Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
本页内容
 

验证 ALG 会话的输出

本节包含 ALG 会话成功输出的示例和有关系统日志配置的信息。您可以比较会话的结果，检查配置是否正常运行。

FTP 示例

此示例分析活动 FTP 会话期间的输出。它由四种不同的流组成：两个是控制流，两个是数据流。此示例包含以下部分：

示例输出

MS-MPC 卡

对于 MS-MPC，以下是操作模式命令的完整示例输出 show services stateful-firewall conversations application-protocol ftp ：

对于每个流，第一行显示流信息，包括协议 （TCP）、源地址、源端口、目标地址、目标端口、流状态、方向和帧计数。

  • 流的状态可以是 Watch、 、 Forward或 Drop：

    • Watch流状态表示控制流由 ALG 监控，以查看有效负载中的信息。根据需要对报头和有效负载执行 NAT 处理。

    • 流 Forward 转发数据包，而无需监控有效负载。根据需要对报头执行 NAT。

    • 流 Drop 会丢弃与 5 元匹配的任何数据包。

  • 帧计数 （Frm count） 显示该流上处理的数据包数。

第二行显示 NAT 信息。

  • source 指示源 NAT。

  • dest 指示目标 NAT。

  • NAT 行中的第一个地址和端口是为该流转换的原始地址和端口。

  • NAT 行中的第二个地址和端口是该流的转换地址和端口。

MX-SPC3 卡

在 MX-SPC3 服务卡上，以下是操作模式命令的完整 show services sessions application-protocol ftp 示例输出：

对于每个分会讨论：

  • 第一行显示流信息，包括会话 ID、服务集名称、策略名称、会话超时、逻辑系统名称和其状态。

  • 第二行 Resource information表示由 ALG 创建会话，包括 ALG 名称 （FTP ALG） 和 ASL 组 ID（即 1），ASL 资源 ID（控制会话为 0，数据会话为 1）。

  • 第三行 In 是正向流，第四行 Out 是反向流，包括源地址、源端口、目标地址、目标端口、协议 （TCP）、会话 conn-标记、接口的传入 In和传出 Out 、接收的帧计数和字节。根据需要对报头执行 NAT。

FTP 系统日志消息

FTP 会话期间会生成系统日志消息。有关系统日志的更多信息，请参阅 系统日志消息。

MS-MPC 卡

在创建 FTP 控制流期间会生成以下系统日志消息：

  • 规则接受系统日志：

  • 创建接受流系统日志：

  • 用于创建数据流的系统日志：

MX-SPC3 卡卡

在创建 FTP 控制流期间会生成以下系统日志消息：

  • FTP 控制会话创建系统日志：

  • FTP 数据会话创建系统日志：

  • FTP 数据会话的系统日志销毁：

  • FTP 控制会话的系统日志销毁：

分析

控制流

MS-MPC 卡

控制流是在三次握手完成后建立的。

  • 从 FTP 客户端到 FTP 服务器的控制流。TCP 目标端口为 21。

  • 从 FTP 服务器到 FTP 客户端的控制流。TCP 源端口为 21。

MX-SPC3 卡

控制流是在三次握手完成后建立的。

  • 控制从 FTP 客户端到 FTP 服务器的会话，TCP 目标端口为 21。

  • 从 FTP 客户端到 FTP 服务器的数据会话，适用于 FTP 被动模式。

  • 从 FTP 服务器到 FTP 客户端的数据会话，适用于 FTP 活动模式：

数据流

在 FTP 控制协议过程中，协商数据端口 20，以便进行数据传输。这两个流是 FTP 客户端和 FTP 服务器之间的数据流：

故障排除问题

  1. 如何知道 FTP ALG 是否处于活动状态？

    • 对话中的 ALG 协议字段应显示 ftp。

    • 控制流中应存在有效的帧计数 （Frm count）。

    • 数据流中的有效帧计数表示已进行数据传输。

  2. 检查 FTP 连接是否已建立但未进行数据传输，我需要什么？

    • 很可能控制连接已启动，但数据连接已关闭。

    • 检查对话输出，以确定是否同时存在控制和数据流。

  3. 如何解读每个流？每个流意味着什么？

    • FTP 控制流发起方流 — 目标端口为 21 的流

    • FTP 控制流响应程序流 — 带源端口的流;21

    • FTP 数据流发起方流 — 目标端口 20 的流

    • FTP 数据流响应程序流 — 源端口 20 的流

RTSP ALG 示例

以下是 RTSP 对话的示例。应用程序使用 RTSP 协议进行控制连接。设置连接后，将使用 UDP 协议 （RTP） 发送介质。

此示例由以下内容组成：

MS-MPC 的示例输出

下面是操作模式命令的 show services stateful-firewall conversations 输出：

MX-SPC3 服务卡的示例输出

下面是操作模式命令的 show services sessions application-protocol rtsp 输出：

分析

RTSP 对话应包含与 RTSP 控制连接对应的 TCP 流。应该有两个流，每个方向一个，从客户端到服务器，从服务器流到客户端：

  • 发起方流的 RTSP 控制连接从目标端口 554 发送。

  • 响应方流的 RTSP 控制连接从源端口 554 发送。

UDP 流对应于通过 RTSP 连接发送的 RTP 介质。

故障排除问题

  1. 配置 RTSP ALG 时，介质无法工作。我该怎么办？

    • 检查 RTSP 对话，查看 TCP 和 UDP 流是否存在。

    • ALG 协议应显示为 rtsp。

    注意：

    流的状态显示为 Watch，因为 ALG 处理正在进行中，客户端本质上正在“监视”或处理与应用程序对应的有效负载。对于 FTP 和 RTSP ALG 流，控制连接始终 Watch 为流。

  2. 如何检查 ALG 错误？

    • 您可以通过发出以下命令来检查错误。每个 ALG 都有一个单独的 ALG 数据包错误字段。

系统日志消息

启用系统日志生成和检查系统日志也有助于进行 ALG 流分析。本节包含以下内容：

系统日志配置

您可以在 Junos OS CLI 中的多个不同级别上配置启用系统日志消息。如以下示例配置所示，级别的选择取决于希望事件日志记录的具体程度以及要包括的选项。有关配置选项的详细信息，请参阅 路由设备的 Junos OS 管理库 （系统级别）或 路由设备的 Junos OS 服务接口库 （所有其他级别）。

  1. 在全球顶级级别：

  2. 在服务集级别：

  3. 在服务规则级别：

系统日志输出

流创建期间会生成系统日志消息，如以下示例所示：

以下系统日志消息表示 ASP 与接受规则匹配：

有关系统日志消息的完整列表，请参阅 系统日志浏览器。