Aplicativos ALG

Chamadas de saída

Quando uma chamada SIP é iniciada com uma mensagem de solicitação de SIP do interno para a rede externa, o NAT substitui os endereços IP e os números de porta no SDP e vincula os endereços IP e os números de porta ao firewall Juniper Networks. Os campos de cabeçalhos SIP via contato, rota e rota de registro, se presentes, também estão vinculados ao endereço IP do firewall. A ALG armazena esses mapeamentos para uso em retransmissões e para mensagens de resposta SIP.

O SIP ALG então abre buracos no firewall para permitir a mídia através do dispositivo nas portas dinamicamente atribuídas negociadas com base em informações nos campos de cabeçalho via, contato e rota de registro. Os pinholes também permitem que os pacotes de entrada cheguem aos endereços e portas IP de contato, via e registro de rota. Ao processar o tráfego de retorno, a ALG insere os campos SIP originais de contato, via, rota e rota de registro de volta em pacotes.

Chamadas recebidas

As chamadas recebidas são iniciadas da rede pública para endereços NAT estáticos públicos ou para interface de endereços IP no dispositivo. NATs estáticos são endereços IP configurados estaticamente que apontam para hosts internos; os endereços IP da interface são registrados dinamicamente pela ALG enquanto monitora as mensagens REGISTER enviadas por hosts internos ao registrador SIP. Quando o dispositivo recebe um pacote SIP de entrada, ele configura uma sessão e encaminha a carga do pacote para o SIP ALG.

A ALG examina a mensagem de solicitação de SIP (inicialmente um CONVITE) e, com base em informações no SDP, abre portões para a mídia de saída. Quando uma mensagem de resposta 200 OK chega, o SIP ALG executa NAT nos endereços e portas IP e abre buracos na direção de saída. (Os portões abertos têm pouco tempo de vida, e eles saem se uma mensagem de resposta 200 OK não for recebida rapidamente.)

Quando uma resposta de 200 OK chega, o proxy SIP examina as informações do SDP e lê os endereços IP e os números de porta para cada sessão de mídia. O SIP ALG no dispositivo executa NAT nos endereços e números de porta, abre buracos para tráfego de saída e atualiza o tempo limite para portões na direção de entrada.

Quando o ACK chega para o 200 OK, ele também passa pelo SIP ALG. Se a mensagem contém informações de SDP, o SIP ALG garante que os endereços IP e os números de porta não sejam alterados em relação ao CONVITE anterior — se forem, o ALG apaga pinholes antigos e cria novos pinholes para permitir que a mídia passe. A ALG também monitora os campos DE VIA, contato e rota de registro e abre novos pinholes se determinar que esses campos mudaram.

Chamadas encaminhadas

Uma chamada encaminhada é quando, por exemplo, o usuário A fora da rede chama o usuário B dentro da rede, e o usuário B encaminha a chamada para o usuário C fora da rede. O SIP ALG processa o CONVITE do usuário A como uma chamada de entrada normal. Mas quando a ALG examina a chamada encaminhada de B para C fora da rede e percebe que B e C são alcançados usando a mesma interface, ele não abre buracos no firewall, porque a mídia fluirá diretamente entre o usuário A e o usuário C.

Rescisão de chamadas

A mensagem BYE encerra uma chamada. Quando o dispositivo recebe uma mensagem BYE, ele traduz os campos de cabeçalho da maneira como faz para qualquer outra mensagem. Mas como uma mensagem BYE deve ser reconhecida pelo receptor com um 200 OK, a ALG atrasa a desativação da chamada por cinco segundos para dar tempo de transmissão do 200 OK.

Mensagens de revidamento de chamadas

As mensagens de re-CONVITE adicionam novas sessões de mídia a uma chamada e removem as sessões de mídia existentes. Quando novas sessões de mídia são adicionadas a uma chamada, novos pinholes são abertos no firewall e novas ligações de endereços são criadas. O processo é idêntico à configuração de chamada original. Quando uma ou mais sessões de mídia são removidas de uma chamada, os pinholes são fechados e as ligações são liberadas da maneira como acontece com uma mensagem BYE.

Ligue para os Session Timers

O SIP ALG usa o valor da Sessão expira para cronometrar uma sessão se uma mensagem de revidamento ou atualização não for recebida. A ALG recebe o valor da Sessão expira, se presente, da resposta de 200 OK ao INVITE e usa esse valor para sinalização de tempo limite. Se a ALG receber outro CONVITE antes do intervalo da sessão, ele redefinirá todos os valores de tempo limite para este novo CONVITE ou para valores padrão, e o processo se repete.

Como medida de precaução, o SIP ALG usa valores de tempo limite difíceis para definir o tempo máximo que uma chamada pode existir. Isso garante que o dispositivo esteja protegido caso ocorra um dos seguintes eventos:

• Os sistemas finais falham durante uma chamada e uma mensagem BYE não é recebida.

• Usuários maliciosos nunca enviam um BYE na tentativa de atacar um SIP ALG.

• Implementações ruins do proxy SIP não processam a Rota de registro e nunca enviam uma mensagem BYE.

• Falhas de rede impedem que uma mensagem BYE seja recebida.

Cancelamento de chamadas

Qualquer uma das partes pode cancelar uma ligação enviando uma mensagem CANCEL. Ao receber uma mensagem CANCEL, o SIP ALG fecha os pinholes através do firewall — se tiver aberto algum — e libera as vinculações de endereços. Antes de liberar os recursos, a ALG atrasa a saída do canal de controle por aproximadamente cinco segundos para dar tempo para a aprovação final de 200 OK. A chamada é terminada quando o intervalo de cinco segundos expira, independentemente de uma resposta 487 ou não-200 chegar.

