Solution for Your Systems

Dijital sertifikaları tanımlamak için yaygın olarak kullanılan bir standart. X.509 (versiyon 1) ilk olarak ITU X.500 Dizin Servisleri standartının bir parçası olarak 1988’de ortaya çıktı.1993’de tekrardan gözden geçirildiğinde, Versiyon 2 ile sonuçlanan iki tane daha alan eklendi. Bu ek iki alan dizin erişimi kontrolünü desteklemektedir. X.509 versiyon 3, sertifika sahibi ve sertifikanın ne amaçla kullanılacağına dair ek bilgileri saklamaya yarayan sertifika uzantıları için formatı belirler.

Toplu olarak, versiyon numarası belirtilmediği sürece X.509 terimi en son yayınlanmış versiyonu ima eder.

X.509, herkese açık anahtar sertifikaları ve sertifika geçerliliği için standart bir sertifika formatı tanımlayan ITU tavsiyesi ITU-T X.509(daha önceden CCITT X.509) ve ISO/IEC/ITU 9594-8 olarak yayınlanır.

Tarih ve başlıklardaki ufak farklılıklar ile, bu yayınlar, açık-anahtar ve nitelik sertifikalarının tanımlamalarında aynı metini(text) sağlar.

 X.509 Tarihi

X.509, X.500 standartı ile işbirliğine 1988’de başladı ve sertifikaları dağıtmak için sertifika otoritelerinin hiyerarşik bir sistemini varsaydı. Bu, herhangi birinin imzalayabildiği ve böylelikle diğerlerinin özel ve açık anahtar sertifikalarının geçerliliğini tasdik ettiği mevcut web güven modellerine(PGP gibi) oldukça tersti. 1993’de, X.509’ın ek iki alan daha içeren(destek ve dizin erişim kontrolü) geliştirilmiş bir versiyonu (versiyon 2) tanıtıldı. X.509 versiyon 3, diğer topolojiler(örgüler ve köprüler gibi) ile uyumluluğu ve ancak 2006’dan itibaren kullanılmaya başlamasına rağmen peer-to-peer (OpenPGP benzeri güvenilir Web ortamı) içinde kullanım seçeneğini ekledi.

Bu günlerde X.509 ismi genel olarak, IETF’nin PKI sertifikasını ve X.509 versiyon 3 sertifikası standartlarının(RFC 3280 tanımlamalarının içinde verilen) CRL profilini ima eder.

Sertifikanın içinde …

Bir X.509 sisteminin içinde, Sertifikasyon otoritesi, bir açık anahtar tutturulmuş sertifikayı X.500 geleneğinin içinde eşsiz olan bir isme veya alternatif bir DNS kayıdına veya Email adresine çıkarır. Bir sertifika veya sertifikasyon otoritesinin güvenirliği sırasıyla X.509 sertifikasyon zincir modelinin bir parçası olan kök sertifikasına bağlıdır. Kök sertifikaları tamamen güvenilirdir ve kök sertifikalarının önceden kurulu geldiği yazılımlar için en iyi örnek yaygın web browser’ların kendisidir.

X.509 sistemi aynı zamanda CRL(Certification Revocation List) uygulamaları(genellikle çoğu PKI sisteminde ihmal edilmiş) için yöntem de içerir.

Sertifika Yapısı

Bir X.509 versiyon3 dijital sertifikası 3 ana değişkene sahiptir; Sertifika, sertifika imzalama algoritması ve sertifika imzası. Sertifika, versiyon, algoritma ID, seri numarası, dağıtıcı, konu, geçerlilik, konu açık anahtar bilgisi, uzantılar ve konu ve dağıtıcı eşsiz tanımlayıcısı gibi diğer bazı seçenekler gibi nitelikler ile tarif edilir. Sertifikanın yaşam süresine karar veren geçerlilik niteliği, alt ve üst tarih limiti için daha fazla seçenekler ile gelirken, konu açık anahtar bilgisi niteliği, açık anahtar algoritması ve konu açık anahtarı ile daha fazla detaylandırılmıştır.

