SRX 系列防火墙上的应用识别
通过应用识别，您可以查看网络上的应用，并了解它们的工作原理、行为特征以及相对风险。应用 ID 使用多种不同的识别机制，无论使用何种端口、协议和其他规避策略，都可以检测网络上的应用。有关更多信息，请参阅以下主题：
了解应用识别技术
防火墙一直使用 IP 地址和端口号来执行策略。该策略基于这样的假设：用户从固定位置连接到网络并使用特定端口号访问特定资源。
如今，无线网络和移动设备需要不同的策略。设备连接到网络的方式瞬息万变。一个人可以同时使用多个设备连接到网络。通过一组静态分配的 IP 地址和端口号来识别用户、应用或设备已不再实用。
本主题包含以下部分：
Junos OS 下一代应用识别
下一代应用识别建立在传统应用识别功能的基础上，为 Skype、BitTorrent 和 Tor 等逃避应用提供更有效的检测功能。
Junos OS 应用识别可使用端口号以外的特征识别不同网络层的基于 Web 和其他应用及协议。使用包含应用签名和解析信息的协议包来识别应用。这种识别基于协议解析和解码以及会话管理。
检测机制有自己的数据源和结构来识别应用。
应用程序识别支持以下功能：
-
支持协议和应用，包括视频流、点对点通信、社交网络和消息传送
-
应用中的服务识别
-
能够区分在应用程序中启动的操作（例如登录、浏览、聊天和文件传输）
-
支持所有版本的协议和应用解码器以及解码器的动态更新
-
支持加密和压缩流量以及最复杂的隧道协议
-
能够识别从第 3 层到第 7 层及第 7 层以上的所有协议
应用识别的好处
-
提供对应用的精细控制，包括视频流、点对点通信、社交网络和消息传送。此外，它还可识别应用内的服务、端口使用情况、底层技术和行为特征。这种可见性使您能够通过防火墙内联拦截隐匿的应用。
-
无论使用何种端口或协议，都可以识别应用并允许、阻止或限制应用，包括使用逃避技术避免被识别的应用。这种识别可帮助组织控制允许进出网络的流量类型。
应用签名映射
应用签名映射是在网络上识别出流量的应用的精确方法。签名映射在第 7 层运行并检测有效负载的实际内容。
使用可下载的协议包来识别应用。将前几个数据包的应用签名和解析信息与数据库的内容进行比较。如果有效负载包含的信息与数据库中的条目相同，则流量的应用程序将被标识为映射到该数据库条目的应用程序。
瞻博网络提供了一个预定义的应用识别数据库，其中包含一整套已知应用（如 FTP 和 DNS）以及通过 HTTP 协议运行的应用（如 Facebook、Kazaa）和许多即时通讯程序的条目。通过签名订阅，您可以从瞻博网络下载数据库，并在添加新的预定义签名时定期更新内容。
应用识别匹配顺序
图 1 显示了应用映射技术的顺序以及如何确定应用。
在应用识别中，流中的每个数据包都要通过应用识别引擎进行处理，直到识别出应用。应用绑定保存在应用系统缓存 （ASC） 中，以加快未来的识别过程。
应用签名根据会话前几个数据包中的协议语法分析来识别应用。如果应用识别引擎尚未识别应用，它将传递数据包并等待更多数据。
应用程序识别模块匹配客户端到服务器和服务器到客户端会话的应用程序。
确定应用后，可以配置 AppSecure 服务模块来监控和控制流量，以便根据流量的应用 ID 进行跟踪、优先级排序、访问控制、检测和预防。
-
应用程序跟踪 （AppTrack） - 跟踪和报告通过设备的应用程序。
-
入侵检测和防御 （IDP） — 对在非标准端口上运行的应用应用相应的攻击对象。应用识别通过缩小没有解码器的应用的攻击签名范围来提高 IDP 性能。
-
应用防火墙 （AppFW） — 使用基于应用的规则实施应用防火墙。
-
应用服务质量 （AppQoS） — 基于应用感知提供 服务质量 优先级排序。
-
基于高级策略的路由 （APBR） — 基于应用程序对会话进行分类，并应用配置的规则来重新路由流量。
-
应用体验质量 （AppQoE） — 监控应用的性能，并根据分数为该应用流量选择最佳链路。
也可以看看
了解 Junos OS 应用识别数据库
瞻博网络安全性工程网站上提供了预定义的签名数据库。该数据库包括一个应用程序签名库。有关更多详细信息，请参阅 应用程序签名 。通过这些签名页面，您可以查看应用类别、组、风险级别、端口等。
预定义的签名包为已知应用签名提供识别标准，并定期更新。
每当添加新应用时，都会为所有相关平台更新和生成协议包。它与其他应用程序签名文件打包在一起。此软件包将可通过安全下载网站下载。
订阅服务允许您定期下载最新的签名以获得最新的报道，而无需创建条目供您自己使用。
默认情况下，应用识别处于启用状态，并且在配置入侵检测和防御 （IDP）、AppFW、AppQoS 或 AppTrack 时会自动打开。
对 Junos OS 预定义应用签名包的更新由单独许可的订阅服务进行授权。您必须在设备上安装应用识别应用签名更新许可证密钥，才能下载和安装瞻博网络提供的签名数据库更新。许可证密钥到期后，可以继续使用本地存储的应用程序签名包内容，但无法更新包。
也可以看看
禁用和重新启用 Junos OS 应用识别
默认情况下，应用识别处于启用状态。您可以使用 CLI 禁用应用识别。
要禁用应用程序识别：
user@host# set services application-identification no-application-identification
如果想要重新启用应用识别，请删除指定禁用应用识别的配置语句：
