PowerPoint 演示文稿

Size: px

Start display at page:

Download "PowerPoint 演示文稿"

弋夜宣
5 years ago
Views:

2 课程目标学习完本课程, 您应该能够 : 熟悉会话管理技术概述及实现原理熟悉会话管理典型配置和应用场景熟悉会话管理常见问题和注意事项

3 目录会话管理特性基础及实现原理会话管理典型组网及典型配置会话管理常见问题及注意事项

4 会话管理技术需求背景重要的基础性软件模块会话管理是为了实现 NAT ASPF 连接数限制攻击检测负载均衡应用层检测等等基于会话进行处理的业务而抽象出来的公共功能能够处理各种会话信息, 根据会话状态对信息执行老化处理, 并提供给其它业务模块一个统一的信息查询接口把传输层报文之间的交互关系抽象为会话, 并根据发起方或响应方的报文信息对会话进行状态更新和超时老化会话管理的本质会话管理主要基于传输层协议对报文进行检测其实质是通过检测传输层协议信息 ( 即通用 TCP 协议和 UDP 协议 ) 来对连接的状态进行跟踪, 并对所有连接的状态信息进行统一维护和管理 3

5 会话管理概念所谓流 (Flow), 是一个单方向的概念, 根据报文所携带的三元组或者五元组唯一标识根据 IP 层协议的不同, 流分为四类 : TCP 流 : 通过五元组唯一标识 UDP 流 : 通过五元组唯一标识 ICMP 流 : 通过三元组 + ICMP type + ICMP code 唯一标识 RAW IP 流 : 非 TCP/UDP/ICMP 的其它 IP 协议, 通过三元组标识所谓会话 (Session), 是一个双向的概念, 一个会话关联两个方向的流, 一个为会话发起方 (Initiator), 另一个为会话响应方 (Responder) 通过会话所属的任一方向的流特征都可以唯一确定该会话及方向 4

6 会话管理特性的主要功能会话表项的管理会话四层协议状态管理应用层报文协议识别支持不同的协议状态和应用层会话动态超时老化时间支持指定特征会话维持长连接会话四层协议 CHECKSUM 检查为需要端口协商的应用层协议提供报文匹配 ( 关联表 ) 支持 ICMP 差错控制报文解析以及到会话的匹配 5

7 TCP 会话状态机创建及删除会话对会话的状态进行跟踪, 提供判断报文是否符合协议状态的依据 6

8 UDP/ICMP/RAW_IP 会话状态机 udp_packet UDP_OPEN 反向 udp_packet UDP_READY icmp_request icmp_request ICMP_OPEN 反向 icmp_reply ICMP_CLOSE rawip_packet RAWIP_OPEN rawip_packet RAWIP_READY 7

9 会话的创建 SYN SNY ACK ACK Session TCP Session Request Reply Session UDP/ICMP/Raw IP Session 8

10 会话关联表概述相对于域间策略, 关联表可以理解为防火墙的临时性规则, 是基于应用协议动态协商的会话关联表的主要作用 : 动态协商多通道协议的跟踪及数据报文匹配应用层网关 NAT 转换信息记录应用协议识别父子会话关联 9

11 会话关联表相关特性关联表由 ALG 协调会话管理模块创建当 ALG 解析出应用协议报文数据载荷中携带的地址端口信息后, 调用会话管理模块创建关联表 ( 如有 NAT 则先进行相应的地址端口转后, 然后再创建表项 ) 未配置 NAT LB 域间策略时不会创建关联表关联表是一个三元组表项, 使用 IP 地址端口和协议作为 Key AllowConn 表示允许通过关联表创建的子通道个数, 如子通道数到达上限则删除关联表例如 FTP 关联表, 允许子通道数为 1, 一旦数据连接建立, 关联表会立即删除 10

12 报文转发流程接收报文是否匹配当前会话表或关联表某具体表项否查找二三层转发表项确定目的安全区域创建会话表项是否命中用户自定义域间策略否按默认策略处理是是查找二三层转发表项后转发按域间策略处理若过滤动作为允许则查找二三层转发表项后转发并创建会话表否则丢弃报文且不创建会话表项 11

13 单向流检测 Internet 单向流量经防火墙处理时必须对协议状态机进行补充, 在仅能接收单向报文的情况下也可创建稳态会话表项以 TCP 协议为例 : 内网允许收到一个方向的 syn+ack, 或者 syn-ack 报文之后将会话切换到 establish 状态子网 1: /24 子网 2: /24 允许收到一个方向的 fin 报文之后将会话切换到 close 状态 12

14 会话的双机热备 Internet 不区分主备状态, 两台设备可以同时处理各自的业务报文当会话状态进入 TCP-ES TABLISH UDP-READ Y 和 RAWIP-READY 状态时对会话表项进行备份子网 1: /24 内网子网 2: /24 可以避免流量在双机切换时出现业务中断 13

15 双机热备非对称路径 Internet 在会话创建即开始备份在会话状态更新时触发子网 1: /24 内网子网 2: /24 备份对于 TCP 的 Syn-ack Ac k 报文和 ICMP Reply 报文如果在当前设备找不到会话要透传到另一台设备上进行处理 14