Yazar ceyhun çamlı \\ tags: x.509

RPC (Remote Procedure Call), bir bilgisayar programının, bir alt-yazılım veya yordamı başka bir adres uzayında (genellikle bir paylaşılmış ağ üzerindeki başka bir bilgisayarda) programcının açıkca bu uzaktan etkileşimin detaylarını kodlamamasına rağmen çalıştırmasını sağlayan bir teknolojidir. Şöyle ki, programcı aslında programı çalıştıran altyordamın yerel mi yoksa uzak mı olduğuna bakmaksızın aynı kodu yazacaktır. Söz konusu olan yazılım nesneye dayalı(object oriented) prensipleri kullanılarak yazıldığı zaman belki RPC ye uzaktan yürütme (remote invocation) veya uzaktan method yütürme olarak başvurulur.
Bu işi başarmak için genel olarak kullanılan çoğu kez birbiriyle uyuşmayan birçok farklı teknoloji vardır, ONC RPC ve DCE/RPC gibi.

Tarih ve köken
RPC fikri , en azından RFC 707’de tanımlandığı tarih olan 1976’a kadar geriye gider.
RPC nin ilk iş amaçlı kullanımlarından biri Xerox tarafından “Courier” ismi altında 1981’de gerçekleştirildi. RPC’nin Unix üzerindeki ilk popüler uygulaması Sun’nın RPC (şimdi ONC RPC olarak adlandırılıyor)’siydi, Sun’ın NFS’si için temel olarak kullanıldı. ONC RPC halen birkaç platform üzerinde kullanılıyor.
Diğer bir eski Unix uygulaması da Apollo Computer’in Network Computing System(NCS)’i idi. NCS daha sonra OSF’nin DCE (Distributed Computing Enviroment)’sindeki DCE/RPC’nin altyapısı olarak kullanıldı. On yıl sonra Microsoft DCE/RPC’yi Microsoft RPC (MSRPC) mekanizmasının temeli olarak kabul etti ve onun üzerine DCOM uyguladı. O zamanlarda (90’ların ortaları), Xerox PARC’ın ILU’su ve Object Management Group’un CORBA’sı bir kalıtım (inheritance) mekanizması ile dağıtılmış nesneler tabanlı başka bir RPC örneği sundu.

Mesaj geçişi
RPC dağıtılmış hesaplama’nın istemci/sunucu modelini uygulamak için açık ve popüler bir örnektir. Bir RPC, istemci tarafından, bilinen bir uzak sunucuya belirli bir işlemi verilen parametreleri kullanarak çalıştırmak için bir istek mesajı göndererek başlatılır. İşlemiyle birlikte devam eden uygulamanın bulunduğu istemciye bir cevap geri döner. Çeşitli uygulamalarda farklı (uyumsuz) RPC protokolleri ile sonuçlanan birçok varyasyonlar ve incelikler vardır. Sunucu çağrıyı işlerken istemci engellenir.
Uzak işlem çağrıları ile yerel işlem çağrıları arasındaki önemli bir fark da uzak çağrıların önceden tahmin edilemeyen ağ sorunları yüzünden başarısız olabilmesi. Aynı zamanda, çağıran kişiler(callers) genel olarak, uzak işlemin gerçekten çağrılıp çağrılmadığını bilmeden bu tip hatalarla uğraşması gerekir. Denkgüçlü (Idempotent) işlemlerle (bir kereden fazla çağrıldığında herhangi bir ek etkisi olmayan) kolayca başa çıkılır, fakat dikkatli yazılmış düşük-seviye altsisteme hapsedilmiş uzak işlemleri çağıran kodda hala yeterince zorluklar vardır.

