Visão geral da ALG

TCP ALG básico

Esta ALG realiza verificação básica de sanidade em pacotes TCP. Se encontrar erros, ele gera os seguintes eventos de anomalia e mensagens de log do sistema:

• Porta de origem ou destino do TCP zero

• Falha na verificação do comprimento do cabeçalho do TCP

• Sequência de TCP número zero e nenhuma bandeira é definida

• As bandeiras de sequência de TCP zero e FIN/PSH/RST são definidas

• TCP FIN/RST ou SYN(URG|FIN|Bandeiras RST) estão definidas

O TCP ALG executa as seguintes etapas:

1. Quando o roteador recebe um pacote SYN, o ALG cria fluxos de encaminhamento e reversão do TCP e os agrupa em uma conversa. Ele rastreia o TCP de três vias de aperto de mão.

2. O mecanismo de defesa SYN rastreia o estado de estabelecimento de conexão TCP. Ele espera que a sessão de TCP seja estabelecida em um pequeno intervalo de tempo (atualmente 4 segundos). Se o TCP de três vias não for estabelecido nesse período, a sessão será terminada.

3. Um mecanismo keepalive detecta sessões de TCP com endpoints não responsivos.

4. Erros de ICMP só são permitidos quando um fluxo corresponde às informações do seletor especificadas nos dados do ICMP.

ALG UDP básica

Esta ALG realiza verificação básica de sanidade em cabeçalhos UDP. Se encontrar erros, ele gera os seguintes eventos de anomalia e mensagens de log do sistema:

• Porta de origem ou destino UDP 0

• Falha na verificação do comprimento do cabeçalho do UDP

A ALG UDP executa as seguintes etapas:

1. Quando recebe o primeiro pacote, o ALG cria fluxos bidirecionais para aceitar o tráfego de sessão de UDP para frente e reverso.

2. Se a sessão estiver ociosa por mais do que o tempo ocioso máximo permitido (o padrão é de 30 segundos), os fluxos serão excluídos.

3. Erros de ICMP só são permitidos quando um fluxo corresponde às informações do seletor especificadas nos dados do ICMP.

BOOTP

O cliente do Bootstrap Protocol (BOOTP) recupera suas informações de rede de um servidor em toda a rede. Ele envia uma mensagem de transmissão geral para solicitar as informações, que são devolvidas pelo servidor BOOTP. Para obter a especificação do protocolo, veja ftp://ftp.isi.edu/in-notes/rfc951.txt.

O suporte de firewall stateful exige que você configure o BOOTP ALG na porta do servidor UDP 67 e na porta do cliente 68. Se o cliente enviar uma mensagem de transmissão, você deve configurar o endereço de broadcast na from declaração da regra do serviço. A tradução de endereços de rede (NAT) não é realizada no tráfego BOOTP, mesmo que a regra de NAT corresponda ao tráfego. Se o recurso de retransmissão BOOTP for ativado no roteador, assume-se que o servidor BOOTP remoto atribua endereços para clientes mascarados pela tradução de NAT.

Serviços DCE RPC

Os serviços de chamada de procedimento remoto (RPC) do Ambiente de Computação Distribuída (DCE) são usados principalmente por aplicativos da Microsoft. A ALG usa uma porta TCP 135 bem conhecida para serviços de mapeamento de portas, e usa o identificador único universal (UUID) em vez do número do programa para identificar protocolos. O DCE RPC baseado em aplicativos principal é o Microsoft Exchange Protocol.

O suporte a firewalls stateful e serviços NAT exige que você configure o DCE RPC portmap ALG na porta TCP 135. O DCE RPC ALG usa o protocolo TCP com UUIDs específicos para aplicativos.