Bifurcação

A forking permite que um proxy SIP envie uma única mensagem DE CONVITE para vários destinos simultaneamente. Quando as várias mensagens de resposta OK chegam para a chamada única, o SIP ALG analisa, mas atualiza as informações de chamadas com as primeiras 200 mensagens OK que recebe.

Mensagens SIP

O formato de mensagem SIP consiste em uma seção de cabeçalho SIP e o corpo SIP. Nas mensagens de solicitação, a primeira linha da seção de cabeçalho é a linha de solicitação, que inclui o tipo de método, a solicitação-URI e a versão de protocolo. Em mensagens de resposta, a primeira linha é a linha de status, que contém um código de status. Os cabeçalhos SIP contêm endereços IP e números de porta usados para sinalização. O corpo do SIP, separado da seção de cabeçalho por uma linha em branco, está reservado para informações de descrição da sessão, o que é opcional. Atualmente, o Junos OS oferece suporte apenas ao SDP. O corpo SIP contém endereços IP e números de porta usados para transportar a mídia.

Cabeçalhos SIP

Na mensagem de solicitação de SIP da amostra a seguir, o NAT substitui os endereços IP nos campos de cabeçalho para escondê-los da rede externa.

A forma como a tradução de endereço IP é realizada depende do tipo e direção da mensagem. Uma mensagem pode ser qualquer uma das seguintes:

• Solicitação de entrada

• Resposta de saída

• Solicitação de saída

• Resposta de entrada

A Tabela 5 mostra como o NAT é executado em cada um desses casos. Observe que para vários dos campos de cabeçalho a ALG determina mais do que apenas se as mensagens vêm de dentro ou fora da rede. Ele também deve determinar qual cliente iniciou a chamada e se a mensagem é uma solicitação ou resposta.

Corpo de SIP

As informações de SDP no órgão SIP incluem endereços IP que a ALG usa para criar canais para o fluxo de mídia. A tradução da seção SDP também aloca recursos, ou seja, números de porta para enviar e receber a mídia.

O trecho a seguir de uma seção de SDP de amostra mostra os campos que são traduzidos para alocação de recursos.

As mensagens SIP podem conter mais de um fluxo de mídia. O conceito é semelhante à anexação de vários arquivos a uma mensagem de e-mail. Por exemplo, uma mensagem DE CONVITE enviada de um cliente SIP para um servidor SIP pode ter os seguintes campos:

O Junos OS oferece suporte a até 6 canais SDP negociados para cada direção, para um total de 12 canais por chamada.

Placa MS-MPC

Para MS-MPCs, o seguinte é uma saída de amostra completa do comando do show services stateful-firewall conversations application-protocol ftp modo operacional:

Para cada fluxo, a primeira linha mostra informações de fluxo, incluindo protocolo (TCP), endereço fonte, porta fonte, endereço de destino, porta de destino, estado do fluxo, direção e contagem de quadros.

• O estado de um fluxo pode ser Watch, Forwardou Drop:

  • Um Watch estado de fluxo indica que o fluxo de controle é monitorado pela ALG para obter informações na carga. O processamento de NAT é realizado no cabeçalho e carga, conforme necessário.

  • Um Forward fluxo encaminha os pacotes sem monitorar a carga. O NAT é executado no cabeçalho conforme necessário.

  • Um Drop fluxo derruba qualquer pacote que corresponda ao 5 tuple.

• A contagem de quadros (Frm count) mostra o número de pacotes que foram processados nesse fluxo.

A segunda linha mostra as informações de NAT.

• source indica NAT de origem.

• dest indica NAT de destino.

• O primeiro endereço e a porta da linha NAT são o endereço e a porta originais que estão sendo traduzidos para esse fluxo.

• O segundo endereço e a porta da linha NAT são o endereço e a porta traduzidos para esse fluxo.

Placa MX-SPC3

Na placa de serviços MX-SPC3, o seguinte é uma saída de amostra completa do comando do show services sessions application-protocol ftp modo operacional:

Para cada sessão:

• A primeira linha mostra informações de fluxo, incluindo ID de sessão, nome do conjunto de serviços, nome da política, tempo limite de sessão, nome lógico do sistema e seu estado.

• A segunda linha indica Resource informationque a sessão é criada pela ALG, incluindo o nome ALG (FTP ALG) e a id do grupo ASL, que é 1e a ID de recursos ASL, que é 0 para sessão de controle e 1 para sessão de dados.

• A terceira linha In é o fluxo avançado e a quarta linha Out é o fluxo reverso, incluindo o endereço de origem, porta de origem, endereço de destino, porta de destino, protocolo (TCP), conn-tag de sessão, entrada e saída para InOut interface, contagem de quadros recebidos e bytes. O NAT é executado no cabeçalho conforme necessário.

Placa MS-MPC

As seguintes mensagens de log do sistema são geradas durante a criação do fluxo de controle FTP:

• Log de sistema de aceitação de regras:

• Crie o log do sistema Aceite o fluxo:

• Log de sistema para criação de fluxo de dados:

Placa de placa MX-SPC3

As seguintes mensagens de log do sistema são geradas durante a criação do fluxo de controle FTP:

• Log de sistema para criação de sessão de controle FTP:

• Log de sistema para criação de sessão de dados FTP:

• O log do sistema para sessão de dados FTP destrói:

• Log de sistema para sessão de controle FTP destruir:

Fluxos de controle

Fluxos de dados

Uma porta de dados de 20 é negociada para transferência de dados durante o protocolo de controle ftp. Esses dois fluxos são fluxos de dados entre o cliente FTP e o servidor FTP: