b'\n_START_ARTICLE_\nPalomuuri\n_START_SECTION_\nPalomuurit k\xc3\xa4yt\xc3\xa4nn\xc3\xb6ss\xc3\xa4\n_START_PARAGRAPH_\nUseimmiten palomuureja on isommissa yritysverkoissa useampia. Palomuurien perusongelma on, ett\xc3\xa4 niiden l\xc3\xa4pi hy\xc3\xb6k\xc3\xa4nnytt\xc3\xa4 murtautujaa ei voida en\xc3\xa4\xc3\xa4 est\xc3\xa4\xc3\xa4 tekem\xc3\xa4st\xc3\xa4 tuhojaan. Niinp\xc3\xa4 yrityksill\xc3\xa4 on eteisverkko eli demilitarisoitu alue (engl. demilitarized zone, DMZ), joka sijaitsee luotetun sis\xc3\xa4verkon ja Internetin v\xc3\xa4liss\xc3\xa4. Internetin ja eteisverkon sek\xc3\xa4 eteisverkon ja sis\xc3\xa4verkon v\xc3\xa4liss\xc3\xa4 on palomuurit. Eteisverkkoon sijoitetaan kaikki julkiset palvelimet. Vaikka tunkeutuja p\xc3\xa4\xc3\xa4sisi murtautumaan kyseisille palvelimille, olisi h\xc3\xa4nell\xc3\xa4 viel\xc3\xa4 toinen palomuuri edess\xc3\xa4\xc3\xa4n ennen sis\xc3\xa4verkkoa._NEWLINE_Tosiasiassa nykyiset palomuurilaitteet osaavat toteuttaa jopa useita erilaisia eteisverkkoja sis\xc3\xa4lt\xc3\xa4v\xc3\xa4n konfiguraation yhdell\xc3\xa4 laitteella. Palomuurilaitteeseen vain lis\xc3\xa4t\xc3\xa4\xc3\xa4n verkkoliittymi\xc3\xa4, ja sille m\xc3\xa4\xc3\xa4ritet\xc3\xa4\xc3\xa4n onko liittym\xc3\xa4n takana luotettu verkko, t\xc3\xa4ysin turvaton verkko vai jotain silt\xc3\xa4 v\xc3\xa4lilt\xc3\xa4.\n_START_SECTION_\nPalomuuritekniikat\n_START_PARAGRAPH_\nYksinkertaisin palomuuri on pakettisuodatin. Pakettivirrasta seulotaan paketit l\xc3\xa4hde- ja kohdeosoitteen sek\xc3\xa4 porttien perusteella._NEWLINE_N\xc3\xa4it\xc3\xa4 on kahdentyyppisi\xc3\xa4, tilattomia (stateless) ja tilallisia (stateful). Tilaton palomuuri vertaa jokaista pakettia s\xc3\xa4\xc3\xa4nn\xc3\xb6st\xc3\xb6\xc3\xb6n; jos paketti ei ole sallittu, sit\xc3\xa4 ei v\xc3\xa4litet\xc3\xa4 eteenp\xc3\xa4in. Tilallinen palomuuri mahdollistaa liikenteen tarkemman valvonnan. Tilallinen palomuuri pit\xc3\xa4\xc3\xa4 kirjaa muodostetuista TCP-yhteyksist\xc3\xa4 ja virallisista UDP-yhteyksist\xc3\xa4 ja sallii vain yhteyteen kuuluvat paketit. TCP-yhteyksill\xc3\xa4 tutkitaan my\xc3\xb6s se, ett\xc3\xa4 tilasiirtym\xc3\xa4t ovat laillisia, eli k\xc3\xa4yt\xc3\xa4nn\xc3\xb6ss\xc3\xa4 tilallinen palomuuri pit\xc3\xa4\xc3\xa4 yll\xc3\xa4 samoja tietoja kuin TCP/IP-paketti._NEWLINE_Tilattoman palomuurin ongelma on se, ett\xc3\xa4 paluupakettien portteja ei voida kaikissa protokollissa tiet\xc3\xa4\xc3\xa4 tarkasti, joten esimerkiksi joidenkin verkkopelien toimivuuden vuoksi kaikki portit yli portin 1024 on avattava paluuyhteydelle, jolloin t\xc3\xa4ll\xc3\xa4 porttialueella olevaan palveluun voidaan ottaa yhteys ilman palomuurin v\xc3\xa4liintuloa._NEWLINE_Tilallinen palomuuri tarkistaa jokaisen paketin kohdalla kuuluuko se johonkin olemassa olevaan yhteyteen. Olemassa oleviin yhteyksiin liittyv\xc3\xa4t paketit p\xc3\xa4\xc3\xa4stet\xc3\xa4\xc3\xa4n l\xc3\xa4pi. Kun TCP-yhteys avataan, tutkitaan ensin, onko yhteys