Межсетевые экраны и Интернет-маршрутизаторы D-Link

Межсетевые  экраны и Интернет-маршрутизаторы D-Link. Базовый курс.

 

Введение

Еще совсем недавно пользователи компьютеров  имели туманное представление о  том, что при выходе в Интернет или любую другую общедоступную  сеть компьютеры могут «заразиться» вирусами, а информация в течение  очень короткого времени может  быть украдена или искажена. Сегодня  же практически каждый пользователь Интернета (да и не только Интернета, но и любой информационно-вычислительной сети) знает об опасности, подстерегающей его компьютер и о том, как  обезопасить свои данные от потенциальных  атак и вирусов. Современный IT-рынок предлагает различные  варианты обеспечения безопасности пользовательских устройств и компьютерных сетей в целом. Конечные пользовательские устройства, как правило, довольно успешно  защищаются антивирусными программами  и программными межсетевыми экранами (брандмауэры, файрволы). Компьютерные сети в комплексе защитить сложнее. Одним программным обеспечением здесь не обойтись. Решением вопроса  обеспечения безопасности компьютерных сетей является установка межсетевых экранов в программно-аппаратном исполнении на границе сетей. В основные задачи межсетевых экранов  входит защита компьютеров от вторжения  злоумышленников из внешней сети и от утечки/изменения информации. Устанавливая межсетевой экран с  требуемой конфигурацией на границу  с внешней сетью, можно быть уверенным  в том, что Ваш компьютер будет  «невидим» извне (если только политикой  администрирования не предусмотрен доступ к нему). Современные межсетевые экраны работают по принципу «запрещено все, что не разрешено», то есть Вы сами решаете для какого протокола  или программы открыть доступ во внутреннюю сеть. Помимо функций сетевой защиты, межсетевой экран обеспечивает возможность  нормального функционирования сетевых  приложений. Безусловно, межсетевой экран –  это не панацея от всех бед компьютерного  мира. Всегда необходимо принимать  во внимание «человеческий фактор», так как именно человек неосознанно (а порой и целенаправленно) может  нанести вред информационной системе, выполнив действия, не входящие в политику безопасности. Это может быть утечка информации через подключение внешних  носителей, установление дополнительного  незащищенного Интернет-подключения, умышленное изменение информации санкционированным  пользователем и т.п. В данном материале рассматриваются  технологии и методы, позволяющие  обеспечивать работу и безопасность сетей, применяемые в межсетевых экранах и Интернет-маршрутизаторах D-Link .

 

ГЛАВА 1. Программно-аппаратные средства обеспечения безопасности информационных сетей

1.1 Межсетевой экран

Говоря о программно-аппаратной составляющей системы информационной безопасности, следует признать, что  наиболее эффективный способ защиты объектов локальной сети (сегмента сети) от воздействий из открытых сетей (например, Интернета), предполагает размещение некоего элемента, осуществляющего контроль и фильтрацию проходящих через него сетевых пакетов в соответствии с заданными правилами. Такой элемент получил название межсетевой экран (сетевой экран) или файрволл, брандмауэр.

Файрволл, файрвол, файервол, фаервол – образовано транслитерацией английского термина firewall.

Брандмауэр (нем. Brandmauer) – заимствованный из немецкого языка термин, являющийся аналогом английского «firewall» в его оригинальном значении (стена, которая разделяет смежные здания, предохраняя от распространения пожара).

Сетевой/межсетевой экран (МСЭ) – комплекс аппаратных или программных средств, осуществляющий контроль и фильтрацию проходящих через него сетевых пакетов по различным протоколам в соответствии с заданными правилами.

Основной задачей  межсетевого экрана является защита компьютерных сетей и/или отдельных  узлов от несанкционированного доступа. Иногда межсетевые экраны называют фильтрами, так как их основная задача – не пропускать (фильтровать) пакеты, не подходящие под критерии, определённые в конфигурации.

Для того чтобы эффективно обеспечивать безопасность сети, межсетевой экран отслеживает и управляет  всем потоком данных, проходящим через  него. Для принятия управляющих решений  для TCP/IP-сервисов (то есть передавать, блокировать или отмечать в журнале попытки установления соединений) межсетевой экран должен получать, запоминать, выбирать и обрабатывать информацию, полученную от всех коммуникационных уровней и от других приложений.

