HCIE-Security Day5：防火墙会话表和转发原理

信封同学

已于 2022-04-23 22:04:09 修改

阅读量6.3k

点赞数 4

分类专栏： HCIE-Security 文章标签：安全网络安全华为认证 HCIE

于 2022-02-10 13:58:18 首次发布

本文链接：https://blog.csdn.net/qq_36813857/article/details/122859456

版权

本文深入探讨了防火墙会话表的工作原理，包括会话表的查看、老化时间及其对设备性能的影响。同时，文章详细阐述了防火墙的转发流程，包括会话前的基本处理、会话中报文的处理以及会话后的流量转发。此外，还介绍了ASPF（应用层包过滤技术）的概念、多通道协议处理以及端口识别的重要性。

摘要由CSDN通过智能技术生成

会话表

会话表是一个记录TCP、UDP、ICMP等协议连接状态，实现报文正常转发的重要环节，是防火墙进行转发的唯一依据。

防火墙采用了基于状态的报文控制机制：只对首包或者少量报文进行检测就确定一条连接状态，大量报文直接根据所述连接的状态进行控制，这种状态检测机制迅速提高了防火墙的检测和转发效率。

而会话表正是为了记录连接的状态而存在的。设备在转发TCP\UDP\ICMP等报文时都需要查询会话表来判断该报文所属的连接以及相应的处理措施。

由于大量会话的存在会对设备资源造成很大的消耗，当超过规格限制时还会导致新会话无法建立，业务不能正常运行。所以必须及时对无用的连接进行清理。当一条会话在长时间没有被任何报文匹配，则说明该条会话所对应的连接可能已经关闭了，这条会话也就没有存在的必要了。所以FW为各种协议设定了会话老化机制。当一条会话在老化时间内没有被任何报文匹配，则会被从会话表中删除。

查看会话表信息

简要信息

display firewall session table #显示简要会话表项

Current Total Sessions : NUM

TYPE VPN:SRCVPN --> DSTVPN SRCIP --> DSTIP

详细信息

display firewall session table verbose #显示简要会话表项

Current Total Sessions : NUM

TYPE VPN:SRCVPN --> DSTVPN ID: ID-NUMBER

Zone: SRCZONE--> DSTZONE Remote TTL: TOTALTIME Left: LEFTTIME

Interface: OUTINTERFACE Nexthop: IP-ADDRESS MAC: MACADDRESS

<-- packets:NUMBER bytes:BYTES --> packets:NUMBER bytes:BYTES

SRCIP --> DSTIP PolicyName: POLICYNAME

TCP State: TCP State

清除信息

reset firewallfirewall session table#清除系统当前会话表项

详细参数含义

TYPE:该会话的协议类型。

VPN:SRCVPN --> DSTVPN

该会话的源VPN实例名称和目的VPN实例名称。PN指的是PN Instance，用在虚拟系统中，没有开启虚拟系统，就只有物理墙，默认都是public--->public，指从物理墙到物理墙。

ID: ID-NUMBER

该会话的ID号。自动生成，唯一确定一条会话。

Zone: SRCZONE--> DSTZONE

该会话的源安全区域名称和目的安全区域名称。

Remote

双机热备场景下，Remote说明当前会话是备份会话，该会话是从对端设备备份过来的。

TTL: TOTALTIME

会话表项总的存活时间。在路由交换中用于防止环路。在防火墙中指的是老化时间。

Left: LEFTTIME

会话表项剩余的存活时间。

老化时间的作用？

控制会话表条目，如果会话表条目太多或者频繁重新建立，都会影响设备转发性能。可以将老化时间理解为导致因为会话表存在而使得安全检查动态更新的原因。

如何查看协议的老化时间？

display firewall session aging-time

tcp：1200s

udp：120s

icmp：20s

syn:5s

fin-rst:10s

dns:30s

http:1200s

https:600s

tcp和udp的老化时间为什么不同？

因为tcp靠谱，需要3次握手才能建立会话，udp不靠谱，不需要建立会话。

老化时间能否修改？

可以。最大修改到65535s，即大约18小时。

firewall session aging-time service-set icmp 20000

老化时间包括系统预定义老化时间和自定义老化时间。

自定义老化时间

ip service-set test type object

service protocol 100

freiwall session aging-time service-set test 2000

display firewall session aging-time type user-defined

什么情况下会老化？

1、Left超时（老化时间到了)

2、内容安全检测到有病毒，会话表直接老化，加入黑名单

3、TCP会话结束，会发送FIN报文，fw收到第一个FIN报文（first-fin），老化时间变成900s，收到第二个FIN报文（fin-rst），老化时间变成10s

如果修改老化时间后，依然不能满足长时间的连接需求（最多18小时），比如ftp长时间下载或者长时间连接数据库。就需要开启长会话。