Visão geral da ALG

TCP básico ALG

Este ALG executa a verificação básica de sanidade em pacotes TCP. Se encontrar erros, ele gera os seguintes eventos de anomalia e mensagens de log do sistema:

• Porta zero de origem ou destino do TCP

• Falha na verificação do comprimento do cabeçalho TCP

• Número de sequência TCP zero e nenhum sinalizador são definidos

• O número de sequência zero do TCP e os sinalizadores FIN/PSH/RST são definidos

• TCP FIN/RST ou SYN(URG|FIN|RST) são definidas

O TCP ALG executa as seguintes etapas:

1. Quando o roteador recebe um pacote SYN, o ALG cria fluxos TCP diretos e reversos e os agrupa em uma conversa. Ele rastreia o handshake de três vias TCP.

2. O mecanismo de defesa SYN rastreia o estado de estabelecimento da conexão TCP. Ele espera que a sessão TCP seja estabelecida dentro de um pequeno intervalo de tempo (atualmente 4 segundos). Se o handshake de três vias TCP não for estabelecido nesse período, a sessão será encerrada.

3. Um mecanismo de keepalive detecta sessões TCP com endpoints não responsivos.

4. Os erros ICMP são permitidos somente quando um fluxo corresponde às informações do seletor especificadas nos dados ICMP.

UDP básico ALG

Este ALG executa a verificação básica de sanidade em cabeçalhos UDP. Se encontrar erros, ele gera os seguintes eventos de anomalia e mensagens de log do sistema:

• Porta de origem ou destino UDP 0

• Falha na verificação de comprimento do cabeçalho UDP

O UDP ALG executa as seguintes etapas:

1. Quando recebe o primeiro pacote, o ALG cria fluxos bidirecionais para aceitar o tráfego de sessão UDP direto e reverso.

2. Se a sessão ficar ociosa por mais do que o tempo ocioso máximo permitido (o padrão é 30 segundos), os fluxos serão excluídos.

3. Os erros ICMP são permitidos somente quando um fluxo corresponde às informações do seletor especificadas nos dados ICMP.

INICIALIZAÇÃO

O cliente BOOTP (Bootstrap Protocol) recupera suas informações de rede de um servidor em toda a rede. Ele envia uma mensagem de broadcast geral para solicitar as informações, que são retornadas pelo servidor BOOTP. Para obter a especificação do protocolo, consulte ftp://ftp.isi.edu/in-notes/rfc951.txt.

O suporte a firewall stateful requer que você configure o BOOTP ALG na porta 67 do servidor UDP e na porta 68 do cliente. Se o cliente enviar uma mensagem de broadcast, você deverá configurar o endereço de broadcast na from instrução da regra de serviço. A Network Address Translation (NAT) não é executada no tráfego BORP, mesmo que a regra NAT corresponda ao tráfego. Se o recurso de retransmissão BOOTP estiver ativado no roteador, presume-se que o servidor BOOTP remoto atribua endereços para clientes mascarados pela conversão de NAT.

Serviços DCE RPC

Os serviços de Chamada de Procedimento Remoto (RPC) do Ambiente de Computação Distribuída (DCE) são usados principalmente por aplicativos da Microsoft. O ALG usa a conhecida porta TCP 135 para serviços de mapeamento de porta e usa o identificador exclusivo universal (UUID) em vez do número do programa para identificar protocolos. O principal RPC DCE baseado em aplicativo é o protocolo Microsoft Exchange.

O suporte para firewall stateful e serviços NAT requer que você configure o mapa de porta DCE RPC ALG na porta TCP 135. O DCE RPC ALG usa o protocolo TCP com UUIDs específicos do aplicativo.

DNS

O Sistema de Nomes de Domínio (DNS), que normalmente é executado na porta 53, lida com os dados associados à localização e tradução de nomes de domínio em endereços IP. O DNS ALG da Série MX monitora os pacotes de consulta e resposta DNS e oferece suporte ao tráfego DNS UDP e TCP de forma independente. O DNS ALG não oferece suporte a traduções de carga para NAT, mas um operador pode usá-lo para remover com eficiência o NAT ou as sessões DNS de firewall stateful da memória depois que o servidor DNS envia sua resposta. O DNS ALG fecha a sessão somente quando uma resposta é recebida ou um tempo limite ocioso é atingido.

