Порядок обработки пакетов зависит от направления трафика.
Для С-Терра Шлюз и С-Терра Юнит.
В таблице ниже приведен порядок обработки пакетов для входящего и исходящего трафика.
Рисунок 1
Таблица 1
|
Входящий на интерфейс трафик |
Исходящий с интерфейса трафик |
|
Linux kernel: • подсистема QoS (traffic control): ограничение полосы пропускания (policing) и классификация трафика. |
Linux kernel: • Подсистема Routing: статическая и динамическая маршрутизация. • Подсистема Firewall (netfilter): Output Stateful Packet Inspection, Input Stateless Filtering. • Подсистема NAT (netfilter): Source NAT. |
|
ПО «С-Терра»: • Предварительная обработка пакетов: • Разделение пакетов по приоритетным очередям в зависимости от значения ToS-байта в пакете и значения «pq_tos_mask» утилиты drv_mgr для IPsec‑драйвера. • Подсистема межсетевого экранирования (Firewall): • Инспектирование входящего TCP, UDP, FTP трафика (INPUT Stateful Packet Inspection). • Проверка входящего трафика по спискам доступа (INPUT ACL). • Подсистема шифрования (IPsec): • Расшифрование (если пакеты зашифрованы). • Фильтрация трафика в рамках IPsec. • Подсистема QoS: классификация и маркирование входящего трафика. |
ПО «С-Терра»: • Предварительная обработка пакетов: • Разделение пакетов по приоритетным очередям в зависимости от значения ToS-байта в пакете и значения «pq_tos_mask» утилиты drv_mgr для IPsec‑драйвера. • Подсистема QoS: классификация и маркирование входящего трафика. • Подсистема шифрования (IPsec): • Фильтрация трафика в рамках IPsec. • Шифрование трафика (если требуется). • Подсистема межсетевого экранирования (Firewall). • Инспектирование исходящего TCP, UDP, FTP трафика (OUTPUT Stateful Packet Inspection). • Проверка исходящего трафика по спискам доступа (OUTPUT ACL). |
|
Linux kernel: • Подсистема NAT (netfilter): Destination NAT. • Подсистема Routing: статическая и динамическая маршрутизация. • Подсистема Firewall (netfilter): Input Stateful Packet Inspection, Input Stateless Filtering. |
Linux kernel: • Подсистема QoS (traffic control): ограничение полосы пропускания (shaping) и приоритизация трафика. |
Для С-Терра Шлюз DP
Для исходящего трафика порядок обработки следующий: маркирование, инкапсуляция, пакетная и контекстная фильтрация. Для входящего трафика – пакетная и контекстная фильтрация, декапсуляция, маркирование трафика.
Общий вид обработки трафика:
LAN – classification mark – ipsec filter – ipsec – filter – WAN