《Cisco安全防火墙服务模块(FWSM)解决方案》——2.7 软件架构-阿里云开发者社区

开发者社区> 开发与运维> 正文

《Cisco安全防火墙服务模块(FWSM)解决方案》——2.7 软件架构

简介:

本节书摘来异步社区《Cisco安全防火墙服务模块(FWSM)解决方案》一书中的第2章,第2.7节,作者:【美】Ray Blair ,Arvind Durai,更多章节内容可以访问云栖社区“异步社区”公众号查看

2.7 软件架构

Cisco安全防火墙服务模块(FWSM)解决方案
对于基于计算机的任何系统来说,另外一个组件就是软件。无论硬件多么复杂,如果没有安装操作系统,则它无异于一个发射器或纸镇1。

幸好FWSM拥有许多可以利用的特性和可以旋转的“傻瓜式旋钮”。理解软件如何处理流量只是一个基础,在下一节,你还需要花费大量的时间,以求对软件特性有一个非常详细的了解。

首先要对输入的数据包进行分段检查,如果有必要,将对数据包进行重组,然后再发送到“管理/路由”决策进程。该进程用来确定数据包是路由信息还是用于管理目的的数据包(比如Telnet、SSH或HTTPS)。如果数据包匹配该评判标准,将通过接口ACL,然后发送到会话管理进程并进行处理。

如果匹配评判标准,则第三方决策进程(TCP/UDP/ICMP)会把非TCP/UDP/ICMP数据包从那些需要进行目的网络地址转换(DNAT)、RPF校验和地址池分配的数据包中分离出去。为了验证数据包,还会对其执行ACL检查。

如果数据包是现有会话的一部分,那就会直接送至NAT进程并发送出去;否则,将执行ACL检查。如果有必要,数据包还会被发送到协议检测进程。协议检测进程(之前被称为“修正”协议)会对需要特别关注的数据包进行检测和修改,如下所示。

计算机电话集成快速缓冲区编码(CTIQBE):CTIQBE是Cisco私有的VoIP协议,用于电话应用编程接口(TAPI)和Java电话应用编程接口(JTAPI),以与呼叫管理器通信。
域名系统(DNS):DNS用于把主机名或域名转换成IP地址。
文件传输协议(FTP):FTP是一种用于在计算机之间交换文件的通信协议。
通用分组无线业务(GPRS)隧道协议(GTP):用于在节点之间传送信令与用户流量。 -H.323:H.323是国际电信联盟(ITU)推荐的用于多媒体通信的方法。
超文本传输协议(HTTP):HTTP是用于信息传输的协议。 - Internet控制消息协议(ICMP):ICMP用于交换控制、错误和信息消息。
Internet定位服务(ILS):ILS用于支持Microsoft的NetMeeting客户端。
媒体网关控制协议(MGCP):MGCP用于VoIP应用程序中的信令与控制。
网络基本输入/输出系统(NetBIOS):NetBIOS是计算机用来在相同的二层网络中进行通信的一种机制。 - 点对点隧道协议(PPTP):PPTP是一种跨越IP网络,对点对点(PPP)会话进行扩展的隧道协议。
远程Shell(RSH):RSH是用于远程执行命令的UNIX命令。 - 实时流传输协议(RTSP):**RTSP用于控制实时流量的数据交付。
会话初始化协议(SIP):SIP是一种用于多媒体会话的信令协议。
内部(Skinny)呼叫控制协议(SCCP):SCCP是一种用于VoIP应用程序通信的Cicso专有协议。
简单邮件传输协议(SMTP)/扩展简单邮件传输协议(ESMTP):这两个协议用于发送和接收E-mail消息。 - 简单网络管理协议(SNMP):SNMP是一种用于管理和监控网络设备的协议。
结构化查询语言SQL*Net/Net8:在客户端/服务器应用程序中用来进行数据库访问。
Sun远程过程调用(SunRPC):SunRPC是一种允许过程在另外一台计算机上运行的功能;它由Sun Microsystems公司开发。 - 简单文件传输协议(TFTP):TFTP是一种传输信息的机制。 - X显示管理器控制协议(XDMCP):XDMCP用于X终端与运行UNIX的工作站之间的通信。
这些应用要么已经在数据包的数据部分嵌入了IP地址、开放了辅助信道,要么需要对数据包的数据部分进行额外的检测。除非防火墙识别这些“特殊的应用程序”,否则这些应用程序可能无法正常工作,甚至防火墙会允许会这些应用程序的非必要访问。

从数据包的流动过程中可以看到,ACL不会检查属于已有会话的数据包,从实施的角度来看,这意味着如果允许流量从在接口之间传输,则它在刚开始时被ACL检查,但是返回流量(已经是已有会话的一部分)将不会再被检查。当允许访问服务或应用程序时,要记住这一点。

可以把这些服务部署在一个专用接口上,并创建一个无需在高级别接口上创建任何ACL,就能够允许流量从低级别接口(与安全等级相关,具体内容请见第4章)去往高级别端口(与安全等级相关,服务就是部署在高级别端口)的静态条目。由于会话已经建立,因此流量会正常返回。需要注意的是,没有配置ACL的高级别接口上不允许发起流量。该功能将人为配置错误的影响降至最低,并且不允许有权访问设备的人出于非法目的建立出站连接,从而增强了设备的安全性。

图2-3所示为决策进程的概述,用来帮助独立理解流量的传输。

544519da4815fc16d22e3084ab1f30c17e81f9d5

当流量从高级别接口向下低级别接口传输时,仍然需要ACL。关键点是流量要首先匹配现有会话。

理解了流量的传输过程、在传输中历经哪些组件,以及以哪种顺序穿过FWSM后,你在FWSM设计、实施与排错方面也将会取得长足进步。

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

分享:
开发与运维
使用钉钉扫一扫加入圈子
+ 订阅

集结各类场景实战经验,助你开发运维畅行无忧

其他文章