Pode haver problemas com o tráfego DNS TCP quando o TCP-DNS-ALG é usado se o tráfego DNS não for apenas o tipo padrão de solicitação e resposta. Por exemplo, o TCP-DNS-ALG pode interromper a comunicação de servidor DNS para servidor que usa TCP, como replicação de DNS ou transferências de zona. Esse tipo de tráfego pode ser descartado pelo NAT ou pelos plug-ins de firewall stateful porque o TCP-DNS-ALG fecha a sessão após a conclusão do handshake TCP e após cada servidor ter enviado um pacote para o outro. Nesses casos, não use o TCP-DNS-ALG.

FTP

FTP é o protocolo de transferência de arquivos, especificado no RFC 959. Além da conexão de controle principal, também são feitas conexões de dados para qualquer transferência de dados entre o cliente e o servidor; e o host, a porta e a direção são negociados por meio do canal de controle.

Para o FTP de modo não passivo, o serviço de firewall stateful do Junos OS varre os dados do aplicativo cliente para servidor em busca do comando PORT, que fornece o endereço IP e o número da porta aos quais o servidor se conecta. Para o FTP de modo passivo, o serviço de firewall stateful do Junos OS varre os dados do aplicativo cliente para servidor para o comando PASV e, em seguida, varre as respostas de servidor para cliente para a resposta 227, que contém o endereço IP e o número da porta aos quais o cliente se conecta.

Há uma complicação adicional: o FTP representa esses endereços e números de porta em ASCII. Como resultado, quando endereços e portas são regravados, o número de sequência TCP pode ser alterado e, posteriormente, o serviço NAT precisa manter esse delta nos números SEQ e ACK executando a sequência NAT em todos os pacotes subsequentes.

O suporte para firewall stateful e serviços NAT requer que você configure o FTP ALG na porta TCP 21 para habilitar o protocolo de controle FTP. O ALG executa as seguintes tarefas:

• Aloca automaticamente portas de dados e permissões de firewall para conexão dinâmica de dados

• Cria fluxos para a conexão de dados negociada dinamicamente

• Monitora a conexão de controle nos modos ativo e passivo

• Reescreve os pacotes de controle com o endereço NAT apropriado e as informações de porta

Em MS-MPCs, MS-MICs, para que o FTP passivo funcione corretamente sem o gateway da camada de aplicativo (ALG) FTP habilitado (por não especificar a application junos-ftp instrução nos níveis de hierarquia), você deve habilitar a [edit services stateful-firewall rule rule-name term term-name from] [edit services nat rule rule-name term term-name from] funcionalidade de pool de endereços emparelhado (APP) habilitada (incluindo a address-pooling instrução no nível de [edit services nat rule rule-name term term-name then translated] hierarquia). Essa configuração faz com que as sessões de FTP de dados e controle recebam o mesmo endereço NAT.

Gatekeeper RAS

A partir do Junos OS Release 17.1R1, o ALG de registro, administração e status do gatekeeper (RAS) permite suporte total ao modo gatekeeper para chamadas H.323. Um endpoint se registra em um gatekeeper e solicita seu gerenciamento. Antes de fazer uma chamada, um endpoint solicita permissão ao gatekeeper para fazer a chamada. Nas fases de registro e admissão, o canal RAS é usado. Use o gatekeeper RAS ALG e o H323 ALG em regras de firewall stateful IPv4 e IPv6 ou regras NAPT-44. A partir do Junos OS Release 17.2R1, as regras do NAT-64 também são suportadas. O conjunto junos-h323-suite de aplicativos padrão do Junos inclui o ALG H323 e o RAS ALG do gatekeeper.

H323

O H323 é um conjunto de protocolos de ITU para aplicativos de colaboração e conferência de áudio e vídeo. O H323 consiste em protocolos de sinalização de chamada H.225 e protocolo de controle H.245 para comunicação de mídia. Durante a negociação H.225, os endpoints criam uma chamada trocando mensagens de sinalização de chamada no canal de controle e negociam um novo canal de controle para H.245. Uma nova conexão de controle é criada para mensagens H.245. As mensagens são trocadas no canal de controle H.245 para abrir canais de mídia.

O firewall stateful monitora o canal de controle H.225 para abrir o canal de controle H.245. Depois que o canal H.245 é criado, o firewall stateful também monitora esse canal para obter informações do canal de mídia e permite o tráfego de mídia através do firewall.

O H323 ALG oferece suporte a NAT de destino estático, fonte estática e dinâmica, reescrevendo os endereços e portas apropriados nas mensagens H.225 e H.245.

Para dar suporte ao modo gatekeeper para chamadas H.323, use o ALG H323 e o RAS ALG do gatekeeper em regras de firewall stateful IPv4 e IPv6 ou regras NAPT-44. A partir do Junos OS Release 17.2R1, as regras do NAT-64 também são suportadas. O conjunto junos-h323-suite de aplicativos padrão do Junos inclui o ALG H323 e o RAS ALG do gatekeeper.

