Inside FortiOS: Application Control

Size: px

Start display at page:

Download "Inside FortiOS: Application Control"

铁赖
5 years ago
Views:

应用及流量控制白皮书 FortiOS 高级内容层检测技术提供了深度协议识别能力和基于自定义策略单 IP 地址协议类等多重因子的流量均衡和控制能力, 结合应用会话控制的管理, 提供了统一多维的带宽优化解决方案基本于深度检测的应用监控和管理互联网经过十几年的高速发展, 已经成为人们工作生活中不可缺少的一部分聊天软件网页视频 P2P 下载网上炒股 VoIP

UDP 端口来控制应用的方法已不再有效 FortiOS 的深度检测功能可以基于包特征识别应用, 阻止有害应用保障正常应用的同时, 还可以对每个单独的应用进行限速和认证 FortiOS 的应用控制功能结合基于内容的 UTM 功能包括入侵检测防病毒信息漏洞防护等, 可以为企业提供深层次的最全面的安全防护 FortiOS 应用控制传统防火墙只能通过源 / 目的 IP 地址

1 应用及流量控制白皮书 FortiOS 高级内容层检测技术提供了深度协议识别能力和基于自定义策略单 IP 地址协议类等多重因子的流量均衡和控制能力, 结合应用会话控制的管理, 提供了统一多维的带宽优化解决方案基本于深度检测的应用监控和管理互联网经过十几年的高速发展, 已经成为人们工作生活中不可缺少的一部分聊天软件网页视频 P2P 下载网上炒股 VoIP 语音等丰富多彩的互联网应用给我们带来便利的同时, 也带来了很多问题, 如员工上班时间使用与工作无关的应用严重影响了工作效率 P2P 下载让原本有限的带宽资源更加紧张等, 如何对互联网应用进行监视和控制如何提高带宽利用率已成为大多数企业急待解决的问题目前互联网上的应用很多都在浏览器中或其它应用程序中运行, 很多应用还可以使用多种端口传输, 因此, 通过在防火墙上禁止或允许应用的 TCP 和 UDP 端口来控制应用的方法已不再有效 FortiOS 的深度检测功能可以基于包特征识别应用, 阻止有害应用保障正常应用的同时, 还可以对每个单独的应用进行限速和认证 FortiOS 的应用控制功能结合基于内容的 UTM 功能包括入侵检测防病毒信息漏洞防护等, 可以为企业提供深层次的最全面的安全防护 FortiOS 应用控制传统防火墙只能通过源 / 目的 IP 地址端口识别网络流量, 并通过这些属性来对流量进行控制但如果需要对某种应用产生的流量进行控制, 传统的方法则无能为力每种应用产生的流量都有其相应的独一无二的特征值,FortiOS 应用控制功能可以识别出这些特征值, 并通过特征来定位流量是来自哪种应用应用控制功能基于入侵保护系统的协议解码器实现, 相比入侵保护功能, 应用控制功能界面更友好功能更丰富目前,FortiOS 的可以识别 1000 种以上的应用服务及协议 FortiOS 应用控制技术可以提供用户网络内各种应用占用网络带宽情况的图形报表通过分析可视化图形报表, 可对非法的应用进行阻止, 对允许通过的应用进行流量限制病毒检测入侵保护或其它可以针对应用开启的 UTM 功能应用程序使用排行榜根据当前流量情况实

每个传感器中都可以加入应用列表, 列表中的每个应用都可单独配置为允许禁止或监视在防火墙策略中应用不同的应用控制传感器, 可对不同的接口或网段启用不同的应用控制策略配置应用控制传感器时,

2 时展现, 除了可显示应用的流量会话排名外, 还可以显示应用流量对应的源目的 IP 地址应用控制功能不但可以应用于正常流量及 FortiGate 设备上终结的 IPSec 及 SSL VPN 流量, 还可以应用在经过 FortiGate 设备的 SSL 加密流量, 包括 HTTPS POP3S SMTPS 和 IMAPS 应用控制传感器应用控制功能可以支持创建多个应用控制传感器, 每个传感器中都可以加入应用列表, 列表中的每个应用都可单独配置为允许禁止或监视在防火墙策略中应用不同的应用控制传感器, 可对不同的接口或网段启用不同的应用控制策略配置应用控制传感器时, 可配置过滤器和应用条目过滤器可以通过应用的分类应用的厂商应用的行为及应用的技术类型等条件过滤出需要控制的应用而应用条目则配置需要控制的指定的某种应用, 或在应用中嵌套的应用, 如允许使用 QQ 聊天, 但禁止使用 QQ 传输文件

