华为USG防火墙入门基础02_会话表

会话表的定义

        会话表是用来记录TCP、UDP、ICMP等协议连接状态的表项，是FW转发报文的重要依据。

会话表的作用

        FW采用了基于“状态”的报文控制机制：只对首包或者少量报文进行检测就确定一条连接的状态，大量报文直接根据所属连接的状态进行控制。这种状态检测机制迅速提高了FW的检测和转发效率。

        而会话表正是为了记录连接的状态而存在的。设备在转发TCP、UDP和ICMP报文时都需要查询会话表，来判断该报文所属的连接以及相应的处理措施。

说明

        UDP、TCP、ICMP ping报文、ICMPv6 ping报文、GRE、AH、ESP、IPIP、OSPF、RIP、BFD 等IP类协议报文会创建会话，ICMP差错报文、组播报文、广播报文、分片后续片报文、非IP类协议报文不建立会话。

会话老化

        对于一个已经建立的会话表表项，只有当它不断被报文匹配才有存在的必要。如果长时间没有报文匹配，则说明可能通信双方已经断开了连接，不再需要该条会话表项了。此时，为了节约系统资源，系统会在一条表项连续未被匹配一段时间后，将其删除，即会话表项已经老化。

        如果在会话表项老化之后，又有和这条表项相同的五元组的报文通过，则系统会重新根据安全策略决定是否为其建立会话表项。如果不能建立会话表项，则这个报文是不能被转发的。所以会话表老化时间的长短对系统转发有以下影响&#