ICMP

O Internet Control Message Protocol (ICMP) é definido no RFC 792. O serviço de firewall stateful do Junos OS permite que as mensagens ICMP sejam filtradas por tipo específico ou valor de código de tipo específico. Os pacotes de erro ICMP que não têm um tipo e código especificamente configurados são comparados com qualquer fluxo existente na direção oposta para verificar a legitimidade do pacote de erro. Os pacotes de erro ICMP que passam pela correspondência de filtro estão sujeitos à tradução NAT.

O ICMP ALG sempre rastreia o tráfego de ping com estado usando o número de sequência ICMP. Cada resposta de eco é encaminhada somente se houver uma solicitação de eco com o número de sequência correspondente. Para qualquer fluxo de ping, apenas 20 solicitações de eco podem ser encaminhadas sem receber uma resposta de eco. Quando você configura o NAT dinâmico, o identificador de pacote PING é convertido para permitir que hosts adicionais no pool NAT usem o mesmo identificador.

O suporte para firewall stateful e serviços NAT requer que você configure o ICMP ALG se o protocolo for necessário. Você pode configurar o tipo e o código ICMP para filtragem adicional.

IIOP

O Protocolo Inter-ORB (Internet Inter-ORB Protocol) do Oracle Application Server Name Server. Essa ALG é usada na Common Object Request Broker Architecture (CORBA) com base na computação distribuída. Embora CORBA e IIOP sejam padrões OMG (Grupo de Gerenciamento de Objetos), nenhuma porta fixa é atribuída para IIOP. Cada fornecedor que implementa o CORBA escolhe uma porta. A máquina Java Virtual usa a porta 1975 por padrão, enquanto o ORBIX usa a porta 3075 como padrão.

O firewall stateful e o NAT exigem que o ALG IIOP seja configurado para a porta TCP 1975 para Java VM IIOP e 3075 para aplicativos CORBA ORBIX, um framework CORBA da Iona Technologies.

IKE ALG

Antes do lançamento do Junos OS 17.4R1, a Network Address Translation-Traversal (NAT-T) não é suportada para o conjunto de recursos IPsec do Junos VPN Site Secure nos roteadores da Série MX. A partir do Junos OS Release 14.2R7, 15.1R5, 16.1R2 e 17.1R1, o IKE ALG permite a passagem de pacotes IKEv1 e IPsec por meio de regras NAPT-44 e NAT64 entre pares IPsec que não são compatíveis com NAT-T. Este ALG suporta apenas o modo de túnel ESP.

Use este ALG em regras NAT e especifique o protocolo UDP e a porta 500.

Esta ALG realiza o seguinte:

• Rastreia solicitações de iniciação de conexão IKEv1 para determinar se o processamento de NAT é necessário.

• Executa a conversão de NAT em solicitações IKEv1 de saída e entrada e cria sessões de IKE.

• Identifica pacotes IPsec relacionados à sessão de IKE estabelecida e estabelece associação de segurança entre pares.

• Executa a tradução NAT em pacotes IPsec.

IP

O IP ALG é usado apenas para criar fluxos unidirecionais. No caso de tráfego TCP, ele não verifica o processo de handshake de 3 vias. Essa ALG é útil no caso de conjuntos de serviços somente de firewall stateful, onde permite que o tráfego flua apenas unidirecionalmente. Ao configurar em conjunto com match-direction input-output ele, permite que o tráfego de retorno flua pelo firewall stateful também. Os cenários típicos são NAT estático, NAT de destino ou cenários em que se espera que o tráfego atravesse o firewall stateful na presença de roteamento assimétrico. O Junos IP ALG não se destina ao uso com NAPT, o que faz com que o tráfego correspondente seja descartado por meio da criação de um fluxo de queda.

BIOS em rede

Um NetBIOS ALG converte endereços IP NetBIOS e números de porta quando o NAT é usado.

O NetBIOS oferece suporte aos protocolos de transporte TCP e UDP. O suporte para firewall stateful e serviços NAT requer que você configure o NetBIOS ALG na porta UDP 138 e na porta TCP 139.

NetShow

O protocolo ms-streaming da Microsoft é usado pelo NetShow, o servidor de mídia da Microsoft. Esse protocolo oferece suporte a vários protocolos de transporte: TCP, UDP e HTTP. O cliente inicia uma conexão TCP na porta 1755 e envia o comando PORT para o servidor. Em seguida, o servidor inicia o UDP nessa porta para o cliente. O suporte para firewall stateful e serviços NAT requer que você configure o NetShow ALG na porta UDP 1755.