Standart irtibat mekanizmaları
Sunucuların farklı istemciler tarafından erişilmesine izin vermek için, bazı standartlaştırılmış RPC sistemleri yaratıldı. Bunların çoğu değişik platformların RPC’yi çağırmasına izin vermek için bir IDL (Interface Description Language) kullanır.
IDL dosyaları daha sonra istemci ile sunucu arasında arayüz oluşturması için kod üretimde  kullanılabilir. Bunun için en çok kullanılan araç RPCGEN dir.

Yazar ceyhun çamlı \\ tags: RPC

Bilgisayar kullanımında, SAN (Storage area network), uzak bilgisayar depolama aygıtlarını (disk dizileri, teyp kütüphaneleri ve optik jukeboxlar gibi) sunuculara bağlayan bir mimaridir. Aygıtlar yerel olarak bağlanmış gözükür. Maliyet ve karmaşıklık düşüyor olmasına rağmen, 2007 itibariyle, SAN lar hala büyük kuruluşlar dışında yaygınlaşamamıştır.

SAN’ın tersine, NAS (Network attached storage) NFS veya SMB/CIFS gibi dosya tabanlı protokoller kullanır, bu sistemde depolamanın uzakta olduğu açıktır ve bilgisayarlar bir disk bloğu yerine bir soyut dosyanın bir parçasını talep eder.

 Ağ tipleri

 Çoğu depolama ağları, sunucu ile disk sürücüsü arasındaki iletişim için SCSI protokolünü kullanır. Fakat, bus topolojisi ağlamaya uygun olmayan SCSI düşük-seviye fiziksel arayüzü kullanmazlar (kablolar gibi). Bir ağ yapısına sokmak için, eşleştirilmiş katman diğer düşük seviye protokollere uygulanır :

FCP (Fibre Channel Protocol), SCSI yi fiber kanal üzerinden eşleştirir. Şu anda en çok kullanılanları 1 Gbit/s, 2 Gbit/s, 4 Gbit/s, 8 Gbit/s, 10 Gbit/s biçimleriyle gelir.

iSCSI, SCSI’yi TCP/IP üzerinden eşleştirir.

HyperSCSI, SCSI’yi Ethernet üzerinden eşleştirir.

FICON, fiber kanallar üzerinden eşleştirir (mainframe bilgisayarlar tarafından kullanılır)

ATA over ethernet, Ethernet üzerinden ATA’yı eşleştirir.

InfiniBand(IB) üzerinden SCSI ve/veya TCP/IP eşleştirmek.

 Depolama paylaşımı

SAN pazarı için itici güç yüksek hız ve hard disklere block-level erişim gerektiren(email sunuculardan, veritabanlarından ve çok kullanılan dosya sunucularından gelen veriler gibi)  yüksek miktarda cevap gerektiren verilerin hızlı artışıdır.

Tarihsel olarak, kurumlar önce yüksek performanslı SCSI disk dizileri “adaları” nı yaratıyorlardı. Her ada farklı bir uygulamaya tahsis edilmişti, ve bir takım “sanal hard diskler”(veya LUN lar) olarak görünüyorlardı.

SAN aslında bu depolama adalarını yüksek hızlı bir ağ kullarak birbirine bağlar.

 Faydaları

Depolama paylaşımı genel olarak depolama yönetimini kolaylaştırır ve depolamayı bir sunucudan diğerine taşımak için kablolar ve depolama aygıtları fiziksel olarak taşınmak zorunda olmadığı için daha fazla esneklik sağlar.

Diğer faydaları sunucuların kendini SAN ‘dan boot etme yeteneğini içerir. SAN tekrar ayarlanabildiği için, bu, arızalı sunucuların çabuk ve kolay birşekilde değişimini sağlar, öyleki, bir değiştirilmiş sunucu arızalı sunucunun LUN’unu kullanabilir.