DNS

O sistema de nomes de domínio (DNS), que normalmente é executado na porta 53, lida com os dados associados à localização e tradução de nomes de domínio em endereços IP. A Série MX DNS ALG monitora os pacotes de consulta e resposta de DNS e oferece suporte ao tráfego DNS de UDP e TCP de forma independente. O DNS ALG não oferece suporte a tradução de carga para NAT, mas um operador pode usá-lo para remover de forma eficiente as sessões de DNS de firewall stateful ou NAT da memória após o servidor DNS enviar sua resposta. A DNS ALG fecha a sessão apenas quando uma resposta é recebida ou um tempo limite ocioso é alcançado.

Pode haver problemas com o tráfego de DNS TCP quando o TCP-DNS-ALG for usado se o tráfego de DNS não for apenas o tipo padrão de solicitação e resposta. Por exemplo, o TCP-DNS-ALG pode quebrar a comunicação de servidor para servidor de DNS que usa TCP, como replicação de DNS ou transferências de zona. Esse tipo de tráfego pode ser deixado de lado pelo NAT ou plug-ins de firewall stateful porque o TCP-DNS-ALG fecha a sessão depois que o TCP está completo e após cada servidor ter enviado um pacote para o outro. Nesses casos, não use o TCP-DNS-ALG.

FTP

FTP é o protocolo de transferência de arquivos especificado no RFC 959. Além da conexão de controle principal, também são feitas conexões de dados para qualquer transferência de dados entre o cliente e o servidor; e o host, a porta e a direção são negociados pelo canal de controle.

Para FTP de modo não passivo, o serviço de firewall stateful do Junos OS verifica os dados do aplicativo do cliente para servidor para o comando PORT, que fornece o endereço IP e o número de porta aos quais o servidor se conecta. Para FTP de modo passivo, o serviço de firewall stateful do Junos OS verifica os dados do aplicativo do cliente para servidor para o comando PASV e, em seguida, verifica as respostas de servidor para cliente para a resposta 227, que contém o endereço IP e o número de porta a que o cliente se conecta.

Há uma complicação adicional: o FTP representa esses endereços e números de porta no ASCII. Como resultado, quando os endereços e portas são reescritos, o número de sequência de TCP pode ser alterado e, a partir daí, o serviço NAT precisa manter esse delta em números SEQ e ACK realizando NAT sequência em todos os pacotes subsequentes.

O suporte a firewalls stateful e serviços NAT exige que você configure o FTP ALG na porta TCP 21 para habilitar o protocolo de controle FTP. A ALG executa as seguintes tarefas:

• Aloca automaticamente portas de dados e permissões de firewall para conexão dinâmica de dados

• Cria fluxos para a conexão de dados negociada dinamicamente

• Monitora a conexão de controle em modos ativos e passivos

• Reescreve os pacotes de controle com o endereço NAT apropriado e informações de porta

No MS-MPCs, MS-MICs, para que o FTP passivo funcione corretamente sem o gateway de camada de aplicativo FTP (ALG) habilitado (sem especificar a application junos-ftp declaração nos [edit services stateful-firewall rule rule-name term term-name from] níveis de hierarquia), [edit services nat rule rule-name term term-name from] você deve habilitar a funcionalidade de agrupamento de endereços pareado (APP) habilitada (incluindo a address-pooling declaração no [edit services nat rule rule-name term term-name then translated] nível de hierarquia). Essa configuração faz com que os dados e controlem as sessões de FTP recebam o mesmo endereço NAT.

Gatekeeper RAS

A partir do Junos OS Release 17.1R1, o registro de gatekeeper, administração e status (RAS) ALG permite suporte total do modo gatekeeper para chamadas de H.323. Um endpoint se registra em um gatekeeper e pede sua gestão. Antes de fazer uma ligação, um endpoint pede ao gatekeeper permissão para fazer a chamada. Tanto nas fases de inscrição quanto de admissão, o canal RAS é usado. Use o gatekeeper RAS ALG e o H323 ALG nas regras de firewall stateful-firewall IPv4 e IPv6 ou NAPT-44. A partir do Junos OS Release 17.2R1, as regras do NAT-64 também são suportadas. O conjunto junos-h323-suite de aplicativos padrão do Junos inclui o H323 ALG e o GATEkeeper RAS ALG.

