http://furry.livejournal.com/ ([identity profile] furry.livejournal.com) wrote in [personal profile] furrry 2008-11-09 09:26 am (UTC)

Ну если вкратце:
1)NAT-устройство (не stateful firewall с функциями NAT,а именно NAT устройство) имеет, как ты понимаешь, таблицу трансляций - что позволяет любому пакету, подпадающему под эту таблицу - пройти через NAT. Типичнейший случай security through obscurity.
2)Идея "NAT позволяет скрыть число хостов во внутренней сети" тоже не выдерживает никакой критики - см. например
http://www.lsv.ens-cachan.fr/Publis/PAPERS/PDF/Bur-nordsec07.pdf
(и более ранний - но, как ни удивительно, местами актуальный документ
http://safecomputing.umich.edu/tools/download/nat_security.pdf)
3)Ты можешь сколько угодно думать, что твоя Windows Vista сидит за PAT в полной безопасности, а она тем временем по умолчанию подняла себе IPv6 стек и воспользовалась Teredo (который enabled, but not active by default и активируется, когда появлется приложение, которое хочет его использовать), подцепившись к teredo.ipv6.microsoft.com. И что? Машинка имеет глобально маршрутизируемый публично доступный адрес.

Ну про то, что NAT ломает идею сквозной прозрачности и плохо дружит с многими протоколами - что снижает доступность, как компонент безопасности - я даже и говорить не буду.

В целом - рекомендую ознакомится с
http://tools.ietf.org/html/draft-gont-behave-nat-security-01

Post a comment in response:

This account has disabled anonymous posting.
If you don't have an account you can create one now.
HTML doesn't work in the subject.
More info about formatting