Bu işlem yarım saat kadar kısa bir süre alır ve göreceli olarak daha yeni veri merkezlerinde öncülük eden yeni bir fikirdir. Bu işlemi daha da kolaylaştırmak ve hızlandırmak için dizayn edilmiş birçok çıkan ürün vardır. Mesela, Brocade, sunucuların otomatik olarak SAN dan boot etmesini sağlayan(tipik durumda yükleme zamanları dakikalarla ölçülür) bir “Uygulama Kaynak Yöneticisi” ürününü sunar. Bu alandaki teknoloji hala yeni olmasına rağmen, birçok görüş onun kurum verimerkezinin geleceği olacağı yönünde.

 SAN Altyapısı

SANlar genellikle Fiber Kanal yapı topolojisinden(depolamaların iletişimlerini idare etmek için özel olarak tasarlanmış bir altyapı)  faydalanır. NAS ‘da kullanılan yüksek seviye protokollerden daha hızlı ve daha güvenilir erişim sağlar. Bir yapı(fabric), yerel ağdaki bir ağ parçasına benzer. Tipik bir Fiber Kanal SAN yapı birçok Fiber Kanal anahtarlarından oluşur.

Bugün, en büyük SAN ekipmanları üreticileri aynı zamanda Fiber Kanal yönlendirme çözümlerinin bazı şekillerini de sunar ve bunlar, farklı yapıları(fabrics) birbirleriyle birleştirmeden aralarında data geçişini sağlayarak SAN mimarisine önemli miktarda ölçeklenebilirlik faydaları getirir. Bu sunulan şeyler tescilli protokol elementlerini kullanır, ve geliştirilen üst seviye mimariler temelinden farklıdırlar. Onlar çoğu kez IP üzerinden veya SONET/SDH üzerinden Fiber Kanal trafiğinin eşleştirilmesini mümkün kılar.

 HP Depolama Ağı

Depolama alan ağları (SAN) konusunda bir dünya lideri olarak, HP StorageWorks sizin uyarlanabilir altyapınızı etkinleştirmek için esnek, açık, standartlar tabanlı depolama altyapı çözümleri sunar.

HP’nin kapsamlı SAN ürünleri ve çözümleri portföyü, küçük ve orta ölçekli işletmelerden en büyük anonim şirketlerine kadar geniş bir alanda depolama ağı ihtiyaçlarını karşılamak için tasarlanır. HP depolama ağı çözümleri ölçeklenebilirlik, performans ve kritik veri ve uygulamalar için gerekli geniş bir birlikte çalışma yeteneği sunar.

Yazar ceyhun çamlı \\ tags: SAN

Yeni Versiyon IP (IPv6)IP version 6 (IPv6), IP versiyon 4 (IPv4)’ün yerine geçmek üzere tasarlanmış yeni bir IP protokolüdür. Mevcut (IP v4) IP sistemi üzerine çok sayıda RFC ile geliştirilmiş ve bugün artık standart ve IPv4 uyumlu olarak kullanılır hale gelmiştir.

IPv6 bize ne sağlıyor?

• Daha geniş bir adres uzayı.
• Basit header formatı ve etkin paketleme.
• Otomatik konfigürasyon.
• NAT (network address translation)a daha az gereksinim duyulması.
• Yerleşik güvenlik.
• Mobile IP ve Mobile aygıtlara destek.
• Global olarak erişilmesi zor ve daha geniş bir adres uzayı.

IPv4 ile karşılaştırıldığında, 32 bit olan IPv4 adresleri dört kat artırılarak 32 bitten 128 bite çıkarılmış ve 128 bitlik adres sayısı ile yaklaşık 3.4×10 üzeri 38 adreslenebilir nokta sağlanmaktadır. 3.4*1038 = 340,282,366,920,938,463,463,374,607,431,768,211,456 adres.

Basit header formatı ve etkin paket işleme: IPv6 Header formatına göre IPv4 header formatı daha basit yapıdadır. Temel IPv4 header boyutu yalnızca 20 oktetten (sekizli) oluşur.

