Axborot xavfsizligi

 
Nazorat savollari: 
1.
Tarmoqlararo ekran vositalari tushunchasi va uning vazifalari.
2.
Tarmoqlararo 
ekranlarning 
OSI 
modeli 
sathlari 
bo‘yicha 
turkumlanishi. 
3.
Trafiklarni filtrlash funksiyasining ishlashini tushuntirib bering. 
4.
Tarmoq adreslarini translyatsiyalash qanday amalga oshiriladi? 
5.
Tarmoqlararo ekranlarning vositachilik funksiyalarining mohiyati 
nimadan iborat? 
 
8.2. Tarmoqlararo ekranlarning asosiy komponentlari 
 
Tarmoqlararo ekranlar tarmoqlararo aloqa xavfsizligini OSI modelining turli 
sathlarida madadlaydi. Bunda etalon modelning turli sathlarida bajariladigan 
himoya funksiyalari bir-biridan jiddiy farqlanadi. Shu sababli, tarmoqlararo 
ekranlar kompleksini, har biri OSI modelining alohida sathiga mo‘ljallangan, 
bo‘linmaydigan ekranlar majmui ko‘rinishida tasavvur etish mumkin. 
Ekranlar kompleksi ko‘pincha etalon modelning tarmoq, seans, tatbiqiy 
sathlarida ishlaydi. Mos holda, quyidagi bo‘linmaydigan brandmauerlar farqlanadi 
(8.5-rasm). 
- ekranlovchi marshrutizator; 
- seans sathi shlyuzi (ekranlovchi transport); 
- tatbiqiy sath shlyuzi (ekranlovchi shlyuz). 
Tarmoqlarda ishlatiladigan protokollar (TCP/IP, SPX/IPX) OSI etalon 
modeliga batamom mos kelmaydi, shu sababli sanab o‘tilgan ekranlar xili 

---

217 
funksiyalarini amalga oshirishda etalon modelining qo‘shni sathlarini ham qamrab 
olishlari mumkin. Masalan, tatbiqiy ekran xabarlarning tashqi tarmoqqa 
uzatilishida ularni avtomatik tarzda shifrlashni, hamda qabul qilinuvchi 
kriptografik bekitilgan ma’lumotlarni avtomatik tarzda rasshifrovka qilishni 
amalga oshirishi mumkin. Bu holda, bunday ekran OSI modelining nafaqat tatbiqiy 
sathida, balki taqdimiy sathida ham ishlaydi. 
Seans sathi shlyuzi ishlashida OSI modelining transport va tarmoq sathlarini 
qamrab oladi. Ekranlovchi marshrutizator xabarlar paketini taxlillashda ularning 
nafaqat tarmoq, balki transport sathi sarlavhalarini ham tekshiradi.
Yuqorida keltirilgan tarmoqlararo ekranlarning xillari o‘zining afzalliklari va 
kamchiliklariga ega. Ishlatiladigan brandmauerlarning ko‘pchiligi yoki tatbiqiy 
shlyuzlar, yoki ekranlovchi marshrutizatorlar bo‘lib, tarmoqlararo aloqaning to‘liq 
xavfsizligini ta’minlamaydi. Ishonchli himoyani esa faqat har biri ekranlovchi 
marshrutizator, seans sathi shlyuzi, hamda tatbiqiy shlyuzni birlashtiruvchi 
tarmoqlararo ekranlarning kompleksi ta’minlaydi. 
Ekranlovchi marshrutizator
(screeningrouter) (paketli filtr (packetfilter) deb 
ham ataladi) xabarlar paketini filtrlashga atalgan va ichki va tashqi tarmoqlar 
orasida shaffof aloqani ta’minlaydi. U OSI modelining tarmoq sathida ishlaydi, 
ammo o‘zining ayrim funksiyalarini bajarishida etalon modelining transport sathini 
Tatbiqiy sath 
Taqdimiy sath 
Seans sathi 
Transport sathi 
Tarmoq sathi 
Kanal sathi 
Fizik sath 
Tatbiqiy sath 
Taqdimiy sath 
Seans sathi 
Transport sathi 
Tarmoq sathi 
Kanal sathi 
Fizik sath 
Tatbiqiy sath 
Seans sathi 
shlyuzi 
Ekranlaydigan 
marshrutizator 
8.5-rasm. OSI modelining alohida sathlarida ishlaydigan tarmoqlararo ekranlar turi

