Linux Köprü Modunda Çalıştırılması Ve Güvenlik Duvarı İşlemleri

Linux Köprü Modunda Çalıştırılması Ve Güvenlik Duvarı İşlemleri
Güvenlik duvarlarının çıkış amacı gelen ve giden paketleri kontrol
altında tutabilmek ve dolayısıyla paket filtreleme yapmaktı. Ancak
gelişen ihtiyaçlar ile birlikte güvenlik duvarları birden fazla ağ
katmanı arasında yönlendirici cihazlar gibi konumlandırılmaya başlandı.
Böylece güvenlik duvarına gelen ve güvenlik duvarından giden paketlerin
kontrolünün dışında hedefi farklı ağ katmanlarındaki sistemler olan
paketler üzerinde kontrol yapılmaya başlandı. Günümüzde çalışan bir çok
güvenlik duvarı da bu mantığa göre çalışmaktadır.

Standart Güvenlik Duvarı Yapısı
Ağ geçidi olarak çalışan güvenlik duvarlarının farklı ağ katmanlarında
IP adresi olması gerektiğinden ağ geçidinin gizliliği soz konusu
olamaz. Varolan bir ağ yapısına güvenlik duvarı konumlandırılmak
istendiğinde ağ katmanlarının ayrılması ve en az iki ağ katmanı
oluşturulması gerekir. Adres yönlendirme gerekmeyen ağlarda güvenlik
duvarının ilgili ağ arayüzünde IP adresi olmadan çalıştırılabilmesi, bu
gibi güvenlik ve yapılandırma problemlerine çözüm getirmektedir.
Güvenlik duvarının bu şekilde çalıştırılmasına köprü modu da ( bridge
mode ) denmektedir.Ayrıca köprü modunda çalıştırılırken kullanıcılara
hissettirmeden trafik kontrolu yapılabilmektedir. Layer 7 paket
filtreleme ve IDS/IPS sistemler için ideal yapıdır.
Güvenlik duvarının köprü modunda çalışabilmesi için mac adresleri kullanılmaktadır. Bundan dolayı çalışma seviyesi Layer-2 dir.



Köprü modunda çalışan güvenlik duvarı
Linux sistemin köprü modunda çalıştırılabilmesi için bridge
(bridge.sf.net) projesi kullanılmaktadır. Standart linux çekirdeğinde
bridge desteği bulunmadığından çekirdeğe bu desteğin verilmesi gerekir.
Köprü Modunda Çalışırken MAC Adresleri
Ethernet çalışan yapılar ağ içerisinde haberleşme yaparken mac
adreslerini kullanmaktadır. Yukarıdaki yapıda güvenlik duvarı L-2
modunda çalıştığından normal şartlarda ağ arayüzleri arasında mac
adreslerinin geçişi söz konusu olmaz. Bu durumda Sunuculardan biri
yönlendiri cihaza ulraşmak istediğinde mac adresi bilinemediğinden
ulaşamayacaktır.
Güvenlik duvarında bu gibi problemleri engelleme amacıyla arp proxy
denen yapılar kullanılmaktadır. Arp proxy sayesinde ağ arayüzleri
birbirlerine gelen arp adreslerini karşılıklı olarak anons ederler.