IPv6 header ise sabit olarak 40 oktettir. Bu arada IP v4 başlığının 12 alanından 6′sı IPv6′da artık yer almamaktadır. Bazı IPv4 alanlarının ise adı değiştirilmiştir.

IPv4 başlığında yer alan Header Length (IHL), Identification, Flags, Fragment Offset, Header Checksum ve Padding alanları IPv6 başlığından kaldırılmıştır. Bunların kaldırılması IPv6′nın daha kolay işlenmesini (yönlendirilmesini) sağlamıştır.

Otomatik konfigürasyon: Adreslerin otomatik konfigürasyonu özelliği IPv6 protokolü içinde yerleşik olarak yer alır. Bu düzenleme intranet üzerindeki (şirket networklerinde) adres yönetimini kolaylaştırır. Bu özellik sayesinde çok sayıda IP hostu networkü keşfeder ve yeni (benzersiz) bir IPv6 adresini alır; ardından host, otomatik konfigürasyon ile kendi 48-bit data link katmanı adresini (MAC address) extended universal identifier formatında (EUI-64-bit) elde eder.

NAT (network address translation)a duyulan gereksinimi minimize eder: IPv6 ile adres sayısının artması NAT uygulamalarında sağlanan çok sayıda adresin tek bir IP adresine dönüştürülmesi gereksinimini ortadan kaldırır. NAT kullanımının azaltılması doğal olarak NAT ile oluşan sorunları da ortadan kaldırır.IPSec kurulumu için yerleşik güvenlik: IPv4de IPSec kullanımı seçimlik olmasına karşın, IPv6da zorunludur. IPSec, IPv6 protokol takımının bir parçasıdır. IPv6 security ek başlığı ile encryption, authentication ve virtual private networks (VPN) kullanımı kolaylaşır.

Mobile IP ve Mobile aygıtlara destek: Herhangi bir IPv6 noktası, gerektiğinde mobil olarak kullanılabilir. Mobile IP bir IETF standardıdır ve aygıtların bağlantılarını koparmadan gezmesini sağlar. IPv4 de mobility özellikleri eklenebilmesine karşın, IPv6 dört yeni destination (hedef) seçeneklerine sahiptir:

• binding update option,
• binding acknowledgement option,
• binding request option
• home address option.

IPv6 Adres Formatı

IPv6, 128 bitlik adres bilgisi için iki nokta : ile ayrılmış 16-bit hexadecimal sayı alanları kullanır. Hexadecimal sayılar case-sensitive değildir. Adresleri daha kısa yapmak için adreslerin belirtilmesinde desimal (0-9) onlu rakamlar yerine hexadecimal rakamlar (0-9-a,b,c,d,e,f) kullanılmıştır. Böylece daha az karakter kullanılarak daha büyük adres değerlerini belirtmek mümkündür.

IPv6 formatı:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx

Her bir xxxx 16-bit hexadesimal değerdir. Her bir x, 4-bit hexadesimal değerdir.

Örnek: FE80:1234:FCAB:0020:0A10:10DE:FCFC:FCFC4FDE:0000:1111:0002:0022:FC76:FF3B:FC3FIPv6 adreslerini kısaltmak için şu kurallar uygulanır:

Baştaki sıfırlar kısaltılır:

Örneğin: 2031:0000:130F:0000:0000:09C0:876A:130B Adresi kısa formda şu şekilde yazılır:

2031:0:130F:0:0:9C0:876A:130B 0000 yerine: 0

Ard arda sıfır alanlarını iki : işareti ile temsil edin:

2031:0:130F:0:0:9C0:876A:130B FE80:0:FCAB:0:0:0ADE:FCFC:FCFC

Adresinin kısa şekli: 2031:0:130F::9C0:876A:130B FE80:0:FCAB::ADE:FCFC:FCFC

Diğer bir örnek: FF01:0:0:0:0:0:1 yerine FF01::1 FC:46006395610

IPv6 Adres Türleri

IPv4 adreslerinin kullanımıyla (bir noktaya atanması) IPv6 IP adresinin kullanımı arasında önemli farklar vardır. Bir IPv4 noktası (bilgisayarın network kartı) tipik olarak bir IP adresi kullanır. Buna karşın IPv6 noktaları (node) ise birden çok IP adresi kullanabilirler.