user@host# delete services application-identification no-application-identification
完成设备配置后，请提交配置。
要验证配置，请输入命令 show services application-identification 。
也可以看看
了解应用程序系统缓存
应用系统缓存 （ASC） 保存应用类型与相应目标 IP 地址、目标端口、协议类型和服务之间的映射。识别应用程序后，其信息将保存在 ASC 中，因此只需匹配条目即可识别特定系统上运行的应用程序，从而加快识别过程。
默认情况下，ASC 会将映射信息保存 3600 秒。但是，您可以使用 CLI 配置缓存超时值。
您可以使用该 [edit services application-identification application-system-cache-timeout] 命令更改应用程序系统缓存条目的超时值。超时值可在 0 到 1,000,000 秒之间配置。ASC 会话可能会在 1000,000 秒后过期。
ASC 条目在配置的 ASC 超时后过期。即使在超时期间存在缓存命中（找到 ASC 中的匹配条目），也不会刷新 ASC 条目。
配置新的自定义应用程序签名或修改现有自定义签名时，将清除预定义应用程序和自定义应用程序的所有现有应用程序系统缓存条目。
当您删除或禁用自定义应用程序签名，并且配置提交失败时，应用程序系统缓存 （ASC） 条目不会完全清除;相反，将在 ASC 中报告自定义应用程序路径中的基本应用程序。
也可以看看
为应用程序服务启用或禁用应用程序系统缓存
默认情况下启用 ASC;请注意安全服务查找中的差异：
-
默认情况下，不启用安全服务的 ASC 查找。也就是说，默认情况下，包括安全策略、应用防火墙 （AppFW）、应用跟踪 （AppTrack）、应用服务质量 （AppQoS）、瞻博网络 ATP 云、IDP 和内容安全性在内的安全服务不使用 ASC。
-
默认情况下，其他服务的 ASC 查找处于启用状态。也就是说，包括基于高级策略的路由 （APBR） 在内的其他服务默认使用 ASC 进行应用识别。
ASC 默认行为的更改会影响旧有 AppFW 功能。从 Junos OS 18.2 版及更高版本开始，默认情况下禁用安全服务的 ASC，AppFW 将不会使用 ASC 中存在的条目。
您可以使用命令 set services application-identification application-system-cache security-services 恢复到 18.2 版之前的 Junos OS 版本中的 ASC 行为。
如果为安全服务启用了 ASC，则安全设备可能容易受到应用隐匿技术的影响。建议仅当设备在其默认配置（针对安全服务禁用）的性能不足以满足您的特定用例时才启用 ASC。
使用以下命令启用或禁用 ASC：
为安全服务启用 ASC：
user@host#set services application-identification application-system-cache security-services禁用其他服务的 ASC：
user@host#set services application-identification application-system-cache no-miscellaneous-services禁用已启用的 ASC 以进行安全服务：
user@host#delete services application-identification application-system-cache security-services为其他服务启用禁用的 ASC：
user@host#delete services application-identification application-system-cache no-miscellaneous-services
您可以使用该 show services application-identification application-system-cache 命令验证 ASC 的状态。
以下示例输出提供 ASC 的状态：
user@host>show services application-identification application-system-cache
Application System Cache Configurations:
application-cache: on
Cache lookup for security-services: off
Cache lookup for miscellaneous-services: on
cache-entry-timeout: 3600 seconds
在以前的版本中，默认情况下启用了应用程序缓存。您可以使用命令 set services application-identification no-application-system-cache 手动禁用它。
user@host# set services application-identification no-application-system-cache
也可以看看
验证应用程序系统缓存统计信息
目的
验证应用系统缓存 （ASC） 统计信息。
应用程序系统缓存将显示应用程序标识应用程序的缓存。
行动
从 CLI 操作模式，输入命令 show services application-identification application-system-cache 。
