Правило 12

Источник: ргоху-серверы демилитаризованной зоны.

Получатель: любой, за исключением публичной IP-подсети (70.70.70.0/24).

Сервис: HTTP, HTTPS, FTP.

Журналирование: включено. Эта установка может быть изменена после полной реализации всей архитектуры, потому что правило будет создавать слишком много записей в журналах. Весь исходящий трафик к внешним Web-cepвeрам будет журналироваться.

Правило 13

Описание: правило разрешает внутренним пользователям получать доступ к внешним Web-серверам, определенным в политике компании. Это второе по частоте использования правило.

Источник: любой, за исключением публичной IP-подсети (70.70.70.0/24).

Получатель: внешние SMTP-серверы компании.

Правило 14

Источник: внешние SMTP-серверы компании.

Получатель: любой, за исключением публичной IP-подсети (70.70.70.0/24).

Сервис: SMTP.

Журналирование: включено, журналируются все входящие и исходящие SMTP-соединения.

Описание: 13-е и 14-е правила разрешает внешним SMTP-серверам принимать и отправлять электронную почту.

Правило 15

Источник: внешние DNS-серверы компании.

Получатель: DNS-серверы ISP1 и ISP2.

Сервис: DNS, TCP и UDP.

Журналирование: включено, журналируются все входящие и исходящие STMP-соединения.

Описание: правило позволяет разрешать внешние DNS-имена. TCP разрешен для того случая, когда DNS-ответ слишком большой для размещения в UDP-пaкете. Эта установка обеспечивает наиболее защищенный способ разрешения внешних DNS-имен, потому что требуется только доступ к четырем внешним DNS-серверам, которые принадлежат двум известным провайдерам.

Правило 16

Источник: сервер HP OpenView NNM.

Получатель: внутренние интерфейсы пограничных маршрутизаторов.

Сервис: SNMP-read, ICMP echo request (используется для Open View polling).

Правило 17

Источник: внутренние интерфейсы пограничных маршрутизаторов.

Получатель: сервер HP OpenView NNM.

Сервис: SNMP-trap, ICMP echo reply (используется для Open View polling).

Журналирование: выключено.

Описание: правило позволяет осуществлять мониторинг пограничных маршрутизаторов с помощью сервера HP OpenView NNM. Как уже было сказано выше, этот мониторинг является критически важным. Разрешен только доступ в режиме read-only; 16-е и 17-е правила используются редко, поэтому расположены именно здесь.

Правило 18

Источник: внутренние интерфейсы пограничных маршрутизаторов.

Получатель: сервер времени.

Сервис: NTP.

Журналирование: выключено.

Описание: правило разрешает пограничным маршрутизаторам синхронизировать время с сервером времени.

Правило 19

Источник: любой, за исключением публичной IP-подсети (70.70.70.0/24). Получатель: VPN-шлюз.

Правило 20

Источник: VPN-шлюз.

Получатель: любой, за исключением публичной IP-подсети (70.70.70.0/24).

Сервис: IPSec: IKE, ESP, TCP 7456 (Cisco IPSec tunneling over TCP).

Журналирование: включено (для журналирования всей активности, связанной с использованием VPN).

Описание: 19-е и 20-е правила разрешают удаленный доступ через VPN. Журналирование используется, хотя VPN-концентратор имеет свое собственное журналирование, потому что VPN-шлюз обеспечивает доступ во внутреннюю сеть компании, что очень важно. Публичные IP-адреса компании были исключены из списка для предупреждения попыток осуществить VPN-соединение из внутренней сети компании, VPN-соединение должно быть доступно только из Интернета.