Üç ana türde IPv6 adresi vardır: 

• Unicast
• Anycast
• Multicast

Unicast adresler tek bir interface için tanımlanır. Bir unicast adrese gönderilen paket yalnızca o interface’e (port, network kartı, vb) gönderilir. Bu adresler IPv4′deki gibi unicast adreslere benzer.

Anycast adresler genellikle farklı noktalara ait olan bir dizi interface için kullanılan bir adrestir. Bir anycast adrese gönderilen bir paket routing protokolü tarafından tanımlanan en yakın interface’e gönderilir.

Multicast adresler ise genellikle farklı noktalara ait olan bir dizi interface için kullanılan bir adrestir. Bir multicast adrese gönderilen bir paket, multicast adres tarafından tanımlanan bütün interface’lere gönderilir. IPv6 Global Unicast Adresler IPv6 global unicast adresleri IPv4 global unicast adreslerine (public adresler) benzer.

Global unicast adresleri ISP’ler ve üst tarafından kullanılır. Global unicast adresler bir global routing prefix, bir subnet ID ve bir interface ID ile tanımlanır. 0

00 ile başlayan binary adreslerin dışında bütün global unicast adresler bir 64-bit bir interface ID’ye sahiptir. Global unicast adres ataması 001 (2000::/3) değeriyle başlar.

Örnek: 3FFE:2800:2:1344:00FC:0AFF:FEFC:1022IPv6

Site-Lokal Unicast Adres

Site-local unicast adresleri ise IPv4′te kullanılan 10.0.0.0/8, 172.16.0.0/16 ve 192.168.1.0/24 gibi private adreslere benzer.

Private adresler yalnızca belli bir domainde kullanılmak üzere tasarlanmıştır.

Bir site-local unicast adresi bir IPv6 unicast adrestir ve FEC0::/10 (1111 1110 11) prefix alanını kullanır ve EUI-64 formatlı interface ID ile subneti (16-bit Subnet ID alanı) belirtir.

Örnek: FEFC:0:FCAB:0:0:0ADE:FCFC:FCFC

IPv6 Link-Lokal Unicast Adres

Link-local unicast adresleri, bir IPv6 interface’i üzerinde otomatik olarak konfigüre edilen bir IPv6 unicast adrestir. Link-lokal adresleri FE80::/10 (1111 1110 10) prefixini alır ve EUI-64 formatlı bir interface ID kullanır.

Örnek: FEA0::0020:0A10:1020

IPv4-Compatible (Uyumlu) IPv6 Adresi

IPv4-uyumlu IPv6 adresleri IPv6 paketlerinin IPv4 yapısı üzerinde temsil etmeyi sağlar. IPv4-uyumlu IPv6 adresleri IPv4 adresi içine gömülü bir tür IPv6 unicast adresidir.IPv4-uyumlu IPv6 adresinin formatı 0:0:0:0:0:0:A.B.C.D ya da ::A.B.C.D şeklindedir. Format ::aaa.bbb.ccc.dddÖrnek: ::192.168.1.1.

IPv4-Mapped

IPv6 AdresIPv4-mapped IPv6 adresler ise IPv4 adres içine gömülü diğer bir tür IPv6 unicast adrestir. IPv4 mapped IPv6 adres düşük 32 bit içinde yer alır. Yüksek tarafta 80 bit 0 değerini alır. 81 ile 96 bitler ise 1 değerini alır.