3 每个应用程序传感器还可以指定不包含在应用列表中的其它应用的处理方式如果不包含在列表中的应用被禁止, 则只有列表中应用才可以通过, 即创建了应用程序白名单默认方式为允许不包含在列表中的应用允许通过, 即创建了应用程序黑名单对网络安全要求很高的网络可以采取白名单的方式控制应用, 一般网络中可以使用黑名单方式可控制的应用程序 FortiOS 可识别的应用程序分为 19 大类, 超过 1000 种应用通过 FortiGuard 升级中心的自动升级服务, 可识别的应用还在不断增加中 FortiOS 应用分类包括 : IM( 即时通讯 ) P2P 僵尸网络数据库商用多媒体文件传输游戏 IP 协议网络服务协议命令代理远程访问工具条程序升级 VoIP Web Web-mail 备份支持的部分国内常见应用 : 分类商用游戏 IM P2P 多媒体应用名称分析家国泰君安钱龙海王星证券之星未来趋势赤壁游戏茶苑泡泡游戏中国游戏中心新浪游戏 QQ 对战平台天游新浪 UT QQ 游戏浩方对战平台搜狐游戏 QQ 飞车劲舞团星际争霸热血江湖巨人天龙八部梦幻西游魔域 VS 对战平台远航游戏中心 MSN 游戏魔兽争霸征途联众游戏魔兽世界诛仙百度 Hi MSN 新浪 UC 飞信网易泡泡搜狐搜 Q Google Talk QQ 阿里旺旺百宝 QQ 直播 PP 点点通百度下吧新浪 Web 电视 QQ 超级旋风 BT 新浪网络电视 Verycd 网站电驴 Skype 迅雷看看 FastTV 网络电视迅雷 POCO 沸点网络电视脱兔 TVUPlayer 六间房 QQ 视频搜狐电视 CCTV BoX RealPlayer 土豆酷 6 新浪视频电视蚂蚁 Mofile 在线视频 PPStream 优酷

硬件加速应用检测 FortiASIC 是构建 Fortinet 独有硬件平台的基础 FortiASIC 处理器是针对实际应用开发的系列产品, 它们或能够达到高速的网络处理性能, 或采用了智能的扫描引擎, 能够对安全应用内容层处理进行加速, 降低对 CPU 等系统资源的占用 FortiASIC 技术涵盖与 FortiOS 这样的经过安全加固的操作系统集成, 以达到高速处理和完善的安全体系 IPS

4 硬件加速应用检测 FortiASIC 是构建 Fortinet 独有硬件平台的基础 FortiASIC 处理器是针对实际应用开发的系列产品, 它们或能够达到高速的网络处理性能, 或采用了智能的扫描引擎, 能够对安全应用内容层处理进行加速, 降低对 CPU 等系统资源的占用 FortiASIC 技术涵盖与 FortiOS 这样的经过安全加固的操作系统集成, 以达到高速处理和完善的安全体系 IPS 采用采用了最新的 FortiASIC 网络处理器 (NP) 内容层处理器 (CP) 和多核处理器进行加速 FortiASIC-NP4 采用在线模式工作, 直接处理数据包, 对数据包负载均衡到 FortiGate-XG2 实现 IPS 加速处理其特点如下 : 接近线速处理任意大小的数据包应用特征值加载到 XG2 加速卡, 降低主 CPU 负担专业的 DDoS 升级不间断设备工作内容处理器是经过定制的处理器, 可以用来实现将已知的应用特征库与内存中待检测对象进行匹配内存中的待检测对象可以是数据包文件 ( 包括压缩文件 ) 等内容处理器专门进行协议识别和解析, 可以快速重组数据包, 扫描发现可疑的内容内容处理器并不直接接收数据, 它不串接在网络接口后面, 而是通过接受 CPU 的指令, 处理内容, 寻找威胁内容处理器能够加速应用特征的检测, 因为应用控制功能需要将数据内容与库文件进行比对有些人有误解, 以为 ASIC 是静态安全检测, 不能检测新的威胁但是实际上, 固化的部分是扫描逻辑结构, 而非特征值, 对新的安全威胁可以通过升级特征库来解决, 这样升级攻击特征就变得非常容易, 攻击特征可以像软件一样进行升级

FortiGuard 实时更新应用控制数据库 FortiOS 应用控制可以检测超过 1000 种不同的 Web 应用软件程序网络服务及通讯协议, FortiOS 对这些应用的识别, 是通过 FortiGuard 应用控制数据库实现的 FortiGuard 应用数据库是业界最大的应用数据库其中之一, 可以通过不断的更新识别新的应用和现在应用的新版本应用数据库从

则是针对有限的带宽, 规范适当的限制或规则, 以满足不同类型带宽使用者的需求令牌桶原理令牌桶算法是网络流量整形和速率限制中的算法典型情况下, 令牌桶算法用来控制发送到网络上的数据的数目, 并允许突发数据的发送令牌桶算法工作原理如下 : 如果把流量与桶相关联, 最大突发流量即是桶的最大容量, 即配置的最大带宽令牌指可用的带宽令牌以固定速率不断的加入到桶中,

