В Forefront TMG реализован механизм квот, с помощью которого устанавливаются ограничения на число подключений по протоколу TCP и иным протоколам, обрабатываемых службой межсетевого экрана Microsoft. Ограничения на число подключений применяются к запросам от внутренних клиентов, настроенных как клиенты SecureNAT, клиенты межсетевого экрана и клиенты веб-прокси в сценариях прокси-пересылки, и к запросам от внешних клиентов, обрабатываемым правилами веб-публикации и публикации серверов в сценариях обратного прокси. Этот механизм позволяет предотвращать Flood-атаки с определенных IP-адресов и помогает администраторам выявлять IP-адреса, создающие чрезмерный объем трафика, что может служить симптомом заражения вирусом-червем или иными вредоносными программами.

Политика ограничения на число подключений может быть настроена для изолированного сервера Forefront TMG или для их массива. Политика ограничения на число подключений включает следующие категории ограничений.

• Ограничения на число запросов на TCP-подключение и HTTP-запросов с одного IP-адреса, не включенного в список исключений для IP-адресов, в минуту.
  
  
• Ограничения на число одновременных подключений по протоколу транспортного уровня с одного IP-адреса, не включенного в список исключений для IP-адресов. Сюда относятся ограничения на число TCP-подключений, UDP-сеансов, а также ICMP и иных Raw-подключений.
  
  
• Пользовательские ограничения на число запросов на подключение и одновременных подключений по протоколу транспортного уровня с одного IP-адреса, включенного в список исключений для IP-адресов. В список исключений IP-адресов могут включаться опубликованные серверы, сцепленные прокси-серверы и устройства преобразования сетевых адресов (маршрутизаторы), которые требуют большего числа подключений, чем другие IP-адреса. Пользовательские ограничения применяются к TCP-подключениям, UDP-сеансам, а также к ICMP и иным Raw-подключениям.
  
  

  Важно.

  Злоумышленник может провести Flood-атаку с помощью поддельных IP-адресов, включенных в список исключений. Во избежание этой угрозы рекомендуется реализовывать политику IPsec между Forefront TMG и любым доверенным IP-адресом, включенным в список исключений IP-адресов. В соответствии с политикой IPsec трафик с этих IP-адресов должен проходить проверку подлинности, что позволяет эффективно блокировать поддельный трафик.

• Ограничение на общее число подключений по протоколам UDP, ICMP и иным протоколам Raw IP, которые могут быть установлены для отдельного правила публикации сервера или правила доступа за одну секунду.
  
  

При достижении предельного числа TCP-подключений для IP-адреса, установление новых подключений для этого адреса запрещено.

Ограничение на число UDP-подключений применяется к сеансам, а не к подключениям. При достижении предельного числа UDP-подключений для IP-адреса попытка открыть еще один UDP-сеанс с этого IP-адреса приведет к тому, что UDP-сеанс, который был открыт с этого адреса раньше всего, закроется, и будет установлен новый сеанс.

При достижении ограничения на число подключений для одного правила за текущую секунду для трафика, с которым не связаны подключения, новые подключения создаваться не будут. Пакеты будут отбрасываться, а Forefront TMG сгенерирует событие, которое может привести к срабатыванию оповещения «Превышено ограничение на число подключений для правила». По истечении секунды счетчик сбрасывается, и в течение следующей секунды могут создаваться новые подключения до тех пор, пока снова не будет достигнуто максимальное значение.

Для ограничений на число подключений учитываются только попытки подключения, разрешенные политикой межсетевого экрана. В Forefront TMG используется специальный счетчик для подсчета попыток подключения, запрещенных политикой межсетевого экрана, по каждому IP-адресу . Если превышено число отклоненных TCP и не TCP-пакетов с одного IP-адреса в минуту, генерируется событие, которое может привести к срабатыванию оповещения «Превышено ограничение числа отклоненных подключений с одного IP-адреса в минуту». По истечении минуты счетчик сбрасывается, и событие генерируется снова при повторном достижении установленного предела. Однако по умолчанию повторное срабатывание оповещения не происходит до тех пор, пока оно не будет сброшено.