Örnek: 192.168.1.2000:0:0:0:0:FFFF: 192.168.1.200Ya da ::FFFF:

192.168.1.200::FFFF:192.168.1.1

Network’e duyduğumuz gereksinimin sürekli şekil ve boyut değiştirmesi, yaygın olarak kullanılan TCP/IP protokolünün ve onun bir parçası olan IP adreslemesinin de değişmesini kaçınılmaz hele getirmektedir. Özellikle yeni işletim sistemleri IPv4 uyumluluğunu sürdürmekle birlikte IPv6 desteğiyle gelmektedir.

Yazar ceyhun çamlı \\ tags: Genel, ipv6

Internet gibi public network’lere erişim (bilgi alışverişi), kullanıcılara ve a şirketlere ait verilerin güvenliğini tehdit etmektedir. Internet’e bağlı olan kullanıcıların ve şirketlerin bu tehlikenin bilincince olmaları gerekir. İşte firewall’lar, kullanıcı ve şirketlerin verilerinin Internet gibi dış network’ler ya da iç network üzerinden gelen risklere karşı korumayı sağlar.
Bir firewall, donanım ya da yazılım olarak yapılandırılabilir. Her iki durumda da genellikle iç (internal) ve dış (external) olmak üzere iki interface (network arayüzü) vardır. Birisinin korunması, diğerinin de erişilir olması gerekir; Firewall, iki network (private network ile public network) arasında bir gateway olarak yapılandırılır ve üzerinde geçen trafiğin kontrolünü yapar.
Bir firewall Ne Yapar?
Bir firewall iki network arasındaki trafiği inceler. Firewall lar kaynak adresi, hedef adresi, port adresi ve kullanılan protokole göre filtreleme yapar. Diğer bir deyişle, belli bir pakete izin verir (allow) ya da engeller (deny).
Firewall’lar OSI katmanlarına göre; üçüncü ve daha üst katmanlarda çalışırlar. Üçüncü katman network katmanıdır. TCP/IP protokolünde Internet Protokol’ü katmanı olan bu katmanda paketler hedeflerine yönlendirilir. Bu katmanda firewall’lar paketlerin güvenilir olup olmadığını ve doğru kaynaktan gelip gelmediğini kontrol ederler. Bu işleme filtreleme (filtering) denir. Paket filtreleme paketin adresinin kontrol edilir, ancak paketin içeriğine bakılmaz. Daha üst katmanlarda çalışan Firewall’lar ise application katmanında da çalışır ve paketin içeriğini de kontrol eder.
Firewall Olarak ISA Server
Firewall şirket network ünü Internet ten korumak ya da şirket network’ünün belli bölümlerini korumak için kullanılır. Genellikle perimeter network’te (ayrı bir network segmenti) oluşturulan firewall ların ana amacı Internet gibi public bir network’ten şirket network üne erişimin engellenmesidir. Örneğin şirketin bir Web server’ı olabilir ve kullanıcılar Internet üzerinden bu server’a erişmek isterler. Firewall, trafiği yalnızca Internet Web server’a erişmek üzere kısıtlayabilir.
ISA Server, firewall fonksiyonu ile varsayım olarak bağlı olduğu network (iç network, perimeter network) ile Internet arasındaki trafiği bloklar. ISA Server network trafiğini bloklamak ya da izin vermek için üç tür filtreleme yapar: paket filtreleme, stateful filtreleme ve application-katmanı filtreleme.
Paket Filtreleme
Bir firewall’un ana görevi, izin verilmeyen network trafiğinin internal (iç) network’e girmesini engellemektir. Bu işlem öncelikle paket filtrelemeyle (packet filtering) sağlanır.
Paket filtreleme firewall’a gelen bütün paketlerin başlık bilgisinin incelenmesidir. Paket filtreleme yalnızca network ve transport katmanı başlıklarını inceler.
ISA Server, network interface’i üzerinden gelen paketin başlığını açar ve kaynak adresi, hedef adresi ve port numarası gibi bilgileri oluşturulan kurallara (rules) göre kontrol eder ve gerekli işlemi (allow ya da deny) yapar.
Statefull Filtreleme
Stateful filtreleme network paketlerinin yönlendirilmesi kararının daha ayrıntılı verilmesidir. ISA Server bu ayrıntılı incelemede (stateful inspection) Internet Protocol (IP) ve Transmission Control Protocol (TCP) başlığını inceleyerek paketin durumunu; daha önce işlediği paketlerle (TCP oturumu içinde) karşılaştırır. Örneğin kullanıcının başlattığı bir Web isteği trafiğinin yanıtı geldiğinde, ISA Server bu paketin aktif oturumun parçası olup olmadığını kontrol eder.
Uygulama Katmanı Filtreleme
ISA Server ayrıca uygulama katmanı (application-layer) filtreleme ile paketlerin yönlendirilmesi kararını verir. Application-layer filtreleme paketin içeriğini inceleyerek gönderilen verileri kontrol eder. HTTP trafiğinin kontrolü için kullanılan bir HTTP filtresi, HTTP isteğindeki komutları ve verileri inceler. Böylece Web server’ların doğru isteklere yanıt vermesi sağlanır.
Intrusion Detection
Intrusion detection network yapılan (girişimde bulunulan ya da gerçekleşen) atakların (saldırıların) belirlenmesidir. Bir intrusion (izinsiz giriş) yeterince erken anlaşılırsa önlenmesi de o kadar kolay olacaktır. Bu nedenle, izinsiz bir giriş algılandığında hemen gerekli uyarılar (alerts) verilmelidir.
Intrusion Detection’ın önemli olması, intrusion-detection sistemlerinin (IDS) geliştirilmesine neden olmuştur. IDS’ler network’ün ucuna (edge) yerleştirilir ve gelen ve giden bütün network trafiğini inceleyerek atakları belirlemeye çalışır. Bir IDS, genellikle tipik atakları bilir ve network’e yapılan bu atakları anlar. Birçok katmanda çalışan IDS’ler elde ettikleri bilgileri toplam olarak verebilir .