16 目录会话管理特性基础及实现原理会话管理典型组网及典型配置会话管理常见问题及注意事项

17 会话表项老化时间基本配置配置各协议状态会话老化时间, 参数修改后仅对新建会话有效 16

18 单向流检测与长连接配置配置项说明启用单向流检测 ACL 设置是否启用单向流检测启用单向流检测时, 会话管理同时处理单向流和双向流不启用单向流检测时, 会话管理仅处理双向流根据 ACL ID 设置长连接会话规则长连接会话规则同时引用的 ACL 只能有一个, 新设置的 ACL 会覆盖旧的 ACL, 不输入 ACL ID 表示删除长连接会话注意 :ACL 规则应匹配会话发起方五元组及相关信息会话老化时间设置长连接会话的老化时间 0 表示长连接会话永不老化 17

会话双机热备配置配置项使能双机热备功能使能会话双机热备功能支持非对称路径备份说明设置使能或禁止设备的双机热备功能设置使能或禁止会话双机热备功能设置会话双机热备是否支持非对称路径备份不支持非对称路径备份 : 是指两台设备同时正常工作时, 一条会话中的数据流进入内网和从内网出去所经过的设备必须相同, 即进入内网时经过双机热备中的一台设备,

19 会话双机热备配置配置项使能双机热备功能使能会话双机热备功能支持非对称路径备份说明设置使能或禁止设备的双机热备功能设置使能或禁止会话双机热备功能设置会话双机热备是否支持非对称路径备份不支持非对称路径备份 : 是指两台设备同时正常工作时, 一条会话中的数据流进入内网和从内网出去所经过的设备必须相同, 即进入内网时经过双机热备中的一台设备, 从内网出去时经过的设备是进入时经过的设备支持非对称路径备份 : 是指两台设备同时正常工作时, 一条会话中的数据流进入内网和从内网出去所经过的设备可以不同, 即进入内网时经过双机热备中的一台设备, 从内网出去时经过的设备可以是进入时经过的设备, 也可以是另一台设备此设置在双机热备的两台设备上必须一致双机配置同步功能支持此设置的同步 18

20 目录会话管理特性基础及实现原理会话管理典型组网及典型配置会话管理常见问题及注意事项

21 FAQ Q: 关于会话表项中会话层协议老化时间设置是否有推荐值? A: 会话表项的老化时间设置在大多数设置部署场景中保持默认值即可在个别部署场景中, 设备上的实时并发连接持续较高甚至接近最大并发连接数时, 可以通过适当减小老化时间, 以达到降低并发连接数的目的, 但切勿设置过短的老化时间 20

22 FAQ Q: 关于会话表项中应用层协议老化时间设置是否有推荐值? A: 会话表项的应用层协议老化时间设置在大多数设置部署场景中保持默认值即可在个别部署场景中, 当设备上处理的业务流量以 DNS 业务为主时, 可以适当减小 DNS 会话老化时间以减少设备实时并发连接数在启用了 ALG DNS 的情况下, 可以调整为 5 秒 21

23 FAQ Q: 会话长连接有什么应用场景 A: 会话长连接仅对由 TCP 承载的应用有效部分应用层软件在 TCP 连接建立并进入 ESTABLISHED 状态后, 存在长时间无任何数据传输且不发送 TCP 保活报文的情形配置长连接可以避免防火墙在 TCP EST 老化时间到期后, 主动删除对应会话表项致使连接中断的问题须注意配置长连接时必须使用 ACL 精确限定发起方五元组, 避免设备上建立大量长时间不老化的连接 Q: 启用单向流检测对设备是否有影响 A: 启用单向流检测后, 部分业务功能将无法支持 ( 如 ASPF 将无法支持非 SYN 的 TCP 首包检查等 ), 系统安全性将会降低请根据网络环境决定是否启用单向流检测, 如果网络中有单向流存在, 则应启用单向流检测, 否则将无法正确处理单向流 ; 如果网络中没有单向流存在, 则应关闭单向流检测, 以免影响系统的安全性 22

24 FAQ Q: 如何查看会话表项相关的详细信息 A: 在设备 Web 页面的防火墙 - 会话管理 - 会话列表中, 根据条件筛选出需要查看的会话表项后, 可以通过单击查看会话详细信息按键 ( 放大镜 ) 查看 ; 在命令行中, 可以通过携带 verbose 参数的 display session table 命令查看会话详细信息 23

25 FAQ Q: 如何查看会话表统计信息 A: 在设备 Web 页面的防火墙 - 会话管理 - 会话统计中, 可以查看全局统计信息等会话相关统计数据 ; 在命令行中, 可以 display session table 命令查看会话详细信息 24

26 本章总结会话管理技术概述及实现原理会话管理典型配置和应用场景会话管理常见问题和注意事项

27 杭州华三通信技术有限公司

Chapter #

Chapter # 第三章 TCP/IP 协议栈本章目标通过本章的学习, 您应该掌握以下内容 : 掌握 TCP/IP 分层模型掌握 IP 协议原理理解 OSI 和 TCP/IP 模型的区别和联系 TCP/IP 介绍主机主机 Internet TCP/IP 早期的协议族全球范围 TCP/IP 协议栈 7 6 5 4 3 应用层表示层会话层传输层网络层应用层主机到主机层 Internet 层 2 1 数据链路层