Дополнительные ограничения на число подключений для трафика, обрабатываемого фильтром веб-прокси, могут быть настроены в свойствах каждого веб-прослушивателя любой сети, из которой возможна отправка исходящих веб-запросов.

При задании ограничения на число подключений для веб-прослушивателя, указывается максимальное разрешенное число подключений к веб-узлам, опубликованным с помощью данного веб-прослушивателя. Веб-прослушиватели используются в правилах веб-публикации. Допускается использование одного веб-прослушивателя в нескольких правилах.

При задании ограничения на число подключений в свойствах веб-прокси определенной сети, указывается максимальное разрешенное число одновременных исходящих веб-подключений из сети через порт 80 в любой момент времени.

Кроме предотвращения Flood-атак и распространения вирусов-червей, можно также ограничить число максимально возможных одновременных подключений веб-прокси к компьютеру Forefront TMG. Это позволяет предотвращать атаки, злоупотребляющие ресурсами системы, и особенно полезно при публикации веб-серверов. Можно ограничить число подключенных компьютеров, разрешив некоторым клиентам подключение даже в том случае, если это ограничение достигнуто.

Чтобы продемонстрировать возможности ограничений на число подключений по предотвращению атак, рассмотрим ситуацию, в которой несколько компьютеров в сети предприятия заражены вирусом-червем и пытаются распространить его по всей сети. Каждый зараженный узел с большой скоростью рассылает огромное число TCP-запросов на подключение по определенному порту к различным случайным IP-адресам, пытаясь обнаружить другие уязвимые для заражения компьютеры.

Поскольку Forefront TMG отслеживает допустимую частоту подключений для каждого IP-адреса источника, он выдаст оповещения о тех из них, которые относятся к зараженным узлам. Если узел превысит определенное в конфигурации ограничение на число TCP-подключений в минуту, будет выдано оповещение. С этого момента Forefront TMG ограничивает трафик со всех атакующих узлов до истечения текущей минуты. По прошествии минуты счетчики для каждого IP-адреса сбрасываются, и обмен данными с ними возобновляется. Если ограничение на число подключений превышено еще раз и оповещение сброшено вручную, оно выдается снова, и трафик опять блокируется.

При срабатывании оповещения учитываются только попытки подключения, разрешенные политикой межсетевого экрана. Если попытка подключения запрещена политикой межсетевого экрана, Forefront TMG учитывает ошибочные подключения отдельно.

Встроенный механизм ведения журнала Forefront TMG ограничивает системные ресурсы при регистрации трафика, создаваемого вирусами, выдавая оповещение только тогда, когда превышено пороговое значение для отдельного IP-адреса источника. Этот же механизм ограничивает общее число записей журнала в секунду для трафика, блокированного в соответствии с политикой Forefront TMG. Журнал запрещенных запросов ведется до тех пор, пока не закончатся системные ресурсы, после чего регистрация запрещенных пакетов прекращается.

Если IP-адрес принадлежит пользователю, нечаянно инициировавшему вредоносную атаку, он может обратиться в группу технической поддержки с жалобой на отсутствие подключения к сети Интернет. Технический специалист просмотрит оповещения Forefront TMG и обнаружит, что узел данного пользователя нарушает политику ограничения интенсивности запросов. После проверки компьютера на нем будет обнаружен вирус-червь, после удаления которого передача многочисленных запросов к Forefront TMG прекратится. С этого узла будут сняты ограничения на трафик, и клиент сможет получить доступ к сети Интернет.

В следующей таблице перечислены параметры предотвращения Flood-атак, приведенные на странице Предотвращение Flood-атак диспетчера Forefront TMG.

Существует возможность регистрации в журнале трафика, блокированного механизмом предотвращения Flood-атак. При этом запись в журнале создается для каждого блокированного запроса.

В следующей таблице приведены коды ошибок, которые служба межсетевого экрана Microsoft может записать в журнал, когда разрешено ведение журнала для блокированного трафика.

В следующей таблице перечислены все возможные оповещения, которые могут быть выданы в случае Flood-атак.

В следующей таблице перечислены некоторые события, генерируемые Forefront TMG при превышении ограничения на число подключений. Эти события отображаются в окне просмотра событий Windows.