示例输出
命令名称
user@host> show services application-identification application-system-cache application-cache: on nested-application-cache: on cache-unknown-result: on cache-entry-timeout: 3600 seconds
意义
输出显示 ASC 统计信息的摘要。验证以下信息：
IP 地址 — 显示目标地址。
端口 — 显示服务器上的目标端口。
协议 — 显示目标端口上的协议类型。
应用程序 — 显示目标端口上标识的应用程序的名称。
当存在大量 ASC 条目（10,000 或更多），并且这些条目要在命令 show services application-identification application-system-cache的输出中列出时，某些防火墙会发生 CLI 会话超时。
也可以看看
机件应用识别统计数据
应用识别服务提供每个会话的统计信息。这些统计信息为客户提供了应用使用情况配置文件。“开机箱应用程序识别统计信息”功能将应用程序级统计信息添加到 AppSecure 套件中。应用程序统计信息允许管理员访问累积统计信息以及在用户定义的时间间隔内累积的统计信息。
通过此功能，管理员可以清除统计信息并配置间隔值，同时维护字节和会话计数统计信息。由于统计信息计数发生在会话关闭事件时，因此在会话关闭之前不会更新字节和会话计数。瞻博网络安全设备支持八个间隔的历史记录，管理员可使用该间隔来显示应用会话和字节计数。
如果您的 Junos OS 配置支持应用分组，则机机应用识别统计信息功能将支持机机机按组进行匹配统计。仅对预定义组维护统计信息。
重新安装应用程序签名包不会清除应用程序统计信息。如果禁用应用程序，则该应用程序将不会有任何流量，但该应用程序仍会在统计信息中保留。是否要重新安装预定义的应用程序并不重要，因为应用程序是根据应用程序类型进行跟踪的。对于预定义的组统计信息，重新安装安全包不会清除统计信息。但是，对组成员身份所做的任何更改都会更新。例如，junos：web 当前版本可能有 50 个应用，升级后可能有 60 个应用。已删除的应用程序和已重命名的应用程序组的处理方式与添加的应用程序相同。
应用识别模块为每个服务处理单元 （SPU） 上的每个应用维护一个 64 位会话计数器。当会话被识别为特定应用程序时，计数器递增。另一组 64 位计数器聚合 SPU 上每个应用的总字节数。还维护了未指定应用程序的计数器。来自多个 SPU 的会话和字节统计信息在路由引擎上汇总并呈现给用户。
各个 SPU 具有间隔计时器，用于按时间 interval 滚动播放统计信息。要配置统计信息收集的时间间隔，请使用命令 set services application-identification statistics interval time 。每当路由引擎查询所需的间隔时，都会从每个 SPU 中获取相应的统计信息，在路由引擎中汇总并呈现给用户。
使用 清除 clear services application-identification statistics 所有应用程序统计信息，例如累积、间隔、应用程序和应用程序组。
使用该 clear services application-identification counter 命令手动重置计数器。设备升级或重新启动、流量重新启动或间隔计时器发生变化时，计数器会自动重置。
使用 为 set services application-identification application-system-cache-timeout value 应用程序系统缓存条目指定超时值（以秒为单位）。
应用识别统计信息采集时间的默认时间间隔为1440分钟。
配置 IMAP 缓存大小
互联网消息访问协议 （IMAP） 是电子邮件客户端用于电子邮件存储和检索服务的互联网标准协议。IMAP 缓存用于协议解析和上下文生成。它存储电子邮件的解析相关信息。
您可以使用以下命令进行配置以限制 IMAP 缓存中的最大条目数，并指定缓存中条目的超时值：
set services application-identification imap-cache imap-cache-size size
set services application-identification imap-cache imap-cache-timeout time in seconds
示例：
[edit]
user@host# set services application-identification imap-cache imap-cache-size 50000
在此示例中，IMAP 缓存大小配置为存储 50,000 个条目。
[edit]
user@host# set services application-identification imap-cache-timeout 600
在此示例中，超时时间配置为 600 秒，在此期间，缓存条目保留在 IMAP 缓存中。
也可以看看
了解 Junos OS 应用识别服务对巨型帧的支持
应用识别支持更大的巨型帧，即 9192 字节。虽然默认情况下启用巨型帧，但您可以使用 [set interfaces] 命令调整最大传输单元 （MTU） 大小。处理巨型帧时可以减少 CPU 开销。