5 FortiGuard 实时更新应用控制数据库 FortiOS 应用控制可以检测超过 1000 种不同的 Web 应用软件程序网络服务及通讯协议, FortiOS 对这些应用的识别, 是通过 FortiGuard 应用控制数据库实现的 FortiGuard 应用数据库是业界最大的应用数据库其中之一, 可以通过不断的更新识别新的应用和现在应用的新版本应用数据库从 FortiGuard 分布式网络中更新, 方式包括按需定时推送式更新在 FortiGuard 网站上, 有完整的支持应用程序列表及每个应用的详细信息 FortiGuard 应用控制站点有用户最多检测的前 10 名应用程序排行榜, 用户可以通过应用控制申请表申请新应用的签名或升级某个现有的签名带宽管理技术在缺乏有效管理的情况下, 有限的带宽将被滥用而带宽管理, 则是针对有限的带宽, 规范适当的限制或规则, 以满足不同类型带宽使用者的需求令牌桶原理令牌桶算法是网络流量整形和速率限制中的算法典型情况下, 令牌桶算法用来控制发送到网络上的数据的数目, 并允许突发数据的发送令牌桶算法工作原理如下 : 如果把流量与桶相关联, 最大突发流量即是桶的最大容量, 即配置的最大带宽令牌指可用的带宽令牌以固定速率不断的加入到桶中, 当到达桶容量上限时, 超出的令牌被丢弃每个令牌允许源发送一定数量的数据每发送一个包, 流量调节器就要从桶中删除与包大小相等的令牌数如果没有足够的令牌, 数据包会等待有足够的令牌或被丢弃最大的突发数据量等于桶的容量, 而实际流量根据当前桶内的令牌数量而不断变化令牌以固定速率生成, 数据包不断从桶中消耗令牌, 因此, 实际流量可能会小于桶的容量实际应用中, 突发值不是一个恒定值, 而是在不断变化

6 相关术语 QoS QoS(Quality of Service) 服务质量, 是网络的一种安全机制, 是用来解决网络延迟和阻塞等问题的一种技术在正常情况下, 如果网络只用于特定的无时间限制的应用系统, 并不需要 QoS, 比如 Web 应用, 或设置等但是对关键应用和多媒体应用就十分必要当网络过载或拥塞时,QoS 能确保重要业务量不受延迟或丢弃, 同时保证网络的高效运行 ToS Type of service (TOS) 服务类型, 是在 IP 头内一个 8 字节的区域, 通过延迟优先级可靠性和最小代价来决定哪些 IP 报文应该被优先传输路由器对路由表中的每一条路由都维护一个 TOS 值 TOS 值最低优先级是 0, 最高是 7 路由器尝试把报文的 TOS 与路由的 TOS 相匹配, 如果没有匹配的 TOS, 报文会被发送到值为 0 的 TOS 路由 DSCP Differentiated Services 差分服务, 是描述端到端 QoS 的功能传统的 Internet 网络提供是尽力而为服务,IP 层无法保证业务的 QoS 要求, 端到端 QoS 保障要通过传输控制协议 (TCP) 层来实现差分服务代码点 (DSCP) 是在一个 IP 分组中的域, 其使不同水平的服务分配到不同的网络通信中 DSCP 在每个数据包 IP 头部的服务类别 TOS 标识字节中, 利用已使用的 6 比特和未使用的 2 比特字节, 通过编码值来区分优先级通过键入 DSCP 值, 电话 Windows 客户和服务器等终端设备也可对流量进行标识 FortiOS 带宽管理技术 FortiGate 可通过以下技术对 H.323 TCP UDP ICMP ESP 等服务实现 QoS, 入口流量限制丢弃不符合带宽限制的数据包流量整形确保流量至少占用指定的保证流量速率范围, 或确保流量不能超过给定的宽带最大值超过最大速率限制的流量将由流量策略进行控制队列对物理接口的数据包, 按指定优先级队列进行传输在低优先队列中的流量被传输前, 高优先级流量要先传输完成 DSCP 定义 DSCP 值, 修改该 IP 地址段或服务的 QoS 转发模式

入口流量策略流量到达某接口时,FortiGate 开始处理流量当流量很高时, 防火墙策略需要根据优先级进行数据包丢弃, 接着还需要处理数据包应用层过滤等, 浪费了大量系统资源为了避免这种浪费, 可在 FortiGate 上配置数据包在源接口上直接丢弃, 不需要进行防火墙策略处理带宽保证限制及优先级流量整形包括流量策略强制带宽限制及优先级队列调节如果配置了优先级,FortiGate

