全国直销电话:4006-854-568
IT-technology
以人为本,众志成城,以“用户至上”.“服务上乘”为原则,
追求产品和服务高质量,努力实现与客户之间真诚有效的沟通,
不断地圆梦、奔跑与腾飞。
新闻动态   NEWS
18张图详解防火墙基本原理:安全区域、安全策略、会话表、Server-map等 -北京赛维博信科技发展有限公司
来源:本人摘自网络,如有侵权请联系删除 | 作者:svbx001 | 发布时间: 2023-07-21 | 1360 次浏览 | 分享到:

如果只靠延长这些业务所属协议的老化时间来解决这个问题,会导致一些同样属于这个协议,但是其实并不需要这么长的老化时间的会话长时间不能得到老化。


这会导致系统资源被大量占用,性能下降,甚至无法再为其他业务建立会话。所以必须缩小延长老化时间的流量范围。


长连接功能可以解决这一问题。长连接功能可以为这些特殊流量设定超长的老化时间。

Server-map

1、为什么会出现server-map表?

由于会话表对哪些报文属于同一条流量的标准过于严格,会导致一些特殊协议不能正确匹配会话表。


Server-map表可以解决这一问题。



例如使用FTP协议的port方式传输文件时:

  • 既需要客户端主动向服务器端发起控制连接;

  • 又需要服务器端主动向客户端发起服务器数据连接;

如果设备上配置的安全策略为允许单方向上报文主动通过,则FTP文件传输不能成功。

2、server-map表原理

通常情况下,如果在设备上配置严格的安全策略,那么设备将只允许内网用户单方向主动访问外网。


为了解决这一类问题,FW引入了Server-map表,Server-map用于存放一种映射关系。

  • 这种映射关系可以是控制数据协商出来的数据连接关系;

  • 也可以是配置NAT中的地址映射关系;


使得外部网络能透过设备主动访问内部网络。


生成Server-map表之后,如果一个数据连接匹配了Server-map表项,那么就能够被设备正常转发,并在匹配Server-map表后创建会话,保证后续报文能够按照会话表转发。


3、server-map表报文转发过程

防火墙收到报文后,如果没有命中会话表,防火墙则进入首包处理流程,查询是否命中server-map表


  • 如果命中,则生成会话表,转发报文;

  • 如果没有命中,则执行其他包处理流程。





 

服务热线

1391-024-6332