也可以看看
应用识别检查限制
要配置应用识别检查限制：
-
Inspection Limit for TCP and UDP Sessions
您可以在 UDP 或 TCP 会话中设置应用识别 （AppID） 的字节限制和数据包限制。AppID 根据配置的检查限制完成分类。超过限制时，AppID 将终止应用程序分类。
如果 AppID 未在配置的限制内得出最终分类结论，并且有预匹配的应用程序可用，则 AppID 将该应用程序结论为预匹配应用程序。否则，如果启用了全局 AppID 缓存，则应用程序将终止为 junos：UNKNOWN。默认情况下，全局 AppID 缓存处于启用状态。
要配置字节限制和数据包限制，请使用层次结构中的
[edit]以下配置语句：-
user@host#set services application-identification inspection-limit tcp byte-limit byte-limit-number packet-limit packet-limit-number -
user@host#set services application-identification inspection-limit udp byte-limit byte-limit-number packet-limit packet-limit-number
表 1 提供了为 TCP 和 UDP 会话配置字节限制和数据包限制的范围和默认值。
表 1：TCP 和 UDP 会话的最大字节限制和数据包字节限制 会议
限制
范围
默认值
TCP
字节限制
0 到 4294967295
6000
数据包限制
0 到 4294967295
零
UDP
字节限制
0 到 4294967295
零
数据包限制
0 到 4294967295
10
字节限制不包括 IP 报头和 TCP/UDP 报头长度。
如果您同时设置了 the
byte-limit和选项packet-limit，AppID 将检查会话，直到达到两个限制。您可以通过将相应
byte-limit的 和packet-limit值配置为零来禁用 TCP 或 UDP 检查限制。 -
-
Global Offload Byte Limit (Other Sessions)
您可以设置 AppID 的字节限制，以结束分类并识别会话中的应用程序。超过限制后，AppID 将终止应用程序分类并采取以下决定之一：
-
如果有预匹配的应用可用，AppID 会在以下情况下将应用分类得出为预匹配应用：
-
当AppID未在配置的字节限制内得出最终分类时
-
当由于某些应用的隧道行为而未卸载会话时
-
-
如果预先匹配的应用程序不可用，AppID 会将应用程序结论为 junos：UNKNOWN（前提是启用了全局 AppID 缓存）。默认情况下，全局 AppID 缓存处于启用状态。请参阅 为应用程序服务启用或禁用应用程序系统缓存。
要配置字节限制，请使用层次结构中的
[edit]以下配置语句：set services application-identification global-offload-byte-limit byte-limit-number
该
global-offload-byte-limit选项的默认值为 10000。您可以通过将值配置
global-offload-byte-limit为零来禁用全局卸载字节限制。字节限制不包括 IP 报头和 TCP/UDP 报头长度。
-
启用性能模式选项
DPI 性能模式选项 set services application-identification enable-performance-mode max-packet-threshold value 的最大数据包阈值已弃用，而不是立即删除，以提供向后兼容性并使您的配置符合新配置的机会。此选项用于设置 DPI 性能模式的最大数据包阈值。
如果您的配置包括在较旧的 Junos OS 版本中启用的性能模式选项 max-packet-threshold ，则 AppID 在达到 TCP 或 UDP 检查限制或全局卸载字节限制中配置的最低值，或达到 DPI 性能模式选项的最大数据包阈值时结束应用分类。
为内容交付网络 （CDN） 上托管的应用提供应用识别支持
您可以启用应用程序识别 （AppID），以准确对托管在内容交付网络 （CDN）（如 AWS、Akamai、Azure、Fastly 和 Cloudflare 等）上的 Web 应用程序进行分类。使用以下配置语句启用 CDN 应用分类：
[edit]user@host#user@hots# set service application-identification enable-cdn-application-detection
应用配置时，AppID 会识别和分类托管在 CDN 上的实际应用程序。
DPI 的最大内存限制
您可以使用以下配置语句配置深度包检测 （DPI） 的最大内存限制：
user@host# set services application-identification max-memory memory-value
可以将 1 到 200000 MB 设置为内存值。
一旦 JDPI 内存消耗达到配置值的 90%，DPI 就会停止处理新会话。
提高应用流量吞吐量