Межсетевой экран  пропускает через себя весь трафик, принимая относительно каждого проходящего  пакета решение: дать ему возможность  пройти или нет. Для того чтобы  межсетевой экран мог осуществить  эту операцию, ему необходимо определить набор правил фильтрации. Решение  о том, фильтровать ли с помощью  межсетевого экрана конкретные протоколы  и адреса,зависит от принятой в  защищаемой сети политики безопасности . По сути, межсетевой экран представляет собой набор компонентов, настраиваемых для реализации выбранной политики безопасности. Политика сетевой безопасности каждой организации должна включать (кроме всего прочего) две составляющие: политика доступа к сетевым сервисам и политика реализации межсетевых экранов.

Однако недостаточно просто проверять пакеты по отдельности. Информация о состоянии соединения, полученная из инспекции соединений в прошлом и других приложений – главный фактор в принятии управляющего решения при попытке установления нового соединения. Для принятия решения  могут учитываться как состояние  соединения (полученное из прошлого потока данных), так и состояние приложения (полученное из других приложений).

Таким образом, управляющие  решения требуют, чтобы межсетевой экран имел доступ, возможность анализа  и использования следующих факторов:

Ø Информация о соединениях  – информация от всех семи уровней (модели OSI )в пакете.

Ø История соединений – информация, полученная от предыдущих соединений.

Ø Состояние уровня приложения – информация о состоянии, полученная из других приложений.

Ø Манипулирование  информацией – вычисление разнообразных  выражений, основанных на всех вышеперечисленных  факторах.

1.1.1 Типы межсетевых  экранов

Различают несколько  типов межсетевых экранов в зависимости  от следующих характеристик:

˗ обеспечивает ли экран соединение между одним узлом и сетью или между двумя или более различными сетями;

˗ происходит ли контроль потока данных на сетевом уровне или более высоких уровнях модели OSI;

˗ отслеживаются ли состояния активных соединений или нет.

В зависимости от охвата контролируемых потоков данных межсетевые экраны подразделяются на:

Ø традиционный сетевой (или межсетевой) экран – программа (или неотъемлемая часть операционной системы) нашлюзе (устройстве передающем трафик между сетями) или аппаратное решение, контролирующие входящие и исходящие потоки данных между подключенными сетями (объектами распределённой сети);

Ø персональный межсетевой экран – программа, установленная на пользовательском компьютере и предназначенная для защиты от несанкционированного доступа только этого компьютера.

В зависимости от уровня OSI , на котором происходит контроль доступа, сетевые экраны могут работать на:

Ø сетевом уровне , когда фильтрация происходит на основе адресов отправителя и получателя пакетов, номеров портов транспортного уровня модели OSI и статических правил, заданных администратором;

Ø сеансовом уровне (также известные, как stateful), когда отслеживаются сеансы между приложениями и не пропускаются пакеты, нарушающие спецификации TCP/IP, часто используемые в злонамеренных операциях – сканирование ресурсов, взломы через неправильные реализации TCP/IP, обрыв/замедление соединений, инъекция данных.

Ø прикладном уровне (или уровне приложений), когда фильтрация производится на основании анализа данных приложения, передаваемых внутри пакета. Такие типы экранов позволяют блокировать передачу нежелательной и потенциально опасной информации на основании политик и настроек.

Фильтрация на сетевом  уровне

Фильтрация входящих и исходящих пакетов осуществляется на основе информации, содержащейся в  следующих поляхTCP- и IP-заголовках пакетов: IP-адрес отправителя; IP-адрес получателя; порт отправителя; порт получателя.

Фильтрация может  быть реализована различными способами  для блокирования соединений с определенными  компьютерами или портами. Например, можно блокировать соединения, идущие от конкретных адресов тех компьютеров  и сетей, которые считаются ненадежными.

К преимуществам  такой фильтрации относятся:

˗ сравнительно невысокая стоимость;

˗ гибкость в определении правил фильтрации;

˗ небольшая задержка при прохождении пакетов.

