Capitolo 456, diapositiva
Filtro IP: punti di intervento

Teoricamente, quando il firewall è un elaboratore completo, si può intervenire in tre punti differenti: nel transito dei pacchetti da un'interfaccia a un'altra, nei pacchetti in arrivo attraverso una data interfaccia e nei pacchetti in uscita.

                       Firewall
  filtro in : .-------------------------. : filtro in
   ingresso : | :          :          : | : ingresso
    - - - ->: | :          :          : | :<- - - -
--------------* :<- - -    :    - - ->: *-------------------
    - - - ->: | :          :          : | :<- - - -
            : | :          :          : | :
              `-------------------------'
                :          :          :
                :          :          :
              filtro     filtro     filtro
                in         in         in
              uscita    transito    uscita

I pacchetti intercettati possono essere trattati in modi differenti:

possono essere lasciati passare;
possono essere bloccati;
possono essere bloccati, inviando all'origine un messaggio di rifiuto attraverso un pacchetto ICMP;
possono essere semplicemente tenuti sotto controllo (contabilizzati).

A seconda dell'organizzazione logica del firewall, può darsi che l'intercettazione di un pacchetto in ingresso, implichi la stessa cosa sia per i pacchetti destinati al firewall, sia per i pacchetti che lo attraverserebbero per raggiungere altre destinazioni, oppure le due cose potrebbero essere distinte. Nello stesso modo potrebbe esserci una differenza di funzionamento nell'intercettazione in uscita. È evidente che, nel momento in cui si usa un certo tipo di firewall, deve essere chiarito in modo preciso il raggio di azione di ogni filtro.

Capitolo 456, diapositiva Filtro IP: punti di intervento

Capitolo 456, diapositiva
Filtro IP: punti di intervento