防火墙工作原理-数据包在防火墙中的传递过程.pdfVIP

防火墙工作流程 --数据包（流）在防火墙中的传递过程 Presentation_ID © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 博客地址 /1914756383/ Packet flow （流） 数据包（流）在防火墙中的传递过程 Presentation_ID © 2007 Ruijin Tech, Inc. All rights reserved. Ruijin Confidential 2 QQ邮件订阅 http://U/KUCqX2 “流” Presentation_ID © 2007 Ruijin Tech, Inc. All rights reserved. Ruijin Confidential 3 博客地址 /1914756383/ 数据包处理流程图 接下来的幻灯片都将引用下面的图例，这个流程图 将帮助我们更容易理解整个数据包的传递流程。 Presentation_ID © 2007 Ruijin Tech, Inc. All rights reserved. Ruijin Confidential 4 QQ邮件订阅 http://U/KUCqX2 数据包抵达接口  数据包进入防火墙的物理接口  增加Input counters 的数值  接口负荷的一个指标 software input queue  “no buffers”参数增长，表示数据流量过大，检查是不是异常数据流。 Presentation_ID © 2007 Ruijin Tech, Inc. All rights reserved. Ruijin Confidential 5 博客地址 /1914756383/ 匹配connection表项  首先查找存在的connection表项  如果数据包匹配存在的connection，则跳过ACL check和Match Xlate  如果数据包没有匹配connection  TCP non-SYN 数据包将被抛弃并被系统日志记录下  TCP SYN 或者UDP数据包则传递给ACL check Presentation_ID © 2007 Ruijin Tech, Inc. All rights reserved. Ruijin Confidential 6 QQ邮件订阅 http://U/KUCqX2 ACL检查  数据包首先经过ACL check处理  首先匹配ACL条目  数据包匹配ACL后，hit count加1.  Denied的数据包将被丢弃和记录日志 Presentation_ID © 2007 Ruijin Tech, Inc. All rights reserved. Ruijin Confidential 7 博客地址 /1914756383/ 匹配地址转换  首先数据包必须匹配转换规则  检查数据包的目的端口进行快速路由查找  转换规则可以是NAT control或者是no NAT control  NAT 配置定义何时执行转换规则  当转换规则匹配成功，则建立connection Presentation_ID © 2007 Ruijin Tech, Inc. All rights reserved. Ruij