ISA Server ve Intrusion Detection
ISA Server intrusion-detection işlevi görür ve birçok (bilinen) atağı izler. Network katmanında ve application katmanı düzeyindeki izinsiz girişleri (intrusion) izyelen ISA Server, sistem yöneticilerinin gerekli önlemleri almasını sağlar.

Sonuç
Şirketlerde çok sayıda kullanıcının network’e erişmesi, Internet gibi public network’lere sürekli bağlı kalınması şirketlerin özel bilgilerinin güvenliğini tehdit eder. Bu nedenle şirket network’lerinin Internet gibi public network’lere bağlanmasında güvenliği sağlaması bakımından firewall’lar geliştirilmiştir.
Bir firewall iki network arasındaki trafiği inceler. Firewall’lar kaynak adresi, hedef adresi, port adresi ve kullanılan protokole göre filtreleme yapar. ISA Server, firewall fonksiyonu ile varsayım olarak bağlı olduğu network (iç network, perimeter network) ile Internet arasındaki trafiği bloklar. ISA Server network trafiğini bloklamak ya da izin vermek için üç tür filtreleme yapar: paket filtreleme, stateful filtreleme ve application-katmanı filtreleme. Paket filtreleme firewall’a gelen bütün paketlerin başlık bilgisinin incelenmesidir. Stateful filtreleme ise network paketlerinin yönlendirilmesi kararının daha ayrıntılı verilmesidir. ISA Server, Internet Protocol (IP) ve Transmission Control Protocol (TCP) başlığını inceleyerek paketin durumunu; daha önce işlenen paketlerle (TCP oturumu içinde) karşılaştırır. Application-layer filtrelemede paketin içeriğini incelenerek gönderilen verileri kontrol edilir.

Yazar ceyhun çamlı \\ tags: ISA Server