通过在性能模式下将深度包检测 （DPI） 设置为两个数据包，默认数据包检测限制为两个数据包，包括客户端到服务器和服务器到客户端方向，可以提高应用流量吞吐量。默认情况下，安全设备上的性能模式处于禁用状态。
要提高应用流量吞吐量，请执行以下操作：
使用此命令可 show services application-identification status 显示有关应用程序标识状态的详细信息。
show services application-identification status（启用 DPI 性能模式）
user@host> show services application-identification status pic: 2/1 Application Identification Status Enabled Sessions under app detection 0 Engine Version 4.18.2-24.006 (build date Jul 30 2014) Max TCP session packet memory 30000 Force packet plugin Disabled Force stream plugin Disabled DPI Performance mode: Enabled Statistics collection interval 1 (in minutes) Application System Cache Status Enabled Negative cache status Disabled Max Number of entries in cache 262144 Cache timeout 3600 (in seconds) Protocol Bundle Download Server https://signatures.juniper.net/cgi-bin/index.cgi AutoUpdate Disabled Slot 1: Application package version 2399 Status Active Version 1.40.0-26.006 (build date May 1 2014) Sessions 0 Slot 2 Application package version 0 Status Free Version Sessions 0
DPI 性能模式字段显示是否启用了 DPI 性能模式。只有当启用了性能模式时，此字段才会显示在 CLI 命令输出中。
如果要将 DPI 设置为默认精度模式并禁用性能模式，请删除指定启用性能模式的配置语句：
要禁用性能模式：
删除性能模式。
[edit]user@host# delete services application-identification enable-performance-mode提交配置。
[edit]user@host# commit
也可以看看
未知应用流量的数据包捕获概述
您可以使用未知应用的数据包捕获功能来收集有关安全设备上未知应用的更多详细信息。未知应用流量是指与应用签名不匹配的流量。
在安全设备上配置数据包捕获选项后，系统会收集未知应用流量并将其存储在设备上的数据包捕获文件 （.pcap） 中。您可以使用未知应用的数据包捕获来定义新的自定义应用签名。您可以在安全策略中使用此自定义应用签名来更有效地管理应用流量。
如果流量分类不正确，您可以将 .pcap 文件发送到瞻博网络进行分析，或者请求创建应用签名。
捕获未知应用流量数据包的好处
您可以使用未知应用流量的数据包捕获来：
收集有关未知应用的更多见解
分析未知应用流量以发现潜在威胁
协助创建安全策略规则
启用自定义应用签名创建
实施阻止所有未知应用流量的安全策略可能会导致基于网络的应用出现问题。在应用这些类型的策略之前，请务必验证此方法是否不会导致环境中出现问题。您必须仔细分析未知应用流量，并相应地定义安全策略。
为未知应用流量配置数据包捕获
开始之前
要启用未知应用流量的自动数据包捕获，您必须：
-
在防火墙上安装有效的应用识别功能许可证。请参阅 管理 Junos OS 许可证。
-
下载并安装 Junos OS 应用签名包。请参阅 下载并安装 Junos OS 应用程序签名包。
-
确保防火墙安装有 Junos OS 20.2R1 或更高版本。
概述
在此示例中，您将了解如何通过完成以下步骤来配置安全设备上未知应用的自动数据包捕获：
-
在全局级别或安全策略级别设置数据包捕获选项。
-
配置数据包捕获模式
-
（选答）配置数据包捕获文件选项
-
访问生成的数据包捕获文件 （.pcap 文件）
配置
要了解数据包捕获配置选项，请在开始之前参见 packet-capture 。
全球未知应用的数据包捕获
分步程序
-
要在全局级别启用数据包捕获，请使用以下命令：
user@host#set services application-identification packet-capture global
在全局级别启用数据包捕获时，安全设备将为包含未知应用流量的所有会话生成数据包捕获。
在安全性策略级别为未知应用捕获数据包
分步程序
-
在安全策略级别配置数据包捕获，请使用以下过程。在此示例中，您将在安全策略 P1 上启用未知应用流量的数据包捕获。
