Межсетевой экран Cisco PIX 506E

03/05/2004

Межсетевой экран Private Internet Exchange (PIX) компании Cisco привносит новый уровень безопасности корпоративных сетей в сочетании с простотой использования. PIX может полностью скрыть Вашу внутреннюю сеть от внешнего мира, обеспечивая полную безопасность. В отличие от типичных серверов - "посредников" (proxy), которые выполняют обработку каждого сетевого пакета в отдельности, существенно загружая при этом центральный процессор, PIX использует специальную, не UNIX-подобную, операционную систему реального времени, обеспечивая большую производительность.

Основой высокой производительности межсетевого экрана PIX является схема защиты, базирующаяся на алгоритме адаптивной безопасности (adaptive security algorithm - ASA), который эффективно скрывает адреса пользователей от хакеров. Устойчивый, ориентированный на соединения алгоритм адаптивной безопасности обеспечивает безопасность для соединений базируясь на адресах отправителя и получателя, последовательности нумерации пакетов TCP, номерах портов и добавочных флагах TCP. Эта информация сохраняется в таблице, и все входящие пакеты сравниваются с записями в этой таблице. Доступ через PIX разрешен только в том случае, если соответствующее соединение успешно прошло идентификацию. Этот метод обеспечивает прозрачный доступ для внутренних пользователей и авторизованных внешних пользователей, при этом полностью защищая внутреннюю сеть от несанкционированного доступа.

Cisco PIX также обеспечивает существенное преимущество в производительности по сравнению с межсетевыми экранами-"посредниками" (proxy) на базе ОС UNIX за счет технологии "сквозного посредника" (Cut-Through Proxy). Как и обычные серверы - "посредники" PIX контролирует установление соединения на прикладном уровне. После того, как пользователь был успешно идентифицирован в соответствии с политикой обеспечения безопасности, PIX обеспечивает контроль потока данных между абонентами на уровне сессии. Такая технология позволяет межсетевому экрану PIX работать значительно быстрее, чем обычные межсетевые экраны - "посредники".

В добавление к высокой производительности, встроенная операционная система реального времени также увеличивает уровень безопасности. В отличие от ОС UNIX, исходный текст которых широко доступен, Cisco PIX - выделенная система, специально разработанная для обеспечения безопасности.

Для повышения надежности, межсетевой экран PIX может быть установлен со специальными опциями обеспечения горячего резервирования, за счет чего предотвращается наличие единой точки возможного сбоя в Вашей сети. Если два межсетевых экрана PIX установлены и работают в параллельном режиме и один из них выходит из строя, то в этом случае второй PIX будет в прозрачном режиме выполнять все функции по обеспечению безопасности.

Высокая производительность

Межсетевой экран Cisco PIX поддерживает более 256 тысяч одновременных соединений и, соответственно, обеспечивает поддержку сотен и тысяч пользователей без уменьшения производительности. Полностью загруженный межсетевой экран PIX обеспечивает пропускную способность до 170 Мб/сек. Такая пропускная способность существенно превосходит любой межсетевой экран, базирующийся на ОС UNIX или ОС Microsoft Windows NT.

Простота использования обеспечивает низкую стоимость использования и сопровождения

Пользователи, не имеющие специальной подготовки, могут настроить PIX менее чем за 5 минут. Для упрощения дальнейшей настройки межсетевой экран PIX включает в комплект простую в использовании графическую оболочку Security Manager.

Решение проблем нехватки адресов IP

Межсетевой экран Cisco PIX также прелагает возможности для расширения и изменения сетей IP без столкновения с проблемой нехватки адресов IP. Технология трансляции сетевых адресов Network Address Translation (NAT) делает возможным использование как существующих адресов, так и резервных пространств адресов для частных сетей. PIX также может быть настроен для совместного использования транслируемых и не транслируемых адресов, позволяя использовать как адресное пространство для частных сетей IP, так и зарегистрированные адреса IP.

Основные возможности

Строгая, ориентированная на соединения система безопасности, предотвращает доступ неавторизованных пользователей к ресурсам внутренней сети
Технология сквозного "посредника" позволяет как входящие, так и исходящие соединения, базируясь на таких протоколах безопасности, как Terminal Access Controller Access Control System (TACACS)+ или Remote Access Dial-In User Service (RADIUS)
До шести сетевых интерфейса для расширенной политики защиты
Графический интерфейс администратора Security Manager предназначен для настройки до 100 межсетевых экранов PIX с единой консоли
Динамическая и статическая трансляции адресов
Поддержка Простого Протокола Сетевого Управление (Simple Network Management Protocol - SNMP)
Учетная информация с использованием ведения журнала системных событий (syslog)
Прозрачная поддержка всех основных сетевых сервисов, таких как World Wide Web (WWW), File Transfer Protocol (FTP), Telnet, Archie, Gopher
Поддержка приложений мультимедиа, включая Progressive Networks RealAudio & ReadVideo, Xing StreamWorks, White Pines CU-SeeMe, Vocal Tec Internet Phone, VDOnet VDOLive, Microsoft NetShow и VXtreme Web Theater
Безопасная встроенная система реального времени
Нет необходимости обновления ПО рабочих станций и маршрутизаторов
Полный доступ к ресурсам сети Интернет для незарегистрированных пользователей внутренней сети
Совместимость с маршрутизаторами, базирующимися на ПО Cisco IOSTM
Поддержка видеоконференций, использующих протокол H.323, включая Microsoft NetMeeting, Intel Internet Video Phone и White Pine Meeting Point
Несколько возможных комплектов программного и аппаратного обеспечения
Средства централизованного администрирования
Информирование с использованием пейджера или электронной почты
Поддержка интерфейсов Ethernet, Fast Ethernet, Token Ring и FDDI
Поддержка виртуальных частных сетей (Virtual Private Network) с использованием стандартной технологии IPSec
Высокая производительность
Интеграция с другими решениями компании Cisco, такими как сервер идентификации CiscoSecure