ALG 概述

应用层网关 （ALG） 是一种软件组件，旨在管理运行 Junos OS 的瞻博网络设备上的会话初始化协议 （SIP） 或 FTP 等特定协议。ALG 模块负责在交换机上处理应用层感知数据包。

ALG 功能可由在安全策略中配置的服务或应用程序触发：

• 服务是一个对象，用于识别使用应用程序服务的第 4 层信息（例如，标准 TCP 和 UDP 端口号）（如 Telnet、FTP 和 SMTP）的应用程序协议。

• 应用程序指定映射到第 4 层服务的第 7 层应用程序。

预定义服务已映射到第 7 层应用程序。但是，对于自定义服务，您必须将服务显式链接到应用程序，特别是在希望策略应用 ALG 时。

发往知名端口的数据包的 ALG 由服务类型触发。ALG 会拦截并分析指定的流量，分配资源，并定义动态策略，以允许流量安全地通过设备：

1. 当数据包到达设备时，流模块将根据策略中设置的安全规则转发数据包。

2. 如果发现允许该数据包的策略，则会分配关联的服务类型或应用程序类型，并为此类型的流量创建一个会话。

3. 如果找到该数据包的会话，则无需策略规则匹配。如果该特定服务或应用程序类型需要受支持的 ALG 处理，将触发 ALG 模块。

ALG 还会检查数据包的有效负载中的嵌入式 IP 地址和端口信息，并在必要时执行网络地址转换 （NAT） 处理。仅当数据包准备好处理时，才会分配消息缓冲区。数据包完成 ALG 处理后，缓冲区将被释放，包括修改有效负载、执行 NAT、为客户端和服务器之间的新连接打开一个针孔，以及在客户端和位于瞻博网络设备对等端的客户端和服务器之间传输数据

jbuf 的最大大小为 9 Kb。如果消息缓冲区大小超过 9 Kb，则整个消息无法传输到 ALG 数据包处理方。这会导致会话中的后续数据包绕过 ALG 处理，从而导致事务失败。ALG 消息缓冲区优化得到增强，可降低高内存消耗。

ALG 还为 IP 地址和端口号打开一道门，允许对控制和数据会话进行数据交换。控制会话和数据会话可以耦合在一起，以具有相同的超时值，也可以相互独立。

机箱群集支持 ALG。

默认情况下，ALG 绑定到预定义的服务。例如，FTP ALG 绑定到 junos-ftp，RTSP ALG 绑定到 junos-rtsp，等等。

预定义服务已映射到第 7 层应用程序。但是，对于自定义服务，您必须将服务显式链接到应用程序，特别是在希望策略应用 ALG 时。

将预定义的服务应用于策略时，与该服务匹配的流量将被发送到其相应的 ALG，以便进一步处理。但是，在某些情况下，您可能需要定义自定义服务，以实现以下目标：

• 利用 ALG 处理器处理客户指定的协议、目标端口等特殊流量。

• 当流量与与 ALG 绑定的预定义服务匹配时，允许流量，但绕过 ALG 处理。

• 将更多应用程序添加到当前的 ALG 应用集。

以下示例要求您在配置层次结构中的各个级别上导航。有关如何操作的说明，请参阅 CLI 用户指南中的在配置模式下使用 CLI 编辑器。

以 MS-RPC ALG 为例，自定义服务的三个用法如下：

• Utilize the ALG handler to process special traffic:

  带有 TCP 目标端口 6000 的流量将被发送到 MS-RPC ALG 进行进一步处理。

• Permit traffic but bypass ALG processing:

  使用 TCP 目标端口 135 的流量将忽略所有 ALG。

• Add more applications to an ALG’s application set— 要添加 MS-RPC 或 Sun RPC 服务等未在设备上预定义的应用程序：

  将带有 TCP、uuid e3514235-4b06-11d1-ab04-00c04fc2dcd2 的 MS-RPC 数据流量与其他预定义的 junos-ms-rpc** 应用程序一起应用于策略时，将被允许。

域名系统 （DNS） 是 ALG 的一部分，用于处理 DNS 流量，监控 DNS 查询和回复数据包，并在 DNS 标志指示数据包为回复消息时关闭会话。

DNS ALG 在 Junos OS 10.0 及更早版本的路由模式下支持 IPv4。在 Junos OS 10.4 版中，此功能在 DNS ALG 上实施 IPv6 支持，用于路由、网络地址转换 （NAT） 和网络地址转换协议转换 （NAT-PT）。

当 DNS ALG 从 DNS 客户端收到 DNS 查询时，对 DNS 数据包执行安全检查。当 DNS ALG 从 DNS 服务器收到 DNS 回复时，将执行类似的安全检查，然后关闭 DNS 流量的会话。

• NAT 模式下的 IPv6 DNS ALG 流量
• NAT-PT 模式下的 IPv6 DNS ALG 流量

文件传输协议 （FTP） 是 ALG 中处理 FTP 流量的一部分。FTP 中的端口/PASV 请求和相应的 200/227 响应用于通告主机侦听的 FTP 数据连接的 TCP 端口。

EPRT/EPSV/229 命令用于这些请求和响应。FTP ALG 已支持 EPRT/EPSV/229，但仅适用于 IPv4 地址。

在 Junos OS 10.4 版中，EPRT/EPSV/229 命令已更新为同时支持 IPv4 和 IPv6 地址。

FTP ALG 使用预分配的伪装来存储其会话 Cookie。当 FTP ALG 同时支持 IPv4 和 IPv6 地址时，会话 Cookie 结构将放大 256 位（32 个字节）以存储 IPv6 地址。

• 对 IPv6 的 FTP ALG 支持
• EPRT 模式
• EPSV 模式

将 SRX 系列设备配置为在 TAP 模式下运行时，设备将生成安全日志信息，以显示有关检测到的威胁、应用程序使用情况和用户详细信息的信息。将设备配置为在 TAP 模式下运行时，设备仅从配置的 TAP 接口接收数据包。除配置的 TAP 接口外，其他接口均配置为用作管理接口或连接到外部服务器的正常接口。SRX 系列设备将根据传入的流量生成安全报告或日志。

ALG 支持有效负载 NAT 等应用程序，并动态允许其数据流量。