Недостатки:

˗ не собирает фрагментированные пакеты;

˗ нет возможности отслеживать взаимосвязи (соединения) между пакетами.‏

Фильтрация на сеансовом  уровне

В зависимости от отслеживания активных соединений межсетевые экраны могут быть:

· stateless (простая фильтрация), которые не отслеживают текущие соединения (например, TCP), а фильтруют поток данных исключительно на основе статических правил;

· stateful, stateful packet inspection (SPI) (фильтрация с учётом контекста), с отслеживанием текущих соединений и пропуском только таких пакетов, которые удовлетворяют логике и алгоритмам работы соответствующих протоколов и приложений. Такие типы сетевых экранов позволяют эффективнее бороться с различными видами DoS-атак и уязвимостями некоторых сетевых протоколов. Кроме того, они обеспечивают функционирование таких протоколов, как H.323, SIP, FTP и т. п., которые используют сложные схемы передачи данных между адресатами, плохо поддающиеся описанию статическими правилами, и зачастую не совместимых со стандартными, stateless сетевыми экранами.

К преимуществам  такой фильтрации относятся:

˗ анализ содержимого пакетов;

˗ не требуется информации о работе протоколов 7 уровня.

Недостатки:

˗ сложно анализировать данные уровня приложений (возможно с использованием ALG – Application level gateway)‏.

Application level gateway , ALG (шлюз прикладного уровня) – компонент NAT-маршрутизатора, который понимает какой-либо прикладной протокол, и при прохождении через него пакетов этого протокола модифицирует их таким образом, что находящиеся за NAT’ом пользователи могут пользоваться протоколом.

Служба ALG обеспечивает поддержку протоколов на уровне приложений (таких как SIP , H.323, FTP и др.), для которых подмена адресов/портов ( Network Address Translation ) недопустима. Данная служба определяет тип приложения в пакетах, приходящих со стороны интерфейса внутренней сети и соответствующим образом выполняя для них трансляцию адресов/портов через внешний интерфейс.

Технология SPI ( Stateful Packet Inspection ) или технология инспекции пакетов с учетом состояния протокола на сегодня является передовым методом контроля трафика. Эта технология позволяет контролировать данные вплоть до уровня приложения, не требуя при этом отдельного приложения посредника или proxy для каждого защищаемого протокола или сетевой службы.

Исторически эволюция межсетевых экранов происходила  от пакетных фильтров общего назначения, затем стали появляться программы-посредники для отдельных протоколов, и, наконец, была разработана технология stateful inspection . Предшествующие технологии только дополняли друг друга, но всеобъемлющего контроля за соединениями не обеспечивали. Пакетным фильтрам недоступна информация о состоянии соединения и приложения, которая необходима для принятия заключительного решения системой безопасности. Программы-посредники обрабатывают только данные уровня приложения, что зачастую порождает различные возможности для взлома системы. Архитектура stateful inspectionуникальна потому, что она позволяет оперировать всей возможной информацией, проходящей через машину-шлюз: данными из пакета, данными о состоянии соединения, данными, необходимыми для приложения.

Пример работы механизма Stateful Inspection . Межсетевой экран отслеживает сессию FTP, проверяя данные на уровне приложения. Когда клиент запрашивает сервер об открытии обратного соединения (команда FTP PORT), межсетевой экран извлекает номер порта из этого запроса. В списке запоминаются адреса клиента и сервера, номера портов. При фиксировании попытки установить соединение FTP-data, межсетевой экран просматривает список и проверяет, действительно ли данное соединение является ответом на допустимый запрос клиента. Список соединений поддерживается динамически, так что открыты только необходимые порты FTP. Как только сессия закрывается, порты блокируются, обеспечивая высокий уровень защищенности.

Фильтрация на прикладном уровне

С целью защиты ряда уязвимых мест, присущих фильтрации пакетов, межсетевые экраны должны использовать прикладные программы для фильтрации соединений с такими сервисами, как, например, Telnet, HTTP, FTP. Подобное приложение называется proxy-службой, а хост, на котором работает proxy-служба – шлюзом уровня приложений. Такой шлюз исключает прямое взаимодействие между авторизованным клиентом и внешним хостом. Шлюз фильтрует все входящие и исходящие пакеты на прикладном уровне (уровне приложений – верхний уровень сетевой модели) и может анализировать содержимое данных, например, адрес URL, содержащийся в HTTP-сообщении, или команду, содержащуюся в FTP-сообщении. Иногда эффективнее бывает фильтрация пакетов, основанная на информации, содержащейся в самих данных. Фильтры пакетов и фильтры уровня канала не используют содержимое информационного потока при принятии решений о фильтрации, но это можно сделать с помощью фильтрации уровня приложений. Фильтры уровня приложений могут использовать информацию из заголовка пакета, а также содержимого данных и информации о пользователе. Администраторы могут использовать фильтрацию уровня приложений для контроля доступа на основе идентичности пользователя и/или на основе конкретной задачи, которую пытается осуществить пользователь. В фильтрах уровня приложений можно установить правила на основе отдаваемых приложением команд. Например, администратор может запретить конкретному пользователю скачивать файлы на конкретный компьютер с помощью FTP или разрешить пользователю размещать файлы через FTP на том же самом компьютере.

