当前位置：首页 > news >正文

网络安全学习 day5

news 来源：原创 2025/5/14 6:16:12

状态检测和会话技术

状态检测以 “ 数据流量 ” 为单位来对报文进行检测和转发。即对一条流量的第一个报文进行包过滤规

则检查，并将判断结果作为这条流量的 “ 状态 ” 记录下来 。对于该条流量的后续报文，直接根据这个 “ 状态 ”来判断是否转发还是丢弃，而不会再次检查报文的内容。

总结：

在状态检测防火墙之前，包过滤防火墙只根据设定好的静态规则来判断是否允许报文通过，它认为

报文都是无状态的独立个体，不关注报文产生的前后因果。

这一点，就要求如果是包过滤防火墙，就必须在每一个方向上都配置一条规则，来放通流量信

息。

存再状态检测防火墙之后， 使用基于连接状态的检测机制，将通信双方之间交互的属于同一个连接

的所有报文都作为整体的数据流来对待 。

会话

会话 ---> 指的是通信双方的连接在防火墙上的具体体现 。

一条会话就标识通信双方的一个连接，而防火墙上允许多条会话的存在，此时的集合被称为 会话表

（ Session table ）。

会话表是由基本的五元组信息组成的。 ---> 只要这五个参数相同的报文，防火墙就认为是相同的一条 连接。

在某些特殊的协议中，是不存在端口信息，例如 ICMP 协议。防火墙会使用一些固定的数值来充当端口号。其中2048 为 ICMP 协议的目的端口。

TTL 是每一个会话动态生成的，不是永久存在的。

数值不固定。常见 ICMP-20S ； HTTP-10S ； DNS-30S 。

SQL 数据库 ---- 长连接 ；在某些场景中，会话的老化时间可能远小于数据报文交互的时间间隔，

导致会话提前老化。为了解决该问题，提出了延长老化时间的方式，为长连接。

判断一个 TCP 连接的依据，防火墙就依靠于 SYN 字段。即将 SYN 报文称为 TCP 连接的首包 。

对于 TCP 协议而言， 防火墙只有收到 SYN 报文并且配置的规则允许该 SYN 报文通过时，才会建

立会话。且后续的 TCP 报文匹配会话直接转发 。

如果防火墙没有收到 SYN 报文，而是直接收到了 SYN+ACK 报文或 ACK 报文。 是不会创建会话，

且直接丢弃报文 。

内部LAN网访问外部网络的请求直接通过路由器到达外网。
而外部的回应报文，先经过路由器转发给防火墙，由防火墙处理后再转发给路由器，最后发送给内部网
络。

此时，防火墙无法收到 SYN 报文，只能收到 SYN+ACK 报文。 这种通信双方交互的报文不同时经过防 火墙的情况，被称为报文来回 路径不一致场景 。 --- 问题点在于防火墙会阻断 SYN+ACK 报文的流量。

