juniepr SRX 系列防火墙数据包处理流程

防火墙数据包处理流程

对于防火墙日常运维来说，最重要的就是了解防火墙的数据包处理流程,以及针对数据包处理流程的排查。防火墙数据包处理流程入下图：

• 针对到达防火墙的数据包进行流量监管
• 对放到防火墙的数据包进行过滤
• 检查是否匹配到现有会话，根据源地址，目的地址，源端口，目的端口，协议，唯一的会话token确定是否属于同一个会话。如果匹配到现有会话， 则跳过路由，策略查找过程，直接根据之前的会话信息进行转发。称为fast-path processing。fast-path processing 主要包括screen, TCP检查（检查SYN标志，序列号等信息），NAT检查等
• 如果没有匹配到会话，则进入screens流程，主要判断是否有攻击行为
• 检查是否匹配到静态NAT，如果是进行静态NAT后进入路由查找过程
• 检查是否匹配到目的NAT,如有匹配，进行目的NAT
• 进行路由查找，确定出入方向的端口和ZONE
• 检查ZONES时间段策略
• 是否匹配反向的static nat。因为static nat只定义了一个方向，该步骤是对反向方向的数据包进行NAT匹配检查。如果匹配则进入ALG流程。
  反向static nat举例：

set security nat static rul