H323

H323 é um conjunto de protocolos de ITU para aplicativos de áudio e videoconferência e colaboração. O H323 consiste em protocolos de sinalização de chamadas H.225 e protocolo de controle H.245 para comunicação de mídia. Durante a negociação do H.225, os endpoints criam uma chamada trocando mensagens de sinalização de chamadas no canal de controle e negociam um novo canal de controle para h.245. Uma nova conexão de controle é criada para mensagens H.245. As mensagens são trocadas no canal de controle H.245 para canais de mídia abertos.

O firewall stateful monitora o canal de controle H.225 para abrir o canal de controle H.245. Após a criação do canal H.245, o firewall stateful também monitora este canal para obter informações do canal de mídia e permite o tráfego de mídia através do firewall.

O H323 ALG oferece suporte a NAT de destino estático, estático e dinâmico, reescrevendo os endereços e portas apropriados nas mensagens H.225 e H.245.

Para oferecer suporte ao modo gatekeeper para chamadas de H.323, use o H323 ALG e o gatekeeper RAS ALG em regras de firewall stateful-firewall IPv4 e IPv6 ou regras de NAPT-44. A partir do Junos OS Release 17.2R1, as regras do NAT-64 também são suportadas. O conjunto junos-h323-suite de aplicativos padrão do Junos inclui o H323 ALG e o GATEkeeper RAS ALG.

ICMP

O Protocolo de Mensagem de Controle de Internet (ICMP) é definido em RFC 792. O serviço de firewall stateful do Junos OS permite que as mensagens ICMP sejam filtradas por tipo específico ou valor de código de tipo específico. Os pacotes de erro do ICMP que não têm um tipo e código especificamente configurados são combinados com qualquer fluxo existente na direção oposta para verificar a legitimidade do pacote de erro. Os pacotes de erro do ICMP que passam pela correspondência do filtro estão sujeitos à tradução de NAT.

O ICMP ALG sempre rastreia o tráfego de ping com estado usando o número de sequência do ICMP. Cada resposta de eco é encaminhada apenas se houver uma solicitação de eco com o número de sequência correspondente. Para qualquer fluxo de ping, apenas 20 solicitações de eco podem ser encaminhadas sem receber uma resposta de eco. Quando você configura o NAT dinâmico, o identificador de pacotes PING é traduzido para permitir que hosts adicionais no grupo de NAT usem o mesmo identificador.

O suporte a firewalls stateful e serviços NAT exige que você configure o ICMP ALG se o protocolo for necessário. Você pode configurar o tipo e o código do ICMP para filtragem adicional.

IIOP

O oracle Application Server Name Server Internet Inter-ORB Protocol (IIOP). Esta ALG é usada na Common Object Request Broker Architecture (CORBA) com base na computação distribuída. Embora CORBA e IIOP sejam padrões do Object Management Group (OMG), nenhuma porta fixa é atribuída ao IIOP. Cada fornecedor que implementa a CORBA escolhe uma porta. A máquina Java Virtual usa a porta 1975 por padrão, enquanto a ORBIX usa a porta 3075 como padrão.

Firewall stateful e NAT exigem que o ALG IIOP seja configurado para a porta TCP 1975 para Java VM IIOP e 3075 para aplicativos CORBA ORBIX, uma estrutura CORBA da Iona Technologies.

IKE ALG

Antes do lançamento do Junos OS 17.4R1, o Network Address Translation-Traversal (NAT-T) não é compatível com o pacote Junos VPN Site Secure de recursos IPsec nos roteadores da Série MX. A partir do Junos OS Release 14.2R7, 15.1R5, 16.1R2 e 17.1R1, o IKE ALG permite a passagem de pacotes IKEv1 e IPsec através das regras NAPT-44 e NAT64 entre pares IPsec que não estão em conformidade com o NAT-T. Essa ALG oferece suporte apenas ao modo de túnel ESP.