Serviços ONC RPC

Os serviços RPC da Open Networks Computing (ONC) funcionam de forma semelhante aos serviços RCP da DCE. No entanto, o ONC RPC ALG usa a porta TCP/UDP 111 para serviços de mapeamento de porta e usa o número do programa para identificar protocolos em vez do UUID.

O suporte para firewall stateful e serviços NAT requer que você configure o mapa de porta RPC ONC ALG na porta TCP 111. O ONC RPC ALG usa o protocolo TCP com números de programa específicos do aplicativo.

PPTP

O protocolo de tunelamento ponto a ponto (PPTP) ALG é um ALG baseado em TCP. O PPTP permite que o protocolo ponto a ponto (PPP) seja tunelado por meio de uma rede IP. O PPTP define uma arquitetura cliente-servidor, um servidor de rede PPTP e um concentrador de acesso PPTP. O PPTP ALG requer uma conexão de controle e um túnel de dados. A conexão de controle usa TCP para estabelecer e desconectar sessões PPP e é executada na porta 1723. O túnel de dados transporta tráfego PPP em pacotes encapsulados de roteamento genérico (GRE) que são transportados por IP.

Áudio real

Protocolo PNA da Real Networks RealVideo não é um serviço separado. Faz parte do RealPlayer e provavelmente usa outro canal para vídeo. As versões G2, 7 e 8 do RealPlayer usam PNA e RTSP. Para que esta versão funcione, o ALG deve permitir PNA(7070) e RTSP(554). Para a mídia, o servidor seleciona entre um intervalo de portas UDP (6970 a 7170) ou porta TCP 7071 ou HTTP. O cliente pode ser configurado para usar uma porta específica. As versões 4.0 e 5.0 do RealPlayer usam as portas UDP de mídia 7070 do canal de controle 6970 a 7170 ou a porta TCP 7071 ou HTTP. O reprodutor RealAudio versão 3.0 usa mídia do canal de controle 7070, portas UDP 6770-7170 ou porta TCP 7071.

Os produtos reais usam as portas e intervalos de portas mostrados na Tabela 2.

Serviços Sun RPC e RPC Portmap

A ALG de Chamada de Procedimento Remoto (RPC) usa portas conhecidas TCP 111 e UDP 111 para mapeamento de porta, que atribui e abre portas dinamicamente para serviços RPC. O RPC Portmap ALG rastreia as solicitações de porta e abre dinamicamente o firewall para essas portas solicitadas. O RPC ALG pode restringir ainda mais o protocolo RPC especificando números de programa permitidos.

O ALG inclui os serviços RPC listados na Tabela 3.

O suporte para serviços de firewall stateful e NAT que usam mapeamento de porta requer que você configure o mapa de porta RPC ALG na porta de destino TCP/UDP 111 e o RPC ALG para TCP e UDP. Você pode especificar um ou mais rpc-program-number valores para restringir ainda mais os protocolos RPC permitidos.

RTSP

O protocolo RTSP controla a entrega de dados com propriedades em tempo real, como áudio e vídeo. Os fluxos controlados pelo RTSP podem usar o RTP, mas isso não é necessário. A mídia pode ser transmitida no mesmo fluxo de controle RTSP. Este é um protocolo baseado em texto semelhante ao HTTP, mas o cliente e o servidor mantêm as informações da sessão. Uma sessão é estabelecida usando a mensagem SETUP e encerrada usando a mensagem TEARDOWN. O transporte (o protocolo de mídia, endereço e números de porta) é negociado na configuração e na resposta de configuração.

O suporte para firewall stateful e serviços NAT requer que você configure o RTSP ALG para a porta TCP 554.

O ALG monitora a conexão de controle, abre fluxos dinamicamente para fluxos de mídia (RTP/RTSP) e executa regravações de endereço NAT e porta.

SIP

O Session Initiation Protocol (SIP) é um protocolo de camada de aplicativo que pode estabelecer, manter e encerrar sessões de mídia. É um protocolo de sinalização de voz sobre IP (VoIP) amplamente utilizado. O SIP ALG monitora o tráfego SIP e cria e gerencia dinamicamente pinholes nos caminhos de sinalização e mídia. O ALG só permite pacotes com as permissões corretas. O SIP ALG também executa as seguintes funções:

• Gerencia relacionamentos de sessão pai-filho.

• Aplica políticas de segurança.

• Gerencia pinholes para tráfego VoIP.