[edit]user@host#set security policies from-zone untrust to-zone trust policy P1 match source-address anyuser@host#set security policies from-zone untrust to-zone trust policy P1 match destination-address anyuser@host#set security policies from-zone untrust to-zone trust policy P1 match application anyuser@host#set security policies from-zone untrust to-zone trust policy P1 match dynamic-application junos:UNKNOWNuser@host#set security policies from-zone untrust to-zone trust policy P1 then permit application-services packet-capture要在安全策略级别启用未知应用流量的数据包捕获，必须将动态应用匹配条件包括在内
junos:UNKNOWN。配置安全策略 （P1） 时，系统将捕获与安全策略匹配标准匹配的应用流量的数据包详细信息。
选择数据包捕获模式
您可以通过以下任一模式捕获未知应用流量的数据包：
-
ASC 模式 — 当应用程序被归类为 junos：UNKNOWN 且应用程序系统缓存 （ASC） 中有匹配条目时，捕获未知应用程序的数据包。默认情况下，此模式处于启用状态。
-
积极模式 — 在 AppID 完成分类之前捕获所有流量。在此模式下，系统将捕获所有应用流量，而不考虑可用的 ASC 条目。数据包捕获从第一个会话的第一个数据包开始。请注意，积极模式对资源的消耗量要大得多，应谨慎使用。
要启用积极模式，请使用以下命令：
[edit]user@host#set services application-identification packet-capture aggressive-mode除非您需要捕获流的首次出现，否则不建议使用积极模式。如上所述，设备的默认行为依赖于 ASC。
定义数据包捕获选项（可选）
分步程序
或者，您可以设置以下数据包捕获参数。否则，此功能将使用 数据包捕获 中所述的默认选项。在此示例中，您将定义数据包捕获选项，例如最大数据包限制、最大字节限制和数据包捕获 （.pcap） 文件数。
-
设置每个会话的最大 UDP 数据包数。
[edit]user@host#set services application-identification packet-capture max-packets 10 -
设置每个会话的最大 TCP 字节数。
[edit]user@host#set services application-identification packet-capture max-bytes 2048 -
设置在覆盖和轮换最旧的文件之前要创建的数据包捕获 （.pcap） 文件的最大数量。
[edit]user@host#set services application-identification packet-capture max-files 30
结果
在配置模式下，输入 show services application-identification packet-capture 命令和 show security policies 层次结构级别以确认您的配置。如果输出未显示预期的配置，请按照此示例中的配置说明进行更正。
以下配置显示了使用可选配置在全局级别捕获未知应用数据包的示例：
[edit services application-identification]user@host# show packet-capture{ global; max-packets 10; max-bytes 2048; max-files 30; }
以下配置显示了在安全策略级别使用可选配置捕获未知应用数据包的示例：
[edit services application-identification]user@host# show packet-capture{ max-packets 10; max-bytes 2048; max-files 30; }
[edit security policies]
user@host# show
from-zone untrust to-zone trust {
policy P1 {
match {
source-address any;
destination-address any;
application any;
dynamic-application [ junos:UNKNOWN ];
}
then {
permit {
application-services {
packet-capture;
}
}
}
}
}
如果完成设备配置，请从配置模式进入。commit
访问数据包捕获文件 （.pcaps）
完成配置并提交后，您可以查看数据包捕获 （.pcap） 文件。系统会为每个目标 IP 地址、目标端口和协议生成唯一的数据包捕获文件。
分步程序
要查看数据包捕获文件，请执行以下操作：
-
导航到设备上存储 .pcap 文件的目录。
user@host> start shell % % cd /var/log/pcap
-
找到 .pcap 文件。