Use esta ALG nas regras de NAT e especifique o protocolo UDP e a porta 500.

Esta ALG executa o seguinte:

• Rastreia as solicitações de iniciação de conexão IKEv1 para determinar se o processamento de NAT é necessário.

• Executa a tradução de NAT em solicitações IKEv1 de saída e entrada e cria sessões de IKE.

• Identifica pacotes IPsec relacionados à sessão IKE estabelecida e estabelece associação de segurança entre pares.

• Executa a tradução de NAT em pacotes IPsec.

IP

O IP ALG é usado apenas para criar fluxos unidirecionais. No caso do tráfego de TCP, ele não verifica o processo de desvio de tráfego de três vias. Essa ALG é útil no caso de conjuntos de serviços somente de firewall stateful, onde permite que o tráfego flua unidirecionalmente apenas. Ao configurar em conjunto com match-direction input-output ele, o tráfego de retorno também permite que o tráfego de retorno flua pelo firewall stateful. Cenários típicos são NAT estático, NAT de destino ou cenários em que se espera que o tráfego passe pelo firewall stateful na presença de roteamento assimétrico. O Junos IP ALG não se destina a ser usado com NAPT, o que faz com que o tráfego correspondente seja descartado através da criação de um fluxo de quedas.

NetBIOS

Um NETBIOS ALG traduz os endereços IP netbios e os números de porta quando o NAT é usado.

O NetBIOS oferece suporte aos protocolos de transporte de TCP e UDP. O suporte a firewalls stateful e serviços NAT exige que você configure o NETBIOS ALG na porta UDP 138 e na porta TCP 139.

NetShow

O ms-streaming de protocolo da Microsoft é usado pelo NetShow, o servidor de mídia da Microsoft. Esse protocolo oferece suporte a vários protocolos de transporte: TCP, UDP e HTTP. O cliente inicia uma conexão TCP na porta 1755 e envia o comando PORT para o servidor. O servidor então inicia o UDP nessa porta para o cliente. O suporte a firewalls stateful e serviços NAT exige que você configure o NETShow ALG na porta UDP 1755.

Serviços ONC RPC

Os serviços de RPC de computação em redes abertas (ONC) funcionam de maneira semelhante aos serviços de DCE QUEN. No entanto, o ONC RPC ALG usa a porta TCP/UDP 111 para serviços de mapeamento de portas, e usa o número do programa para identificar protocolos em vez da UUID.

O suporte para firewalls stateful e serviços NAT exige que você configure o ALG de porta onC RPC na porta TCP 111. O ONC RPC ALG usa o protocolo TCP com números de programa específicos para aplicativos.

PPTP

O ALG do protocolo de tunelamento ponto a ponto (PPTP) é um ALG baseado em TCP. O PPTP permite que o protocolo de ponto a ponto (PPP) seja tunelado por uma rede IP. O PPTP define uma arquitetura cliente-servidor, um servidor de rede PPTP e um concentrador de acesso PPTP. O PPTP ALG requer uma conexão de controle e um túnel de dados. A conexão de controle usa TCP para estabelecer e desconectar sessões de PPP e funciona na porta 1723. O túnel de dados transporta tráfego PPP em pacotes encapsulados de roteamento genérico (GRE) que são transportados por IP.

