防火墙工作原理-数据包在中传递过程.pdfVIP

工作流程

--数据包（流）在中的传递过程

Presentation_ID©2007CiscoSystems,Inc.isco

Packetflow（流）

数据包（流）在中的传递过程

Presentation_ID©2007RuijinTech,Inc.uijin2

“流”

Presentation_ID©2007RuijinTech,Inc.uijin3

数据包处理流程图

接下来的幻灯片都将下面的图例，这个流程图

将帮助我们更容易理解整个数据包的传递流程。

Presentation_ID©2007RuijinTech,Inc.uijin4

数据包抵达接口

数据包进入的接口

增加Inputcounters的数值

接口负荷的一个指标softwareinputqueue

“nobuffers”参数增长，表示数据流量过大，检查是不是异常数据流。

Presentation_ID©2007RuijinTech,Inc.uijin5

匹c表

配onnection项

首先查找存在的connection表项

如c，A和M

果数据包匹配存在的onnection则跳过CLcheckatchXlate

如c

果数据包没有匹配onnection

TCPnon-SYN数据包将被抛弃并被系统日志记录下

T或U数A

CPSYN者DP据包则传递给CLcheck

Presentation_ID©2007RuijinTech,Inc.uijin6

A检

CL查

数据包首先经过ACLcheck处理

首先匹配ACL条目

数据包匹配ACL后，hitcount加1.

Denied的数据包将被丢弃和记录日志

Presentation_ID©2007RuijinTech,Inc.uijin7

匹配地址转换

首先数据包必须匹配转换规则

检查数据包的目的端口进行快速路由查找

转换规则可以是NATcontrol或者是noNATcontrol

NAT配置定义何时执行转换规则

当转换规则匹配成功，则建立connection

Presentation_ID©2007RuijinTech,Inc.uijin8

度包检查

Inspections用于检查协议的一致性

(可选)自定义AIC检查

NAT保障报文里的地址和ip头地址一致

对应用层数据包的补充检查

(可选)数据包传给内容安全和控制(CSC)