赞
踩
防火墙工作原理
防火墙工作原理:
本质上是查看会话表。
报文到达防火墙,先查看是否会有会话表匹配。
如果有会话表匹配,则匹配会话表转发。
如果没有匹配会话表,看是否能够创建会话表。
前提是必须是首包才能创建会话表。
A.先匹配路由表。B.再匹配安全策略。
TCP: SYN ---------首包
SYN+ACK
ACK
ICMP echo-request----首包
echo-reply
UDP没有首包概念
状态检测机制:
状态尖刺机制开启的情况下,只有首包通过设备才能建立会话表,后续包直接匹配会话表项进行转发。
状态监测机制关闭的情况下,即使首包没有经过防火墙,后续包只要通过防火墙也可以生成会话表项。
开启命令:firewall session link-state check -------默认就开启
关闭状态检测的命令:undo firewall session link-state check tcp/icmp
首包建立会话-------使用状态检测。
状态检测主要针对TCP和ICMP报文
什么情况需要关闭状态检测:
(场景)来回路径不一致的情况 (SACG)。
详解会话表
查看会话表:
查看会话简要信息
[FW1]display firewall session table ---------------查看会话表简要信息
Current Total Sessions : 5
https VPN:public --> public 192.168.0.100:49363-->192.168.0.10:8443
协议 虚拟防火墙有作用 源地址:源端口 目标地址:目标端口
https VPN:public --> public 192.168.0.100:49350-->192.168.0.10:8443
tcp VPN:public --> public 10.1.1.1:49395-->192.168.1.100:17889
ftp-data VPN:public --> public 192.168.1.1:20-->10.1.1.1:49396
ftp VPN:public --> public 10.1.1.1:49393+->192.168.1.1:21
1
2
3
4
5
6
7
8
筛选会话:
[FW1]display firewall session table servic ftp ---------筛选会话
Current Total Sessions : 1
ftp VPN:public --> public 10.1.1.1:49393+->192.168.1.1:21
1
2
3
查看会话表详细信息:
[FW1]display firewall session table verbose --------------------查看会话详细信息
ftp/协议 VPN:public --> public/虚拟防火墙有作用 ID: a58f362c468281b1855c0cfa4b /唯一的会话
Zone: trust--> dmz/安全区域 TTL: 00:20:00/ 老化时间 Left: 00:19:02/剩余时间
Output-interface: GigabitEthernet0/0/2 /出接口 NextHop: 192.168.1.1/下一跳 MAC: 00-50-56-9e-ea-06/下一跳MAC
<--packets:0 bytes:0/ 反向流量 -->packets:24 bytes:1180/正向流量
10.1.1.1:49393+->192.168.1.1:21/源地址 源端口 目标地址 目标端口 PolicyName: trust_dmz /匹配策略
+-> ---------代表开启ASPF功能
--> 无意义,正常报文
icmp VPN:public --> public ID: a58f362c6bca01d8e15c0d2721
Zone: trust--> dmz TTL: 00:00:20 Left: 00:00:19
Output-interface: GigabitEthernet0/0/2 NextHop: 192.168.1.1 MAC: 00-50-56-9e-ea-06
<--packets:4 bytes:240 -->packets:4 bytes:240
10.1.1.1:1-->192.168.1.1:2048 PolicyName: trust_dmz
10.1.1.1 :1-->192.168.1.1 :2048
源端口 目的端口
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
详细会话表中有 13项参数。
协议,指明会话的协议
VPN,在虚拟防火墙中使用
ID,标志唯一的会话
ZONE(区域),指明流量的区域走向。
TTL,会话的老化时间。
Left:会话剩余时间
output-interface:出接口
nextHop:下一跳
MAC:mac地址,
MAC地址为全0的情况:
到达防火墙的接口
虚拟防火墙的MAC也是全0
当ARP请求失败的时候
反向流量统计
正向流量统计
五元组,源地址:源端口–>目的地址:目的端口
注意:ICMP的端口计算方法:
ICMP报文中的Identifier字段16进制转换为10进制,作为源端口
将Type字段和Code字段的值做与运算,作为目的端口。
例如:Type=8,Code =0;则目标端口=1000 0000 0000 & 0 = 2048
ICMP带端口的原因:因为ICMP需要做状态检测,所有需要五元组。ICMP端口无实际意义。
端口号为0的情况:
当流量为OSPF,ESP,AH等协议时,端口为0.
PolicyName:匹配的策略名称
老化时间(TTL)的问题:
各协议会话默认老化时间:
协议老化时间 协议
20s icmp
30s dns
120s 2min qq/tftp/l2tp/udp/rip/ntp/snmp/syslog/h323
240s 4min ftp-data/GRE/AH
600s 10min SIP/HTTPS/ESP
1200s 20min HTTP/FTP/Telnet/SMTP/sqlnet/ssh/tcp/pop3/BGP
14400s 4hours sqlnet-data
总结:
TCP 20min SYN 5s SYN+ACK 5s ACK 20Min frist-fin 900s finrst 5s
UDP 2min
ICMP 20s
注意:在网管防火墙流量时,当web在线时,https老化10min,当关闭web时,显示https老化时间10s。
即:HTTPS(有流量)----10min(TTL)
HTTPS(无流量)-----10s
什么情况会话表会老化:
老化时间到了
检测到有病毒的时候,会话表立刻老化,并且加入黑名单
发送FIN,第一次收到(frist-fin),老化时间变为900s(默认),第二次收到fin(finrst ),老化时间变为10s。
老化时间的修改:
知名协议修改老化时间[FW1]firewall session aging-time service-set http 2000·----注意单位是S
非知名协议修改时间
第一步:自定义协议
ip service-set abc type object
service 0 protocol 200
firewall session aging-time service-set abc 200
会话时间存在的问题:
下载过大的FTP文件,会出现中断。
访问数据库,操作的时间大于TCP的老化时间。
解决方案:
长会话:默认老化时间168小时。 注意:只针对TCP。
长会话的默认会话时间可以修改。
[FW1]display firewall long-link aging-time
Long-link aging-time is 168 hours
修改长会话的默认时间
firewall long-link aging-time 20
1
2
3
4
配置长回话步骤:
配置ACL定义协议
acl number 3000 rule 5 permit tcp source 10.1.1.0 0.0.0.255 destination 192.168.1.0 0.0.0.255 destination-port eq ftp
调用ACL
interzone trust dmz long-link 3000 inbound
————————————————
版权声明:本文为CSDN博主「曹世宏的博客」的原创文章,遵循CC 4.0 BY-SA版权协议,转载请附上原文出处链接及本声明。
原文链接:https://blog.csdn.net/qq_38265137/article/details/88548511
Copyright © 2003-2013 www.wpsshop.cn 版权所有,并保留所有权利。