К преимуществам  такой фильтрации относятся:

˗ простые правила фильтрации;

˗ возможность организации большого числа проверок. Защита на уровне приложений позволяет осуществлять большое количество дополнительных проверок, что снижает вероятность взлома с использованием «дыр» в программном обеспечении;

˗ способность анализировать данные приложений.

Недостатки:

˗ относительно низкая производительность по сравнению с фильтрацией пакетов;

˗ proxy должен понимать свой протокол (невозможность использования с неизвестными протоколами)‏;

˗ как правило, работает под управлением сложных ОС.

1.2 Прокси-сервер

Прокси-сервер ( Proxy – представитель, уполномоченный) – служба в компьютерных сетях, позволяющая клиентам выполнять косвенные запросы к другим сетевым службам. Сначала клиент подключается к прокси-серверу и запрашивает какой-либо ресурс (например, e-mail), расположенный на другом сервере. Затем прокси-сервер либо подключается к указанному серверу и получает ресурс у него, либо возвращает ресурс из собственного КЭШа (в случаях, если прокси имеет свой КЭШ). В некоторых случаях запрос клиента или ответ сервера может быть изменён прокси-сервером в определённых целях. Также прокси-сервер позволяет защищать клиентский компьютер от некоторых сетевых атак и помогает сохранять анонимность клиента.

Прокси являются попыткой реализовать межсетевой экран  на уровне приложения. Их основное преимущество – поддержка полной информации о  приложениях. Прокси обеспечивают частичную  информацию об истории соединений, полную информацию о приложении и  частичную информацию о текущем  соединении. Прокси также имеют возможность  обработки и действий над информацией.

Однако имеются  очевидные трудности в использовании proxy на уровне приложения в качестве межсетевого экрана:

1. Ограничения на  соединения – каждый сервис  требует наличия своего собственного  прокси, так что число доступных  сервисов и их масштабируемость  ограничены.

2. Ограничения технологии  – шлюз прикладного уровня (ALG) не может обеспечить прокси для протокола UDP.

3. Производительность  – реализация на уровне приложения  имеет значительные потери в  производительности.

В добавление, proxy беззащитны к ошибкам в приложениях и ОС, неверной информации в нижних уровнях протоколов и в случае традиционных прокси-серверы очень редко являются прозрачными.

Исторически proxy уровня приложений удовлетворяли общему их применению и нуждам сети Интернет. Однако, по мере превращения Интернета в постоянно меняющуюся динамичную среду, постоянно предлагающую новые протоколы, сервисы и приложения, proxy более не способны обработать различные типы взаимодействий в сети Интернет или отвечать новым нуждам бизнеса, высоким требованиям к пропускной способности и безопасности сетей.

1.3 Интернет-маршрутизатор

Так называемые классические маршрутизаторы действуют на сетевом уровне, и их очевидным недостатком является неспособность обеспечивать безопасность даже для наиболее известных сервисов и протоколов. Маршрутизаторы не являются устройствами обеспечения безопасности, так как они не имеют основных возможностей межсетевого экрана:

˗ информации о соединении – маршрутизаторы имеют доступ лишь к ограниченной части заголовка пакетов;

˗ наследуемой информации о соединении и приложении – маршрутизаторы не поддерживают хранение информации об истории соединения или приложения;

˗ действий над информацией – маршрутизаторы имеют очень ограниченные возможности по действиям над информацией.

К тому же, маршрутизаторы достаточно сложно конфигурировать, следить  за их состоянием и управлять. Они  не обеспечивают должного уровня журналирования событий и механизмов оповещения.

В последнее время  получили распространение устройства класса SOHO (Small Office/Home Office), значительно упрощающие задачу подключения локальной вычислительной сети к сети Интернет и условно называемые Интернет-маршрутизаторами. Как правило, это аппаратное решение с одним (или несколькими) портом WAN, для подключения к Интернету (сети общего пользования) и несколько (чаще четыре) порта LAN, для подключения рабочих станций локальной сети. Иногда Интернет-маршрутизатор оборудован беспроводной точкой доступа для организации связи в локальной сети с беспроводными клиентами. Может оснащаться USB-портом для подключения принтера и/или других устройств (например, 3G-модема).