RealAudio

O protocolo PNA da Real Networks RealVideo não é um serviço separado. Ele faz parte do RealPlayer e provavelmente usa outro canal para vídeo. As versões RealPlayer G2, 7 e 8 usam PNA e RTSP. Para que essa versão funcione, a ALG deve permitir tanto PNA(7070) quanto RTSP(554). Para a mídia, o servidor seleciona entre diversas portas UDP (6970 a 7170) ou na porta TCP 7071, ou HTTP. O cliente pode ser configurado para usar uma determinada porta. As versões RealPlayer 4.0 e 5.0 usam portas UDP de canal de controle 7070 de mídia 6970 a 7170, ou porta TCP 7071, ou HTTP. A versão 3.0 do jogador do RealAudio usa o canal de controle 7070 media, as portas UDP 6770-7170 ou a porta TCP 7071.

Os produtos reais usam as portas e intervalos de portas mostrados na Tabela 2.

Sun RPC e RPC Portmap Services

A ALG de chamada de procedimento remoto (RPC) usa portas bem conhecidas TCP 111 e UDP 111 para mapeamento de portas, que atribui e abre portas dinamicamente para serviços RPC. O RPC Portmap ALG mantém o controle das solicitações de porta e abre dinamicamente o firewall para essas portas solicitadas. O RPC ALG pode restringir ainda mais o protocolo RPC especificando os números permitidos do programa.

A ALG inclui os serviços de RPC listados na Tabela 3.

O suporte para serviços de firewall stateful e NAT que usam mapeamento de portas exige que você configure o ALG de portamap RPC na porta de destino TCP/UDP 111 e o RPC ALG para TCP e UDP. Você pode especificar um ou mais valores para restringir ainda mais rpc-program-number os protocolos RPC permitidos.

RTSP

O protocolo de streaming em tempo real (RTSP) controla a entrega de dados com propriedades em tempo real, como áudio e vídeo. Os fluxos controlados pelo RTSP podem usar RTP, mas não são necessários. A mídia pode ser transmitida no mesmo fluxo de controle RTSP. Este é um protocolo baseado em texto semelhante a HTTP, mas cliente e servidor mantêm informações de sessão. Uma sessão é estabelecida usando a mensagem SETUP e terminada usando a mensagem TEARDOWN. O transporte (o protocolo de mídia, endereço e números de porta) é negociado na configuração e na resposta à configuração.

O suporte a firewalls stateful e serviços NAT exige que você configure o RTSP ALG para a porta TCP 554.

A ALG monitora a conexão de controle, abre fluxos dinamicamente para fluxos de mídia (RTP/RTSP) e executa reescritas de endereço e porta NAT.

GOLE

O Session Initiation Protocol (SIP) é um protocolo de camada de aplicativo que pode estabelecer, manter e encerrar sessões de mídia. É um protocolo de sinalização de voz sobre IP (VoIP) amplamente utilizado. O SIP ALG monitora o tráfego SIP e cria e gerencia dinamicamente os pinholes nos caminhos de sinalização e mídia. A ALG só permite pacotes com as permissões corretas. O SIP ALG também executa as seguintes funções:

• Gerencia relacionamentos de sessão entre pais e filhos.

• Aplica políticas de segurança.

• Gerencia os pinholes para tráfego VoIP.

O SIP ALG oferece suporte aos seguintes recursos:

• Firewall stateful

• NAT de origem estática

• NAT de fonte de endereço dinâmico

• Tradução de porta de endereço de rede (NAPT)

SNMP

SNMP é um protocolo de comunicação para o gerenciamento de redes TCP/IP, incluindo dispositivos de rede individuais e dispositivos agregados. O protocolo é definido pela RFC 1157. O SNMP funciona em cima do UDP.

O serviço de firewall stateful Junos OS implementa o SNMP ALG para inspecionar o tipo SNMP. O SNMP não aplica o fluxo stateful. Cada tipo de SNMP precisa ser especificamente habilitado. O suporte SNMP completo de serviços de firewall stateful exige que você configure o SNMP ALG na porta UDP 161. Isso permite o SNMP get e get-next os comandos, bem como o tráfego de resposta na direção inversa: a porta UDP 161 permite o comando SNMP get-response . Se as armadilhas SNMP forem permitidas, você pode configurá-las na porta UDP 162, habilitando o comando SNMP trap .