O SIP ALG suporta os seguintes recursos:

• Firewall com estado

• NAT de origem estática

• NAT de origem somente de endereço dinâmico

• Tradução de porta de endereço de rede (NAPT)

SNMP

SNMP é um protocolo de comunicação para gerenciar redes TCP/IP, incluindo dispositivos de rede individuais e dispositivos agregados. O protocolo é definido pelo RFC 1157. O SNMP é executado em cima do UDP.

O serviço de firewall stateful do Junos OS implementa o SNMP ALG para inspecionar o tipo SNMP. O SNMP não impõe o fluxo stateful. Cada tipo de SNMP precisa ser habilitado especificamente. O suporte SNMP completo de serviços de firewall stateful requer que você configure o SNMP ALG na porta UDP 161. Isso habilita o SNMP get e get-next comandos, bem como seu tráfego de resposta na direção inversa: a porta UDP 161 habilita o comando SNMP get-response . Se as armadilhas SNMP forem permitidas, você poderá configurá-las na porta UDP 162, habilitando o comando SNMP trap .

SQLNet

O protocolo SQLNet é usado por servidores Oracle SQL para executar comandos SQL de clientes, incluindo balanceamento de carga e serviços específicos do aplicativo.

O suporte de firewall stateful e serviços NAT requer que você configure o SQLNet ALG para a porta TCP 1521.

O ALG monitora os pacotes de controle, abre fluxos dinamicamente para tráfego de dados e executa regravações de endereço NAT e porta.

TFTP

O TFTP (Trivial File Transfer Protocol) é especificado no RFC 1350. As solicitações TFTP iniciais são enviadas para a porta de destino UDP 69. Fluxos adicionais podem ser criados para obter ou colocar arquivos individuais. O suporte de firewall stateful e serviços NAT requer que você configure o TFTP ALG para a porta de destino UDP 69.

Traceroute

O traceroute é uma ferramenta para exibir a rota que os pacotes percorrem para um host de rede. Ele usa o campo de vida útil (TTL) do IP para disparar mensagens de tempo excedido de ICMP de roteadores ou gateways. Ele envia datagramas UDP para portas de destino que se acredita não estarem em uso; As portas de destino são numeradas usando a fórmula: + nsaltos – 1. A porta base padrão é 33434. Para oferecer suporte ao traceroute pelo firewall, dois tipos de tráfego devem ser passados:

1. Pacotes de sondagem UDP (porta de destino UDP > 33000, IP TTL < 30)

2. Pacotes de resposta ICMP (tipo ICMP excedido no tempo)

Quando o NAT é aplicado, o endereço IP e a porta dentro do pacote de erro ICMP também devem ser alterados.

O suporte a serviços de firewall stateful e NAT exige que você configure o Traceroute ALG para a porta de destino UDP 33434 a 33450. Além disso, você pode configurar o limite de TTL para evitar ataques de inundação UDP com grandes valores de TTL.

Serviços de shell remoto UNIX

Três protocolos formam a base para os serviços de shell remoto do UNIX:

• Executivo — Execução remota de comandos; Permite que um usuário no sistema cliente execute um comando no sistema remoto. O primeiro comando do cliente (rcmd) para o servidor (rshd) usa a conhecida porta TCP 512. Uma segunda conexão TCP pode ser aberta a pedido do rcmd. O número da porta do cliente para a segunda conexão é enviado ao servidor como uma cadeia de caracteres ASCII.

• Login — Mais conhecido como rlogin; usa a conhecida porta TCP 513. Para obter detalhes, consulte RFC 1282. Nenhum processamento especial de firewall é necessário.

• Shell — Execução remota de comandos; Permite que um usuário no sistema cliente execute um comando no sistema remoto. O primeiro comando do cliente (rcmd) para o servidor (rshd) usa a conhecida porta TCP 514. Uma segunda conexão TCP pode ser aberta a pedido do rcmd. O número da porta do cliente para a segunda conexão é enviado ao servidor como uma cadeia de caracteres ASCII.

O suporte a serviços de firewall stateful requer que você configure o Exec ALG na porta TCP 512, o Login ALG na porta TCP 513 e o Shell ALG na porta TCP 514. Os serviços de shell remoto NAT exigem que qualquer porta de origem dinâmica atribuída esteja dentro do intervalo de portas 512 a 1023. Se você configurar um pool NAT, esse intervalo de portas será reservado exclusivamente para aplicativos de shell remotos.

WinFrame

O software de servidor de aplicativos WinFrame fornece acesso a praticamente qualquer aplicativo do Windows, em qualquer tipo de conexão de rede com qualquer tipo de cliente.

Este protocolo é usado principalmente por aplicativos Citrix Windows.

O firewall stateful e o NAT exigem que o Winframe ALG seja configurado na porta de destino TCP 1494 e na porta UDP 1604.