.pcap 文件将以格式保存destination-IP-address. destination-port.protocol. pcap 。示例：142.250.31.156_443_17.pcap。
user@host:/var/log/pcap # ls -lah total 1544 drwxr-xr-x 2 root wheel 3.0K Jul 27 15:04 . drwxrwxr-x 9 root wheel 3.0K Jul 24 16:23 .. -rw-r----- 1 root wheel 5.0K Jul 24 20:16 142.250.31.156_443_17.pcap -rw-r----- 1 root wheel 16K Jul 27 15:03 142.250.64.97_443_17.pcap -rw-r----- 1 root wheel 9.0K Jul 27 14:26 162.223.228.170_443_17.pcap -rw-r----- 1 root wheel 2.1K Jul 26 17:06 17.133.234.32_16385_17.pcap -rw-r----- 1 root wheel 11K Jul 24 16:20 172.217.0.226_443_17.pcap -rw-r----- 1 root wheel 16K Jul 27 14:21 172.217.9.234_443_17.pcap -rw-r----- 1 root wheel 31K Jul 27 14:25 172.217.9.238_443_17.pcap -rw-r----- 1 root wheel 17K Jul 24 19:21 52.114.132.87_3478_17.pcap
您可以使用 SFTP 或 SCP 下载 .pcap 文件，然后使用 Wireshark 或您常用的网络分析器查看它。
图 2 显示了为未知应用流量生成的示例 .pcap 文件。
图 2：示例数据包捕获文件
注意：在发生数据包丢失的情况下，设备可能无法捕获流的所有相关详细信息。在这种情况下， .pcap 文件将仅反映设备能够摄取和处理的内容。
无论全局配置还是策略级别配置，安全设备都会将符合三个匹配标准（目标 IP 地址、目标端口和协议）的所有流量的数据包捕获详细信息保存在同一文件中。系统使用目标 IP 地址、目标端口和协议维护缓存，不接受重复捕获超过定义限制的相同流量。您可以像在 packet-capture 中一样设置数据包捕获文件选项。
验证
查看数据包捕获详细信息
目的
查看数据包捕获详细信息，以确认您的配置是否正常工作。
行动
使用命令 show services application-identification packet-capture counters 。
user@host> show services application-identification packet-capture counters pic: 0/0 Counter type Value Total sessions captured 47 Total packets captured 282 Active sessions being captured 1 Sessions ignored because of memory allocation failures 0 Packets ignored because of memory allocation failures 0 Ipc messages ignored because of storage limit 0 Sessions ignored because of buffer-packets limit 0 Packets ignored because of buffer-packets limit 0 Inconclusive sessions captured 4 Inconclusive sessions ignored 0 Cache entries timed out 0
意义
从此示例输出中，您可以获得详细信息，例如正在捕获的会话数和已捕获的会话数。有关数据包捕获计数器的更多详细信息，请参阅 show services application-identification packet-capture counters。
每个会话的数据包捕获未知应用详细信息
您的安全设备会存储每个会话中未知应用详细信息的数据包捕获情况。数据包捕获 （.pcap） 文件现在在文件名中包含会话 ID。也就是目标 IP-address_destination-port_protocol_session-id。pcap 位于 /var/log/pcap 位置。
通过存储每个会话的数据包捕获，.pcap 文件大小会减小，因为它仅保存每个会话的详细信息。
此外，我们增强了未知应用数据包捕获功能，可以捕获未知的 SNI 详细信息
变更历史表
是否支持某项功能取决于您使用的平台和版本。使用 功能资源管理器 确定您的平台是否支持某个功能。
set services application-identification enable-performance-mode max-packet-threshold value 的最大数据包阈值已弃用。
set services application-identification no-application-system-cache 手动禁用它。