Интернет-маршрутизатор  разработан для совместного доступа  группы пользователей к широкополосному  Интернет-соединению через выделенную линию, DSL или кабельный модем. Кроме  того, в качестве дополнительного  канала возможно применение Wimax/3G-модемов, обеспечивающих доступ в Интернет через Wimax/3G-сети.

Интернет-маршрутизатор  оснащен встроенным межсетевым экраном  для защиты компьютеров в сети от вирусных и DoS-атак. Управление доступом осуществляется с помощью фильтрации пакетов на основе МАС-адресов источника и приемника.

Маршрутизатор может  быть настроен таким образом, что  отдельные FTP, Web- и игровые серверы смогут совместно использовать один, видимый извне IP-адрес, и в тоже время останутся защищенными от атак хакеров. Пользователи через Web-интерфейс маршрутизатора могут настроить любой (или конкретно выделенный производителем для этой цели) изLAN-портов как DMZ-порт (см. раздел «Механизмы PAT и NAT» ). В последнее время всё чаще стала присутствовать функция «родительского» контроля (Parental control), которая позволяет фильтровать нежелательные URL-адреса Web-сайтов, блокировать домены и управлять расписанием по использованию Интернет.

Поддержка Интернет-маршрутизаторами технологии QoS (см. раздел «Качество обслуживания (QoS) и управление полосой пропускания трафика (Traffic Shaping)») обеспечивает более эффективную передачу приложений, чувствительных к задержкам, таких как Интернет-телефония ( VoIP ), мультимедиа и игры по Интернет.

Стандартный набор  возможностей Интернет-маршрутизаторов  и используемых в работе технологий

Типы  подключения WAN: Ø Static IP Ø Dynamic IP Ø PPPoE Ø L2TP Ø PPTP Ø DualAccess PPPoE Ø DualAccess PPTP

Поддержка VPN: Ø PPTP pass-through Ø IPSec pass-through Ø L2TP pass-through

Функции Интернет-шлюза:

Ø Преобразование сетевых  адресов (NAT)

Ø DHCP-сервер (для  автоматического назначения параметров IP)

Управление  доступом пользователей:

Ø Фильтрация MAC-адресов

Ø Фильтрация по расписанию

Межсетевой  экран:

Ø NAT (преобразование сетевых адресов) с VPN pass-through

Ø SPI (Stateful Packet Inspection)

Фильтрация Web-сайтов с помощью фильтрации URL-адресов.

Приоритезация VoIP-трафика и потоковых медиафайлов при приеме/передаче.

Широковещательный поток IGMP (Internet Group Management Protocol)

ГЛАВА 2. Сравнение  аппаратных и программных межсетевых экранов

Для сравнения межсетевых экранов разделим их на два типа: 1-й – аппаратные и программно-аппаратные и 2-й – программные.

К аппаратным и программно-аппаратным межсетевым экранам относятся устройства, установленные на границе сети. Программные  межсетевые экраны – это те, которые  установлены на конечных хостах.

Основные направления, присущие и первому, и второму  типам:

˗ обеспечение безопасности входящего и исходящего трафика;

˗ значительное увеличение безопасности сети и уменьшение риска для хостов подсети при фильтрации заведомо незащищенных служб;

˗ возможность контроля доступом к системам сети;

˗ уведомление о событиях с помощью соответствующих сигналов тревоги, которые срабатывают при возникновении какой-либо подозрительной деятельности (попытки зондирования или атаки);

˗ обеспечение недорогого, простого в реализации и управлении решения безопасности.

Аппаратные и  программно-аппаратные межсетевые экраны дополнительно поддерживают функционал, который позволяет:

˗ препятствовать получению из защищенной подсети или внедрению в защищенную подсеть информации с помощью любых уязвимых служб;

˗ регистрировать попытки доступа и предоставлять необходимую статистику об использовании Интернет;

˗ предоставлять средства регламентирования порядка доступа к сети;

˗ обеспечивать централизованное управление трафиком.

Программные межсетевые экраны, кроме основных направлений, позволяют:

˗ контролировать запуск приложений на том хосте, где установлены;

˗ защищать объект от проникновения через «люки» (back doors);

˗ обеспечивать защиту от внутренних угроз.

