ASPF（Application Specific Packet Filter）

最新推荐文章于 2023-04-17 08:52:44 发布

weixin_33720452

最新推荐文章于 2023-04-17 08:52:44 发布

阅读量631

点赞数 1

文章标签：前端网络 ViewUI

原文链接：https://yq.aliyun.com/articles/517904

版权

本文介绍ASPF(Application Specific Packet Filter)如何帮助FTP服务穿越防火墙，解决数据连接问题。通过配置ASPF，防火墙可以自动创建Server-map表项，实现对FTP协议中临时协商端口的数据连接支持。

摘要由CSDN通过智能技术生成

ASPF

ASPF（Application Specific Packet Filter）是针对应用层的包过滤，其原理是检测通过设备的报文的应用层协议信息，记录临时协商的数据连接，使得某些在安全策略中没有明确定义要放行的报文也能够得到正常转发。

通过以下实验说明，ASFP：

FTP客户端经过防火墙访问FTP服务器
ASPF（Application Specific Packet Filter）

配置完成后，尝试登陆FTP服务器，可以正常登陆，但是不能够正常进行数据连接。

查看会话状态：
ASPF（Application Specific Packet Filter）

已经成功建立session会话。

FTP协议是一个典型的多通道协议，在其工作过程中，FTP Client和FTP Server之间将会建立两条连接：控制连接和数据连接。控制连接用来传输FTP指令和参数，其中就包括建立数据连接所需要的信息；数据连接用来获取目录及传输数据。数据连接使用的端口号是在控制连接中临时协商的。

根据数据连接的发起方式FTP协议分为两种工作模式：主动模式（PORT模式）和被动模式（PASV模式）。主动模式中，FTP Server主动向FTP Client发起数据连接；被动模式中，FTP Server被动接收FTP Client发起的数据连接。

FTP主动模式：
ASPF（Application Specific Packet Filter）

FTP客户端向FTP服务器的21端口发起连接建立控制通道
客户端通过PORT命令协商客户端使用的数据传输端口号。
协商成功后，服务器主动向客户端的这个端口号发起数据连接。而且每次数据传输都会协商不同的端口号。

服务器向客户端发起数据连接的源/目的端口号分别是20和临时协商的端口号yyyy，显然不是这条连接的后续报文，无法命中此会话转发。因此会出现可以验证用户密码，但是无法获取目录列表的现象。

可以新增策略，放行服务器到客户端方向的安全策略，但是这样必须开放客户端的所有端口有安全隐患。

别急，万能的防火墙都能实现。这就是本期要出场的神秘人物ASPF（Application Specific Packet Filter）。ASPF是针对应用层的包过滤，其原理是检测通过设备的报文的应用层协议信息，记录临时协商的数据连接，使得某些在安全策略中没有明确定义要放行的报文也能够得到正常转发。

记录临时协商的数据连接的表项称为Server-map表1，这相当于在防火墙上开通了“隐形通道”，使得像FTP这样的特殊应用的报文可以正常转发。当然这个通道不是随意开的，是防火墙分析了报文的应用层信息之后，提前预测到后面报文的行为方式，所以才打开了这样的一个通道。

Server-map表在防火墙转发中非常重要，不只是ASPF会生成，NAT Server、SLB等特性也会生成Server-map表，后续在其他帖子中强叔还会提及。

只需要在域间配置增加detect ftp即可

ASPF（Application Specific Packet Filter）

此时查看Server-map，可以看到已经自动生成了维护FTP数据连接的表项：
ASPF（Application Specific Packet Filter）

Server-map表中记录了FTP服务器向FTP客户端的2071端口号发起的数据连接，服务器向客户端发起数据连接时将匹配这个Server-map表转发，而无需再配置反向安全策略。

数据连接的第一个报文匹配Server-map表转发后，防火墙将生成这条数据连接的会话，该数据连接的后续报文匹配会话表转发，不再需要重新匹配Server-map表项。

正常访问，防火墙session状态：

ASPF（Application Specific Packet Filter）
Server-map表项由于一直没有报文匹配，经过一定老化时间后就会被删除。这种机制保证了Server-map表项这种较为宽松的通道能够及时被删除，保证了网络的安全性。当后续发起新的数据连接时会重新触发建立Server-map表项。