7 入口流量策略流量到达某接口时,FortiGate 开始处理流量当流量很高时, 防火墙策略需要根据优先级进行数据包丢弃, 接着还需要处理数据包应用层过滤等, 浪费了大量系统资源为了避免这种浪费, 可在 FortiGate 上配置数据包在源接口上直接丢弃, 不需要进行防火墙策略处理带宽保证限制及优先级流量整形包括流量策略强制带宽限制及优先级队列调节如果配置了优先级,FortiGate 对流出的数据包进行优先级分类, 根据优先级把数据包分配置在 FIFO 队列中每个物理接口有 6 个优先级队列每个物理接口的 6 个队列是从队列 0 到队列 5,0 是最高级别队列管理访问流量一直使用队列 0 没有匹配防火墙策略流量整形的流量可能会使用队列使用哪个队列依赖于数据包配置的 ToS byte 值匹配防火墙策略流量整形的流量可能使用任意队列使用哪个队列依赖于是否数据包流量低于保证带宽 ( 队列 0), 或高于保证带宽 ( 队列 1 到 5, 依赖于防火墙策略流量优先级值与匹配 Tos Byte 优先级的总合 ) 数据包速率超过最大宽带限制将被丢弃

DSCP FortiOS 可以改变策略中允许通过的数据包的 DSCP 值网络中的其它设备可以用标记的 DSCP 值实现分类标记整形及智能队列 FortiGate 可以对进出双向流量配置不同的 DSCP FortiOS 带宽管理实现方式 FortiOS 支持对可识别的应用进行流量控制, 有效的缓解了有害应用对企业带宽的占用

8 DSCP FortiOS 可以改变策略中允许通过的数据包的 DSCP 值网络中的其它设备可以用标记的 DSCP 值实现分类标记整形及智能队列 FortiGate 可以对进出双向流量配置不同的 DSCP FortiOS 带宽管理实现方式 FortiOS 支持对可识别的应用进行流量控制, 有效的缓解了有害应用对企业带宽的占用但互联网上的应用成千上万, 不可能确保每种应用都能被识别, 因此基于应用的带宽管理有也一定的局限性在企业中, 要实现有效的带宽管理, 需要通过多种方法实现 FortiOS 支持三种类型的流量管理方式 : 共享流量整形基于安全策略的带宽管理每 IP 流量整形基于每个用户 IP 地址的带宽管理应用流量整形基于应用的带宽管理

当三种流量整形方式在同一条安全策略中同时启用时, 这三种方式将同时生效, 它们的优先级从高到低的次序为应用流量整形共享流量整形每 IP 流量整形 FortiOS 可以对每 IP 的带宽使用情况进行统计, 并给出图形报表通过每 IP 带宽使用报表, 结合应用程序使用排行报表, 可以让用户方便的定义适合自身业务要求的带宽管理策略 FortiOS 会话控制 FortiOS

9 当三种流量整形方式在同一条安全策略中同时启用时, 这三种方式将同时生效, 它们的优先级从高到低的次序为应用流量整形共享流量整形每 IP 流量整形 FortiOS 可以对每 IP 的带宽使用情况进行统计, 并给出图形报表通过每 IP 带宽使用报表, 结合应用程序使用排行报表, 可以让用户方便的定义适合自身业务要求的带宽管理策略 FortiOS 会话控制 FortiOS 能对网络当中的异常流量进行处理, 例如对特定源或目的的会话进行限制会话控制功能支持 TCP/UDP /ICMP 协议, 防止各种蠕虫病毒 DoS 攻击 P2P 应用及其它一切可能产生大量垃圾会话, 消耗系统资源和网络带宽的行为比如可以对某网段所有用户的源 TCP 和 UDP 会话限制为 100, 则该网段用户即使使用 P2P 或感染了蠕虫病毒, 最多也只能同时对外发出 100 个会话, 不会对网络造成严重危害

10 FortiOS 可以提供用户会话排行榜图形报表功能, 通过会话排行榜, 可以方便直观的对网络内当前会话情况进行监控当某用户因感染蠕虫产生大量会话, 造成网络通讯异常时, 会话排行榜可以快速定位故障源头, 方便即时排除故障

MASQUERADE # iptables -t nat -A POSTROUTING -s / o eth0 -j # sysctl net.ipv4.ip_forward=1 # iptables -P FORWARD DROP #

MASQUERADE # iptables -t nat -A POSTROUTING -s / o eth0 -j # sysctl net.ipv4.ip_forward=1 # iptables -P FORWARD DROP # iptables 默认安全规则脚本一 #nat 路由器 ( 一 ) 允许路由 # iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT ( 二 ) DNAT 与端口转发 1 启用 DNAT 转发 # iptables -t nat -A PREROUTING -p tcp -d 192.168.102.37 dprot 422 -j DNAT to-destination