- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
11-会话管理配置
本章节下载： 11-会话管理配置 (170.98 KB)
目 录
会话管理是为了实现NAT（Network Address Translation，网络地址转换）、ASPF（Advanced Stateful Packet Filter，高级状态包过滤）、攻击检测及防范等基于会话进行处理的业务而抽象出来的公共功能。此功能把传输层报文之间的交互关系抽象为会话，并根据发起方和响应方的报文信息对会话进行状态更新和老化，支持多个业务特性分别对同一个业务报文进行处理。
· 支持对ICMP/ICMPv6差错控制报文的解析以及根据解析结果进行会话的匹配。
会话管理主要基于传输层协议对报文进行检测。其实质是通过检测传输层协议信息来对连接的状态进行跟踪，并对所有连接的状态信息进行基于会话表和关联表的统一维护和管理。
客户端向服务器发起连接请求报文的时候，系统会创建一个会话表项。该表项中记录了一个会话所对应的请求报文信息和回应报文信息，包括源IP地址/端口号、目的IP地址/端口号、传输层协议类型、应用层协议类型、会话的协议状态等。对于多通道协议（特指部分应用协议中，客户端与服务器之间需要在已有连接基础上协商新的连接来完成一个应用），会话管理还会根据协议的协商情况，创建一个或多个（由具体的应用协议决定）关联表表项，用于关联属于同一个应用的不同会话。关联表项在多通道协议协商的过程中创建，完成对多通道协议的支持后即被删除。
在实际应用中，会话管理作为公共功能，只能实现连接状态的跟踪，并不能阻止潜在的攻击报文通过。会话管理配合ASPF特性，可实现根据连接状态信息动态地决定是否允许数据包通过防火墙进入内部区域，以便阻止恶意的入侵。
· 支持对各协议报文创建会话、更新会话状态以及根据协议状态设置老化时间。
· 支持应用层协议的端口映射（参见“安全配置指导”中的“APR”），允许为应用层协议自定义对应的非通用端口号，同时可以根据应用层协议设置不同会话老化时间。
· 支持ICMP/ICMPv6差错报文的映射，可以根据ICMP/ICMPv6差错报文携带的信息查找原始的会话。
· 支持设置长连接会话，保证指定的会话在一段较长的时间内不会被老化。
· 支持应用层协议（如FTP）的控制通道和动态数据通道的会话管理。
会话管理支持的配置包括：协议状态的会话老化时间、应用层协议的会话老化时间、长连接会话规则及删除会话。这些配置可根据实际应用需求选择进行，配置无先后顺序的要求，相互不关联。
长连接老化时间仅在TCP会话进入稳态（TCP-EST状态）时生效。在会话稳态时，长连接老化时间具有最高的优先级，其次为应用层协议老化时间，最后为协议状态老化时间。
当会话数目过多时（大于80万条），建议不要将协议状态老化时间设置得过短，否则会造成设备响应速度过慢。
以下配置用于实现根据会话所处协议状态来设置会话表项的老化时间。处于某协议状态的会话，如果在该协议状态老化时间内未被任何报文匹配，则会由于老化而被系统自动删除。
|
· fin：30秒 · icmp-reply：30秒 · icmp-request：60秒 · rawip-open：30秒 · rawip-ready：60秒 · syn：30秒 · tcp-est：3600秒 · udp-open：30秒 · udp-ready：60秒 |
· 当会话数目过多时（大于80万条），建议不要将应用层协议会话的老化时间设置得过短，否则会造成设备响应速度过慢。
· 老化时间的修改需要结合实际的使用场景，避免过大或过小，从而影响会话协议报文的正常交互。例如，FTP协议的会话老化时间若小于FTP保活报文发送的间隔，会造成FTP连接无法正常建立。
对于进入稳定状态的会话（TCP会话进入TCP-EST状态，UDP会话进入UDP-READY状态），还可以根据会话所属的应用层协议类型设置老化时间。此类会话表项如果在一定时间内未被任何报文匹配，则会按照设置的应用层协议会话老化时间老化。对于进入稳定状态的其它应用层协议的会话表项，则仍然遵循协议状态的会话老化时间进行老化。
|
session aging-time application { dns | ftp | gtp | h225 | h245 | ils | mgcp | nbt | pptp | ras | rsh | rtsp | sccp | sip | sqlnet | tftp | xdmcp } time-value |
· DNS：60秒 · FTP：3600秒 · GTP：60秒 · H.225：3600秒 · H.245：3600秒 · ILS：3600秒 · MGCP：60秒 · NBT：3600秒 · PPTP：3600秒 · RAS：300秒 · RSH：60秒 · RTSP：3600秒 · SCCP：3600秒 · SIP：300秒 · SQLNET：600秒 · TFTP：60秒 · XDMCP：3600秒 |
针对进入TCP-EST状态的TCP会话，用户可以根据需要将符合指定特征的TCP会话设置为长连接会话。长连接会话的老化时间不会随着状态的变迁而更改，可以将其设置得比普通会话的老化时间更长，或者设置成永不老化。被设置成永不老化的长连接会话，只有当会话的发起方或响应方主动发起关闭连接请求或管理员手动删除该会话时，才会被删除。
|
session persistent acl [ ipv6 ] acl-number [ aging-time time-value ] |
会话业务热备功能实现了多台设备之间会话以及基于会话的业务（NAT、ALG、ASPF）的动态表项的热备份。互为备份的两台设备（通常为企业中心网关设备）对外提供一个虚拟IP地址与对端设备（通常为企业分支网关设备）进行通信。当一台设备出现故障时，利用相关冗余设备协商机制将当前设备上的业务流量切换到备份设备上继续进行业务的处理和转发，整个流量切换过程对于对端设备完全透明，不需要对端设备添加任何额外的配置。由于对动态表项进行了热备份，因此当业务流量从发生故障的设备切换到另一台设备后，并不会导致业务中断，可实现业务的平滑切换。
会话日志是为满足网络管理员安全审计的需要，对用户的访问信息、用户IP地址的转换信息、用户的网络流量信息等进行记录，并可采用日志的格式发送给日志主机或者输出到信息中心。
存活时间或收发数目达到一定阈值的会话才会以日志的形式进行记录并输出，该阈值包括以下两种类型：
· 时间阈值：当一个会话存在的时间达到设定的时间阈值时，输出会话日志。
· 流量阈值：分为报文数阈值和字节数阈值两种。当一个会话收发的报文数或字节数达到设定的流量阈值时，输出会话日志。
同时配置了时间阈值和流量阈值的情况下，只要有一个阈值到达，就会输出相应的会话日志，并将所有的阈值统计信息清零。
同时只能有一种流量阈值有效，以最后一次配置的阈值类型为准，例如，先配置报文数阈值再配置字节数阈值，则当前有效的阈值是字节数阈值，只会输出达到字节数阈值的会话日志。
在未指定相关阈值（流量阈值、时间阈值）的情况下，若会话日志功能处于使能状态，则仅在会话表创建和删除的时候分别输出一次会话日志。
|
session log enable { ipv4 | ipv6 } [ acl acl-number ] { inbound | outbound } |
|||
在完成上述配置后，在任意视图下执行display命令可以显示配置后会话的运行情况，通过查看显示信息验证配置的效果。
在用户视图下执行reset命令可以清除会话统计信息。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