---

218 
ham qamrab olishi mumkin. 
Ma’lumotlarni o‘tkazish yoki brakka chiqarish xususidagi qaror filtrlashning 
berilgan qoidalariga binoan har bir paket uchun mustaqil qabul qilinadi. Qaror 
qabul qilishda tarmoq va transport sathlari paketlarining sarlavhalari taxlil etiladi 
(8.6-rasm). 
Har bir paketning IP- va TCP/UDP – sarlavhalarining taxlillanuvchi 
hoshiyalari sifatida quyidagilar ishlatilishi mumkin: 
- jo‘natuvchi adresi; 
- qabul qiluvchi adresi; 
- paket hili; 
- paketni fragmentlash bayrog‘i; 
- manba porti nomeri; 
- qabul qiluvchi port nomeri. 
Birinchi to‘rtta parametr paketning IP-sarlavhasiga, keyingilari esa TCP-
yoki UDP sarlavhasiga taalluqli. Jo‘natuvchi va qabul qiluvchi adreslari IP-
adreslar hisoblanadi. Bu adreslar paketlarni shakllantirishda to‘ldiriladi va uni 
tarmoq bo‘yicha uzatganda o‘zgarmaydi. 
Paket xili hoshiyasida tarmoq sathiga mos keluvchi ICMP protokol kodi 
yoki taxlillanuvchi IP-paket taalluqli bo‘lgan transport sathi protokolining (TCP 
yoki UDP) kodi bo‘ladi. 
Paketni fragmentlash bayrog‘i IP-paketlar fragmentlashining borligi yoki 
yo‘qligini aniqlaydi. Agar tahlillanuvchi paket uchun fragmentlash bayrog‘i 
o‘rnatilgan bo‘lsa, mazkur paket fragmentlangan IP-paketning qismpaketi 
Ochiq tashqi 
tarmoq 
Himoyalnadigan 
ichki tarmoq 
Ekranlaydigan
marshrutizator 
Paketlarni IP- va TCP- (UDP-, 
ICMP) sarlavhalari bo’yicha 
filtrlash 
8.6-rasm. Paketli filtrning ishlash sxemasi 

---

219 
hisoblanadi. 
Manba va qabul qiluvchi portlari nomerlari TCP yoki UDP drayver 
tomonidan har bir jo‘natiluvchi xabar paketlariga qo‘shiladi va jo‘natuvchi 
ilovasini, hamda ushbu paket atalgan ilovani bir ma’noda identifikasiyalaydi. 
Portlar nomerlari bo‘yicha filtrlash imkoniyati uchun yuqori sath protokollariga 
port nomerlarini ajratish bo‘yicha tarmoqda qabul qilingan kelishuvni bilish lozim. 
Har bir paket ishlanishida ekranlovchi marshrutizator berilgan qoidalar 
jadvalini, paketning to‘liq assotsiasiyasiga mos keluvchi qoidani topgunicha, 
ketma-ket ko‘rib chiqadi. Bu erda assotsiasiya deganda berilgan paket 
sarlavhalarida ko‘rsatilgan parametrlar majmui tushuniladi. Agar ekranlovchi 
marshrutizator jadvaldagi qoidalarning birortasiga ham mos kelmaydigan paketni 
olsa, u, xavfsizlik nuqtai nazaridan, uni yaroqsiz holga chiqaradi. 
Paketli filtrlar apparat va dasturiy amalga oshirilishi mumkin. Paketli filtr 
sifatida oddiy marshrutizator, hamda kiruvchi va chiquvchi paketlarni filtrlashga 
moslashtirilgan, serverda ishlovchi dasturdan foydalanish mumkin. Zamonaviy 
marshrutizatorlar har bir port bilan bir necha o‘nlab qoidalarni bog‘lashi va 
kirishda, ham chiqishda paketlarni filtrlashi mumkin. 
Paketli filtrlarning kamchiligi sifatida quyidagilarni ko‘rsatish mumkin. Ular 
xavfsizlikning yuqori darajasini ta’minlamaydi, chunki faqat paket sarlavhalarini 
tekshiradi va ko‘pgina kerakli funksiyalarni madadlamaydi. Bu funksiyalarga, 
masalan, oxirgi uzellarni autentifikatsiyalash, xabarlar paketlarini kriptografik 
bekitish, hamda ularning yaxlitligini va haqiqiyligini tekshirish kiradi. Paketli 
filtrlar dastlabki adreslarni almashtirib qo‘yish va xabarlar paketi tarkibini 
ruxsatsiz o‘zgartirish kabi keng tarqalgan tarmoq xujumlariga zaif hisoblanadilar. 
Bu xil brandmauerlarni "aldash" qiyin emas - filtrlashga ruxsat beruvchi qoidalarni 
qondiruvchi paket sarlavhalarini shakllantirish kifoya. 
Ammo, paketli filtrlarning amalga oshirilishining soddaligi, yuqori 
unumdorligi, dasturiy ilovalar uchun shaffofligi va narhining pastligi, ularning 
hamma erda tarqalishiga va tarmoq xavfsizligi tizimining majburiy elementi kabi 
ishlatilishiga imkon yaratdi. 

---

220