. Таким образом, создаётся иллюзия того, что сразу несколько компьютеров одновременно используют перенаправление одного и того же порта, хотя на самом деле в один момент времени только один компьютер может использовать перенаправление.
Примечание: событие, по которому осуществляется динамическое перенаправление должно происходить во внутреннем сегменте сети, поэтому его нельзя использовать для организации работы нескольких серверов, находящихся в сегменте LAN и использующих один порт. Другими словами, если необходимо, чтобы работали два web-сервера, нужно настроить статические перенаправления на два различных порта и соответствующим образом настроить серверы.
Примечание: динамические перенаправления прекрасно подходят для служб, использующих кратковременные запрос и передачу данных, поскольку если один компьютер использует перенаправление данного порта, то в этот момент времени другой компьютер перенаправление этого порта использовать не может. Если нужно настроить работу приложений, которым необходим постоянный поток данных, (например потоковое аудио и видео, интернет-телефония и многое другое), которые занимают порт на длительное время, то динамическое перенаправление в этом случае помогает мало.
Привязка сервера Loopback (Mapped Server, Loopback). Если на маршрутизаторе настроено перенаправление портов на серверы, находящиеся в сегменте LAN, то добраться до них из этого же сегмента можно достаточно просто — указав внутренний IP-адрес сервера. Пользователи, находящиеся с другой стороны маршрутизатора — WAN, могут обратиться к серверу через внешний адрес маршрутизатора.
Функция «Loopback» позволяет пользователям, находящимся во внутреннем сегменте, обращаться к такому серверу по внешнему IP-ад-ресу маршрутизатора (или по имени, если оно задано). Такая возможность избавит пользователей, находящихся в одной локальной сети с сервером, от необходимости запоминать внутренние адреса, позволив обращаться к серверу точно так же, как всем остальным пользователям, находящимся снаружи маршрутизатора.
Контроль доступа, фильтрация портов (Access Control, Port filtering). В некоторых ситуациях необходимо ограничивать круг пользователей, имеющих доступ к сервисам Интернета: например, разрешить доступ только к электронной почте или только к web-страницам. Для этой цели почти у всех маршрутизаторов есть возможность ограничения доступа. Работает это следующим образом: задаются группы пользователей (на самом деле это группы IP-адресов). Затем для каждой группы указываются сервисы (используемые ими порты), которые разрешается использовать группе.
Различные модели маршрутизаторов позволяют реализовать различные уровни контроля, хотя обычно можно либо разрешить доступ только к указанной группе сервисов (номерам портов), или разрешить доступ ко всем, кроме указанной группы. Когда пользователь пытается использовать неразрешённую службу, например AOL Instant Messenger, она просто не будет работать. Это может показаться странным для пользователей, которые не были предупреждены о фильтрации. Поэтому многие модели маршрутизаторов в данном случае покажут сообщение о том, что доступ к этой службе закрыт.
Обычно маршрутизаторы позволяют задать четыре группы, возможное количество портов в группе различается. Некоторые модели позволяют одновременно указывать не только одиночные порты, но и их диапазоны, другие — только одиночные порты.
Большинство моделей позволяют только включить блокирование или отключить, однако некоторые поддерживают также блокирование портов по расписанию. Конечно, гибкость расписания не слишком велика, обычно она ограничивается одним периодом времени с указанием дней недели, в которые этот фильтр используется.
Ограничение/фильтрация содержания (Content Control, Content filtering). Данная функция предназначена для ограничения доступа пользователей локальной сети к ресурсам Интернета. Она схожа с такими программами, как Cybersitter, NetNanny, CyberPatrol и другими, но более ограничена в возможностях. Некоторые модели позволяют лишь указать URL или IP-адреса и запретить или разрешить доступ только к ним. Другие поддерживают использование списков фильтрации и позволяют использовать такие списки от третьих фирм. Некоторые модели также позволяют настроить и этот фильтр на работу по расписанию.
VPN (Virtual Private Networking). С постоянным ростом внимания к безопасности компьютерных сетей, возможность поддержки VPN становится все более актуальной, особенно это касается тех, кому необходимо подключаться к сети офиса из дома или из гостиницы в случае командировки. Многие организации позволяют подключаться к своей сети лишь с использованием технологий VPN. Производители маршрутизаторов ответили на спрос решений для VPN поддержкой их в своих устройствах. Возможности туннелирования в маршрутизаторах сильно различаются от модели к модели, поэтому необходимо заранее знать, поддержка какого типа туннелей вам необходима.
Протоколы (Protocols). Два наиболее часто используемых протокола для создания VPN — это PPTP и IPsec. PPTP (поддерживается компанией Microsoft) поддерживается в маршрутизаторах наиболее часто, хотя сегодня большинство моделей также поддерживают и IPsec. Третий протокол, L2TP, распространён не так широко, поэтому если ваше подключение VPN использует именно этот протокол, то убедитесь в его должной поддержке маршрутизатором.
Прохождение (Pass-Thru). Простейшая форма поддержки VPN — это обеспечение сквозного прохождения туннелей через маршрутизатор. Маршрутизатор, поддерживающий этот режим, пропускает через себя инкапсулированные пакеты данных, не просматривая их содержимое. Остаётся только настроить соответствующее клиентское ПО на компьютерах во внутреннем сегменте, чтобы клиенты из локальной сети могли свободно подключаться к серверу VPN снаружи. Большинство производителей заявляют, что их модели поддерживают прохождение туннелей VPN, однако на самом деле ситуация может оказаться обратной. Иногда проблемы заключаются в ошибках прошивки маршрутизатора, иногда они связаны с невозможностью работы протокола VPN через маршрутизаторы NAT.
Совет: через маршрутизаторы NAT не могут работать подключения VPN, использующие аутентификацию заголовков IPsec (IPsec Header Authentication) или пакеты IPsec с неинкапсулированным шифрованием FMZ.
Также маршрутизаторы различаются по количеству пропускаемых туннелей. Это не так критично для одиночных пользователей, но может играть важную роль для небольших организаций, использующих соединения между несколькими офисами. Одни модели могут поддерживать прохождение только одного туннеля в один момент времени, другие могут пропускать сразу несколько. Третьи могут пропускать несколько туннелей только в том случае, если они направлены на один сервер VPN. То есть два сотрудника из одного офиса не смогут установить подключение к двум различным удалённым VPN-серверам.