解决方案：关闭状态检测功能 。关闭该功能后，防火墙会回到 包过滤时代 。在该阶段，防火墙会对

SYN+ACK 报文进行规则过滤，如果动作为允许，则放通流量，且建立 会话表 。

会话表的建立，是基于数据报文通过了安全策略的检查，就会建立会话信息。但是在状态检测阶

段，只有第一个报文才会被安全策略检查；而在包过滤阶段，所有报文都会被检查 。

状态检测机制开启时，只有首包才会建立会话，后续报文匹配会话。

状态检测机制关闭时，即使首包没有经过防火墙，后续报文只要通过防火墙，也可以生成会话

ASPF

FTP 协议 --- 文件传输协议

FTP 采用典型的 C/S 架构， 客户端通过 TCP 与服务端建立连接后，实现文件的上传和下载功能 。

在 FTP 传输数据的过程中，需要服务器和客户端建立 控制连接 和 数据连接 。

控制连接：用来传输 FTP 指令和参数

数据连接：用来获取目录和传输数据

FTP 是一个典型的多通道协议 。默认情况下， FTP 协议使用 TCP 端口 20 和 21 端口；其中 20 用于传输

数据， 21 用于传输控制信息 。 是否使用 20 端口来建立数据链路与 FTP 的传输模式有关 。

传输模式 ---POST 模式

1. 客户端随机选取一个端口 X ，通过 TCP 向服务器的 21 端口发送请求，建立 控制通道 。

该通道一旦建立，后续无论上传、下载等任何操作的 指令信息 都会通过该控制通道来传输。

此时使用三次握手来建立 TCP 连接

2. 当涉及到上传、下载操作时 。

客户端会再一次 随机一个端口 Y ，通过 控制通道 通知给服务器。

目的，是告知服务器，请求建立一个数据通道。但是，此时的 TCP 的 SYN 报文不是客户端发送

的。

3. 服务器收到通知后，通过本地的 20 端口主动连接客户端的端口 Y ，从而建立数据通道。

从而传输数据。

注意：数据通道不是 FTP 一开始就会建立的，而是只有涉及数据传输时才会建立 。

传输模式 --- 被动模式 PASV

1. 与主动模式相同，客户端客户端随机选取一个端口 X ，通过 TCP 向服务器的 21 端口发送请求，建立控 制通道 。

2. 当涉及到上传、下载操作时 。

客户端会通过控制通道，通知服务端，自己想要建立数据通道的请求。

服务端收到该通知请求后，会在本地随机一个端口 Z ，继续通过控制通道告知给客户端。

3. 客户端收到服务端回应后，在本地随机一个端口 Y ，向对端端口 Z 发送 SYN 报文，建立 数据通道 。

被动模式 ---- 解决了客户端隐藏在防火墙背后，无法建立数据通道的弊端 。

在防火墙的认知中，服务 FTP 所代表的就是放通 21 号端口，而通过被动模式建立时， C/S 的端口号都 是 1024 以上的随机端口。导致防火墙无法放通 。 --- 并且，此时是一个全新的 TCP 连接，对于防火墙而言，没有与之对应的会话表，也不会放通流量。---- 解决思路： ASPF 机制。

ASPF--- 针对应用层的包过滤技术

多通道协议 --- 特点就是先在控制隧道中协商后续通道使用的参数，然后根据协商结果来建立数据通

道。由于数据通道的地址和端口是动态的，管理员无法预知，故无法编写策略规则。导致无法建立数据通道。

原理：检测报文的应用层协议， 记录应用层信息 中携带的关键数据，使得某些在安全策略中没有明

确定义要放通的报文也能够正常转发 。 --- 记录应用层协议的表项被称为 “server-map” 表。 逻辑：报文命 中该表单后，不再收到安全策略的控制，相当于在防火墙上开启了一条 “ 隐形通道 ” 。

server-map 表单通道，不要随意开启。

server-map 表和会话表的区别

会话表中的会话时记录通信双方的连接在防火墙上的具体体现，其作用是记录通信双方的连接状

态。

防火墙为某条连接的首包，生成会话后，该连接的后续报文命中会话后直接转发，不受安全策

略控制。

而 server-map 表记录的不是当前连接的信息，而是防火墙预测的信息，未来的报文的特征 。

从处理流程上看，防火墙收到报文后，先检查报文是否命中会话表，如果命中，则直接转发；如果

没有命中，则说明是报文首包，接下来会查看是否命中 server-map 表， 如果命中由 ASPF 机制生成

的 Server-map 表 ，则报文不再收到安全策略的控制，会直接生成相应的会话表，并转发数据 。

Server-map 表和会话表作为防火墙上最重要的表单，两者作用不同，不能相互替代 。

1、域间开启
[FW]firewall interzone trust dmz
[FW-interzone-trust-dmz]detect ftp
2、全局开启
[FW]firewall detect ftp ---与web界面操作相同

默认情况下，FTP协议的ASPF功能是开启的

相关文章：