SQLNet

O protocolo SQLNet é usado por servidores Oracle SQL para executar comandos SQL dos clientes, incluindo balanceamento de carga e serviços específicos para aplicativos.

O suporte a firewalls stateful e serviços NAT exige que você configure o SQLNet ALG para a porta TCP 1521.

A ALG monitora os pacotes de controle, abre fluxos dinamicamente para o tráfego de dados e realiza reescritas de endereço NAT e porta.

TFTP

O protocolo de transferência de arquivos trivial (TFTP) é especificado em RFC 1350. As solicitações iniciais de TFTP são enviadas à porta de destino UDP 69. Fluxos adicionais podem ser criados para obter ou colocar arquivos individuais. O suporte a firewalls stateful e serviços NAT exige que você configure o TFTP ALG para a porta de destino UDP 69.

Traceroute

Traceroute é uma ferramenta para exibir a rota que os pacotes levam para um host de rede. Ele usa o campo tempo-a-vivo (TTL) de IP para acionar mensagens excededas pelo tempo do ICMP de roteadores ou gateways. Ele envia datagramas de UDP para portas de destino que se acredita não estarem em uso; as portas de destino estão numeradas usando a fórmula: + nsaltos – 1. A porta base padrão é 33434. Para oferecer suporte ao traceroute por meio do firewall, dois tipos de tráfego devem ser repassados:

1. Pacotes de sondagem UDP (porta de destino UDP > 33000, IP TTL < 30)

2. Pacotes de resposta ao ICMP (exceder o tempo do tipo ICMP)

Quando o NAT é aplicado, o endereço IP e a porta dentro do pacote de erro do ICMP também devem ser alterados.

O suporte a firewalls stateful e serviços NAT exige que você configure o Traceroute ALG para a porta de destino UDP 33434 a 33450. Além disso, você pode configurar o limiar de TTL para evitar ataques de inundação de UDP com grandes valores de TTL.

Serviços de shell remoto unix

Três protocolos formam a base para serviços de shell remoto do UNIX:

• Executivo — execução de comando remoto; permite que um usuário no sistema cliente execute um comando no sistema remoto. O primeiro comando do cliente (rcmd) ao servidor (rshd) usa a bem conhecida porta TCP 512. Uma segunda conexão TCP pode ser aberta a pedido de rcmd. O número de porta do cliente para a segunda conexão é enviado ao servidor como uma string ASCII.

• O login — mais conhecido como rlogin; usa a bem conhecida porta TCP 513. Para obter mais informações, veja RFC 1282. Não é necessário processamento especial de firewall.

• Shell — execução de comando remoto; permite que um usuário no sistema cliente execute um comando no sistema remoto. O primeiro comando do cliente (rcmd) ao servidor (rshd) usa a bem conhecida porta TCP 514. Uma segunda conexão TCP pode ser aberta a pedido de rcmd. O número de porta do cliente para a segunda conexão é enviado ao servidor como uma string ASCII.

O suporte a serviços de firewall stateful exige que você configure o ALG executivo na porta TCP 512, o ALG de login na porta TCP 513 e o Shell ALG na porta TCP 514. Os serviços de shell remoto de NAT exigem que qualquer porta de origem dinâmica atribuída esteja dentro da faixa de porta de 512 a 1023. Se você configurar um pool de NAT, essa faixa de porta será reservada exclusivamente para aplicativos shell remotos.

WinFrame

O software de servidor de aplicativo WinFrame oferece acesso a praticamente qualquer aplicativo Windows, em qualquer tipo de conexão de rede a qualquer tipo de cliente.

Esse protocolo é usado principalmente por aplicativos Citrix Windows.

Firewall stateful e NAT exigem que o ALG Winframe seja configurado na porta de destino TCP 1494 e na porta UDP 1604.