Межсетевой экран  не является симметричным устройством. Он различает понятия: «снаружи»  и «внутри». Межсетевой экран обеспечивает защиту внутренней области от неконтролируемой и потенциально враждебной внешней  среды. В то же время межсетевой экран  позволяет разграничить доступ к  объектам общедоступной сети со стороны  субъектов защищенной сети. При нарушении  полномочий работа субъекта доступа  блокируется, и вся необходимая  информация записывается в журнал.

Межсетевые экраны могут использоваться и внутри защищенных корпоративных сетей. Если в локальной  сети имеются подсети с различной  степенью конфиденциальности информации, то такие фрагменты целесообразно  отделять межсетевыми экранами. В  этом случае экраны называют внутренними.

Тест для самопроверки к Главе 1 и 2 - Попытка 1

Question1

Баллов: 1

Какой функционал поддерживается программно-аппаратными межсетевыми  экранами, установленными на границе  сети? 

(Выберите все  возможные варианты)

Выберите по крайней  мере один ответ:

	a. Контроль запуска приложений на пользовательских хостах.
	b. Возможность контроля доступом к системам сети.
	c. Обеспечение безопасности входящего и исходящего трафика.
	d. Обеспечение централизованного управления трафиком.

Question2

Баллов: 1

Выберите вариант, наиболее верно определяющий понятие «Прокси-сервер»:

Выберите один ответ.

	a. Аппаратное средство, обеспечивающее предоставление доступа пользователям внутренней сети к ресурсам внешней сети.
	b. Программное средство, предоставляющее возможность управления доступом во внешнюю сеть на уровне приложений.
	c. Программно-аппаратное средство, отслеживающее сеансы между приложениями.
	d. Программное средство, позволяющее использовать выделенный порт D M Z.

Question3

Баллов: 1

Межсетевой экран принимает  решение пропустить пакет или  отклонить на основе: 

(Выберите все  возможные варианты)

Выберите по крайней  мере один ответ:

	a. Анализа истории соединений.
	b. Анализа информации о соединениях.
	c. Прогноза соединений.
	d. Анализа состояния уровня приложений.

Question4

Баллов: 1

Функцию межсетевого экрана может выполнять:

Выберите один ответ.

	a. Только программное решение, выполненное на пользовательском компьютере.
	b. Только программное решение, выполненное на сетевом шлюзе.
	c. Программное решение, выполненное либо на сетевом шлюзе, либо на пользовательском компьютере.

 

ГЛАВА 3. Протоколы  и функции, применяемые в межсетевых экранах и Интернет-маршрутизаторах

3.1.1 Маршрутизация

Маршрутизация осуществляется на сетевом уровне OSI, который отвечает за обеспечение связи между любыми хостами в сети. Маршрутизирующие устройства (например, Интернет-маршрутизаторы или межсетевые экраны) объединяют отдельные сети в общую составную сеть. В сложных составных сетях почти всегда существует несколько альтернативных маршрутов для передачи пакетов между конечными хостами. Задачу выбора маршрутов из нескольких возможных решают маршрутизирующие устройства. Правильно выбранная структура сети и настроенная в соответствии с ней маршрутизация гарантируют, что отправленный по сети пакет будет доставлен по назначению.

Что же такое «маршрутизация»?

Маршрутизация (Routing) – процесс определения в коммуникационной сети (наилучшего) пути, по которому пакет может достигнуть адресата или, точнее – это набор правил, определяющих маршрут следования информации в сетях связи. Любые сетевые пакеты направляются в соответствии с набором правил – таблиц маршрутизации. Как правило, маршрутизация сводится к выбору интерфейса и следующего транзитного хоста при следовании пакета между сетями.

Маршрут – это путь, который должен пройти пакет от отправителя до точки назначения через маршрутизирующие устройства.

Маршрутизирующее  устройство выбирает маршрут на основании  информации о текущей конфигурации сети и соответствующего критерия выбора маршрута. Обычно в качестве критерия выступает метрика, которая отражает приоритет маршрута (наилучший маршрут). При определении наилучшего маршрута и назначения метрики рассматриваются следующие характеристики: время прохождения маршрута, которое в локальных сетях совпадает с длиной маршрута, измеряемой в количестве пройденных узлов маршрутизации; надежность и пропускная способность канала связи; время передачи пакета по каждой линии связи; нагрузка сетевого ресурса.