sallittu palomuurin s\xc3\xa4\xc3\xa4nt\xc3\xb6jen perusteella. Hyv\xc3\xa4ksytyn yhteyden tiedot lis\xc3\xa4t\xc3\xa4\xc3\xa4n palomuurin yhteyslistaan, ja jatkossa kaikki kyseiseen yhteyteen liittyv\xc3\xa4t paketit p\xc3\xa4\xc3\xa4stet\xc3\xa4\xc3\xa4n l\xc3\xa4pi, samoin my\xc3\xb6s usein sallitaan yhteyteen liittyv\xc3\xa4t ICMP-sanomat. Yhteyden sulkeutuessa, tai kun yhteys on ollut k\xc3\xa4ytt\xc3\xa4m\xc3\xa4tt\xc3\xb6m\xc3\xa4n\xc3\xa4 tietyn ajan, yhteyden tiedot poistetaan yhteyslistalta, eik\xc3\xa4 kyseiseen yhteyteen kuuluvia paketteja en\xc3\xa4\xc3\xa4 p\xc3\xa4\xc3\xa4stet\xc3\xa4 l\xc3\xa4pi. _NEWLINE_Tilallisessa palomuurissa on sama ongelma tuntemattomien protokollien kanssa kuin tilattomassakin, mutta siihen voidaan tarvittaessa lis\xc3\xa4t\xc3\xa4 s\xc3\xa4\xc3\xa4nt\xc3\xb6j\xc3\xa4 tunnettuja protokollia varten. Pakettisuodatin toimii kuljetuskerroksella._NEWLINE_Sovelluspalomuurissa paketin sis\xc3\xa4lt\xc3\xa4m\xc3\xa4\xc3\xa4 dataa tarkkaillaan. Jos paketin portti on vaikka 25 (SMTP), niin paketista tarkistetaan sis\xc3\xa4lt\xc3\xa4\xc3\xa4k\xc3\xb6 se laittomia komentoja. My\xc3\xb6s muille palomuurityypeille ongelmallinen aktiivinen FTP toimii t\xc3\xa4m\xc3\xa4ntyyppisess\xc3\xa4 palomuurissa, koska palomuuri lukee avattavan datakanavan portin numeron FTP-komentokanavan sanomasta ja sallii yhteyden siihen. Palomuuri voi my\xc3\xb6s suodattaa liikennett\xc3\xa4 sis\xc3\xa4ll\xc3\xb6n perusteella, esimerkiksi est\xc3\xa4\xc3\xa4 HTTP-paketeista tunnettuja turvallisuusaukkoja hy\xc3\xb6dynt\xc3\xa4v\xc3\xa4t murtoyritykset. Sovelluspalomuuri toimii sovelluskerroksella._NEWLINE_Useimmat nykyaikaiset ty\xc3\xb6asemakohtaiset palomuurit ovat sovellus- ja tilallisen palomuurin yhdistelmi\xc3\xa4. Niiss\xc3\xa4 my\xc3\xb6s sovellus voi vaikuttaa siihen sallitaanko jokin yhteys. Erona perinteisiin palomuureihin on se, ett\xc3\xa4 tiedet\xc3\xa4\xc3\xa4n tarkkaan mitk\xc3\xa4 palvelut on sallittuja ja samoin mik\xc3\xa4 liikenne kohdistuu ty\xc3\xb6asemaan, kun taas perinteiset palomuurit joutuvat toimimaan v\xc3\xa4hempien tietojen perusteella.\n_START_SECTION_\nPalomuurien heikkouksia\n_START_PARAGRAPH_\nPalomuuri suodattaa vain l\xc3\xa4vitseen kulkevia yhteyksi\xc3\xa4. Niinp\xc3\xa4 verkkoon voi p\xc3\xa4\xc3\xa4st\xc3\xa4 vaihtoehtoisia reittej\xc3\xa4, kuten soittosarjojen kautta, langattoman l\xc3\xa4hiverkon tukiasemien kautta ja ennen kaikkea fyysisesti p\xc3\xa4\xc3\xa4sem\xc3\xa4ll\xc3\xa4 yrityksen toimitiloihin._NEWLINE_Palomuuri ei my\xc3\xb6sk\xc3\xa4\xc3\xa4n kykene suodattamaan esimerkiksi IPSec-salattua liikennett\xc3\xa4, josta ei n\xc3\xa4y kohdeporttia tai v\xc3\xa4ltt\xc3\xa4m\xc3\xa4tt\xc3\xa4 edes kohdekonetta. T\xc3\xa4m\xc3\xa4n takia salattu VPN-liikenne pyrit\xc3\xa4\xc3\xa4n viem\xc3\xa4\xc3\xa4n erilliselle eteisverkolle, josta se voidaan vied\xc3\xa4 viel\xc3\xa4 salaamattomanakin palomuurin l\xc3\xa4pi uudelleen.'