锐捷防火墙（WEB）——高级功能——应用层网关ALG

最新推荐文章于 2024-04-30 17:51:04 发布

你可知这世上再难遇我

最新推荐文章于 2024-04-30 17:51:04 发布

阅读量1.8k

点赞数

分类专栏：锐捷网络文章标签：服务器网络运维 voip alg

本文链接：https://blog.csdn.net/weixin_57099902/article/details/133349916

版权

锐捷网络专栏收录该内容

390 篇文章 43 订阅

订阅专栏

Ⅰ ALG介绍

Ⅱ VOIP

Ⅲ VOIP目的映射

Ⅰ ALG介绍

一、ALG介绍

概念介绍

会话：记录了传输层报文之间的交互信息，包括源IP地址、源端口、目的IP地址、目的端口，协议类型和源/目的IP地址所属的VPN实例。交互信息相同的报文属于一条流，

通常情况下，一个会话对应正反两条流，一条流对应一个方向上的一个会话。

动态通道：当应用层协议报文中携带地址信息时，这些地址信息会被用于建立动态通道，后续符合该地址信息的连接将使用已经建立的动态通道来传输数据。

技术 ALG技术实现原理

ALG技术配合NAT特性可支持对报文载荷的地址转换功能；配合ASPF特性可支持动态通道的检测功能，以及对应用层的状态检测功能

对于多通道应用协议，IP报文数据载荷中携带了地址信息，在NAT的组网环境中，为保证后续动态通道的正确建立，这些数据载荷中的地址也需要进行转换，

ALG的作用就是对载荷中的地址进行转换。

如下是FTP的ALG应用

FTP报文载荷的ALG处理示意图

如图所示，私网侧的主机要访问公网的FTP服务器。NAT设备上配置了私网地址192.168.0.10到公网地址50.10.10.10的映射，实现地址的NAT转换，以支持私网主机对公网的访问。在该组网中，如果没有ALG对报文载荷的处理，私网主机发送的Port报文到达服务器端后，服务器无法识别该报文载荷中的私网地址，也就无法建立正确的数据连接。下面是应用了ALG的FTP连接建立过程。

(1) 首先，私网主机和公网FTP服务器之间通过TCP三次握手成功建立控制连接。

(2) 控制连接建立后，私网主机向FTP服务器发送Port报文，报文中携带私网主机指定的数据连接的目的地址和端口，用于通知服务器使用该地址和端口和自己进行数据连接。

(3) Port报文在经过支持ALG特性的NAT设备时，报文载荷中的私网地址和端口会被转换成对应的公网地址和端口。即，设备将收到的Port报文载荷中的私网地址192.168.0.10转换成

公网地址50.10.10.10，端口1024转换成5000。

(4) 公网的FTP服务器收到Port报文后，解析其内容，并向私网主机发起数据连接，该数据连接的目的地址为50.10.10.10，端口为5000。由于该目的地址是一个公网地址，因此后续的

数据连接就能够成功建立，从而实现私网主机对公网服务器的访问。

二、支持的协议

支持如下20种协议的ALG配置。

序号	name	port	protocol
1	pptp	1723	6
2	h323	1720	6
3	ras	1719	17
4	tns	1521	6
5	tftp	69	17
6	rtsp	554	6
7	rtsp	7070	6
8	rtsp	8554	6
9	ftp	21	6
10	mms	1863	6
11	pmap	111	6
12	pmap	111	17
13	sip	5060	17
14	dns-udp	53	17
15	rsh	514	6
16	rsh	512	6
17	dcerpc	135	6
18	dcerpc	135	17
19	mgcp	2427	17
20	mgcp	2727	17

三、配置ALG

在有ALG应用的环境下，如果发现ALG应用异常，需要查看此ALG应用是否已经做如下配置，并查看协议名，端口是否正确。

show system session-helper

查看现有ALG配置

config system session-helper

edit 1

set name pptp

set port 1723

set protocol 6

..........more

edit 14

set name dns-udp

set port 53

set protocol 17

............. more

edit 20

set name mgcp

set port 2727

set protocol 17

end

默认配置中共20个。删除DNS的ALG，命令如下：

config system session-helper

delele 14

end

四、增加非标准端口ALG

如果网络中存在非标准端口的与ALG相关的服务，则需要手动添加，比TCP 2021端口的FTP服务。

config system session-helper

edit 21 //不要与现网ID重复，也可以edit 0,系统自动编号

set name ftp

set port 2021 // FTP 协议使用的端口

set protocol 6 // 6 TCP协议， 17UDP协议

Ⅱ VOIP

一、组网需求

某公司使用基于SIP协议的语音系统。企业内部使用SIP话机，SIP sever 位于防火墙外部的某个节点之上。

SIP协议的特殊性，决定其需要被防火墙进行ALG处理，防止无法拨号或者单通等因为防火墙策略而带来的问题。

二、网络拓扑

三、配置要点

1、基本上网配置

2、配置VOIP策略

3、移动策略（可选）

4、配置SIP端口（可选）

四、操作步骤

1、基本上网配置

参照路由模式典型功能>>单线上网配置一节。

2、配置VOIP策略

（1）定义地址对象

页面：防火墙--地址--地址

（2）定VOIP策略

页面：防火墙--策略--策略

开启UTM功能，选择启用VOIP，选择default 配置文件。

3、移动策略（可选）

将策略移动到合适的位置，确保其被执行：

4、配置SIP端口（可选）

大多数 SIP 配置将 TCP 或 UDP 端口 5060 用于 SIP 会话，而将端口 5061 用于 SIP SSL 会话。如果 SIP 网络将其他端口用于 SIP 会话，则可以使用以下命令将 SIP ALG 配置为使用其他 TCP、UDP 或 SSL 端口进行侦听。例如，将 TCP 端口更改为 5064，将 UDP 端口更改为 5065，而将 SSL 端口更改为 5066。

RG-WALL#config system settings

RG-WALL (settings) #set sip-tcp-port 5064

RG-WALL (settings) #set sip-udp-port 5065

RG-WALL (settings) #set sip-ssl-port 5066

RG-WALL (settings) #end

也可以将 SIP ALG 配置为使用两个不同的 TCP 端口和两个不同的 UDP 端口来侦听 SIP 会话。例如，如果通过端口 5060 和 5064 接收 SIP TCP 流量而通过端口 5061 和 5065 接收 UDP 流量，则可以输入以下命令以通过所有这些端口接收 SIP 流量：

RG-WALL#config system settings

RG-WALL (settings) #set sip-tcp-port 5060 5064

RG-WALL (settings) #set sip-udp-port 5061 5065

RG-WALL (settings) #end

五、验证效果

使用SIP电话进行测试。